IT-Forensik und Datenschutz

Verfehlungen im Arbeitsumfeld kommen nicht selten vor: Mal lädt ein
Mitarbeiter massenhaft urheberrechtlich geschützte Filme auf den
Bürorechner herunter, ein anderer verbringt täglich Stunden mit
seinen eBay-Aktivitäten. Mitunter tangiert der Missbrauch von
Arbeitszeit- und Mitteln auch den strafrechtlichen Bereich, etwa
wenn es um den Handel mit Darstellungen von Kindesmissbrauch geht.
Immer gilt: Nachforschungen von Arbeitgebern bei einem Verdacht
sind heikel, denn auch hier gilt Datenschutz- und
Persönlichkeitsrecht. In Episode 43 der Auslegungssache ergründen
Joerg und Holger, wie Arbeitgeber, IT-Administratoren und
Datenschutzbeauftragte in solchen Fällen agieren sollten.
Fachkundige Hilfe dabei leistet Christoph Wegener, der Unternehmen
bei IT-forensischen Aktivitäten freiberuflich unterstützt. Zunächst
geht es um die datenschutzrechtlichen Grundlagen, die in
Deutschland im Paragrafen 26 BDSG definiert sind, der die
"Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses"
regelt. Wer diese Bestimmung verletzt, verstößt nicht nur gegen
Recht, sondern riskiert auch ein Verwertungsverbot für seine
mühevoll gewonnenen Informationen, die dann im Rahmen von straf-,
zivil- und arbeitsrechtlichen Auseinandersetzungen nicht oder nur
begrenzt verwendet werden können. Wegener erläutert, welche
Vorbereitungen man treffen sollte. Es gilt beispielsweise dafür zu
sorgen, dass mindestens vier Augen bei der Forensik mitwirken, und
am besten alle relevanten Stellen, etwa der interne
Datenschutzbeauftragte und der Betriebsrat einbezogen werden. Ein
Alleingang von IT-Administratoren ist tabu. Hat man den Verdacht
auf eine Straftat, sollte grundsätzlich eine Ermittlungsbehörde
übernehmen. Neben den datenschutzrechtlichen Vorüberlegungen spielt
die technische Vorgehensweise (Sichern und Auswerten) eine große
Rolle. Auch hier hat Wegener einige Tipps parat.