IT-Forensik in Frankfurt am Main: digitale Beweise von Smartphone, Computer und Datenträger sichern

Auf dem Weg, den wir vorher mit Ihnen besprechen. Die Reihenfolge lautet: erst das Gespräch, dann die Unterlagen, dann der Auftrag, und danach das Gerät. Das schützt Sie: ohne Auftrag ist für Ihr Gerät niemand verantwortlich. Ein unangekündigt eintreffendes Paket können wir deshalb nicht annehmen.

Die eigene IT nicht auf dem Rechner suchen lassen, keine Prüfsoftware installieren und das Gerät nicht neu aufsetzen. Den vorgefundenen Zustand kurz notieren, mit Datum und Uhrzeit, und Kennwörter sowie Wiederherstellungsschlüssel, etwa für BitLocker, bereithalten. Läuft der Rechner noch, rufen Sie vorher an.

Häufiger, als viele annehmen, und es hängt am Einzelfall: ob die private Nutzung erlaubt ist, welche Anhaltspunkte vorliegen und ob ein Betriebsrat zu beteiligen ist. Die Entscheidung trifft Ihr Unternehmen mit seinen Beratern. Wir sagen Ihnen, was technisch möglich ist und worauf es dabei ankommt, damit Sie auf einer belastbaren Grundlage entscheiden.

Eine außerordentliche Kündigung muss innerhalb von zwei Wochen erklärt werden, nachdem der Arbeitgeber die maßgebenden Tatsachen kennt (§ 626 Abs. 2 BGB). Nach der Rechtsprechung des Bundesarbeitsgerichts beginnt die Frist erst, wenn der Sachverhalt hinreichend aufgeklärt ist, solange die Aufklärung mit der gebotenen Eile betrieben wird. Eine IT-forensische Sicherung sollte deshalb zügig veranlasst werden, sobald ein konkreter Verdacht besteht. Wann die Frist im Einzelfall läuft, bewerten Sie mit Ihren Beratern.

E-Mail-Bestände können wir sichern und auswerten, ganze Postfächer eingeschlossen. Bei Daten, die ausschließlich beim Anbieter liegen, kommt es darauf an, wer den Zugang erteilen kann; in Unternehmen ist das oft schnell geklärt. Sagen Sie uns, worum es geht, dann sagen wir Ihnen, was davon erreichbar ist.

Häufig ja, soweit das System Zugriffe protokolliert. Wir sichern Zugriffsprotokolle, Anmeldedaten und Berechtigungen beweissicher und stellen fest, wer wann auf welche Postfächer oder Archive zugegriffen hat. Wichtig ist, dass vorher keine Konten gelöscht und keine Protokolle überschrieben werden.

Die betroffenen Systeme vom Netz trennen, sie nach Möglichkeit nicht ausschalten und nichts neu aufsetzen, bevor die Spuren gesichert sind. Rufen Sie an, bevor aufgeräumt wird: Im Arbeitsspeicher und in den Protokollen steht oft der Weg des Angriffs.

Bei Servern und ganzen IT-Umgebungen in Ausnahmefällen ja. Wie einzelne Rechner und Datenträger gesichert werden und auf welchem Weg, klären wir vorher im Gespräch.

Sicherer ist eine forensische Kopie. Sie wird mit Prüfsumme gesichert und dokumentiert, so dass sich Herkunft und Unverändertheit belegen lassen. Eine einfache Dateikopie kann das nicht leisten und wird deshalb im Streitfall angreifbar. Der Mehraufwand dafür ist gering, der Unterschied im Verfahren groß.

Chain of Custody ist der englische Begriff für die Beweismittelkette: die lückenlose Dokumentation, wer ein Gerät oder eine Datenkopie wann übernommen, verwahrt und bearbeitet hat. Bei digitalen Beweisen belegt der Hashwert, eine beim Sichern gebildete Prüfsumme, dass die Kopie dem Original entspricht und seitdem unverändert ist. Lückenlos dokumentiert wird die Kette bei uns dort, wo der Fall es verlangt, vor allem in anspruchsvollen und sensiblen Angelegenheiten.

Für die meisten Fälle genügt der Bericht: Er hält fest, was gefunden wurde, wie gesichert wurde und was die Befunde aussagen, und damit arbeiten Kanzleien unmittelbar weiter. Ein Gutachten kommt vor allem dann in Betracht, wenn ein Gericht es anordnet. Sprechen Sie uns vorher darauf an, dann richten wir die Dokumentation von Anfang an darauf aus.

Für Streitigkeiten aus einem Arbeitsverhältnis in Frankfurt ist in erster Instanz in der Regel das Arbeitsgericht Frankfurt am Main zuständig, in der Berufung das Hessische Landesarbeitsgericht. Beide sitzen in der Gutleutstraße 130. Welches Gericht im Einzelfall zuständig ist, klären Sie mit Ihren Beratern; wir sorgen dafür, dass die Sicherung dort trägt.

Das hängt vom Aufwand ab: wie viele Geräte, welche Art der Sicherung, ob das Gerät verschlüsselt oder beschädigt ist und wie weit die Auswertung gehen soll. Wir nennen Ihnen den Preis, bevor Sie sich entscheiden; er steht im schriftlichen Vertrag. Eine Zahl auf einer Webseite wäre geraten und hülfe Ihnen nicht.

Nein. Wir arbeiten im gesamten Bundesgebiet, und die Besprechung eines Falls läuft ohnehin oft telefonisch oder in einer Videokonferenz. Frankfurt ist der Standort, unter dem Sie uns für dieses Thema im Rhein-Main-Gebiet erreichen; am Firmensitz in Bergisch Gladbach wird jeder Fall angesehen, bevor ausgewertet wird.