Es besteht der Verdacht, dass ein scheidender Mitarbeiter Daten mitnimmt. Wie gehst du damit um?

Behandle es ab der ersten Stunde als gemeinsame Untersuchung mit Recht und HR, denn Insider-Fälle haben arbeitsrechtliche und datenschutzrechtliche Folgen, die eine rein technische Reaktion ruinieren kann. Sicher die Beweise, bevor du irgendwo herumstocherst, und prüf dann nur, was du prüfen darfst: Dateizugriffe und Volumenanomalien, Cloud-Sync und Uploads in privaten Speicher, Wechselmedien, Mail-Weiterleitungen und Druck-Logs. Berichte beobachtete Fakten, nie Schlussfolgerungen zur Absicht.

Der erste Anruf ist nicht technisch. Ich informiere Recht und HR und kläre, was ich anschauen darf, denn in manchen Rechtsräumen fliegt die ganze Untersuchung raus, wenn man ohne passende Grundlage private Inhalte auf einem Firmengerät liest. Dann Sicherung: den Endpoint imagen, Postfach und Cloud-Speicher an Ort und Stelle mit einem Legal Hold sichern und die Log-Aufbewahrung für die relevanten Quellen einfrieren, bevor etwas verfällt. Dann die Prüfung, leise, mit eingeschränktem Fallzugriff, denn wenn die betroffene Person es merkt, verdampfen die Beweise meistens. Ich schaue auf das Volumen der Dateizugriffe gegen ihre eigene Baseline, auf Cloud-Sync-Clients und Uploads in private Speicher, auf das Einstecken von Wechselmedien und Kopiervorgänge, auf Mail-Weiterleitungsregeln und große ausgehende Anhänge, und auf Druckaufträge. Mein Bericht sagt, was wann passiert ist, mit Hashes und Zeitstempeln: dieses Konto hat diese Dateien zu dieser Zeit auf dieses Gerät kopiert. Ich schreibe nicht, dass jemand etwas stehlen wollte, denn das ist Sache von HR und Recht, und ich habe einen Fall zusammenbrechen sehen, weil ein Analyst kommentiert hat.