SECURITY insight 6/10

Titelthema: Forensische Ermittlungen
Titelthema
Der Wunsch
jedes Einzelnen
zählt
Transparenz steht einem Unternehmen gut an – optisch
sowieso, aber auch in den internen und externen
Prozessen. Nur darf man es damit nicht übertreiben.
nisation verbunden. Dies löst in vielen
Fällen erhebliche Organisationsprobleme
aus, da die internen Regelabläufe im
Reporting sowie in der Datensammlung
und Entscheidung über die Datenfreigabe
schnell auf neue Zuständigkeiten
bei der extern vergebenen forensischen
Ermittlung umgestellt werden müssen.
Umso schwieriger wird es, als die für die
Koordination dieser Prozesse zuständigen
Organisationseinheiten wie Corporate
Security oder Corporate Compliance
gerade aus dem Prozess herausgehalten
werden sollen, wenn sie entweder offensichtlich
dabei versagt haben, den Skandal
zu vermeiden, oder selbst verdächtigt
werden.
Zu beachten ist weiterhin, dass auch
Datenschutzrechte gemäß Bundesdatenschutzgesetz
(BDSG), Telekommunikationsgesetz
(TKG) und Berufsrechte von
Mitarbeitern, aber auch beispielsweise
Wettbewerbsrechte von Geschäftspartnern
durch die voreilige Erhebung und
Weitergabe von Daten massiv verletzt
werden können. Die E-Mail-Korrespondenz
von Mitarbeitern etwa kann dem
Fernmeldegeheimnis gemäß Artikel 10
Grundgesetz unterliegen. Die vorschnelle
Datenerhebung durch das Unternehmen
kann strafrechtliche Folgen gemäß § 203
Strafgesetzbuch nach sich ziehen.
Die Kontrolle über die gesammelten und
ermittelten vertraulichen Interna wird
Nicht alle Daten sind für mögliche Ermittlungen relevant. Gegen
Durchsuchungsbeschlüsse Rechtsmittel einzulegen, ist daher nicht
nur legitim, sondern in der Praxis oft dringend anzuraten.
durch die Übergabe an die Staatsanwaltschaft
aus der Hand gegeben. Einzelne
Beschuldigte im Ermittlungsverfahren
können durch ihre Rechtsanwälte mittels
Einsicht in die staatsanwaltschaftliche
Ermittlungsakte damit Zugang zur ganzen
Palette der Unternehmensdaten erhalten.
Die Praxis zeigt, dass von hier aus
nicht sichergestellt ist, dass die Unternehmensdaten
nicht an die Presse weitergegeben
werden oder noch andere
Wege nehmen. Der Schutz wettbewerbsrelevanter
Daten oder anderer schützenswerter
Informationen ist damit nicht
gewährleistet, und es droht oft erheblicher,
irreparabler Schaden, ohne dass
Verantwortliche letztlich zur Rechenschaft
gezogen werden können.
Die Situation verschärft sich, wenn die
„totale Aufklärung“ ausschließlich durch
Beauftragung einer externen Ermittlungsfirma
beziehungsweise einer spezialisierten
Rechtsanwaltskanzlei erfolgt.
Durch die Vergabe der Ermittlungen an
externe Berater wollen Unternehmen
demonstrieren, dass eine quasi objektive,
weil nicht unternehmensinterne Institution
die Ermittlungen führt. Gleichzeitig
bedeutet diese Vorgehensweise auch
ein Stück Bequemlichkeit für die Firma
selbst – denn man gibt ja alles in eine
Hand, nämlich die des externen Dienstleisters.
Steht dem keine differenzierte
Beratungsanalyse entgegen, kommt es
im Schema einer Schwarzweiß-Denkweise
zum vollständigen Outsourcing
der forensischen Ermittlung, was freilich
nicht ohne Auswirkungen auf die innerbetrieblichen
Abläufe bleibt und nicht
von der Notwendigkeit einer differenzierten
Projektsteuerung entbindet.
Phasenorientiertes
Projektmanagement
Akutes Krisenmanagement
Kommt die Situation durch Presseveröffentlichungen
oder unmittelbar durch
Maßnahmen der Behörden in Gang, ist
dennoch der Krisenstab das richtige Instrument
zur Einleitung aller erforderlichen
Krisenmanagement-Maßnahmen.
Es bleibt meist noch Zeit, einen Krisenstab
einzuberufen und zu besetzen, um
sich auf Maßnahmen der Behörden vorzubereiten
und Krisen-PR auf den Weg
zu bringen. Bei unmittelbaren Durchsuchungen
durch die Staatsanwaltschaften
ist oft die sofortige Beauftragung
anwaltlicher Unterstützung notwendig.
Dennoch sollte parallel der Krisenstab
einberufen werden und auch wichtigstes
Leitungsinstrument bleiben sowie externen
Sachverstand und interne Kompetenzen
vereinen.
Hinsichtlich der Entscheidung über die
Strategie der vorauseilenden Herausgabe
von Unternehmensinformationen
sollten daher Corporate Security und
SI-Autor Rechtsanwalt Reinhard
Müller hat langjährige Erfahrung
in der Steuerung nationaler und
internationaler Compliance-Projekte.
Zusammen mit der Adato-
Unternehmensgruppe hat er seit
2006 für zahlreiche Unternehmen
forensisch ermittelt. Die Adato
Consulting Group (www.adato.
de) ist auf Corporate Intelligence,
Crisis Management und Security
Consulting zur Abwehr von Sicherheitsrisiken
spezialisiert.
Corporate Compliance im Krisenstab
vertreten sein, um argumentativ zur Entscheidungsfindung
beizutragen und bei
der Umsetzung der von der Unternehmensführung
getroffenen Entscheidung
in die Praxis von Beginn an einbezogen
zu sein. Bestehen im konkreten Fall Verdachtsmomente
gegen Mitarbeiter im
Unternehmen selbst, ist gut zu überlegen,
ob und wie man die betroffenen
Abteilungen aus den Krisenstabssitzungen
ausklammert. Der Krisenstab sollte
nicht vorschnell ganze Abteilungen unter
Generalverdacht stellen und vom Krisenstab
fernhalten. Hier wäre im Zweifel
die genaue und sukzessive Einzelfallprüfung
daraufhin anzuraten, welche
Informationen vorsorglich nicht an möglicherweise
betroffene Firmeneinheiten
kommuniziert werden. Das Unternehmen
hat auch eine Sorgfaltspflicht gegenüber
den eigenen Mitarbeitern und die
arbeitsrechtliche Pflicht, diese zunächst
gegen Verdächtigungen von außen in
Schutz zu nehmen.
Entscheidend für die umfassende und
möglichst lange Einbeziehung aller Unternehmensteile
ist daher eine effektiv aus
den Unternehmensressourcen gespeiste
Projektsteuerung. Dies sichert auch eine
möglichst breite Basis im Unternehmen
zur Umsetzung der beschlossenen Strategie
in die Praxis. Dabei sollte beachtet
werden, dass die intensive Verteidigung
der Interna gegenüber den Behörden
rechtens ist und keinerlei Vorverurteilung
auslöst oder gar als Schuldeingeständnis
zu werten ist. Diese Strategie sichert
zudem die Datenschutz- und Arbeitsrechte
der Mitarbeiter und der Geschäftspartner
und räumt jedenfalls die Chance auf
zeitliche Entscheidungsspielräume zum
weiteren Vorgehen ein.
Gegen Durchsuchungsbeschlüsse
Rechtsmittel einzulegen, ist nicht nur
legitim, sondern in der Praxis oft dringend
anzuraten, da auch richterliche
Durchsuchungsbeschlüsse der Gefahr
unterliegen, zu weit gefasst zu sein, beispielsweise
hinsichtlich der Sozialdaten
von Mitarbeitern, die für die eigentlichen
Tatvorwürfe irrelevant sind. Dabei
sind Gerichte und Staatsanwaltschaften
für entsprechende Gegenargumente der
Unternehmen oft aufgeschlossen, da
sich erst an dieser Stelle ergibt, welche
Daten für die Behörden überhaupt
relevant sind. Die komplette Beschlagnahmung
sämtlicher Server und Computer
dürfte im Übrigen nur in absoluten
Ausnahmefällen überhaupt notwendig
sein. Eine solche Verteidigungsstrategie
kann auch durchaus mit einer laufenden
Kommunikation zwischen Unternehmen,
Staatsanwälten und ermittelnden Polizeistellen
einhergehen.
Die Ermittlungsbehörden sind an Recht
und Gesetz gebunden. Die rechtlichen
Handlungsspielräume, durch voraus-
primion – security solutions
Durchgängige und individuelle
Gesamtlösungen für
• integrierte Sicherheitstechnik
• Zutrittskontrolle
• Zeiterfassung
• Videotechnik
www.primion.de
12
Security insight 6/2010
13