Who Saw What?

Die Frage, mit der niemand rechnet

Eine interne Untersuchung wegen Datenabfluss. Die Sicherung ist sauber dokumentiert, die Hashwerte stimmen, der Review ist abgeschlossen. Dann kommt im Verfahren eine Frage, auf die niemand vorbereitet ist: Wer hatte während der Untersuchung Zugriff auf die Review-Plattform?

Es stellt sich heraus, dass ein Linienvorgesetzter des Betroffenen als «Ansprechperson der Mandantin» mitlesen konnte – derselbe Vorgesetzte, dessen eigene Rolle in der Sache später zum Thema wird. Zwei externe Reviewer hatten nach Projektende noch ein aktives Konto. Und ein Administratorkonto wurde von drei Personen gemeinsam genutzt.

An den Daten hat sich nichts verändert. Aber die Glaubwürdigkeit der Untersuchung ist angeschlagen. Eine Beweiskette, die zwar den Weg der Daten belegt, nicht aber, wer sie sehen konnte, ist nur zur Hälfte geschlossen.

Die zweite Hälfte der Beweiskette

Die Chain of Custody beantwortet, woher ein Beweismittel stammt und dass es unverändert ist. Sobald die Daten auf einer Review-Plattform liegen, kommt eine zweite Frage hinzu: Wer konnte sie einsehen, kommentieren, taggen, exportieren oder löschen – und war diese Person dazu befugt?

ISO/IEC 27037 verlangt für den Umgang mit digitalen Beweismitteln, dass jede Handlung von einer qualifizierten Drittperson nachvollzogen werden kann [1]. Das gilt nicht nur für die Sicherung. Es gilt genauso für die Phase, in der Dutzende Personen mit den Daten arbeiten.

Zugriff ist dabei aus vier Gründen relevant:

• Integrität: Wer schreiben, taggen oder löschen konnte, hätte das Ergebnis beeinflussen können.
• Vertraulichkeit: Untersuchungsdaten enthalten oft Anwaltskorrespondenz, Bankkundendaten oder Geschäftsgeheimnisse. Berufs- und Bankkundengeheimnis [2][3] zeigen, wie eng der Kreis der Berechtigten sein muss.
• Datenschutz: Die Daten betreffen Mitarbeitende, Kunden und Dritte – häufig auch besonders schützenswerte Personendaten.
• Unabhängigkeit: Personen, die selbst Gegenstand der Untersuchung sein könnten, dürfen nicht mitlesen. Bei Kanzleien kommen Ethical Walls zwischen Mandaten dazu.

Der rechtliche und normative Rahmen

Schweiz: Nachvollziehbarkeit

In der Schweiz sind insbesondere das Datenschutzgesetz und die Datenschutzverordnung einschlägig. Sie befassen sich mit einer dem Risiko angemessenen Datensicherheit und mit der Nachvollziehbarkeit von Bearbeitungen, einschliesslich der Protokollierung [4][5].

Der EDÖB hat dazu technische Empfehlungen für die Protokollierung veröffentlicht [6]. Für die Praxis sind sie aufschlussreich: Auch das blosse Lesen soll nachvollziehbar sein, Protokolle sollen getrennt und manipulationsgeschützt gespeichert werden, und zu einem Protokollierungskonzept gehören Ziele, Rollen und eine regelmässige Überprüfung. Bemerkenswert ist ein Punkt, der im Untersuchungsalltag oft übersehen wird: Die Protokolle dienen der Nachvollziehbarkeit, nicht der Verhaltensüberwachung der Personen, die mit den Daten arbeiten [6].

Welche Pflichten in Ihrem konkreten Fall gelten, beurteilt Ihre Anwaltskanzlei.

International: Zugriff als Kontrollziel

ISO/IEC 27001:2022 behandelt Zugriff als eigenes Kontrollthema: Regeln für die Zugriffskontrolle (A.5.15), die Vergabe, Überprüfung und Entziehung von Zugriffsrechten (A.5.18) sowie die Protokollierung von Aktivitäten (A.8.15) [7]. Wer seine Review-Umgebung an diesen Kontrollen ausrichtet, spricht die Sprache, die Revisoren, Aufsichtsbehörden und internationale Gegenparteien verstehen.

Bei Untersuchungen mit EU-Bezug – etwa mit Mitarbeitenden oder Konzerngesellschaften in Deutschland – kann zusätzlich die DSGVO mit ihren Anforderungen an die Sicherheit der Verarbeitung relevant sein [8].

Ein Protokoll, das niemand liest, schützt nicht. Erst die regelmässige Überprüfung macht aus Zugriffsdaten einen Nachweis.

Wo es in der Praxis hapert

Vom Protokoll zum Nachweis

Jede ernstzunehmende Review-Plattform führt Benutzer, Rollen und Aktivitäten. Das Problem ist selten, dass die Daten fehlen. Das Problem ist, dass sie verstreut sind: pro Workspace, pro Benutzerliste, pro Rollenmodell. Ein Gericht, eine Aufsichtsbehörde oder ein Verwaltungsrat will aber eine einfache Antwort: Wer hatte wann welchen Zugriff auf welche Daten – und wer hat das genehmigt?

Ein brauchbarer Zugriffsnachweis hat deshalb drei Eigenschaften:

1. Vollständig: Er umfasst alle Workspaces, alle Benutzer und alle Rollen – nicht nur das aktuelle Projekt.
2. Datiert: Er zeigt einen Stand zu einem bestimmten Zeitpunkt und lässt sich wiederholen, sodass Veränderungen sichtbar werden.
3. Lesbar: Eine Juristin ohne technische Vorkenntnisse versteht ihn ohne Erläuterung.

Bei Prism Discovery lesen wir Workspaces, Benutzer und Berechtigungen unserer Farsight-Review-Plattform automatisiert über die Programmierschnittstelle aus und verdichten sie zu einem Audit-Bericht. Dieser zeigt pro Workspace, wer mit welcher Rolle Zugriff hat, und pro Person, auf welche Workspaces sie zugreifen kann. Ergänzt um Nutzungs- und Speicherdaten fliesst er in ein Dashboard, das den Stand laufend sichtbar macht. Der Bericht wird bei Projektabschluss und periodisch erstellt und mit dem Projekt archiviert – als Teil der Dokumentation, nicht als nachträgliche Rekonstruktion.

Fazit: fünf Fragen an jede Review-Umgebung

1. Hat jede Person ein eigenes Konto, und ist jede Handlung einer Person zuordenbar?
2. Entsprechen die Rollen dem Need-to-know-Prinzip – insbesondere bei Export- und Löschrechten?
3. Hat niemand Zugriff, der selbst Gegenstand der Untersuchung sein könnte?
4. Werden Berechtigungen periodisch überprüft und bei Projektende entzogen?
5. Lässt sich der Zugriffsstand zu einem beliebigen Zeitpunkt belegen – getrennt vom System, das die Daten enthält?

Wo eine dieser Fragen offen bleibt, ist nicht der Inhalt angreifbar, sondern das Umfeld, in dem er geprüft wurde. Die Beweiskette endet nicht mit dem Upload. Sie reicht bis zum letzten Konto, das noch Zugriff hat.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Für die rechtliche Beurteilung Ihres Falls wenden Sie sich bitte an eine Anwaltskanzlei.

Quellen

[1] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html

[2] Schweizerisches Strafgesetzbuch (StGB), SR 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/de

[3] Bundesgesetz über die Banken und Sparkassen (Bankengesetz, BankG), SR 952.0 – https://www.fedlex.admin.ch/eli/cc/51/117_121_129/de

[4] Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG), SR 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/de

[5] Verordnung über den Datenschutz (Datenschutzverordnung, DSV), SR 235.11 – https://www.fedlex.admin.ch/eli/cc/2022/568/de

[6] Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): Technische Empfehlungen für die Protokollierung gemäss Art. 4 DSV, Version 1.0, 15. September 2023 – https://www.edoeb.admin.ch

[7] ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection – Information security management systems – Requirements, Anhang A – https://www.iso.org/standard/27001

[8] Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) – https://eur-lex.europa.eu/eli/reg/2016/679/oj