Nicht jeder Angriff auf ein Unternehmen kommt von außen. In diesem anonymisierten Fall saß der Schaden in der Chefetage: Ein angestellter Geschäftsführer, selbst nicht am Unternehmen beteiligt, wollte den Betrieb bewusst in die Insolvenz steuern, um die wertvollen Maschinen anschließend aus der Insolvenzmasse zu übernehmen. Beauftragt wurden wir vom Insolvenzverwalter mit einer scheinbar harmlosen Frage: Warum geht es diesem Unternehmen eigentlich schlecht? Alle Namen, Branchendetails und Zeitangaben sind aus Vertraulichkeitsgründen verändert.
Das betroffene Unternehmen war ein mittelständischer Maschinenbauer, der Anlagen für die Textilindustrie fertigte, ein klassischer, spezialisierter Hidden Champion mit teurem Maschinenpark und langjährigem Know-how. Als der Betrieb überraschend in Schieflage geriet, setzte das Gericht einen Insolvenzverwalter ein.
Dessen Auftrag an uns war zunächst neutral: die IT sichten und nachvollziehen, wie es zu der wirtschaftlichen Schieflage kommen konnte. Ein konkreter Verdacht gegen einzelne Personen bestand zu diesem Zeitpunkt nicht. Genau so beginnen viele Wirtschaftsforensik-Mandate, mit einer offenen Frage, nicht mit einem Beschuldigten.
Statt einzelne Dateien zu sichten, haben wir breit und beweissicher gesichert: mehrere Server sowie eine Reihe von Arbeitsplatzrechnern der Schlüsselpersonen. Von jedem relevanten System wurde eine forensische Kopie erstellt, also ein vollständiges, mit Prüfsummen abgesichertes Abbild des Datenträgers, das auch gelöschte und nur scheinbar verschwundene Inhalte enthält.
Dieser breite Ansatz ist entscheidend. Wer nur dort sucht, wo man etwas vermutet, findet oft nichts. Wer alles sichert und dann methodisch auswertet, stößt auf die Spuren, die niemand hinterlassen wollte.
Auf einem der Rechner fanden wir das Herzstück des Falls: ein detailliertes Strategiepapier, in dem der Geschäftsführer sein Vorgehen beschrieb, das Unternehmen kontrolliert in die Insolvenz zu führen und die Maschinen anschließend über eine neue Gesellschaft aus der Insolvenzmasse zu erwerben.
Das Brisante daran: Dieses Dokument war nach Überzeugung des Verfassers gar nicht mehr vorhanden. Er hatte den Text in einem Textverarbeitungsprogramm verfasst, ausgedruckt und die Datei bewusst nicht dauerhaft gespeichert. Der Ausdruck sollte die einzige Spur sein.
Genau hier greift die Forensik. Moderne Betriebssysteme und Programme hinterlassen an vielen Stellen Kopien, ohne dass der Nutzer es merkt: automatische Zwischenspeicherungen zur Absturzsicherung, temporäre Arbeitsdateien, Reste im Arbeitsspeicherabbild sowie Schattenkopien, die das System für Wiederherstellungszwecke selbstständig anlegt. Aus diesen Fragmenten ließ sich der Inhalt des vermeintlich nie gespeicherten Plans rekonstruieren, samt Zeitstempeln, wann er erstellt und bearbeitet wurde.
Ein Plan allein ist noch keine Tat. Die eigentliche Vorbereitung zeigte sich an anderer Stelle. Ein Mitarbeiter hatte im Auftrag des Geschäftsführers systematisch die technischen Unterlagen zusammengetragen, die man braucht, um die Maschinen andernorts nachzubauen und weiterzubetreiben.
Das Anstecken und Nutzen eines USB-Sticks bleibt nicht unbemerkt. Betriebssysteme protokollieren, welches externe Speichermedium wann angeschlossen wurde, und über weitere Artefakte lässt sich nachvollziehen, welche Dateien geöffnet, kopiert oder von wo nach wohin bewegt wurden.
So konnten wir nicht nur belegen, dass sensible Konstruktions- und Geschäftsdaten das Unternehmen verlassen hatten, sondern auch, von welchem Konto aus, zu welchem Zeitpunkt und in welchem Umfang. Aus einzelnen Indizien wurde eine lückenlose, nachvollziehbare Kette.
Zusammengesetzt ergaben die Funde ein klares Muster. Die neue Gesellschaft, die die Maschinen übernehmen sollte, war bereits gegründet. Teile des Vertriebs waren eingeweiht und auf die Seite des Geschäftsführers gewechselt, die Kundenbeziehungen sollten also mit übergehen. Das technische Wissen zur Fertigung war in Form von Stücklisten und ERP-Exporten gesichert. Es fehlte nur noch der letzte Schritt, die Insolvenz selbst.
Für den Insolvenzverwalter verwandelte sich damit eine offene Ursachenfrage in eine belastbare Faktenlage, dokumentiert, mit Zeitstempeln versehen und gerichtsfest gesichert.
Oft ja. Programme und Betriebssysteme erzeugen automatisch Zwischenspeicherungen, temporäre Dateien und Wiederherstellungskopien, und auch im Arbeitsspeicher sowie in Systemprotokollen bleiben Spuren zurück. Ob und wie viel sich rekonstruieren lässt, hängt vom Einzelfall ab, aber die Annahme, ohne Speichern gebe es keine Spur, ist falsch.
In vielen Fällen ja. Betriebssysteme protokollieren angeschlossene Speichermedien, und über weitere Artefakte lässt sich rekonstruieren, welche Dateien wann geöffnet oder kopiert wurden. Voraussetzung ist, dass die betroffenen Systeme beweissicher gesichert werden, bevor die Spuren überschrieben werden.
Vor allem nichts überstürzen. Betroffene Geräte nicht weiterbenutzen, nicht neu aufsetzen und keine eigenen Untersuchungen darauf durchführen, das gefährdet die Beweise. Holen Sie früh forensische Unterstützung, damit die Sicherung gerichtsfest erfolgt. Für den akuten Fall erreichen Sie uns über die Notfall-Seite.
Datenabfluss, Sabotage und wirtschaftskriminelle Vorbereitungshandlungen hinterlassen digitale Spuren, man muss sie nur beweissicher sichern und richtig lesen. Wie wir in der IT-Forensik vorgehen, zeigt auch unser Fall zum verschlüsselten MacBook. Wenn Sie einen Verdacht klären oder Ihr Unternehmen widerstandsfähiger gegen Innentäter machen möchten, beginnen wir mit einem kostenlosen Analysegespräch.
Hinweis: Die Informationen stellen keine Rechtsberatung dar. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen und die individuelle Situation des Unternehmens.
Wir unterstützen Sie bei Eindämmung, forensischer Analyse und der strukturierten Aufarbeitung. Schnell, diskret und nachvollziehbar.