Datenklau im Unternehmen kann schwerwiegende Folgen haben und den Ruf eines Unternehmens nachhaltig schädigen. Sind Kundendaten betroffen, kann das zu einem Vertrauensverlust bei den Kunden führen. Der Datenklau kann durch die eigenen Mitarbeiter, aber auch durch Phishing oder Schadsoftware erfolgen. Es ist wichtig, den Datendiebstahl nachzuweisen und die Täter zu ermitteln.
Inhaltsverzeichnis
Die häufigsten Gründe für Datendiebstahl in Unternehmen
Laut der Bitkom-Studie „Wirtschaftsschutz 2026″ entstand der deutschen Wirtschaft innerhalb von zwölf Monaten ein Schaden von 211 bis 270,8 Milliarden Euro durch Datendiebstahl, Industriespionage und Sabotage – rund drei Viertel davon gehen auf Cyberattacken zurück. Nicht immer sind es externe Angreifer, die Daten aus einem Unternehmen stehlen. Auch Mitarbeiter können Daten stehlen. Jedes fünfte Unternehmen ist statistisch bereits von internem Datendiebstahl betroffen gewesen.
Mitarbeiter können Daten stehlen, wenn sie unzufrieden sind und die Anerkennung durch ihren Arbeitgeber vermissen. Sie wollen damit ihren Arbeitgeber schädigen.
Mitarbeiter, die durch die Konkurrenz abgeworben wurden, können Daten aus ihrem alten Unternehmen mitnehmen, da sie sich Vorteile bei ihrem neuen Arbeitgeber erhoffen. Sie stehlen Daten über Geschäftsstrategien, Technologien, Produkte oder Kunden. Handelt es sich bei den gestohlenen Daten um Kundendaten, kann der neue Arbeitgeber diese Kunden für sich abwerben.
Datendiebstahl kann auch durch Phishing erfolgen. In den meisten Fällen erfolgt das durch Phishing-E-Mails, mit denen Kontodaten, wichtige Zugangsdaten und PINs abgefragt werden. Solche E-Mails erscheinen häufig täuschend echt, als würden sie von seriösen Unternehmen und Organisationen stammen. Allerdings werden solche seriösen Unternehmen in der Regel nicht nach Zugangs- oder Bankdaten fragen.
Auch Schadsoftware, die durch Links oder E-Mail-Anhänge eingeschleust wird, kann sensible Daten stehlen und an die Kriminellen weiterleiten.
Die Täter ermitteln
Die Ermittlung der Täter ist nicht immer leicht, insbesondere, wenn es sich um externe Angreifer handelt. Solche Angreifer können auch ihren Sitz im Ausland haben. Viele Interaktionen hinterlassen im Betriebssystem jedoch ihre Spuren. Wichtig ist daher die Analyse digitaler Spuren, die durch einen externen Dienstleister erfolgen kann, der auf IT-Forensik spezialisiert ist.
Erfolgt der Datenklau durch Mitarbeiter, werden häufig USB-Geräte als Speichermedien verwendet. Im Rahmen der Analyse kann festgestellt werden, welche Geräte während der Interaktion angeschlossen waren. Wenn das Speichermedium noch im Unternehmen vorhanden ist, kann der Datendiebstahl verhindert werden.
Spuren eines Datendiebstahls sind mitunter auch im Arbeitsspeicher vorhanden.
Auch dann, wenn Daten per E-Mail versandt wurden, kann der Täter mitunter durch eine Spur im Browser ermittelt werden.
Automatisiertes Reporting als Nachweis
Um den Datendiebstahl durch Mitarbeiter nachzuweisen, können Unternehmen Lösungen für das Berechtigungsmanagement nutzen. Solche Lösungen automatisieren das Reporting und können einen Nachweis liefern. Mit wenigen Klicks kann kontrolliert werden, welche Zugriffsberechtigungen für die Mitarbeiter vorhanden sind und auf welche Daten die Mitarbeiter jeweils zugreifen können.
Für größere Unternehmen lohnt es sich, in eine komplexe Software zu investieren, die dem Identity und Access Management dient.
Die Rolle der IT-Forensik
Unternehmen können einen Datendiebstahl oft nicht selbst nachweisen, auch wenn eine IT-Abteilung vorhanden ist. Es kommt nicht nur darauf an, die Mitarbeiter eines Datendiebstahls zu überführen. Bei einem Vorfall, der personenbezogene Daten betrifft, ist eine Meldung gemäß Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, es sei denn, er führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Dies gilt unabhängig davon, ob die Täter intern oder extern sind. Firmen, die dem NIS-2-Umsetzungsgesetz unterliegen, sind verpflichtet, bedeutende Sicherheitsvorfälle seit dem 6. Zusätzlich im Dezember 2025 dem BSI melden. Eine Strafanzeige kann zudem sinnvoll sein, um eine Verfolgung der Täter zu ermöglichen. Ist der Täter identifiziert, so muss der Nachweis auch gerichtlich verwertbar sein.
Abhängig davon, welche Daten gestohlen wurden, kommt es auf den Umgang damit an. Mit personenbezogenen Daten ist anders umzugehen als mit Betriebsgeheimnissen oder Daten von Geschäftspartnern.
IT-Forensiker ermitteln den Datendiebstahl und liefern den Nachweis darüber. Sie kategorisieren auch die gestohlenen Daten.
Wie erfolgt der Nachweis des Datendiebstahls?
Um den Datendiebstahl durch ein spezialisiertes Unternehmen für IT-Forensik nachzuweisen, liegt meistens ein Anfangsverdacht vor. Er ist ein legitimer Grund für eine externe Untersuchung. Richtet sich der Verdacht gegen Beschäftigte, müssen dokumentierte tatsächliche Anhaltspunkte für eine Straftat vorliegen, und die Maßnahmen müssen verhältnismäßig sein (§ 26 Abs. 1 Satz 2 BDSG). Ein vorhandener Betriebsrat ist einzubeziehen.
In schwerwiegenden Fällen, bei Ransomware, werden die Daten verschlüsselt, sodass Unternehmen darauf nicht mehr zugreifen können. Die Täter fordern Lösegeld. Hat ein Datendiebstahl durch Phishing stattgefunden, merken Unternehmen das häufig, wenn ihre Konten gehackt wurden oder Kundendaten nach außen gelangt sind.
Unternehmen können selbst verschiedene Indizien sammeln, beispielsweise verdächtige E-Mails, die sie archivieren. Zusätzlich kommt es bei solchen E-Mails darauf an, den Absender zu blockieren, damit keine weiteren Schäden entstehen können.
Bei den forensischen Untersuchungen muss die Beweiskette, die Chain of Custody, eingehalten werden. So kann vor Gericht eine lückenlose Beweiskette vorgelegt werden.
Die Forensiker müssen mitunter auf ein Gerät direkt zugreifen, um es zu untersuchen und den Datenklau nachzuweisen. Mitunter reicht es jedoch aus, die Festplatte auszubauen und an die Forensiker zu übergeben.
Um die Festplatte zu untersuchen und schreibenden Zugriff darauf zu verhindern, wird ein Write-Blocker genutzt. Er kann Daten lesen, ohne sie zu verändern. Solche Geräte werden auch für die Strafverfolgung genutzt. Die Integrität der Daten ist gewährleistet.
Die Festplatte wird kopiert. Ein forensisches Image wird erstellt Ein Hashwert macht es möglich zu kontrollieren, ob die Daten sich beim Kopieren verändert haben. Dieser Vorgang muss sorgfältig dokumentiert werden.
Für ihre Analyse nutzen die Forensiker spezielle Programme, die unabhängig von einem Betriebssystem sind. Sie suchen strukturiert nach den für den jeweiligen Fall relevanten Informationen. Die Ergebnisse werden für weitere Untersuchungen genutzt.
Damit die Ergebnisse der Untersuchung auch vor Gericht Bestand haben, müssen bei der Beweissicherung ethische und rechtliche Standards eingehalten werden.
