...

De første 24 timer

Det, der sker i de første timer, afgør ofte, om et digitalt bevis kan bruges. Data bliver slettet automatisk, telefoner synkroniserer, og velmenende kolleger kommer til at ændre det, der skulle sikres. Her er, hvad du skal gøre, og hvad du skal lade være med.

Gør dette med det samme

1. Stop sletningen

• Microsoft 365 eller Google Workspace: Slet ikke en fratrådt medarbejders konto. Spær den i stedet for login. Bed IT om at sætte postkasse og OneDrive på legal hold eller en opbevaringspolitik, så intet kan slettes.
• Automatisk oprydning: Sæt slettepolitikker, logrotation og automatisk geninstallation af computere på pause for de relevante personer og systemer.
• Backup: Sørg for, at backup ikke overskrives, og behold de backups, der dækker perioden.

2. Lad enhederne være, som de er

• En slukket computer skal forblive slukket.
• En tændt computer skal ikke slukkes, før du har talt med en IT-sagkyndig. Brug den ikke.
• En telefon skal holdes opladet. Den må ikke nulstilles, og den skal ikke gives tilbage til medarbejderen.
• Saml enhederne et aflåst sted, og skriv ned, hvem der har haft dem.

3. Skriv tidslinjen ned

Hvad skete der, hvornår, og hvem har gjort hvad? Notér også, hvilke enheder og konti der kan være relevante, og hvem der har adgang til dem.

4. Kontakt en advokat og en IT-sagkyndig

Advokaten vurderer sagen juridisk. Den IT-sagkyndige sikrer beviserne, så de kan bruges. Jo tidligere de to taler sammen, jo bedre bliver afgrænsningen.

Fem ting, du ikke må gøre

1. Kig ikke selv efter beviser på medarbejderens computer eller telefon. Hver gang en fil åbnes, kan metadata ændre sig, og modparten kan påstå, at du har ændret noget.
2. Kopier ikke filer over på en USB-nøgle eller din egen computer. En almindelig kopi ændrer tidsstempler og kan ikke bevises at være identisk med originalen.
3. Geninstaller eller nulstil ikke computere og telefoner, heller ikke for at give dem til en ny medarbejder.
4. Slet ikke brugeren i Microsoft 365, Google eller andre systemer.
5. Konfrontér ikke den, sagen handler om, før beviserne er sikret. Data kan nås at blive slettet.

Hvad du godt selv kan gøre

• Gem mails og beskeder, du selv har modtaget, uden at slette noget.
• Tag skærmbilleder af hjemmesider og opslag, der kan forsvinde, og notér dato, klokkeslæt og adresse. Det er ikke et fuldgyldigt bevis, men det er bedre end ingenting. → Skærmbilleder som bevis
• Saml oplysninger om konti, adgangskoder og administratorer, så sikringen kan gå hurtigt.

Tjekliste

• ☐ Konti er spærret, ikke slettet
• ☐ Legal hold er sat på mail og OneDrive
• ☐ Slettepolitikker og geninstallation er sat på pause
• ☐ Enheder er samlet, uberørt, og det er noteret, hvem der har haft dem
• ☐ Tidslinje og liste over enheder og konti er skrevet ned
• ☐ Advokat og IT-sagkyndig er kontaktet

→ Hent tjeklisten

Gælder det en straffesag?

Er sagen meldt til politiet, er det politiet, der sikrer beviserne. Vi tager ikke straffesager. Læs mere.