Insider Incident
Insider-Vorfall
Response to data theft, sabotage and misuse of rights by people with legitimate access — with HR, legal, data protection and co-determination, proportionate, confidential and with evidence that holds up in court.
Reaktion auf Datenmitnahme, Sabotage und Rechtemissbrauch durch Personen mit legitimem Zugang — mit Personal, Recht, Datenschutz und Mitbestimmung, verhältnismäßig, vertraulich und mit gerichtsfester Beweissicherung.
Detect and Assess
Contain
Investigate
Measures
Recover
Review
Erkennen und Bewerten
Eindämmen
Untersuchen
Maßnahmen
Wiederanlauf
Nachbereitung
This playbook structures the response to security incidents caused by people with legitimate access: employees, former employees, interns, temporary staff, administrators or service providers. Typical cases are taking data when leaving, passing on confidential information, sabotage, misuse of privileged rights or fraud.
Insider incidents differ fundamentally from external attacks: they are about a person, not primarily about malware. Employment law, employee data protection, co-determination and proportionality decide what may be investigated and how.
The core of this playbook: HR and legal first, then technology. IT does not act alone, not covertly and not on someone's say-so.
Dieses Playbook strukturiert die Reaktion auf Sicherheitsvorfälle, die von Personen mit legitimem Zugang ausgehen: Beschäftigte, ehemalige Beschäftigte, Praktikanten, Leiharbeitskräfte, Administratoren oder Dienstleister. Typische Fälle sind Datenmitnahme beim Ausscheiden, Weitergabe vertraulicher Informationen, Sabotage, Missbrauch privilegierter Rechte oder Betrug.
Insider-Vorfälle unterscheiden sich grundlegend von externen Angriffen: Es geht um eine Person, nicht primär um Schadsoftware. Arbeitsrecht, Beschäftigtendatenschutz, Mitbestimmung und Verhältnismäßigkeit bestimmen, was untersucht werden darf und wie.
Der Kern dieses Playbooks: Erst Personal und Recht, dann Technik. Die IT handelt nicht allein, nicht heimlich und nicht auf Zuruf.
Scope
Use this playbook if:
- a person with legitimate access downloads, prints, copies to USB or sends unusually large amounts of data to private accounts
- confidential information that can be traced internally appears outside
- privileged rights are used outside the person's assignment
- sabotage is suspected, such as deletions, configuration changes or logic bombs
- reports come in from the team, management, the whistleblowing system or compliance
- people who have left still have or use access
Boundaries:
- If the person's account was taken over from outside, it is primarily an identity compromise.
- Negligent mistakes without intent usually go through the data breach playbook.
- Private rule violations without security impact are primarily HR or compliance matters.
Severity
- Medium: Suspected rule violation without recognizable damage
- High: Likely taking or passing on of confidential data, or misuse of privileged rights
- Critical: Sabotage, ongoing damage, exfiltration of particularly sensitive data, or involvement of privileged administrators
Anwendungsbereich
Verwenden Sie dieses Playbook, wenn:
- eine Person mit legitimem Zugang ungewöhnlich große Datenmengen herunterlädt, druckt, auf USB kopiert oder an private Konten sendet
- vertrauliche Informationen intern zuordenbar nach außen auftauchen
- privilegierte Rechte außerhalb des Auftrags genutzt werden
- Sabotage vermutet wird, etwa Löschungen, Konfigurationsänderungen oder Logikbomben
- Hinweise aus Team, Führung, Hinweisgebersystem oder Compliance eingehen
- ausgeschiedene Personen weiterhin Zugriff haben oder nutzen
Abgrenzung:
- Wurde das Konto der Person von außen übernommen, handelt es sich primär um eine Identitätskompromittierung.
- Fahrlässige Fehler ohne vorsätzliche Komponente laufen meist über das Datenpannen-Playbook.
- Private Regelverstöße ohne Sicherheitswirkung sind primär HR- oder Compliance-Themen.
Schweregrad
- Mittel: Verdacht auf Regelverstoß ohne erkennbaren Schaden
- Hoch: Wahrscheinliche Mitnahme oder Weitergabe vertraulicher Daten oder Missbrauch privilegierter Rechte
- Kritisch: Sabotage, laufende Schädigung, Abfluss besonders schutzwürdiger Daten oder Beteiligung privilegierter Administratoren
▶ Act immediately
- Take the report and document it in writing: who, when, what exactly, from which source
- Do not start your own inquiries into the person's mailboxes, files or histories
- Convene the core team: HR, legal, data protection, head of security, compliance depending on the organization
- Check whether there is acute danger, such as ongoing sabotage or ongoing mass exfiltration
- Note whether the person could know about the suspicion
- Make sure logs, DLP data, cloud audit logs or mail logs do not expire
- Take first, narrowly limited protective measures only in case of acute danger and after consultation
▶ Sofort handeln
- Hinweis entgegennehmen und schriftlich dokumentieren: wer, wann, was genau, aus welcher Quelle
- Keine eigenmächtigen Nachforschungen in Postfächern, Dateien oder Verläufen der betroffenen Person beginnen
- Kernteam einberufen: Personal, Recht, Datenschutz, Security-Leitung, je nach Organisation Compliance
- Prüfen, ob akute Gefahr besteht, etwa laufende Sabotage oder laufender Massenabfluss
- Festhalten, ob die betroffene Person vom Verdacht wissen könnte
- Sicherstellen, dass Logs, DLP-Daten, Cloud-Audits oder Mail-Protokolle nicht ablaufen
- Nur bei akuter Gefahr und nach Rücksprache erste eng begrenzte Schutzmaßnahmen ergreifen
Purpose
- Handle suspicions in a structured, lawful and proportionate way
- Prevent further damage without exposing the investigation unnecessarily
- Preserve evidence so that it holds up in court
- Protect the rights of the person concerned and of uninvolved third parties
- Document decisions traceably
Incident Objectives
- Examine the suspicion confidentially and lawfully.
- Prevent further damage.
- Preserve evidence so that it holds up in court.
- Enable a well-founded decision on employment, civil or criminal law steps.
- Improve organizational and technical controls.
Core Response Principles
- IT does not act alone. Investigations are commissioned and steered by a small core team of HR, legal, data protection and security.
- Need to know. As few people involved as possible.
- Proportionality. Only analyze the data, systems and periods required to clarify the specific suspicion.
- Presumption of innocence. A suspicion is not a finding.
- Respect co-determination. Works or staff councils, works agreements and internal policies define which measures are permitted.
- Document for court. Chain of custody, four-eyes principle, hash values and logging, consistently.
- Coordinate the timing of the lockout. Access is usually withdrawn at the same time as the conversation, suspension or dismissal.
- Record time consistently. Document the timeline, chain of custody and exports in UTC.
Zweck
- Verdachtsfälle strukturiert, rechtskonform und verhältnismäßig bearbeiten
- Weiteren Schaden verhindern, ohne die Untersuchung unnötig offenzulegen
- Beweise gerichtsfest sichern
- Die Rechte der betroffenen Person und unbeteiligter Dritter wahren
- Entscheidungen nachvollziehbar dokumentieren
Incident-Ziele
- Den Verdacht vertraulich und rechtskonform prüfen.
- Weiteren Schaden verhindern.
- Beweise gerichtsfest sichern.
- Eine fundierte Entscheidung über arbeitsrechtliche, zivilrechtliche oder strafrechtliche Schritte ermöglichen.
- Organisatorische und technische Kontrollen verbessern.
Zentrale Reaktionsprinzipien
- Kein Alleingang der IT. Untersuchungen werden von einem kleinen Kernteam aus Personal, Recht, Datenschutz und Security beauftragt und gesteuert.
- Need-to-know. So wenige Beteiligte wie möglich.
- Verhältnismäßigkeit. Nur Daten, Systeme und Zeiträume auswerten, die zur Klärung des konkreten Verdachts erforderlich sind.
- Unschuldsvermutung. Ein Verdacht ist keine Feststellung.
- Mitbestimmung beachten. Betriebs- oder Personalrat, Betriebsvereinbarungen und interne Richtlinien bestimmen die zulässigen Maßnahmen.
- Gerichtsfest dokumentieren. Beweiskette, Vier-Augen-Prinzip, Hashwerte und Protokollierung konsequent führen.
- Zeitpunkt der Sperre abstimmen. Zugänge werden in der Regel gleichzeitig mit Gespräch, Freistellung oder Kündigung entzogen.
- Zeit konsistent erfassen. Timeline, Beweiskette und Exportdaten grundsätzlich in UTC dokumentieren.
Core team
- Typically consists of HR, legal, data protection, head of security, where applicable compliance and executive management
- Commissions investigative steps in writing
- Decides on measures concerning the person
Security / forensics
- Performs only commissioned analyses
- Works under the four-eyes principle
- Documents every step
- Brings in external forensics when the risk is high
IT administration
- Implements technical measures only on instruction of the core team
- Extends retention, locks access and secures systems
- Treats the matter confidentially
Works or staff council
- Is involved according to the legal situation and internal agreements
Data protection
- Checks whether the data processing is permitted
- Documents the balancing of interests and accompanies data protection assessments
Kernteam
- Besteht typischerweise aus Personal, Recht, Datenschutz, Security-Leitung, gegebenenfalls Compliance und Geschäftsführung
- Beauftragt Untersuchungsschritte schriftlich
- Entscheidet über Maßnahmen gegenüber der betroffenen Person
Security / Forensik
- Führt nur beauftragte Auswertungen durch
- Arbeitet im Vier-Augen-Prinzip
- Dokumentiert jeden Schritt
- Bindet bei hohem Risiko externe Forensik ein
IT-Administration
- Setzt technische Maßnahmen ausschließlich auf Anweisung des Kernteams um
- Verlängert Aufbewahrung, sperrt Zugänge und sichert Systeme
- Behandelt den Vorgang vertraulich
Betriebs- oder Personalrat
- Wird nach rechtlicher Lage und internen Vereinbarungen beteiligt
Datenschutz
- Prüft Zulässigkeit der Datenverarbeitung
- Dokumentiert die Interessenabwägung und begleitet datenschutzrechtliche Bewertungen
Rule 1: Insider or taken-over account?
Before investigating a person, check:
- Do sign-in locations, devices and times match the person?
- Are there signs of phishing, malware or MFA anomalies?
- Was the person present or able to work at the relevant time at all?
If in doubt, apply the identity playbook first.
Rule 2: Act immediately or examine covertly?
Immediate technical measures are only justified if
- ongoing sabotage is visible
- ongoing mass exfiltration is taking place
- there is considerable danger to systems, data or people
A covert, limited examination is justifiable if
- no acute damage is occurring
- an open measure would endanger evidence
- the measure is legally permitted and commissioned in writing
Rule 3: When is access withdrawn?
Usually at the same time as the conversation, suspension or dismissal:
- a prepared list of all access, accounts, tokens, keys, physical access and devices
- technical lockout at an agreed time
- devices collected during the conversation or in the agreed process
For privileged administrators, additionally renew shared passwords, emergency accounts, keys and service provider access.
Rule 4: Involve external bodies?
- Criminal complaint: if criminal offences are suspected, decided by the core team and executive management
- Data protection authority: if personal data is affected and the breach is reportable
- External forensics: if court proceedings are likely
Regel 1: Insider oder übernommenes Konto?
Bevor gegen eine Person ermittelt wird, prüfen:
- Passen Anmeldeorte, Geräte und Zeiten zur Person?
- Gibt es Hinweise auf Phishing, Malware oder MFA-Auffälligkeiten?
- War die Person zum fraglichen Zeitpunkt überhaupt anwesend oder arbeitsfähig?
Bei Zweifeln zuerst das Identitäts-Playbook anwenden.
Regel 2: Sofort handeln oder verdeckt prüfen?
Sofortige technische Maßnahmen sind nur gerechtfertigt, wenn
- laufende Sabotage sichtbar ist
- laufender Massenabfluss stattfindet
- erhebliche Gefahr für Systeme, Daten oder Personen besteht
Verdeckte, begrenzte Prüfung ist vertretbar, wenn
- kein akuter Schaden entsteht
- eine offene Maßnahme Beweise gefährden würde
- die Maßnahme rechtlich zulässig und schriftlich beauftragt ist
Regel 3: Wann werden Zugänge entzogen?
In der Regel zeitgleich mit Gespräch, Freistellung oder Kündigung:
- vorbereitete Liste aller Zugänge, Konten, Tokens, Schlüssel, physischen Zutritte und Geräte
- technische Sperre zu vereinbartem Zeitpunkt
- Geräte im Gespräch oder im abgestimmten Prozess einsammeln
Bei privilegierten Administratoren zusätzlich gemeinsam genutzte Passwörter, Notfallkonten, Schlüssel und Dienstleisterzugänge erneuern.
Regel 4: Externe Stellen einbeziehen?
- Strafanzeige: bei Verdacht auf Straftaten, Entscheidung durch Kernteam und Geschäftsführung
- Datenschutzbehörde: wenn personenbezogene Daten betroffen und meldepflichtig sind
- Externe Forensik: wenn gerichtliche Auseinandersetzungen wahrscheinlich sind
If there is concrete, demonstrable ongoing damage and the core team cannot decide fully in advance:
- The head of security and the incident lead may order a narrowly limited protective measure
- The measure must limit the acute damage and be reversible where possible
- HR, legal and data protection are brought in without delay
- Scope, justification, time, decision-maker and technical effect are documented
- Any further analysis of personal data still requires a written investigation mandate
Wenn eine konkret nachweisbare, laufende Schädigung besteht und das Kernteam nicht vollständig vorab entscheiden kann:
- Security-Leitung und Incident-Lead dürfen eine eng begrenzte Schutzmaßnahme anordnen
- Die Maßnahme muss den akuten Schaden begrenzen und soweit möglich reversibel sein
- Personal, Recht und Datenschutz werden unverzüglich nachgezogen
- Umfang, Begründung, Zeitpunkt, Entscheider und technische Wirkung werden dokumentiert
- Weitergehende Auswertung personenbezogener Daten erfolgt weiterhin nur auf schriftlichen Untersuchungsauftrag
| Situation | Primary handling |
|---|---|
| Intentional misuse by an authorized person | Insider playbook |
| Taken-over user account | Identity compromise |
| Mistaken addressing or mistaken sharing | Data breach playbook |
| Private rule violation without security impact | HR or compliance process |
| Sachverhalt | Primäre Behandlung |
|---|---|
| Vorsätzlicher Missbrauch durch berechtigte Person | Insider-Playbook |
| Übernommenes Benutzerkonto | Identitätskompromittierung |
| Versehentliche Fehladressierung oder Fehlfreigabe | Datenpannen-Playbook |
| Privater Regelverstoß ohne Sicherheitswirkung | HR- oder Compliance-Prozess |
The most common insider case. Between notice and the last working day there are often days or weeks of continued access.
- At notice, review rights and particularly sensitive access and reduce them in a coordinated way if needed
- Retrospective analyses only with a concrete reason and an investigation mandate
- On the last day, withdraw all access, collect devices, check forwarding rules and shares
- If data was taken, demand its return, deletion and confirmation with legal support
Der häufigste Insider-Fall. Zwischen Kündigung und letztem Arbeitstag liegen oft Tage oder Wochen mit weiterem Zugriff.
- Bei Kündigung Rechte und besonders schutzwürdige Zugriffe prüfen und wenn nötig abgestimmt reduzieren
- Rückblickende Auswertungen nur bei konkretem Anlass und mit Untersuchungsauftrag
- Am letzten Tag alle Zugänge entziehen, Geräte einsammeln, Weiterleitungen und Freigaben prüfen
- Bei Verdacht auf Mitnahme Herausgabe, Löschung und Bestätigung rechtlich begleitet verlangen
A single indicator is not proof. Many anomalies have harmless explanations and must be examined in the context of the person's work.
- Unusual downloads, exports, print jobs or synchronization to private storage
- Forwarding of emails to private addresses
- Access to data outside the person's own tasks
- Activity outside usual working hours, especially shortly before or after giving notice
- Use of USB storage contrary to policy
- Disabling security software or logging
- Creation of additional accounts or backdoors by administrators
Ein einzelner Indikator ist kein Beweis. Viele Auffälligkeiten haben harmlose Erklärungen und müssen im Arbeitskontext geprüft werden.
- Ungewöhnliche Downloads, Exporte, Druckaufträge oder Synchronisationen zu privaten Speichern
- Weiterleitung von E-Mails an private Adressen
- Zugriff auf Daten außerhalb der eigenen Aufgabe
- Aktivität außerhalb üblicher Arbeitszeiten, besonders kurz vor oder nach Kündigung
- Nutzung von USB-Speichern entgegen Richtlinie
- Deaktivierung von Sicherheitssoftware oder Protokollierung
- Anlage zusätzlicher Konten oder Hintertüren durch Administratoren
Technical preservation of evidence may be necessary before logs are overwritten or devices are no longer available. It does not yet permit any analysis of the content of personal data. Analysis only takes place on a written mandate from the core team, within the defined purpose, period and data scope.
Technische Beweissicherung kann nötig sein, bevor Logs überschrieben werden oder Geräte nicht mehr verfügbar sind. Sie erlaubt aber noch keine inhaltliche Auswertung personenbezogener Daten. Ausgewertet wird erst auf schriftlichen Auftrag des Kernteams, innerhalb des festgelegten Zwecks, Zeitraums und Datenumfangs.
Assess the report
Separate an insider suspicion from an identity incident
Establish the core team and the legal framework
- Document the report
- Convene the core team and define confidentiality
- Check the legal framework: works agreement, policies, private use, consents
- Arrange preservation of evidence without analysis
- Document the decision on an open or covert approach
Exit criteria
- Core team in place
- Legal framework clarified
- Written investigation mandate with scope and period available
Hinweis bewerten
Insider-Verdacht von Identitätsvorfall trennen
Kernteam und Rechtsrahmen herstellen
- Hinweis dokumentieren
- Kernteam einberufen und Vertraulichkeit festlegen
- Rechtsrahmen prüfen: Betriebsvereinbarung, Richtlinien, private Nutzung, Einwilligungen
- Beweissicherung ohne Auswertung veranlassen
- Entscheidung zu offenem oder verdecktem Vorgehen dokumentieren
Exit-Kriterien
- Kernteam steht
- Rechtsrahmen geklärt
- Schriftlicher Untersuchungsauftrag mit Umfang und Zeitraum liegt vor
Limit ongoing damage
Prevent further escalation without exposing the investigation unnecessarily
- Only in case of acute danger, immediate targeted restrictions, such as withdrawing write rights, blocking uploads to private services or locking USB
- Otherwise prepare the lockout according to rule 3
- Review access to particularly sensitive systems and restrict it inconspicuously if necessary
Do not
- Do not confront the person prematurely
- Do not withdraw access without agreement from HR and legal, except in acute danger
- Do not search private devices or cloud accounts without a legal basis
- Do not set targeted traps for a person without approval from legal and data protection
Exit criteria
- No more acute damage
- Lockout and measures prepared in a coordinated way
Laufenden Schaden begrenzen
Weitere Eskalation verhindern, ohne die Untersuchung unnötig offenzulegen
- Nur bei akuter Gefahr sofort gezielte Einschränkungen, etwa Schreibrechte entziehen, Uploads zu privaten Diensten blockieren oder USB sperren
- Sonst Sperrung nach Regel 3 vorbereiten
- Zugriff auf besonders schutzwürdige Systeme prüfen und falls nötig unauffällig einschränken
Nicht tun
- Die Person nicht vorzeitig konfrontieren
- Keine Zugänge ohne Abstimmung mit Personal und Recht entziehen, außer bei akuter Gefahr
- Keine privaten Geräte oder Cloud-Konten ohne Rechtsgrundlage durchsuchen
- Keine gezielten Fallen gegen eine Person ohne Freigabe von Recht und Datenschutz einsetzen
Exit-Kriterien
- Keine akute Schadwirkung mehr
- Sperrung und Maßnahmen abgestimmt vorbereitet
Substantiate the suspicion, refute it, or document it as unresolvable
Preserve evidence so that it holds up in court
- Perform only analyses commissioned in writing
- Four-eyes principle and complete logging of every query
- Forensically image storage media and seal the originals
- Do not analyze private content found by chance any further without consultation
- Document results factually and neutrally, including exculpatory findings
Exit criteria
- Suspicion confirmed, refuted or unresolvable
- Report to the core team produced
Verdacht belegen, entkräften oder als nicht klärbar dokumentieren
Beweise gerichtsfest sichern
- Nur schriftlich beauftragte Auswertungen durchführen
- Vier-Augen-Prinzip und vollständige Protokollierung jeder Abfrage
- Datenträger forensisch sichern und Originale versiegeln
- Private Inhalte, die zufällig gefunden werden, nicht weiter auswerten ohne Rücksprache
- Ergebnisse sachlich, neutral und inklusive entlastender Befunde dokumentieren
Exit-Kriterien
- Verdacht bestätigt, entkräftet oder nicht klärbar
- Bericht an das Kernteam erstellt
Implement the core team's decisions
Remove misuse, backdoors and shared risks
- If confirmed: conversation, suspension, dismissal, civil or criminal law steps as decided by the core team
- Withdraw access at the same time, collect devices
- Remove accounts, forwarding rules, shares, scheduled tasks and backdoors created by the person
- Renew shared secrets
- Demand and document the return or deletion of data taken
Exit criteria
- Decision implemented and documented
- All access withdrawn, devices secured
- Shared secrets and backdoors removed
Entscheidungen des Kernteams umsetzen
Missbrauch, Hintertüren und gemeinsame Risiken beseitigen
- Bei Bestätigung Gespräch, Freistellung, Kündigung, zivil- oder strafrechtliche Schritte nach Entscheidung des Kernteams
- Zugänge zeitgleich entziehen, Geräte einsammeln
- Von der Person angelegte Konten, Weiterleitungen, Freigaben, geplante Aufgaben und Hintertüren entfernen
- Gemeinsam genutzte Geheimnisse erneuern
- Herausgabe oder Löschung mitgenommener Daten verlangen und dokumentieren
Exit-Kriterien
- Entscheidung umgesetzt und dokumentiert
- Alle Zugänge entzogen, Geräte gesichert
- Gemeinsame Geheimnisse und Hintertüren beseitigt
Restore integrity
Secure the handover of tasks
Detect later access attempts
- Check affected data and systems for integrity and restore them where necessary
- Secure the organizational handover of tasks
- Pay heightened attention to access attempts by the person for at least 30 days
Exit criteria
- Integrity of affected data and systems confirmed
- Tasks handed over
- No further access attempts observed, or those observed have been handled
Integrität wiederherstellen
Aufgabenübergang sicherstellen
Nachlaufende Zugriffsversuche erkennen
- Betroffene Daten und Systeme auf Integrität prüfen und gegebenenfalls wiederherstellen
- Aufgabenübergabe organisatorisch absichern
- Erhöhte Aufmerksamkeit auf Zugriffsversuche der Person für mindestens 30 Tage
Exit-Kriterien
- Integrität betroffener Daten und Systeme bestätigt
- Aufgaben übergeben
- Keine weiteren Zugriffsversuche beobachtet oder bearbeitet
- Check whether the authorization concept, leaver process or DLP could have prevented the incident or shown it earlier
- Evaluate the legal framework, works agreements and policies
- Feed lessons into HR, security and compliance processes
- Communicate internally in a factual way, without exposing the person unnecessarily
- Prüfen, ob Berechtigungskonzept, Austrittsprozess oder DLP den Vorfall hätten verhindern oder früher zeigen können
- Rechtsrahmen, Betriebsvereinbarungen und Richtlinien evaluieren
- Lehren in HR-, Security- und Compliance-Prozesse überführen
- Intern sachlich kommunizieren, ohne die Person unnötig bloßzustellen
Evidence to Preserve
- Written report and the core team's investigation mandate
- Exported logs and audit records for the commissioned period
- Forensic images with hash values and chain of custody
- Record of every analysis with purpose, time and the person performing it
- The core team's decision log
Communication Checklist
- Strictly need-to-know
- No emails with names and suspicions to large distribution lists
- Communication towards teams only factual and without unnecessary personal details
- External communication only after legal review
- Communication with a person who has left goes through HR or legal, not IT
▸ Proof and Retention
- Store evidence with particular restriction and enforce need-to-know technically
- Document hash values, access history, export time and analyst
- Set retention according to the legal situation, the needs of proceedings and internal policy
Zu sichernde Beweise
- Schriftlicher Hinweis und Untersuchungsauftrag des Kernteams
- Exportierte Logs und Audits für den beauftragten Zeitraum
- Forensische Images mit Hashwerten und Beweiskette
- Protokoll jeder Auswertung mit Zweck, Zeitpunkt und ausführender Person
- Entscheidungsprotokoll des Kernteams
Kommunikations-Checkliste
- Strikt need-to-know
- Keine Mails mit Namen und Verdacht an große Verteiler
- Kommunikation gegenüber Teams nur sachlich und ohne unnötige Personendetails
- Externe Kommunikation nur nach rechtlicher Prüfung
- Kommunikation mit ausgeschiedener Person über Personal oder Recht, nicht über IT
▸ Nachweis und Aufbewahrung
- Beweise besonders restriktiv speichern und Need-to-know technisch durchsetzen
- Hashwerte, Zugriffshistorie, Exportzeitpunkt und Auswerter dokumentieren
- Aufbewahrung nach Rechtslage, Verfahrensbedarf und interner Policy festlegen
Guidance, not legal advice (as of October 2026). Whether an obligation applies depends on the country, sector, size and role of the organization. Deadlines, reporting channels and contacts should be set in advance and confirmed with legal and data protection when an incident happens.
Reporting obligations for cybersecurity incidents
- Germany — NIS2 (§ 32 BSIG, since 6 December 2025): Particularly important and important entities report significant security incidents to the BSI: early warning within 24 hours, notification within 72 hours, final report within one month.
- Austria — NISG 2026 (since 1 October 2026): Essential and important entities report significant security incidents to the competent CSIRT: early warning within 24 hours, notification within 72 hours.
- Switzerland — Information Security Act (ISA, since 1 April 2025): Operators of critical infrastructure report cyberattacks to the Federal Office for Cybersecurity (NCSC/BACS) within 24 hours.
Data protection
- Germany and Austria — GDPR Art. 33/34: Report personal data breaches to the supervisory authority within 72 hours of becoming aware, unless the breach is unlikely to result in a risk to the individuals; if the risk is high, notify the individuals as well.
- Switzerland — FADP Art. 24: Report to the FDPIC as soon as possible if the breach is likely to result in a high risk for the individuals.
All deadlines run from awareness of the incident, not from the end of the technical investigation. An incomplete early warning within the deadline is better than a complete report after it.
Employee data protection and co-determination
Insider investigations touch on personality rights. Legal support is always required, as is coordination with employee representatives where they exist.
- Germany: Since the CJEU judgment C-34/21 (2023), § 26 BDSG is disputed as a general legal basis; permissibility must also be assessed case by case under Art. 6 and Art. 88 GDPR. To uncover criminal offences, § 26(1) sentence 2 BDSG requires a documented initial suspicion, necessity and proportionality. Technical monitoring equipment is subject to co-determination (§ 87(1) no. 6 BetrVG). The Trade Secrets Act (GeschGehG) only protects information for which appropriate confidentiality measures were taken. Under the Whistleblower Protection Act, the identity of whistleblowers must be kept confidential.
- Austria: Control measures that affect human dignity require the works council's consent (§ 96(1) no. 3 ArbVG), as do certain systems for processing employee data (§ 96a ArbVG). The GDPR and DSG apply in addition.
- Switzerland: Monitoring systems intended to monitor employees' behavior are not permitted (Art. 26 ArGV 3); personal data may only be processed under the FADP and Art. 328b CO insofar as it concerns the employment relationship.
- Private use: Whether work mailboxes and devices may be used privately largely determines what may be analyzed.
Reporting obligations
- If personal data of third parties has been exfiltrated, the data protection reporting obligations above apply.
- Sabotage of systems of an organization subject to NIS2 or the ISA can be a reportable security incident.
- Criminal complaint: Decided by the core team and executive management. Germany: Central Cybercrime Contact Point (ZAC) of the relevant state criminal police office; Austria: Federal Criminal Police Office or any police station; Switzerland: the cantonal police.
Orientierung, keine Rechtsberatung (Stand: Oktober 2026). Ob eine Pflicht greift, hängt von Land, Sektor, Größe und Rolle der Organisation ab. Fristen, Meldewege und Ansprechpartner sollten vorab festgelegt sein und im Ernstfall mit Recht und Datenschutz bestätigt werden.
Meldepflichten für Cybersicherheitsvorfälle
- Deutschland — NIS2 (§ 32 BSIG, seit 6. Dezember 2025): Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
- Österreich — NISG 2026 (seit 1. Oktober 2026): Wesentliche und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das zuständige CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
- Schweiz — Informationssicherheitsgesetz (ISG, seit 1. April 2025): Betreiber kritischer Infrastrukturen melden Cyberangriffe binnen 24 Stunden an das Bundesamt für Cybersicherheit (BACS).
Datenschutz
- Deutschland und Österreich — DSGVO Art. 33/34: Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen nicht unwahrscheinlich ist; bei hohem Risiko auch die Betroffenen benachrichtigen.
- Schweiz — DSG Art. 24: Meldung an den EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt.
Alle Fristen laufen ab Kenntnis des Vorfalls, nicht erst ab Abschluss der technischen Untersuchung. Eine unvollständige Frühwarnung innerhalb der Frist ist besser als eine vollständige Meldung danach.
Beschäftigtendatenschutz und Mitbestimmung
Insider-Untersuchungen berühren Persönlichkeitsrechte. Rechtliche Begleitung ist immer erforderlich, ebenso die Abstimmung mit der Arbeitnehmervertretung, wo es eine gibt.
- Deutschland: § 26 BDSG ist seit dem EuGH-Urteil C-34/21 (2023) als allgemeine Rechtsgrundlage umstritten; die Zulässigkeit ist im Einzelfall auch nach Art. 6 und Art. 88 DSGVO zu prüfen. Zur Aufdeckung von Straftaten verlangt § 26 Abs. 1 Satz 2 BDSG einen dokumentierten Anfangsverdacht, Erforderlichkeit und Verhältnismäßigkeit. Technische Überwachungseinrichtungen sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Das Geschäftsgeheimnisgesetz (GeschGehG) schützt nur Informationen, für die angemessene Geheimhaltungsmaßnahmen getroffen wurden. Die Identität hinweisgebender Personen ist nach dem Hinweisgeberschutzgesetz vertraulich zu behandeln.
- Österreich: Kontrollmaßnahmen, die die Menschenwürde berühren, bedürfen der Zustimmung des Betriebsrats (§ 96 Abs. 1 Z 3 ArbVG); bestimmte Systeme zur Verarbeitung von Beschäftigtendaten ebenfalls (§ 96a ArbVG). Daneben gelten DSGVO und DSG.
- Schweiz: Überwachungssysteme, die das Verhalten der Arbeitnehmenden überwachen sollen, sind unzulässig (Art. 26 ArGV 3); Bearbeitung von Personendaten nach DSG und Art. 328b OR nur, soweit sie das Arbeitsverhältnis betrifft.
- Private Nutzung: Ob dienstliche Postfächer und Geräte privat genutzt werden dürfen, bestimmt wesentlich, was ausgewertet werden darf.
Meldepflichten
- Sind personenbezogene Daten Dritter abgeflossen, gelten die Datenschutz-Meldepflichten oben.
- Sabotage an Systemen einer NIS2- oder ISG-pflichtigen Organisation kann ein meldepflichtiger Sicherheitsvorfall sein.
- Strafanzeige: Entscheidung durch Kernteam und Geschäftsführung. Deutschland: Zentrale Ansprechstelle Cybercrime (ZAC) des jeweiligen Landeskriminalamts; Österreich: Bundeskriminalamt bzw. jede Polizeidienststelle; Schweiz: Polizei des Kantons.
Preventive Controls
- Need-to-know permissions with regular recertification
- Orderly leaver process
- DLP for particularly sensitive data, as far as legally agreed
- Logging of access to sensitive data with clearly regulated analysis
- Separate admin accounts and four-eyes principle for critical changes
- Clear rules on private use of IT
- Trusted reporting channel and whistleblowing system
- A procedure for insider investigations agreed in advance with HR, legal, data protection and employee representatives
References
- NIST SP 800-61 Rev. 3
- CISA: Insider Threat Mitigation Guide
- CERT/CC: Common Sense Guide to Mitigating Insider Threats
- MITRE ATT&CK: T1567, T1052, T1485
Disclaimer
This playbook is a practical community resource. It does not replace legal advice, an employment law review or organization-specific procedures. Insider investigations touch on personality rights and require legal support.
Präventive Kontrollen
- Need-to-know-Berechtigungen mit regelmäßiger Rezertifizierung
- Geordneter Austrittsprozess
- DLP für besonders schutzwürdige Daten, soweit rechtlich abgestimmt
- Protokollierung von Zugriffen auf sensible Daten mit klar geregelter Auswertung
- Getrennte Admin-Konten und Vier-Augen-Prinzip für kritische Änderungen
- Klare Regeln zur privaten Nutzung von IT
- Vertrauenswürdiger Meldeweg und Hinweisgebersystem
- Vorab abgestimmter Ablauf für Insider-Untersuchungen mit Personal, Recht, Datenschutz und Arbeitnehmervertretung
Referenzen
- NIST SP 800-61 Rev. 3
- CISA: Insider Threat Mitigation Guide
- CERT/CC: Common Sense Guide to Mitigating Insider Threats
- MITRE ATT&CK: T1567, T1052, T1485
Disclaimer
Dieses Playbook ist eine praktische Community-Ressource. Es ersetzt keine Rechtsberatung, arbeitsrechtliche Prüfung oder organisationsspezifische Verfahren. Insider-Untersuchungen berühren Persönlichkeitsrechte und erfordern rechtliche Begleitung.
Threat Sentinel IR Playbook Library · CC BY 4.0