Datenabfluss beim Mitarbeiteraustritt: Wie Unternehmen forensisch reagieren

Der Vertriebsleiter kündigt zum Quartalsende. Zwei Wochen vor seinem letzten Arbeitstag zeigt das IT-Log ungewöhnlich viele Zugriffe auf die Kundendatenbank, mehrere Ordner werden auf einen privaten Cloud-Speicher synchronisiert. Datenabfluss durch ausscheidende Mitarbeiter beginnt selten mit einem Alarm – er beginnt mit einer Beobachtung, die sich erst im Nachhinein als Muster erweist.

Für IT-Leitung und Geschäftsführung stellt sich dann eine unangenehme Doppelfrage: Was genau ist verschwunden, und wie lässt sich das belegen, ohne selbst gegen Datenschutz- oder Mitbestimmungsrecht zu verstoßen? Wer hier vorschnell selbst in Postfächern und Protokollen wühlt, riskiert nicht nur unbrauchbare Beweise, sondern auch eigene Haftungsrisiken. Dieser Beitrag ordnet ein, wann der Verdacht konkret genug ist, was rechtlich zulässig ist und wie ein forensisches Mandat abläuft.

Wann Datenabfluss durch ausscheidende Mitarbeiter zum echten Risiko wird

Nicht jede Kündigung ist ein Sicherheitsvorfall. Entscheidend ist die Kombination aus Zugriffsrecht, Anlass und beobachtbarem Verhalten in der Zeit vor dem Ausscheiden.

Typische Anzeichen für einen konkreten Verdacht

• Auffällige Downloads, Massen-E-Mails an private Adressen oder Synchronisation großer Datenmengen in privaten Cloud-Speicher kurz vor der Kündigung
• Zugriff auf Bereiche außerhalb des gewohnten Aufgabenprofils, etwa auf Kalkulationen anderer Teams
• Ankündigung, zu einem Wettbewerber zu wechseln oder ein eigenes Unternehmen zu gründen
• Nutzung privater USB-Datenträger oder persönlicher Geräte kurz vor dem letzten Arbeitstag
• Löschung oder Umbenennung von Dateien, die auf Spurenverwischung hindeutet

Einzelne Auffälligkeiten lassen sich oft erklären. Erst die Häufung – und die zeitliche Nähe zur Kündigung – begründet den Anfangsverdacht, der eine forensische Prüfung rechtfertigt.

Wer typischerweise betroffen ist

Vertrieb, Entwicklung und Geschäftsführungsnahe Positionen tragen das höchste Risiko, weil dort Kundenlisten, Konstruktionsunterlagen oder strategische Planungen zusammenlaufen. Nach der Bitkom-Studie Wirtschaftsschutz 2025 nennen 23 Prozent der betroffenen Unternehmen vorsätzlich handelnde aktuelle oder ehemalige Beschäftigte als Quelle von Datendiebstahl, Spionage oder Sabotage – weitere 25 Prozent berichten von unabsichtlichem Fehlverhalten aus den eigenen Reihen. Der Mensch im Unternehmen bleibt damit ein zentraler Risikofaktor, nicht nur der externe Angreifer.

Was beim Austritt tatsächlich mitgenommen wird

Datenabfluss ist selten ein einzelner spektakulärer Vorfall, sondern meist eine Kombination unauffälliger Einzelhandlungen.

Am häufigsten betroffen sind Kundenlisten mit Ansprechpartnern und Konditionen, Kalkulationsgrundlagen und Preismodelle, technische Zeichnungen und Quellcode sowie interne Strategie- und Angebotsunterlagen. Wandert eine Führungskraft mit solchen Unterlagen zu einem neuen Arbeitgeber oder gründet selbst ein konkurrierendes Unternehmen, überschneidet sich der Fall häufig mit einem Verstoß gegen ein bestehendes Wettbewerbsverbot – zwei Sachverhalte, die forensisch und rechtlich zusammen betrachtet werden müssen.

Recht und Verhältnismäßigkeit: Was Sie prüfen dürfen – und was nicht

Der größte Fehler in der Praxis ist nicht das Zögern, sondern der übereilte Zugriff auf E-Mail-Postfach oder Diensthandy ohne rechtliche Grundlage. Was als Beweissicherung gedacht ist, wird dann selbst zum Verstoß.

DSGVO und Beschäftigtendatenschutz

Die Auswertung von Zugriffs- und Kommunikationsdaten ausscheidender Mitarbeitender ist personenbezogene Datenverarbeitung und unterliegt § 26 Bundesdatenschutzgesetz (BDSG) sowie den Grundsätzen der DSGVO. Zulässig ist die Auswertung nur, wenn ein konkreter, durch Tatsachen gestützter Verdacht auf eine Straftat oder schwerwiegende Pflichtverletzung vorliegt und die Maßnahme zur Aufdeckung erforderlich sowie verhältnismäßig ist. Eine anlasslose Vollprüfung aller Postfächer beim Ausscheiden trägt diese Anforderung in der Regel nicht.

Mitbestimmung nach dem Betriebsverfassungsgesetz

Setzen Sie technische Systeme zur Auswertung ein – etwa DLP-Software, Zugriffsprotokolle oder Log-Analysetools –, greift regelmäßig die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG), weil solche Systeme geeignet sind, Verhalten oder Leistung zu überwachen. Fehlt die erforderliche Beteiligung, drohen nicht nur Verzögerungen, sondern im Streitfall auch ein Verwertungsverbot der gewonnenen Erkenntnisse.

Verwertbarkeit vor Gericht

Für ein arbeits-, zivil- oder strafrechtliches Verfahren zählt nicht nur, was gefunden wurde, sondern wie. Eine lückenlose Beweiskette – von der forensischen Sicherung mit Hashwerten bis zur dokumentierten Chain of Custody – entscheidet darüber, ob ein Gericht die Beweise überhaupt zulässt. Wer diese Dokumentation nachträglich rekonstruieren will, hat in der Regel bereits verloren. Wie diese Nachweisführung im Kontext von Geschäftsgeheimnissen konkret aussieht, beschreibt unser Beitrag zur Wirtschaftsspionage in Deutschland ausführlicher, insbesondere zu den Anspruchsgrundlagen nach dem Geschäftsgeheimnisgesetz (GeschGehG).

Der Ablauf eines forensischen Mandats

Zwischen dem ersten Verdacht und einem belastbaren Ergebnis liegt ein strukturierter Prozess, kein spontaner Zugriff auf den Firmenlaptop.

Die ersten 48 Stunden: Legal Hold statt Aktionismus

Sobald der Verdacht konkret wird, zählt vor allem eines: nichts überschreiben. Ein Legal Hold – die verbindliche Anweisung, betroffene Systeme, Backups und Zugriffsrechte unverändert zu belassen – sichert die Ausgangslage, bevor IT-Aufräumarbeiten oder die reguläre Löschroutine Spuren vernichten. Parallel dazu wird der Zugriff des ausscheidenden Mitarbeiters kontrolliert eingeschränkt, ohne dass dieser vorzeitig gewarnt wird.

Forensische Sicherung und Analyse

Es folgt die gerichtsfeste Sicherung von Endgeräten, Cloud-Protokollen, E-Mail-Verläufen und Zugriffslogs mit Hashwerten und lückenloser Dokumentation. Die anschließende Auswertung rekonstruiert Zeitachse, betroffene Dateien und Übertragungswege – und ordnet ein, ob es sich um eine einzelne Fehlhandlung oder ein systematisches Vorgehen handelt.

Intern klären oder extern beauftragen?

Kleinere Auffälligkeiten mit klarer Faktenlage lassen sich oft durch die eigene IT-Abteilung dokumentieren. Sobald jedoch gerichtliche Verwertbarkeit, GeschGehG-Ansprüche oder eine mögliche fristlose Kündigung im Raum stehen, wird externe forensische Neutralität zum entscheidenden Faktor: Ein interner IT-Mitarbeiter ist selten als neutraler Zeuge vor Gericht geeignet, und die methodische Sorgfalt einer forensischen Beweissicherung unterscheidet sich deutlich von einer internen Log-Auswertung. Ähnlich wie bei der strukturierten Prüfung von Hinweisgebermeldungen gilt: Wo Unabhängigkeit und Beweisqualität zählen, lohnt sich der Blick von außen.

Unsere Leistung IT-Forensik und Cyber-Ermittlungen übernimmt genau diesen Teil – von der Sofortsicherung bis zur gerichtsfesten Dokumentation, abgestimmt mit Ihrer IT und, wo nötig, Ihrer Rechtsabteilung.

Offboarding als Sicherheitsprozess statt Formalität

Viele Fälle von Datenabfluss ließen sich vermeiden oder zumindest früher erkennen, wenn das Offboarding nicht nur Zugangskarte und Laptop-Rückgabe umfasst, sondern gezielt auf Datenzugriffe blickt.

Was sich vor der Kündigung klären lässt

• Zugriffsrechte rechtzeitig auf das betriebsnotwendige Minimum reduzieren, sobald die Kündigung feststeht
• Ungewöhnliche Datenbewegungen der letzten Wochen vor der Kündigung routinemäßig prüfen, nicht erst bei konkretem Anlass
• Rückgabe und Zurücksetzung dienstlicher Geräte dokumentieren, statt sie ungeprüft weiterzuverwenden
• Zugänge zu Cloud-Diensten, Kundensystemen und gemeinsamen Laufwerken zentral erfassen, damit beim Austritt nichts übersehen wird

Diese Routine ersetzt keine forensische Prüfung im Verdachtsfall, senkt aber die Zahl der Fälle, die überhaupt erst eskalieren. Für Unternehmen mit häufigem Personalwechsel in sensiblen Positionen lohnt sich ein solcher Offboarding-Prozess unabhängig vom Einzelfall – als Teil der laufenden Compliance, nicht als Reaktion auf einen konkreten Verdacht.

Häufige Fragen von Entscheidern

Dürfen wir das dienstliche Postfach nach der Kündigung noch auswerten? Ja, sofern ein konkreter Verdacht besteht und die Auswertung auf das Erforderliche begrenzt bleibt. Rein private Kommunikation innerhalb dienstlicher Postfächer ist gesondert zu behandeln – hier empfiehlt sich vorab eine rechtliche Einschätzung, insbesondere wenn private Nutzung geduldet war.

Was tun, wenn der Verdacht erst nach dem letzten Arbeitstag entsteht? Auch dann lohnt sich häufig noch eine forensische Sicherung, sofern Backups, Cloud-Protokolle oder Zugriffslogs noch nicht überschrieben wurden. Melden Sie sich, bevor reguläre Löschzyklen oder eine Neuvergabe des Laptops weitere Spuren vernichten.

Reicht ein einfaches IT-Log als Beweis vor Gericht? Ein Rohlog allein wird selten ausreichen. Entscheidend sind Herkunftsnachweis, unveränderte Sicherung und eine nachvollziehbare Auswertungsmethodik – erst das macht aus einem Log ein belastbares Beweismittel.

Brauchen wir den Betriebsrat, bevor wir ermitteln? Beim Einsatz technischer Überwachungssysteme in der Regel ja. Eine anlassbezogene Einzelfallprüfung ohne neue Systeme kann davon unabhängig sein – die genaue Abgrenzung sollte vor dem Einsatz geklärt werden, nicht danach.

Können wir die Kosten der Ermittlung vom Verursacher zurückfordern? Bei nachgewiesener vorsätzlicher Pflichtverletzung ist das grundsätzlich möglich, wenn Anlass und Erforderlichkeit der Maßnahme sauber dokumentiert sind. Die Durchsetzung im Einzelfall bewertet Ihre Rechtsvertretung.

Fazit

Datenabfluss durch ausscheidende Mitarbeiter lässt sich selten verhindern, aber fast immer belastbar aufklären – vorausgesetzt, die ersten Schritte folgen einem klaren Verfahren statt einem Reflex. Ein Legal Hold sichert die Ausgangslage, eine forensisch saubere Analyse liefert die Fakten, und die frühzeitige Abstimmung mit Rechtsabteilung und Betriebsrat hält den Fall gerichtsfest. Wenn bei Ihnen ein konkreter Verdacht steht, sprechen Sie uns an: Wir prüfen mit Ihnen die IT-Forensik und Cyber-Ermittlungen für Ihren Fall – mit einer ersten Einschätzung binnen 24 Stunden.