Die ersten 48 Stunden: handeln, ohne den Fall zu gefährden.

Vorsicht mit dem Reflex, selbst nachzusehen

Der stärkste Reflex ist, nachzusehen: den Laptop öffnen, das Postfach lesen, die Akte ziehen. Manchmal ist ein erster Blick vertretbar und sogar nötig. Entscheidend ist, dass man sich dafür entscheidet, statt hineinzurutschen.

Hinter dem Reflex stehen zwei Risiken. Das erste betrifft die Beweise selbst. Die Nutzung eines laufenden Systems kann Spuren darauf verändern, und welche Spuren den gewöhnlichen Gebrauch überstehen, hängt vom System, seiner Konfiguration und davon ab, was genau getan wird. Genau diese Unsicherheit ist das Problem: Ist ein Gerät einmal angefasst, streitet man unter Umständen für den Rest des Falls darüber, was das Anfassen verändert hat. Wo ein Gerät oder ein Konto voraussichtlich eine Rolle spielt, ist die sicherere Reihenfolge, es zuerst zu sichern und eine gesicherte Kopie auszuwerten, damit dieser Streit gar nicht erst beginnt.

Das zweite Risiko betrifft Ihren Wissensvorsprung. Trifft der Verdacht zu, weiss die betroffene Person noch nicht, dass Sie hinsehen, und dieser Vorteil ist es wert, geschützt zu werden. Menschen löschen selten Beweise, bevor sie sich beobachtet fühlen. Ein Passwort-Reset, den niemand verlangt hat, ein verschobener Ordner, Kolleginnen und Kollegen, die ihr Verhalten ändern: Kleine Signale können genügen. Ob Sie den Vorsprung jetzt einsetzen oder behalten, ist eine echte Entscheidung, und in den langsam gewachsenen Fällen oft die zentrale.

Den Kreis klein halten, und ihn festhalten

Beziehen Sie so wenige Personen ein, wie die nächsten Schritte erfordern, und halten Sie fest, wer seit wann Bescheid weiss. Zum einen geht es um Vertraulichkeit: Nach unserer Erfahrung verbreitet sich ein Verdacht seltener durch Absicht als durch das gewöhnliche Gespräch zwischen Menschen, die einander vertrauen. Zum anderen um etwas Unbequemeres: In diesem Stadium kennen Sie die Konturen des Problems noch nicht, und Verdachte, die eine Person breit beginnen, enden manchmal breiter. Die Kollegin oder der Kollege, die als natürliche Vertrauensperson erscheinen, können näher an der Sache sitzen, als alle annehmen. Wählen Sie den Kreis nach Rolle statt nach Vertrautheit: jemand, der entscheiden kann, jemand, der sichern kann, und früher Zugang zu Beratung.

Sichern kann selten warten, auswerten schon

Beweise sichern heisst, sie vor Verlust zu schützen, ohne sie schon auszuwerten. Diese Aufgabe steht zuoberst, weil ein Teil des Materials auf einer Frist sitzt, während der Rest des Falls warten kann:

• Protokoll- und Zugangsdaten. Aufbewahrungsfristen unterscheiden sich stark je nach System und Unternehmen, und manche sind kurz. Herauszufinden, was wie lange vorgehalten wird, und die Löschung für die betroffenen Systeme anzuhalten, kostet wenig und macht bisweilen den Unterschied zwischen einer dokumentierten Zeitachse und einer Vermutung.
• Kameraaufnahmen. Wo aufgezeichnete Bewegungen eine Rolle spielen könnten, prüfen Sie die Aufbewahrungseinstellung jetzt, nicht erst, wenn die Aufnahmen interessant geworden sind.
• Geräte und Konten. Ein zurückgegebener Laptop, der in den Pool zurückkehrt, wird im normalen Lauf der Dinge typischerweise gelöscht und neu ausgegeben. Ihn still und ungenutzt beiseitezustellen hält die Option offen. Dieselbe Logik gilt für Konten, deren routinemässige Löschung ansteht.
• Backups. Rotationspläne laufen weiter, bis sie jemand für die betroffenen Systeme anhält.
• Papier und Physisches. Lieferscheine, Besucherlisten, Schlüssel, der Inhalt eines Pults. Unspektakulär, und in unseren Fällen regelmässig entscheidend.

Im Zweifel: sichern. Später zu entscheiden, dass etwas Gesichertes unerheblich war, ist günstig. Der umgekehrte Weg steht oft nicht mehr offen.

Die Konfrontation ist ein Einsatz, kein Reflex

Die frühe Konfrontation fühlt sich entschlossen an, und gelegentlich ist sie der richtige Schritt, etwa wenn ein laufender Schaden heute gestoppt werden muss. Aber sie gibt Dinge aus, die sich schwer zurückholen lassen: den Wissensvorsprung, die Möglichkeit, Material in Ruhe zu sichern, und den Wert einer späteren Befragung auf dokumentierter Faktenlage. Eine Aussage, die vor der Aufarbeitung der Fakten gemacht wird, ist eine, auf die sich die Person danach festlegt und die Sie noch nicht prüfen können; ein im Zorn geführtes Gespräch kann eigene Probleme schaffen, besonders im Arbeitsverhältnis. Ist sofortiges Handeln unvermeidlich, kostet die enge Variante (die Zahlung stoppen, einen Zugang einschränken) in der Regel weniger als die volle Konfrontation, und sie verschafft Zeit, Rat einzuholen.

Die Frage aufschreiben, und den eigenen Wissensstand

Irgendwann in den ersten Tagen lohnt es sich, innezuhalten und zwei Dinge in einfacher Sprache festzuhalten. Erstens: was genau festgestellt werden muss, und was anders entschieden wird, sobald es feststeht. «Finden Sie heraus, was im Einkauf los ist» ist eine Stimmung; «feststellen, ob die Einkaufsleitung eine nicht offengelegte Beteiligung am Lieferanten X hält» ist eine Frage, die Beweise beantworten können, und sie markiert die Grenze dessen, was verhältnismässig geprüft werden darf. Zweitens: warum Sie vermuten, was Sie vermuten, mit Stand heute. Entwickelt sich ein Fall, ordnet sich die Erinnerung gern neu, und später zeigen zu können, was am Anfang bekannt war und dass die Schritte daran gemessen wurden, stützt sowohl die Beweise als auch die Position des Unternehmens.

Die Türen kennen, bevor man eine wählt

Einige Fragen sind früh billig zu bedenken und spät teuer zu entdecken. Ob die externe Rechtsvertretung die Untersuchung beauftragen sollte statt das Unternehmen, was zählen kann, wenn ein Prozess wahrscheinlich ist oder eine leitende Person betroffen ist. Ob eine Versicherungspolice den Schaden decken könnte und ob sie Meldepflichten enthält, deren Fristen bereits laufen. Ob die Sache zu den Behörden gehen wird oder sollte, denn dann wird der heutige Umgang mit den Beweisen später an deren Massstäben gemessen. Keine dieser Fragen braucht in den ersten Tagen eine endgültige Antwort. Es genügt zu wissen, welche Türen es gibt, und keine davon aus Versehen zu schliessen.

Muster, die wir immer wieder sehen

Jeder Fall ist sein eigener Fall, aber einige frühe Fehler kehren oft genug wieder, um sie aufzuzählen:

• Das verdächtige Gerät wird an Ort und Stelle untersucht, in bester Absicht, und sein Beweiswert ist nun Gegenstand von Streit statt von Fakten.
• Der Kreis der Eingeweihten wächst um eine Vertrauensperson nach der anderen, bis die betroffene Person davon erfährt.
• Die Konfrontation am selben Tag bringt ein Bestreiten, eine gewarnte Person und nichts Verwertbares.
• Aufbewahrungsfristen laufen still ab, während das Unternehmen berät.
• Nichts wird aufgeschrieben, und Monate später kann niemand rekonstruieren, was wann bekannt war oder weshalb ein Schritt erfolgte.