Ablaufplan für Besuch von Strafermittlungsbehörden

Mein Arbeitgeber ist StB / WP. Wir haben natürlich gelegentlich mal beim Mandanten den Zoll oder die Steuerfahndung stehen, das geht in diversen Branchen ja mal schnell. Dazu kann ich leider wenig sagen, weil ich da den Ablauf natürlich nicht mit bekomme.

Bei uns war dann auch schon mal der Zoll in solchen Fällen. Die machen da aber kein Fass auf sondern melden sich im Sekretariat und wollten bisher immer nur Auskunft bzw. haben sich in einigen Fällen auch mal Rechnungswesendaten geben lassen. Ich glaube, Papierbelege haben die schon ewig nicht mehr mit genommen und einen DMS Export habe ich auch noch nie gemacht. Orginal-Belege nehmen die meist vom jeweiligen Mandanten schon mit.

Wir haben für solche Fälle mal eine kleine interne Schulung gemacht. Es gibt keine direkte Verfahrensanweisung, wir sind jetzt aber auch nicht sehr komplex strukturiert. Eigentlich sind für unsere Arbeitnehmer nur drei Dinge relevant:

1) Muss natürlich ein Partner informiert werden und zugegen sein. Der klärt dann den Sachverhalt und entscheidet, ob irgendwas raus gegeben wird.
2) Nur, wenn der StB als Beschuldigter geführt wird, reden wir überhaupt über irgendwelche spannenden Szenarien. Das ist hier noch nie der Fall gewesen und das würde mich bei den meisten in der Branche auch sehr wundern.
3) Wenn es denn mal unwahrscheinlicher Weise so weit kommen sollte, und man Unterlagen oder Server unfreiwillig raus geben muss, gibt es in der IT einen guten Rat. Alles verpacken und provisorisch versiegeln, egal mit was. So kann man gegen die Beschlagnahmung vorgehen und ggf. können die Sachen auch im Beisein des StB entsiegelt und gesichtet werden. Soweit ist es aber eben noch nie gekommen, ich kenne den Zoll halt nur aus einem Besprechungsraum

Das letzte, woran der StB Interesse haben dürfte, ist allerdings, das die IT sofort los läuft und Exporte anstößt. Ich glaube, da gehen die Interessen auf eurer und auf unserer Seite eher aus einander Wir müssen vor allem aufpassen, das wir nicht zu viel bereit stellen, z.B. Informationen, auf die die Behörden gar keinen Anspruch haben. Wir müssen die berufsrechtliche Verschwiegenheit wahren.

Das liegt doch in der Natur der Sache. Ein Unternehmen ist in der Regel eine juristische Person, die in einem solchen Fall durch ihre Organe ihre geschützte Innensphäre, also das Äquivalent zum Schweigen natürlicher Personen, und ihre Kooperation sorgfältig abwägen muss. Gerade ein Ablaufplan sollte ausschließen, dass ein ITler irgendwelche Exporte "frühzeitig anstößt", und sei es nur, indem Daten aus einem forensisch sicheren auf einen unsicheren Speicher übertragen werden.


Ja, im Geschäftsmodell begründet (insbesondere Finanz- und IT-Dienstleistungen).

Bei meinem alten AG gab/gibt es sowas. RZ Betrieb für Zeitarbeit... da kam er Zoll schon regelmäßiger.

Wie es dazu kam? Naja, nachdem zweiten, dritten Besuch hat man im QM/Datenschutz sich Gedanken gemacht :D Und Kooperation war natürlich sehr sehr wichtig. Keiner hat Bock das der Zoll dir deinen VM-Host wegnimmt, VM's sind einem da schon lieber :D

Moin,

was auch einzig richtig ist. Denn abseits von Branchen wie bei @ukulele-7, die einer Sonderbehandlung bedürfen, kann auch kein Industrie- oder Dienstleistungsunternehmen Interesse daran haben, dass die IT ungeprüft irgendwelche Daten herausgibt. Daher gehört das in die Rechtsabteilung, die das mit der entscheidungsbefugten Geschäftsleitung bearbeitet.

Und im anderen Fall - die Ermittlungsbehörden erscheinen mit entsprechenden richterlichen Beschlüssen und Anordnungen zu Durchsuchung und Beschlagnahme vor Ort - gibt es ja keinen Entscheidungsspielraum beim Unternehmen, so dass auch hier kein IT-ler erste Anlaufstelle ist. Im Zweifel wird eingesammelt, wobei dafür allerdings Vorbereitungen wie o.g. sinnvoll sind, sich also schulungsmäßig und ablaufplanmäßig auf Einpacken, Versiegeln, Status aufnehmen etc. vorzubereiten.

Gruß

DivideByZero

Sonst würden sie ja auch gar keine Daten bekommen bzw. dürften sie gar nicht raus gegeben werden. Das mag sich den Meisten sicherlich direkt als logisch erschließen aber in der Praxis bedeutet das eben auch, dass keiner tätig werden kann, bevor nicht genau fest steht, was raus gegeben werden muss. Ablaufplan hin oder her.

Das fällt eher in die Kategorie Drohkulisse der Strafverfolger. "Machen Sie schnell, sonst gibt es Handschellen". Dennoch ist das völliger Unsinn. Ich kann nichts schnell erledigen solange ich nicht weiß, was zu tun ist.
Stimmt. Aber wenn ich dann im Nachgang erst erfahre, das ein Dokument von 100 nicht dabei sein muss, fange ich nicht an das Exportarchiv zu bearbeiten. Würde den Strafverfolgern vermutlich auch nicht gefallen wenn ich dann da mit dem Hexeditor sitze, statt dessen exportiere ich neu. Also Arbeit doppelt gemacht und sicherlich nicht schneller...
Hinzuziehen unbedingt, da spricht nichts dagegen.

Vernünftige Vorbereitung, z.B. in Form eines Ablaufplans, ist aber auch eine Sache. Wir haben ja auch keinen Ablaufplan für: Messerstecher, Amokläufer oder eine Sitzblockade durch Fridays for Future. Warum haben wir die nicht alle? Es passiert selten und die Varianten sind zahlreich. So ist das in der IT auch, die Pläne müssten ständig überarbeitet werden wenn Software angeschafft, aktualisiert oder verändert wird.

Das alles in einen Ablaufplan zu gießen der dann wahrscheinlich nie zur Anwendung kommt wäre extrem teuer und bürokratisch. Es gibt dafür zum Glück keine gesetzliche Vorgabe und es gibt niemanden, der einem die Stunden an Aufwand jedes Jahr bezahlt. Wenn ich hingegen Fallbezogen tätig werde ist das mit Sicherheit weniger Aufwand und kann potenziell noch irgendwo in Rechnung gestellt werden (zumindest, wenn ich nicht der Schuldige bin).

Versiegeln != Herausgabe verweigern, wäre zumindest meine Interpretation ohne mich vorher mit dem Anwalt abgestimmt zu haben.
Dagegen habe ich nichts. Wenn ein Richter das entschieden hat, Feuer frei. Wenn ich aber von mir aus sage hier ist der heiße Scheiß, ich hab da schonmal was vorbereitet, dann verstoße ich vermutlich gegen Vorschriften.
Das war bisher in allen Fällen so, die mir bekannt geworden sind. Und das ist auch gut so, geht mit Sicherheit am schnellsten. Ich rede ja nicht davon, absichtlich irgendwo zu bummeln. Aber eine Vorgabe, das wir euch die Arbeit möglichst schnell und einfach gestalten müssen, ist mir auch nicht bekannt. Ihr bekommt worauf ihr Anspruch habt aber ein Unternehmen kann sich nicht auf jede Eventualität vorbereiten.

Eigentlich schütze ich mich selber - dazu gehört die Erfüllung von eigenen Verpflichtungen wie z.B. Verschwiegenheitserklärung oder Berufsrecht. Ich habe Verständnis für die Strafverfolger aber auf Drohungen oder Tricks habe ich schon immer allergisch reagiert. Ich bin kein Reichsbürger oder so, aber ich will mich schon vergewissern, das alles ordnungsgemäß ist.

Daten und Gegenstände werden sichergestellt (freiwillig) oder beschlagnahmt (unfreiwillig) im Rahmen einer Ermittlungsmaßnahme, die auch spätere Zeugenaussagen aller Beteiligten, insbesondere natürlich der Ermittler, erbringt.
Der ITler ist an der Stelle fehl am Platz, da er meist juristischer Laie ist (dabei teils vom Gegenteil überzeugt ist) und häufig in einer Backoffice-Rolle arbeitet, also schon nicht gewohnt ist, z.B. mit Kunden und im beruflichen Kontext mit technischen Laien zu kommunizieren. Das ist für Ermittlungsbehörden natürlich ein Segen, da so alle erdenklichen Äußerungen und Wahrnehmungen produziert werden können, bewusst oder unbewusst.
Ein Unternehmen sollte die Kommunikation mit Behörden aber organschaftlich kontrollieren und rechtlich lückenlos prüfen.

Das ist die eher psychologische Seite. Auch objektiv sollte die IT nicht handeln, bevor nicht das Unternehmen die Entscheidung getroffen hat, dies oder jenes zu tun. Es ist für das Unternehmen niemals von Nutzen und unter Umständen schädlich, die Ergebnisse dieser Entscheidungen vorzubereiten.
Einerseits, weil es Handlungen abweichend vom Alltagsbetrieb bedingt. Die in der Praxis vorhandenen verfahrensmäßigen Lücken können genutzt werden, Spuren zu verwischen oder zu legen; es ist für das Unternehmen ja ggf. noch gar nicht klar, ob überhaupt die eigene IT diese Maßnahmen umsetzen sollte oder externe Hilfe hinzugezogen wird. Später prüfende Anwälte haben meist keine genaue Vorstellung von den ursprünglich zu erwartenden Daten.
Andererseits ist das behördliche Vorgehen kein singuläres Ereignis, sondern schrittweise aufeinander aufbauend. Genauso wie (vielleicht objektiv falsche) Äußerungen von Mitarbeitern im Gespräch mit Ermittlern zu Folgemaßnahmen führen können, ebenso können es unbegründete interne Vorbereitungen, weil sie den Sachverhalt wesentlich ändern. Die Beschlagnahme einer zur - dann nicht erfolgten - Herausgabe angefertigten Kopie z.B. aus einem verschlüsselten verteilten Datenbanksystem auf eine externe Festplatte steht doch offensichtlich unter ganz anderen praktischen und rechtlichen (Verhältnismäßigkeit!) Bedingungen, als die Beschlagnahme des Datenbanksystems selbst.