En medarbejder er stoppet, og I har en mistanke: kunder er begyndt at forsvinde, en konkurrent ved pludselig for meget, eller nogen har set, at der er kopieret filer. Det, I gør de næste 48 timer, afgør ofte, om sagen kan bevises. Det vigtigste er at bevare, ikke at undersøge selv.
Siden her er udgangspunktet for alt, der handler om fratræden på bevissikring-digitalt.dk. Den følger sagen som en tidslinje: fra den første time, over de første to døgn, til ugen og måneden efter. Undervejs står der, hvem der gør hvad, og hvor I kan læse mere om netop jeres situation. Ikke alle punkter passer til jer, men gå dem igennem, og skriv ned, hvad I har gjort, og hvad I har valgt fra.
Hvor står I lige nu?
Fratræden er ikke én situation, men flere. Find den, der ligner jeres, før I går i gang. Rækkefølgen af skridt er ikke den samme.
- Medarbejderen har sagt op, men arbejder stadig. Så har I tid til at bevare i stilhed og vælge arbejdsform. → Sagt op og skal til en konkurrent: opsigelsesperioden
- I har besluttet at fritstille. Så er rækkefølgen på selve dagen det vigtigste. → Fritstilling: den rigtige rækkefølge
- I har en mistanke, men medarbejderen er stadig ansat og ved intet. → Beslutningstræ: mistanke mod en medarbejder, der stadig er ansat
- Medarbejderen er stoppet, og mistanken er opstået nu. Så er det denne side, I skal følge.
- I vil vide, om der faktisk er kopieret noget. → Kan vi se, om en medarbejder har kopieret filer?
- I vil undgå, at det sker igen. → Offboarding uden at miste beviser
Er I i tvivl, så følg tidslinjen herunder. Den er skrevet, så den ikke gør skade, uanset hvilken af situationerne I står i.
Time 0-4: Stop alt, der kan slette
De første timer handler kun om én ting: at intet mere forsvinder. Det er IT, der udfører det meste, men det er lederen, der skal give ordren og sige tydeligt, at der ikke skal undersøges noget.
- ☐ Computeren: Tag den ud af brug. Den må ikke geninstalleres eller gives videre.
- ☐ Telefonen: Hold den opladet og tændt, hvis den er tændt. Spær for fjernsletning. → Opbevar telefonen
- ☐ Kontoen: Spær adgangen, men slet den ikke.
- ☐ Postkassen og OneDrive: Må ikke slettes. Bed IT sætte et hold.
- ☐ Backup: Bed IT tage den relevante backup ud af rotation.
- ☐ Automatiske regler: Bed IT stoppe planlagte oprydningsjob, der kan slette fratrådte brugeres data.
Tjek også, om medarbejderen stadig kan komme ind udefra. En spærret adgangskode lukker ikke altid aktive sessioner på telefon og i apps. Bed IT logge brugeren ud af alle enheder og fjerne registrerede enheder, uden at slette noget. → Sessioner og tokens
Fælles konti er et særligt punkt. Har medarbejderen kendt adgangskoden til en fælles postkasse, et kundesystem eller en leverandørportal, skal den skiftes. Notér, hvornår det sker, så det senere kan ses, hvilke handlinger der kan være sket før skiftet.
Ser IT, at kontoen stadig bliver brugt efter fratrædelsen, så er det et spor i sig selv. Lad være med at lukke det i panik, før det er noteret, hvad der er set, og hvornår. → En tidligere medarbejder logger stadig ind
Er computeren allerede afleveret, så sørg for, at den står et sted, hvor ingen tager den i brug. Sæt en seddel på med dato og “må ikke bruges”. Det lyder banalt, men en computer, der står i et fælles lager, bliver let taget af en kollega, der mangler en.
Har I IT-driften hos en ekstern leverandør, så ring til leverandøren nu og bed om en skriftlig bekræftelse på, at kontoen er spærret og bevaret, og at intet slettes. Leverandørens standardprocedure for fratrådte brugere kører ellers af sig selv, og den er sjældent bygget til at bevare spor. → Når IT-driften ligger hos en ekstern leverandør
Time 4-12: Skriv ned, hvad I ved
Når sletningen er stoppet, skal I have styr på det, I ved. Det er typisk HR, der skriver, og lederen, der leverer indholdet. Lav et notat med:
- hvornår medarbejderen stoppede, og hvornår mistanken opstod,
- hvad der konkret har givet mistanke,
- hvilket udstyr medarbejderen havde, med serienumre,
- hvem der har haft udstyret siden,
- om nogen har kigget i udstyret eller postkassen.
Notatet er begyndelsen på kæden af ansvar, altså dokumentationen af, hvem der har haft beviserne, og hvad der er sket med dem. → Kæde af ansvar
Skriv notatet, mens hukommelsen er frisk, og skriv det sagligt. Undgå vurderinger som “vi ved, at medarbejderen har stjålet”. Skriv i stedet, hvad I har set: “En kunde fortalte den 3. marts, at de havde fået et tilbud fra en anden virksomhed med vores priser.” Et sagligt notat er lettere at bruge, hvis det senere bliver et bilag.
Saml også de dokumenter, der allerede findes: ansættelseskontrakt, eventuelle klausuler, fratrædelsesaftale, IT-politik og kvittering for aflevering af udstyr. Advokaten skal bruge dem til at vurdere, hvad I har ret til. Mangler der en kvittering, så skriv ned, hvad der blev afleveret, og hvem der tog imod det. → Aflevering af computer og firmatelefon
Mangler der udstyr, så notér det også nu. Skriv, hvad der mangler, og hvad der er aftalt om afleveringen. Lad være med at rykke hårdt eller true, før advokaten har vurderet sagen. → Medarbejderen vil ikke aflevere udstyret
Time 12-24: Få hjælp
Nu skal der tages en beslutning om ekstern hjælp. Det er lederen, der beslutter, og det er bedre at ringe tidligt end at vente, til I er sikre.
- Advokat: til de juridiske skridt, for eksempel påbud eller fogedforretning, og til at vurdere klausuler.
- IT-sagkyndig: til at sikre udstyr og cloud-data forensisk, så sikringen kan efterprøves af andre.
En kort vurdering koster lidt i forhold til et tabt bevis. Fortæl advokaten og den IT-sagkyndige, hvad I allerede har gjort. Har nogen åbnet computeren eller kigget i mailen, skal det frem nu, ikke senere. Det er sjældent et problem, hvis det er dokumenteret. Det bliver et problem, hvis modparten finder ud af det først.
Hvorfor ikke bare lade jeres egen IT gøre det? Fordi IT-medarbejderen ofte kender den fratrådte, har været med til at håndtere udstyret og kan blive indkaldt som vidne. En uvildig sagkyndig står uden for sagen og kan forklare metoden i retten. Jeres IT er stadig vigtig: det er IT, der kender systemerne, giver adgang og stopper sletningen.
Haster sikringen, fordi data kan forsvinde, så sig det tydeligt. Hastesager koster ekstra hos de fleste rådgivere, også hos Nielco IT. → Pris og tilbud
Vil I læse, hvordan et forløb med en IT-sagkyndig typisk er bygget op for en virksomhed, der mistænker en tidligere medarbejder, så se hjælp til virksomheden, når en medarbejder har taget data.
Time 24-48: Sikring
Den IT-sagkyndige sikrer typisk:
- computeren som forensisk kopi → Forensisk kopi
- telefonen, hvis den er afleveret
- postkasse, OneDrive og Teams
- revisionslog fra Microsoft 365 eller Google Workspace, før den udløber
Først derefter undersøges det, hvad der er sket. Sikringen dokumenteres, så en anden sagkyndig senere kan efterprøve den. I får typisk en liste over det sikrede med kontrolværdier, som I lægger i sagen.
Jeres rolle i disse timer er praktisk. IT skal stå til rådighed med administratoradgang, og nogen skal kunne svare på, hvor udstyret har været. Lederen holder kredsen lille: jo færre der kender til mistanken, jo mindre risiko for, at den når frem til den tidligere medarbejder eller til kolleger, der stadig har kontakt.
Uge 1: Gennemgang og første vurdering
Når sikringen er på plads, går sagen over i en roligere fase. Nu kan der undersøges, fordi der er en kopi at arbejde på. Undersøgelsen bør følge en afgrænset plan: hvilke spørgsmål skal besvares, hvilken periode, og hvilke data. Planen aftales mellem advokaten, lederen og den IT-sagkyndige.
Typiske spørgsmål i den første uge er:
- Er der kopieret filer til USB, privat cloud eller privat mail, og hvornår?
- Er der eksporteret kundelister eller tilbud fra CRM eller fagsystemer?
- Er der slettet mails eller filer lige før fratrædelsen?
- Har medarbejderen haft adgang efter sidste arbejdsdag?
Sletning lige før fratræden er et selvstændigt spor. Det viser ikke i sig selv, at noget er taget med, men det kan være vigtigt i sammenhæng. → Medarbejderen har slettet mails og filer før fratrædelsen
Har sælgeren haft kunderne i et CRM, er eksportloggen ofte det første, der skal ses på. → CRM: medarbejderen har eksporteret kundelisten
Undervejs må I gerne spørge, men lad være med at kommentere sagen over for kolleger eller kunder. Hvad der siges internt, kan blive fremlagt senere. → Hvad siger I til kollegerne?
Måned 1: Beslutning
Efter nogle uger har I typisk et billede, der kan bruges til en beslutning. Der er groft sagt tre udfald:
- Der er ikke fundet noget. Så kan I efter en aftalt periode ophæve bevarelsen og følge jeres normale procedure. Skriv ned, at det er sket, og hvorfor.
- Der er spor, men de er uklare. Så skal advokaten vurdere, om der er grundlag for at gå videre, eller om sagen skal lukkes med en aftale.
- Der er klare spor. Så har advokaten et grundlag for at vurdere næste skridt, for eksempel et påbud, en henvendelse til den tidligere medarbejder eller et forlig om sletning. → Konkurrence- eller kundeklausulen er brudt
Ender sagen med en aftale, hvor den tidligere medarbejder skal slette eller tilbagelevere data, så tænk over, hvordan det skal dokumenteres. En underskrevet erklæring er et udgangspunkt, men den viser ikke i sig selv, at sletningen er sket. → Forlig med medarbejderen: få dokumenteret, at data er slettet
Uanset udfaldet skal I sørge for, at materialet opbevares sikkert og ikke længere end nødvendigt.
Brug også måneden til at se på jeres offboarding, så næste fratrædelse ikke kræver hastværk. De fleste sager bliver lettere, hvis kontoen allerede var bevaret, og computeren stod på hylden.
Fem fristelser, der koster beviser
- “Lad os lige kigge i computeren” · Hver gang I åbner den, ændres tidsstempler og spor.
- “IT kan godt finde ud af det” · Jeres egen IT-medarbejder kan blive vidne og er ikke uvildig.
- “Vi giver computeren til den nye” · Så er sporene overskrevet.
- “Vi sletter kontoen, det plejer vi” · Postkassen og OneDrive forsvinder.
- “Vi konfronterer medarbejderen” · Medarbejderen kan nå at slette de data, der er taget med.
Lad også være med at skrive til kunder eller konkurrenten om sagen, før I har talt med advokaten. En hurtig mail kan advare den forkerte og svække jeres position.
Hvad med det, medarbejderen har med sig?
Har medarbejderen taget data med på en privat enhed eller en privat konto, kan virksomheden ikke selv hente dem. Det kræver juridiske skridt. Tal med jeres advokat.
Det, I kan, er at sikre sporene i jeres egne systemer. De kan ofte vise, at filer er kopieret, synkroniseret eller sendt ud, og hvornår. Det er tit nok til, at advokaten kan vurdere næste skridt. Beviser, der ligger hos den tidligere medarbejder eller hos konkurrenten, er beskrevet for sig. → Beviserne ligger hos modparten
Hvis I allerede er for sent på den
Måske er computeren allerede geninstalleret, eller kontoen er slettet. Det betyder ikke, at sagen er tabt. Der kan stadig være spor andre steder:
- i revisionsloggen, hvis den ikke er udløbet,
- i backup, hvis den ikke er overskrevet,
- i mails hos kolleger og kunder,
- i firewall- og VPN-logs,
- i CRM og andre systemer med egen historik.
Stop yderligere sletning med det samme, og skriv ned, hvad der er sket med udstyret og kontoen, og hvornår. En IT-sagkyndig kan vurdere, hvad der stadig kan sikres. → Computeren blev nulstillet før afleveringen
Ordforklaringer
- Bevarelse (hold): En indstilling i Microsoft 365 eller Google Workspace, der forhindrer, at postkasse og filer slettes, også hvis kontoen lukkes. Ingen læser noget, data ligger bare stille.
- Forensisk kopi: En nøjagtig kopi af en computer eller telefon, lavet så originalen ikke ændres, og så kopien kan kontrolleres bagefter.
- Kontrolværdi: Et tal, der beregnes ud fra en kopi. Ændres der blot én del af kopien, ændres tallet. Den viser, at kopien er uændret siden sikringen.
- Revisionslog: Systemets egen liste over handlinger, for eksempel logins, downloads og delinger. Den gemmes kun en periode, som afhænger af licens og indstillinger.
- Kæde af ansvar: Dokumentationen af, hvem der har haft et bevis, hvornår og hvad der er sket med det.
- Fritstilling: Medarbejderen er stadig ansat i opsigelsesperioden, men skal ikke arbejde. Adgange og udstyr håndteres, som om vedkommende var stoppet.
Kun civile sager
Nielco IT bistår i civile sager, for eksempel om konkurrenceklausuler og forretningshemmeligheder. Overvejer I andre skridt end en civil sag, skal I tale med en advokat om, hvordan det påvirker sagen. → Medarbejder har taget data
Næste skridt
- Medarbejderen har sagt op: tjekliste for opsigelsesperioden
- Luk adgangene med det samme, eller vent?
- Før afskedigelsesmødet: det skal være sikret, inden I siger noget
- Bortvisning: dokumentationen skal ligge klar før beslutningen
Læs også: Konkurrence- eller kundeklausulen er brudt: hvad gør virksomheden nu? · Offboarding-tjekliste for HR og IT: uden at miste beviser
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
