Vor dem Whistleblowing prüfen

Beim Whistleblowing ist die Phase vor dem Drücken der Sendetaste am wichtigsten.

Einmal gesendete Materialien, Nachrichten, Screenshots und Dateien werden von der Empfängerseite gespeichert. Sendezeit, Kommunikationsweg, Dateiname, Erstellerinformationen, Inhalt des Dokuments und Spuren auf dem Gerät werden später zu Material, um den Kreis möglicher Hinweisgeber einzugrenzen.

Beim Whistleblowing kann die Empfängerseite möglicherweise interne Protokolle der Organisation, Zugriffsrechte und Bedienaufzeichnungen einsehen.

Deshalb reicht es nicht, nur den Namen nicht zu schreiben.

Dieser Artikel ordnet die Punkte, die vor dem Whistleblowing geprüft werden sollten, nach Zweck, Materialien, Geräten, Einreichungsziel, Zeit und Beratung.

Den Zweck ordnen

Zuerst ordnet man, wozu die Meldung oder Einreichung dienen soll.

Informationen an eine Redaktion geben, intern melden, eine Behörde konsultieren, ein arbeitsrechtliches Problem besprechen oder Beweise für einen Schaden sichern. Je nach Ziel unterscheiden sich geeignete Gegenüber und Verfahren.

Wenn der Zweck unklar ist, wählt man leicht das falsche Gegenüber oder den falschen Melde- oder Einreichungskanal.

Beim Whistleblowing beeinflusst die Wahl des Gegenübers Anonymität und Sicherheit stark.

Materialien prüfen

In internen Materialien bleiben Informationen außerhalb des eigentlichen Textes zurück.

Ersteller, Bearbeitungsverlauf, Kommentare, Verteilnummern, Dateipfade, interne Begriffe, Wasserzeichen, Ansichtsrechte, Zugriffshistorie. Das sind Hinweise darauf, wer die Materialien hatte oder erstellt hat.

Grundsätzlich sendet man das Original nicht unverändert.

Wenn der Beweiswert wichtig ist, bearbeiten Sie Materialien jedoch nicht unbedacht. Wenn unklar ist, was bearbeitet werden darf, konsultieren Sie eine Anwältin oder einen Anwalt oder die Redaktion auf Empfängerseite.

Gerät und Netzwerk prüfen

Dienstgeräte und Arbeitsplatznetzwerke eignen sich nicht für Whistleblowing.

Auf Firmen-PCs, Dienst-Smartphones, internem Wi-Fi, Firmen-VPN, Dienst-E-Mail und verwalteten Clouds können Bedienprotokolle, Kommunikationsprotokolle, Dateizugriffe, Druckvorgänge und Downloadverläufe zurückbleiben.

Wenn Anonymität wichtig ist, trennt man Gerät, Kommunikationsweg und Konto.

Bei hohem Risiko kann jedoch jeder eigene Versuch zusätzliche Spuren erzeugen. Prüfen Sie zuerst die Anleitungen eines vertrauenswürdigen Kanals.

Interne Organisationsprotokolle annehmen

Beim Whistleblowing denkt man nicht nur an öffentliche Informationen, sondern auch an den Abgleich mit internen Protokollen der Organisation.

Wer hat ein Dokument geöffnet, wer hat gedruckt, wer hat heruntergeladen, wer hat auf externen Speicher zugegriffen? Solche Informationen sind für Außenstehende nicht sichtbar, können aber für Administratoren oder Untersuchungspersonal der Organisation sichtbar sein.

Beim Whistleblowing sieht die Empfängerseite nicht unbedingt nur das veröffentlichte Material.

Man denkt unter der Annahme, dass es mit Aufzeichnungen über die Personen abgeglichen wird, die das Material berührt haben.

Einreichungsziel prüfen

Beim Whistleblowing ist wichtig, ob das Ziel die Informationen sicher empfangen kann.

Einige Redaktionen und NGOs stellen eigene Kanäle für anonyme Hinweise bereit. SecureDrop und GlobaLeaks sind Mechanismen, die als solche Kanäle genutzt werden.

SecureDrop ist ein Open-Source-System, mit dem Redaktionen und NGOs anonyme Hinweise entgegennehmen können.

URL : https://securedrop.org/

GlobaLeaks ist freie und quelloffene Software zum Aufbau von Whistleblowing-Plattformen.

URL : https://globaleaks.org/

Wichtig ist zu prüfen, ob es sich um den offiziellen Melde- oder Einreichungskanal handelt.

Vertrauen Sie Links aus Suchergebnissen oder sozialen Netzwerken nicht unverändert, sondern prüfen Sie die Hinweise auf der offiziellen Seite der Redaktion oder Organisation.

Prüfen, ob der Inhalt mögliche Hinweisgeber eingrenzt

Auch wenn Materialien technisch bereinigt werden, kann der Inhalt den Kreis möglicher Hinweisgeber eingrenzen.

Wenn "nur drei Personen dieses Material sehen konnten", "nur Personen in dieser Besprechung davon wussten" oder "die Formulierungen dieser Abteilung zurückgeblieben sind", bleibt es gefährlich, selbst wenn Metadaten entfernt wurden.

Wenn man Inhalte zu stark verallgemeinert, kann jedoch der Beweiswert sinken.

Was verborgen und was erhalten bleibt, entscheidet man sicherer in Absprache mit der Empfängerseite oder Fachleuten.

Auch Verhalten nach dem Senden bedenken

Whistleblowing endet nicht in dem Moment, in dem etwas gesendet wurde.

Direkt nach dem Senden zugehörige Dokumente löschen, sich am Arbeitsplatz unnatürlich verhalten, mit anderen darüber sprechen, in sozialen Netzwerken andeuten. Auch solche Handlungen werden Material für Korrelation.

Vor dem Senden legt man auch fest, wie nach dem Senden Kontakt gehalten wird und wie oft man prüft.

Bedingungen zum Anhalten am Ende

Wenn eine der folgenden Bedingungen zutrifft, hält man die Einreichung an.

Whistleblowing ist hochriskant.

Wenn Sie unsicher sind, konsultieren Sie jemanden, bevor Sie senden.

Zusammenfassung

Vor dem Whistleblowing prüft man Zweck, Materialien, Gerät, Kommunikationsweg, Einreichungsziel und Zeitpunkt der Veröffentlichung.

Auch ohne Namensnennung wird der Kreis möglicher Hinweisgeber durch Dokumentmetadaten, interne Begriffe, Verteilerkreis, Zugriffsprotokolle und Sendezeit enger.

Kanäle wie SecureDrop und GlobaLeaks sind praktische Optionen, aber Werkzeuge allein stellen keine Sicherheit her. Man prüft den offiziellen Kanal und verwaltet auch die Korrelation von Geräten, Materialien und Verhalten.

Wenn rechtliche Risiken oder Gefahr für die eigene Sicherheit bestehen, entscheiden Sie nicht allein, sondern konsultieren Sie eine Anwältin oder einen Anwalt, eine Unterstützungsorganisation, eine vertrauenswürdige Redaktion oder andere geeignete Stellen.

Verwandte Werkzeuge

Verwandte Artikel