Checkliste vor der Veröffentlichung für Whistleblower

Vor dem Veröffentlichen oder Einreichen von Whistleblowing-Material sollten Bedrohungsmodell, Dateien, Cloud-Verlauf, Geräte, Ziel und Verhalten danach geprüft werden.

Checkliste vor der Veröffentlichung: für Hinweisgebende

Vor einer Veröffentlichung im Zusammenhang mit Whistleblowing gibt es viele Punkte zu prüfen.

Inhalt der Unterlagen, Dateimetadaten, Cloud-Verlauf, Spuren von Drucken und Scannen, Einreichungsziel, rechtliche Risiken und Verhalten nach der Veröffentlichung. Ein einziges übersehenes Detail kann auf die hinweisgebende Person oder ihr Umfeld zurückführen.

Diese Checkliste soll verhindern, dass man unmittelbar vor dem Senden oder Veröffentlichen aus dem Moment heraus weitermacht.

Sie ist keine Rechtsberatung. Bei hohem Risiko sollten Sie zuerst vertrauenswürdige Fachleute oder Beratungsstellen in Betracht ziehen.

Das Bedrohungsmodell prüfen

Zuerst prüft man, vor wem was geschützt werden soll.

Es ist gefährlich, mit einem unklaren Bedrohungsmodell zu senden.

Beim Whistleblowing verfügt die Gegenseite über interne Informationen. Auch Informationen, die externe Leserinnen und Leser nicht verstehen, können der Organisation bekannt sein. Wer die Unterlagen sehen kann, wer in dieser Besprechung war und wer zu dieser Zeit ein Gerät benutzt hat, kann die Gegenseite unter Umständen über Protokolle prüfen.

Deshalb betrachtet man im Bedrohungsmodell nicht nur, ob "die Öffentlichkeit" etwas erfährt. Man überlegt, was Administratoren der Organisation, Vorgesetzte, Rechtsabteilung, Revision, IT-Abteilung und externe Untersuchungsfirmen sehen können.

Unterlagen prüfen

Als Nächstes prüft man die einzureichenden Unterlagen.

Man betrachtet nicht nur den Text, sondern auch Dateinamen, Ersteller, Organisationsnamen, Versionsnummern, Kommentare, Änderungsverlauf, Wasserzeichen und Dokumentnummern.

Die Bearbeitung von Unterlagen kann den Beweiswert beeinflussen.

Wenn Sie unsicher sind, klären Sie dies mit dem Einreichungsziel oder mit Fachleuten.

Unterlagen werden sowohl anhand des Inhalts als auch anhand der Dateiinformationen geprüft. Selbst wenn Namen aus dem Text entfernt werden, kann die Herkunft sichtbar werden, wenn Erstellerinformationen, Kommentare, Änderungsverlauf, Dokumentnummern, Wasserzeichen oder Verteiler zurückbleiben. Eine Umwandlung in PDF macht eine Datei nicht unbedingt sicher.

Auch der Inhalt selbst ist ein Hinweis. Besprechungen mit wenigen Personen, nur begrenzt verteilte Unterlagen, Bildschirmansichten bestimmter Systeme und Fotos, die nur vor Ort aufgenommen werden konnten, zeigen, wer Kenntnis haben konnte. Für die Veröffentlichung passt man Details an, die zur hinweisgebenden Person zurückführen, während der Kern der Tatsachen erhalten bleibt.

Cloud und Geräte prüfen

Auch die Orte, an denen die Unterlagen gehandhabt wurden, werden geprüft.

Man sieht nach, ob in Arbeits-Clouds, internen Geräten, Arbeitsplatz-Wi-Fi, privaten Clouds, Synchronisierungsordnern oder Backups Spuren zurückbleiben.

Beim Whistleblowing können Handlungen vor dem eigentlichen Senden zum Problem werden.

Vor dem Senden der Unterlagen erinnert man sich, wo man sie berührt hat. Wurden sie auf einem Arbeitsplatzgerät geöffnet? Wurden sie aus einer Arbeits-Cloud heruntergeladen? Wurden sie gedruckt? Wurden sie mit einem Smartphone fotografiert? Wurden sie in eine private Cloud verschoben?

Diese Prüfung dient nicht dazu, vergangenes Verhalten vollständig zu löschen. Sie dient dazu, zu verstehen, von wo aus nach der Veröffentlichung Verdacht entstehen kann, und Inhalt oder Einreichungsziel anzupassen.

Einreichungsziel prüfen

Das Einreichungsziel steht in engem Zusammenhang mit Anonymität und Sicherheit.

Ein anonymes Formular allein reicht nicht für die Annahme aus, dass es sicher ist.

Man prüft, wer es betreibt.

Je nach Einreichungsziel ändert sich, welcher Schutzbereich besteht. Redaktionen, Anwältinnen und Anwälte, Hinweisgeber-Meldestellen, interne Anlaufstellen und NGOs unterscheiden sich bei handhabbaren Inhalten, Geheimhaltungsmechanismen, Antwortwegen und Protokollrichtlinien. Beim Whistleblowing ist die Wahl des Einreichungsziels ein zentraler Teil des Risikomanagements.

Man prüft auch, ob zunächst nur eine Zusammenfassung besprochen werden kann, ohne von Anfang an alles zu senden. Falls eine Identitätsprüfung erforderlich ist, prüft man Zweck, Aufbewahrungsfrist und zugriffsberechtigte Personen.

Verhalten nach der Veröffentlichung prüfen

Nach dem Senden und nach der Veröffentlichung läuft das Risiko weiter.

Übermäßige Reaktionen auf Reaktionen innerhalb der Organisation, Andeutungen in sozialen Netzwerken, Gespräche mit Kolleginnen und Kollegen oder das eilige Nachreichen zusätzlicher Informationen werden zu Korrelationsmaterial.

Whistleblowing endet nicht im Moment des Sendens.

Man plant auch das Verhalten nach der Veröffentlichung.

Nach der Veröffentlichung entstehen Reaktionen innerhalb der Organisation. Wenn man dann plötzlich das Verhalten ändert, Beteiligte kontaktiert, in sozialen Netzwerken Andeutungen macht oder überstürzt zusätzliche Informationen sendet, nimmt die Korrelation zu. Auch das Verhalten nach der Veröffentlichung kann von denen beobachtet werden, die nach der hinweisgebenden Person suchen.

Kriterien für das letzte Anhalten

Wenn das Ergebnis der Prüfung ein hohes Risiko zeigt, hält man an. Es gibt keine anderen Kandidaten als einen selbst. Die Herkunft der Unterlagen ist zu eng. Die Verwaltung des Einreichungsziels ist unklar. Das rechtliche Risiko ist nicht verstanden. Familie oder Kolleginnen und Kollegen sind betroffen.

Anzuhalten ist kein Scheitern. Beim Whistleblowing kann Nicht-Eilen zur Sicherheit beitragen.

Wenn nach der Checkliste unklare Punkte bleiben, behandelt man sie als "nicht geprüft". Mit einem "wahrscheinlich in Ordnung" geht man nicht weiter. Man entscheidet sich für Prüfen, Informationen reduzieren, Einreichungsziel ändern, Beratung suchen oder Senden verzögern. Eine Sendung, bei der Zweifel bleiben, ist vor der Veröffentlichung ein Grund zum Anhalten.

Zusammenfassung

Bei der Checkliste vor der Veröffentlichung für Hinweisgebende prüft man Bedrohungsmodell, Unterlagen, Cloud-Verlauf, Geräte, Einreichungsziel und Verhalten nach der Veröffentlichung.

Nicht nur der Text, sondern auch Erstellerinformationen, Änderungsverlauf, Dokumentnummern, Versionsnummern, Druckprotokolle und Cloud-Verlauf werden zu Hinweisen.

Auch die Vertrauenswürdigkeit des Einreichungsziels ist wichtig.

Man prüft, wer es betreibt, was aufgezeichnet wird und wer lesen kann.

Wenn es viele Punkte gibt, bei denen Sie unsicher sind, halten Sie vor dem Senden an. Bei hochriskantem Whistleblowing kann Eile der größte Fehler sein.

Verwandte Werkzeuge

Verwandte Artikel

• Hinweisgeber —Vor dem Whistleblowing prüfen
• Hinweisgeber —Erstellerinformationen in Dokumenten, PDFs und Office-Dateien
• Hinweisgeber —Die für Whistleblower nötige Denkweise zur Anonymität
• Hinweisgeber —Veröffentlichungszeiten, die man beim Whistleblowing vermeiden sollte
• Hinweisgeber —Was Whistleblower vor der Nutzung von Einreichungswerkzeugen prüfen sollten
• Hinweisgeber —Das Bedrohungsmodell, das man beim Whistleblowing zuerst bedenken sollte