Kuratorens digitale bo

Et konkursbo har i dag næsten altid en digital del: servere, cloudtjenester, mailkonti, regnskabssystem, hjemmeside. Den største risiko er ikke, at nogen sletter data med vilje. Det er, at abonnementer stopper, fordi ingen betaler. Når regningen ikke betales, lukker udbyderen kontoen, og efter en periode slettes dataene. Derfor er rækkefølgen afgørende: først adgang og overblik, så de tjenester, der lukker først, og til sidst den grundige sikring.

Kurators beføjelser og pligter, og hvad der hører til boet, er advokatens felt.

Nielco IT tager kun civile sager, ikke straffesager.

De første dage: spørgsmål til ledelsen og IT-leverandøren

Det første møde med den tidligere ledelse og en eventuel ekstern IT-leverandør er ofte den bedste kilde til overblik. Spørg konkret:

Hvilke systemer brugte virksomheden til mail, dokumenter, regnskab, salg og produktion?
Hvem er administrator i hvert system, og hvor er adgangskoder og tofaktorenheder?
Hvilke servere står fysisk i virksomheden, og hvilke ligger hos en hostingudbyder?
Hvem ejer domænet, og hvor er det registreret?
Er der en backup, hvor ligger den, og hvem kan gendanne fra den?
Har nogen slettet, flyttet eller kopieret data i tiden op til konkursen?
Har IT-leverandøren selv et udestående med virksomheden?

Det sidste er vigtigt. En IT-leverandør med ubetalte regninger kan være tilbageholdende med at udlevere adgang eller data. Afklar det tidligt, så det ikke forsinker sikringen.

Notér svarene skriftligt. Hvis oplysningerne senere viser sig at være forkerte eller ufuldstændige, kan det i sig selv være relevant.

Trin 1: Få kontrol over adgangen

Uden adgang kan intet sikres.

Skaf en liste over administratorkonti, adgangskoder og tofaktorenheder fra ledelsen eller IT-leverandøren.
Skift adgangskoder på centrale administratorkonti, så tidligere ledelse eller medarbejdere ikke kan ændre eller slette.
Sørg for, at tofaktorkoder går til en telefon eller nøgle, boet kontrollerer.
Notér, hvem der havde adgang, og hvornår den blev ændret.

Skift ikke adgang i blinde. Sikr først, hvis det er muligt, en oversigt over eksisterende brugere og deres rettigheder. Den viser, hvem der havde adgang før konkursen, og kan være relevant i en senere tvist. Luk også aktive sessioner og app-adgange, ikke kun adgangskoder. En tidligere bruger kan være logget ind på en telefon længe efter, at koden er skiftet. → Sessioner, tokens og loginlogs

Trin 2: Kortlæg abonnementer og deres udløb

Brug bankudtog og kreditkortudtog til at finde alle tilbagevendende betalinger. De viser ofte tjenester, som ingen har nævnt.

Microsoft 365 eller Google Workspace · Konto suspenderes, data slettes efter en periode
Cloudservere og hosting · Servere slukkes og slettes kort efter manglende betaling
Regnskabssystem i cloud · Adgang lukkes, eksport bliver svær
Domæne · Udløber, og mail og hjemmeside forsvinder
Backup-tjeneste · Opbevaring stopper
CRM og andre fagsystemer · Konto lukkes

→ Hvor længe gemmes data?

Prioritér efter, hvad der lukker først, og hvad der er vigtigst for boet. Overvej at betale de mest kritiske abonnementer en kort periode, indtil data er sikret.

Kontakt udbyderne direkte og spørg, hvornår kontoen lukkes, og hvor længe data bevares efter lukning. Vilkårene varierer, og de står sjældent tydeligt i aftalen. Få svaret skriftligt.

Trin 3: Sikr i den rigtige rækkefølge

Cloudservere og hosting: Kan forsvinde hurtigst. Tag en kopi eller et snapshot, og eksportér det. → Virtuelle maskiner og servere
Regnskab og bogføring: Fuld eksport, inklusive bilag og log. → Bevissikring af regnskabssystemer
Mail og dokumenter: Eksport af postkasser og fællesdrev. → Bevissikring af mail i Microsoft 365
Revisionslog: Før den udløber. → Unified Audit Log i Microsoft 365
CRM og fagsystemer: Eksport af kunder, ordrer og historik. → Bevissikring af CRM-systemer
Fysiske servere, computere og telefoner: Forensisk kopi af de enheder, der kan være relevante. → Hvad er en forensisk kopi?
Domæne og hjemmeside: Forny domænet, og sikr hjemmesiden.

Rækkefølgen er et udgangspunkt. Har bankudtogene vist, at et bestemt abonnement lukker om få dage, rykker det frem.

Hvad en eksport kan og ikke kan vise

En eksport fra et regnskabssystem viser posteringerne, som de står nu. Den viser ikke nødvendigvis, om en postering er ændret eller slettet. Det kræver systemets egen ændringslog, hvis den findes, og den skal ofte bestilles særskilt. Tilsvarende viser en postkasseeksport de mails, der er tilbage. Slettede mails kan i nogle tilfælde gendannes fra en tilbageholdelsesperiode i tjenesten, men kun hvis det sker i tide. → Data der forsvinder

Trin 4: Dokumentér

Senere tvister om omstødelse, ledelsesansvar eller fordringer kan bygge på de samme data. Dokumentationen bør derfor kunne holde i en retssag:

hvad der er sikret, hvornår og af hvem,
hashværdier for de sikrede data, → Hashværdier forklaret
hvilke konti der er ændret, og hvornår,
hvad der ikke kunne sikres, og hvorfor.

→ Kæde af ansvar

Data uden for virksomhedens systemer

Ikke alle relevante data ligger i virksomhedens egne systemer. I mindre virksomheder er det almindeligt, at ledelsen har brugt private telefoner, private mailkonti eller beskedtjenester til forretningen. Det kan også være bogholderen eller revisoren, der har de seneste kopier af regnskabsdata.

Spørg derfor konkret:

Er der brugt private mailkonti eller telefoner til forretningskorrespondance?
Er der aftaler, tilbud eller betalingsgodkendelser, der er sendt via beskedtjenester?
Har eksterne rådgivere som revisor, bogholder eller advokat kopier af data, der ikke længere findes i virksomheden?
Er der filer i private cloudkonti, for eksempel delte mapper med bilag?

Data på private enheder og konti kan boet ikke uden videre tilgå. Men det er værdifuldt at vide, at de findes, så der kan anmodes om bevarelse, før de forsvinder. Hos eksterne rådgivere er det ofte enklere, fordi data typisk kan udleveres som en eksport fra deres systemer. → Tjekliste for kurator: den første uge

Salg af udstyr og virksomhedsdata

Når boets computere og servere sælges, følger data med, medmindre de slettes forsvarligt. Det rejser to spørgsmål: Er relevante data sikret først? Og er personoplysninger og forretningsdata slettet, før udstyret forlader boet? Aftal med køber eller opkøber, hvem der sørger for sletning, og få det dokumenteret.

Sælges virksomhedens kundedata, domæne eller systemer som aktiv, bør det fremgå, hvilke data der overdrages, og hvilke boet beholder som dokumentation.

Typiske faldgruber

Udstyr sælges, før det er sikret.
Tidligere ledelse har stadig administratoradgang.
Domænet udløber, og mails til boet går tabt.
Kun regnskabet sikres, mens mail og log, der kan forklare posteringerne, slettes.
Personoplysninger opbevares længere end nødvendigt. → GDPR og bevisførelse
Adgangskoder skiftes, før det er registreret, hvem der havde adgang.
Backup antages at findes, men er aldrig testet. Den viser sig at være ufuldstændig, når den skal bruges. → Backup som bevis