IT-Sicherheit in der Kanzlei: § 203 StGB kennt kein »Das wussten wir nicht«
Mandantendaten im OneDrive-Sync, Entwürfe per WhatsApp, Schriftsätze als offener Mail-Anhang: In vielen Kanzleien liegt das Berufsgeheimnis auf Servern, die niemand geprüft hat. § 203 StGB kennt dafür kein »Das wussten wir nicht«. Was jetzt zu tun ist – ohne Panik, mit Plan.
Der Schriftsatz geht als Word-Anhang raus, unverschlüsselt, an die private Gmail-Adresse des Mandanten. Die Antwort kommt per WhatsApp, mit Foto vom Personalausweis. Und der Ordner »Mandate« synchronisiert sich seit Monaten in eine US-Cloud, weil OneDrive auf dem Kanzleirechner eben mitläuft.
Alles Alltag in deutschen Kanzleien. Und alles ein Problem.
Denn Anwälte, Steuerberater und Notare unterliegen dem Berufsgeheimnis nach § 203 StGB. Strafbewehrt, nicht als Empfehlung. Der Paragraf fragt nicht, ob Sie es gut gemeint haben. Er fragt, wer auf Mandantengeheimnisse zugreifen konnte.
Haftet dafür der Cloud-Anbieter? Nein. Die Kanzlei. Also Sie.
Was »Offenbaren« im IT-Alltag bedeutet
§ 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe, bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. »Offenbaren« klingt nach aktivem Ausplaudern am Stammtisch. Im IT-Kontext reicht deutlich weniger: Wer Mandantendaten so ablegt, dass unbefugte Dritte darauf zugreifen können, hat ein Problem, das über schlechten Stil weit hinausgeht.
Dabei dürfen Kanzleien durchaus externe Dienstleister einbeziehen: den IT-Betreuer, das Rechenzentrum, den Software-Anbieter. Der Gesetzgeber hat das ausdrücklich geregelt. Aber eben nicht beiläufig. Der Dienstleister muss sorgfältig ausgewählt und zur Verschwiegenheit verpflichtet werden. Ein Haken unter den AGB eines US-Konzerns ist keine Verschwiegenheitsverpflichtung. Es ist ein Haken.
Übersetzt heißt das: Sie dürfen sich helfen lassen. Sie müssen nur belegen können, von wem, mit welchen Daten und auf welcher Grundlage.
Wo Mandantendaten liegen, ohne dass es je jemand entschieden hat
Die gefährlichsten Ablagen sind nicht die, die Sie eingerichtet haben. Es sind die, die sich eingeschlichen haben. Die üblichen Fundorte:
| Fundort | Wie die Daten dorthin kommen | Warum es ein Problem ist |
|---|---|---|
| Mail-Anhänge | Schriftsätze, Bescheide, Atteste gehen unverschlüsselt per E-Mail raus | Eine unverschlüsselte Mail ist eine Postkarte. Kopien liegen auf jedem Server dazwischen. |
| OneDrive- oder Dropbox-Sync | Der vorinstallierte Sync-Client nimmt den Mandatsordner ungefragt mit | Mandantenakten bei einem US-Anbieter, ohne Entscheidung, ohne Verschwiegenheitsverpflichtung |
| WhatsApp mit Mandanten | »Schicken Sie mir das doch schnell rüber« | Der Adressbuch-Abgleich überträgt Kontaktdaten an Meta, und die Mandatsbeziehung selbst wird sichtbar |
| Private Geräte | Akten werden abends am privaten Tablet gelesen | Keine Kontrolle über Backups, Familienzugriff und App-Berechtigungen |
| Scanner und Diktier-Apps | Das Multifunktionsgerät scannt in die Hersteller-Cloud, die Diktier-App transkribiert auf fremden Servern | Den Datenweg hat nie jemand geprüft, oft nicht einmal bemerkt |
Der gemeinsame Nenner: Keine dieser Ablagen stand je auf einer Entscheidungsvorlage. Sie sind passiert. Und genau das macht sie so gefährlich, denn für Datenwege, die niemand kennt, lässt sich keine Sorgfalt belegen.
Doppelte Haftungsebene: Berufsrecht plus DSGVO
Mandantendaten sind fast immer auch personenbezogene Daten. Damit greift neben dem Strafrecht die DSGVO, mit eigenen Pflichten: angemessene technische Schutzmaßnahmen, Verträge zur Auftragsverarbeitung mit jedem Dienstleister, Meldepflicht bei Datenpannen binnen 72 Stunden.
Zwei Ebenen, die unabhängig voneinander zuschlagen können: Berufs- und Strafrecht auf der einen Seite, Datenschutzaufsicht und Bußgelder auf der anderen. Dazu der Mandant, der einer Kanzlei nach einer Datenpanne nie wieder etwas anvertraut. IT-Sicherheit ist in der Kanzlei deshalb keine Technikfrage. Sie ist eine Haftungsfrage.
Und die US-Cloud? US-Anbieter unterliegen US-Gesetzen, die Behördenzugriff auch auf Daten in europäischen Rechenzentren ermöglichen. Ein solcher Anbieter kann Ihnen gar nicht zusichern, was das Berufsrecht verlangt. Warum Firmendaten grundsätzlich nichts auf US-Servern verloren haben, lesen Sie hier im Detail nach. Für Kanzleien gilt das doppelt.
Der saubere Stack: drei Bausteine
Es braucht kein Rechenzentrum im Keller. Es braucht drei Dinge, die zusammenpassen.
1. Kanzleisoftware mit klarem Datenstandort
Ob die Akten lokal auf dem Kanzleiserver liegen oder im Rechenzentrum des Fachanbieters, ist zweitrangig. Erstrangig ist: Sie wissen, wo. Der Anbieter sitzt in Deutschland, ist vertraglich zur Verschwiegenheit verpflichtet, und Sie haben das schriftlich.
2. Verschlüsselte Mandantenkommunikation
Der offene Mail-Anhang ist der Standardweg, auf dem Mandantengeheimnisse die Kanzlei verlassen. Die Alternative: ein Mandantenportal oder ein passwortgeschützter Datenraum auf eigener oder deutscher Infrastruktur. Der Mandant bekommt einen Link, die Datei bleibt auf Ihrem Server. Für den Schriftverkehr mit Gerichten gibt es das beA, das besondere elektronische Anwaltspostfach. Zwischen Anwälten trägt es weiter: Ist die Gegenseite anwaltlich vertreten, läuft der Weg ganz regulär beA zu beA. Nur haben Ihre Mandanten kein beA, und die meisten Gutachter und sonstigen Dritten auch nicht. Deren Kommunikation deckt es nicht ab, und genau dort passieren die Pannen.
3. Daten in Deutschland
Mail-Hosting, Dateiablage, Backups: alles zu Anbietern mit Sitz und Servern in Deutschland, oder gleich auf eigene, betreute Infrastruktur. Wie so ein digitales Büro ohne US-Abhängigkeiten aussieht, richte ich regelmäßig für kleine Teams ein. Kanzleien inklusive.
So gehen Sie es an
- Bestandsaufnahme: Auf welchen Geräten, in welchen Diensten liegen heute Mandantendaten? Jeder Rechner zählt, jedes Handy, jeder Sync-Client.
- Abflüsse stoppen: Cloud-Syncs deaktivieren oder auf eine saubere Ablage umziehen, WhatsApp raus aus der Mandatskommunikation.
- Dienstleisterliste prüfen: Von jedem Anbieter Verschwiegenheitsverpflichtung und Vertrag zur Auftragsverarbeitung einsammeln, oder den Anbieter ersetzen.
- Einen verschlüsselten Kanal für Mandanten einrichten und aktiv anbieten, nicht nur dulden.
- Das Team einweisen. Der beste Kanal nützt nichts, wenn der Schriftsatz am Ende doch als Anhang rausgeht.
Nicht jede Kanzlei braucht einen neuen Stack
Die ehrliche Gegenprobe: Läuft Ihre Kanzleisoftware bei einem deutschen Fachanbieter, dient E-Mail nur für Terminabsprachen, wohnt kein Cloud-Sync auf den Rechnern und besteht Ihr Team aus drei Leuten, die das alles im Kopf haben, dann brauchen Sie keinen neuen Stack. Sondern eine dokumentierte Bestandsaufnahme und ein paar Handgriffe. Das sage ich Ihnen dann auch genau so, statt Ihnen ein Projekt aufzuschwatzen, das Sie nicht brauchen. Auch »passt im Wesentlichen« zählt als Befund. Aber erst, nachdem jemand nachgesehen hat. Nicht aus dem Bauch heraus.
Die eine Frage, die zählt
Wissen Sie in diesem Moment, wo überall Mandantendaten liegen und wer darauf zugreifen könnte? Zögert die Antwort, ist genau das der blinde Fleck, den § 203 nicht verzeiht. Das Erstgespräch beantwortet die Frage: Ich gehe Ihre Kanzlei-IT mit Ihnen durch, benenne die offenen Datenwege und trenne das Dringende vom Kann-warten. Kostenlos, bundesweit per Bildschirmübertragung. Und Sie reden dabei mit dem, der den Umbau anschließend selbst umsetzt.
