Kanzleien verwalten hochsensible Mandantendaten und unterliegen der berufsrechtlichen Schweigepflicht – ein erfolgreicher Angriff ist hier nicht nur ein IT-Problem, sondern ein Haftungsfall. Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind keine Großprojekte. Diese fünf Punkte setze ich bei Kanzlei-Kunden zuerst um. Danach zeige ich, welche IT-Pflichten eine Kanzlei nach Berufsrecht und DSGVO hat.
1. Zwei-Faktor-Authentifizierung überall aktivieren
Gestohlene Passwörter sind der häufigste Einstiegspunkt für Angreifer. Mit einem zweiten Faktor – App-Bestätigung oder Hardware-Schlüssel – wird ein gestohlenes Passwort weitgehend wertlos. Priorität haben E-Mail-Konten, Microsoft 365, Kanzleisoftware und das VPN. Der Aufwand liegt bei wenigen Stunden, der Sicherheitsgewinn ist enorm.
Sie möchten das in Ihrer Firma angehen?
Schreiben Sie mir kurz oder rufen Sie an. Ich melde mich werktags innerhalb von 24 Stunden.
2. Updates konsequent und zeitnah einspielen
Die meisten erfolgreichen Angriffe nutzen Sicherheitslücken aus, für die es längst Updates gibt. Windows, Kanzleisoftware, Browser, Router und NAS-Systeme brauchen einen festen Update-Rhythmus – idealerweise automatisiert und überwacht, damit kein Gerät durchrutscht.
3. Backups nach der 3-2-1-Regel
Ransomware verschlüsselt heute gezielt auch erreichbare Backups. Deshalb: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine außer Haus und vom Netz getrennt. Genauso wichtig: die Wiederherstellung regelmäßig testen. Ein Backup, das nie getestet wurde, ist nur eine Hoffnung.
4. Das Team gegen Phishing schulen
Die beste Technik hilft nicht, wenn eine täuschend echte 'Mandanten-E-Mail' zum Klick verleitet. Kurze, regelmäßige Schulungen mit echten Beispielen senken die Klickrate drastisch. Wichtig ist eine Kultur, in der Verdachtsfälle sofort und ohne Schuldzuweisung gemeldet werden.
5. Verschlüsselung und Zugriffsrechte prüfen
Notebooks und Smartphones gehören vollverschlüsselt (BitLocker ist bei Windows Pro dabei), Mandantenkommunikation per E-Mail mindestens transportverschlüsselt. Und intern gilt das Need-to-know-Prinzip: Nicht jede Person in der Kanzlei braucht Zugriff auf jede Akte. Saubere Berechtigungen begrenzen den Schaden, falls doch einmal ein Konto kompromittiert wird.
Welche IT-Pflichten hat eine Kanzlei?
Die fünf Maßnahmen oben sind gute Praxis. Ein Teil davon ist für Kanzleien aber schlicht Pflicht, denn Berufsrecht, Strafrecht und Datenschutz stellen konkrete Anforderungen an die IT. Die folgende Übersicht ordnet die wichtigsten Vorschriften aus Sicht der IT-Praxis ein; eine rechtliche Prüfung im Einzelfall ersetzt sie nicht.
- Verschwiegenheit (§ 43a Abs. 2 BRAO, § 203 StGB): Die Schweigepflicht erfasst alles, was Ihnen in Ausübung des Berufs bekannt wird, also auch jede Akte auf dem Server und jede Mail im Postfach. Ihre Beschäftigten müssen Sie in Textform zur Verschwiegenheit verpflichten und dabei über die strafrechtlichen Folgen einer Pflichtverletzung belehren. Wer ein Mandatsgeheimnis unbefugt offenbart, macht sich nach § 203 StGB strafbar.
- Externe IT-Dienstleister (§ 43e BRAO, § 203 Abs. 3 und 4 StGB): Seit der Reform von 2017 regelt § 43e BRAO, wann Sie Dienstleistern wie der IT-Betreuung, der Fernwartung oder einem Cloud-Anbieter Zugang zu Mandatsgeheimnissen gewähren dürfen: nur soweit es für deren Leistung erforderlich ist. Den Dienstleister müssen Sie sorgfältig auswählen, und der Vertrag braucht Textform. Er muss ihn zur Verschwiegenheit verpflichten und über die strafrechtlichen Folgen belehren, den Zugriff auf das Nötige beschränken und festlegen, ob er weitere Personen wie Subunternehmer einsetzen darf. Wird die Leistung im Ausland erbracht, muss der Geheimnisschutz dort mit dem deutschen vergleichbar sein. Fehlt die Verpflichtung und offenbart eine mitwirkende Person später ein Geheimnis, droht nach § 203 Abs. 4 StGB auch Ihnen Strafe.
- Sicherheit der Verarbeitung (Art. 32 DSGVO): Die DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind und den Stand der Technik berücksichtigen. Ausdrücklich genannt werden unter anderem Verschlüsselung, die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren, um die Wirksamkeit der Maßnahmen regelmäßig zu überprüfen. Kann ein IT-Dienstleister bei Wartung oder Fernwartung auf personenbezogene Daten zugreifen, werten die Datenschutzaufsichtsbehörden das als Auftragsverarbeitung. Dann gehört zusätzlich ein Vertrag nach Art. 28 DSGVO dazu.
- beA (§ 31a Abs. 6 BRAO, § 130d ZPO): Seit 2018 müssen Sie die technischen Einrichtungen für Ihr besonderes elektronisches Anwaltspostfach vorhalten und Zustellungen darüber zur Kenntnis nehmen. Seit 2022 reichen Anwältinnen und Anwälte Schriftsätze bei Gericht grundsätzlich elektronisch ein, im Zivilprozess nach § 130d ZPO, in den anderen Verfahrensordnungen nach ähnlichen Regeln. Fällt die Technik vorübergehend aus, bleibt die Einreichung auf herkömmlichem Weg zulässig, die Störung muss aber glaubhaft gemacht werden. Ein streikender Kartenleser am Tag des Fristablaufs ist damit mehr als ein IT-Problem.
Was das für die IT im Kanzleialltag bedeutet
Aus den Pflichten folgen wenige, aber feste Routinen. Vieles davon decken die fünf Maßnahmen oben bereits ab, der Rest ist Organisation und Dokumentation, wie sie zu einer laufenden Sicherheitsbetreuung ohnehin dazugehört.
- Mit jedem IT-Dienstleister, der an Ihre Systeme kommt, eine Verschwiegenheitsvereinbarung nach § 43e BRAO und einen Vertrag zur Auftragsverarbeitung abschließen. Das gilt auch für Fernwartung, Cloud-Speicher und den Support der Kanzleisoftware.
- Alle Beschäftigten in Textform zur Verschwiegenheit verpflichten, auch Auszubildende und Aushilfen, und die Erklärungen aufbewahren.
- Bei Cloud-Diensten prüfen, wo die Daten verarbeitet werden und welche Unterauftragnehmer beteiligt sind.
- Das beA an jedem Arbeitsplatz testen, an dem Fristen bearbeitet werden: Karte oder Softwarezertifikat, Kartenleser, aktuelle beA Client Security, Rechte für Mitarbeitende und Vertretungen. Und festlegen, wer den Posteingang täglich prüft.
- Die technischen Maßnahmen dokumentieren und regelmäßig überprüfen, zum Beispiel einmal im Jahr; dieses Verfahren nennt Art. 32 DSGVO ausdrücklich. Einen ersten Überblick liefert der kostenlose IT-Sicherheits-Check mit zehn Fragen.
Diese fünf Maßnahmen sind in den meisten Kanzleien innerhalb weniger Tage umsetzbar und decken die häufigsten Angriffswege ab. Wenn Sie wissen möchten, wo Ihre Kanzlei steht: Ich führe eine kompakte Bestandsaufnahme durch und priorisiere die Maßnahmen nach Risiko und Aufwand.