Dateifreigabe für Kanzleien: Sicherheit und Compliance

Die BRAK (Bundesrechtsanwaltskammer) hat in ihren Grundsätzen zur anwaltlichen Schweigepflicht klargestellt: Rechtsanwälte sind verpflichtet, Mandantendaten durch geeignete technische Maßnahmen zu schützen – einschließlich der Kommunikation per E-Mail und Dateiübertragung. Kanzleien, die Mandantendateien unverschlüsselt übertragen, riskieren berufsrechtliche Maßnahmen und zivilrechtliche Haftung. In der Praxis bedeutet sichere Dateifreigabe für Kanzleien: TLS 1.3 während der Übertragung, AES-256-GCM im Ruhezustand, zugangskontrollierte Mandatsnummern, Audit-Protokollierung für Entdeckung und Haftpflichtverteidigung – und einen Workflow, den Paralegals um 23 Uhr vor einer Einreichungsfrist ohne IT-Hilfe ausführen können.

Die Regeln, die Ihre Dateifreigabe tatsächlich regeln

Mehrere sich überschneidende Rahmenwerke gelten:

BRAO §43a Abs. 2 – Verschwiegenheitspflicht als Kernpflicht des Anwalts
DSGVO Artikel 32 – geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten
BDSG – ergänzende Anforderungen für deutsche Kanzleien, insbesondere bei sensiblen Datenkategorien
TTDSG – Anforderungen an die Kommunikationssicherheit in elektronischen Kanälen
Mandantenrichtlinien – oft die strengsten Anforderungen, da Großmandanten zunehmend externe Anwaltsrichtlinien mit AES-256-Verschlüsselung und 24-Stunden-Meldepflichten bei Sicherheitsvorfällen vorschreiben

Behandeln Sie die Mandantenrichtlinie als Mindeststandard. Wenn Mandant X AES-256 im Ruhezustand und 24-Stunden-Sicherheitsvorfallsmeldung vorschreibt, gilt das für jedes Mandat dieses Mandanten – unabhängig davon, was das Berufsrecht verlangt.

Mandatsbezogene Zugangskontrolle

Ein Streitmandat umfasst Partner, Associates, Paralegals, Sachverständige und manchmal Mitanwälte. Ein Transaktionsmandat fügt die Finanzberater und Wirtschaftsprüfer des Mandanten sowie im Zuge der Due-Diligence die Gegenseite hinzu. Jede Person benötigt Zugang zu den für ihre Rolle relevanten Dokumenten – und nicht mehr.

Praktische Kontrollen:

Ordnerstruktur nach Mandatsnummer, nicht nach Mandantenname
Rollenbasierte Berechtigungen: Partner, Associate, Paralegal, Sachverständiger, Mandant
Automatischer Widerruf bei Mandatsschluss
Vierteljährliche Zugriffsreviews für aktive Mandate über 6 Monate alt
Ethical-Wall-Konfiguration für befangene Personen

Dokumentenverwaltungsplattformen wie iManage, NetDocuments und Worldox verwalten das auf DMS-Ebene. Für Ad-hoc-Freigaben außerhalb des DMS benötigt das Übertragungstool mindestens einen passwortgeschützten Link mit Download-Protokollierung.

Der Deal Room: Transaktionale Dateifreigabe

M&A-Due-Diligence, Finanzierungsrunden und Immobilientransaktionen erfordern einen virtuellen Datenraum. Anbieter wie Intralinks, Datasite, Firmex und Brainloop bieten diese Funktionen:

Wasserzeichenversehene Dokumentenansicht
Druck- und Download-Einschränkungen pro Nutzer
Q&A-Workflow verknüpft mit Dokumenten
Deal-Closing-Archiv in .pdf oder .zip
24-Stunden-Support während der Unterzeichnung

Kleine Mandate rechtfertigen keinen vollständigen Datenraum. Ein passwortgeschütztes, verschlüsseltes Share mit Zugriffsprotokollen reicht aus, besonders wenn das Tool ein Closing-Archiv erzeugt.

Metadaten-Hygiene zum Schutz der Privilegien

Microsoft-Word-Dokumente tragen Metadaten: Autor, Überarbeitungshistorie, Änderungsverfolgung, Kommentare. Wenn ein überarbeiteter Entwurf die Kanzlei verlässt, können diese Metadaten Strategie, Daten oder gegnerische Positionen enthüllen. Bereinigen Sie Metadaten vor externer Übertragung:

Microsoft Word: Datei → Informationen → Auf Probleme prüfen → Dokument prüfen
Adobe Acrobat Pro: Werkzeuge → Schwärzen → Dokument bereinigen
Unternehmensweite Richtlinie: PDF-Konvertierung für externe Freigabe

Für Gerichtseinreichungen verlangen die Einreichungsregeln des Gerichts oft spezifische Metadatenentfernung. Verlassen Sie sich nicht auf das Übertragungstool zur Bereinigung – erledigen Sie das auf der Dokumentebene, bevor die Datei die Übertragung erreicht.

Mandantenkommunikationskanäle

Mandanten erreichen die Kanzlei per E-Mail, Mandantenportalen, SMS und Telefon. Viele senden trotz des eleganten Mandantenportals der Kanzlei PDFs als E-Mail-Anhang. Partner antworten auf iPhones um 22 Uhr. Der Dateifreigabe-Workflow muss diese Realität aufnehmen, ohne zur Quelle von Sicherheitsvorfällen zu werden.

Der praktische Stufenansatz:

Primär: mandatsspezifischer Ordner im DMS-Mandantenportal für regelmäßig aufgerufene Dokumente
Sekundär: verschlüsseltes E-Mail-Gateway (Zertifikats-E-Mail, S/MIME) für eingehende Mandanten-E-Mails mit Anhängen
Tertiär: einmaliger verschlüsselter Web-Transfer für dringende große Dateien, die nicht per E-Mail oder Portal passen

Für den dritten Fall bietet HexaTransfer browserseitige AES-256-GCM-Verschlüsselung mit passwortgeschützten Links. Testen Sie es auf https://hexatransfer.com – kostenlos, kein Konto, maximal 10 GB. Protokollieren Sie die Übertragung in der Mandatsakte wie ein ausgehendes Paket.

Gegnerische Anwälte und Produktionsdateien

Ein 1,2-GB-Produktionssatz an Gegenanwälte passt nicht in E-Mails. Früher verwendeten Kanzleien physische Datenträger. Heute ist der typische Workflow ein passwortgeschütztes, verschlüsseltes Share mit einer Empfangsbestätigungs-E-Mail.

Die Empfangsspur ist wichtig. Wenn Gegenanwälte später behaupten, eine Produktion nicht erhalten zu haben, beilegt das Übertragungsprotokoll, das ihre IP beim Herunterladen des Archivs zeigt, den Streit. Dokumentieren Sie:

Link-Erstellungszeitstempel
E-Mail-Adresse des Empfängers auf der Einladung
Download-Zeitstempel und Quell-IP
SHA-256 des Archivs
Passphraseübertragungsweg (separate E-Mail, Telefonanruf, SMS)

Grenzüberschreitende Mandate und Datensouveränität

Eine deutsche Kanzlei, die einen US-Mandanten in einem kartellrechtlichen Verfahren vertreten, muss beachten: DSGVO-Kapitel-V-Übertragungsregeln gelten für personenbezogene Daten, die in die USA fließen. Der CJEU-Schrems-II-Entscheid hat Privacy Shield ungültig gemacht; das EU-US Data Privacy Framework von 2023 ist der Nachfolger, bleibt aber rechtlich anfechtbar.

Praktische Maßnahmen:

EU-Mandantendaten auf in der EU gelegenen Servern speichern
Standardvertragsklauseln in Anbieterverträgen verwenden
Clientseitige Verschlüsselung für jurisdiktionsüberschreitende Übertragungen
Transfer Impact Assessment für jeden wiederkehrenden grenzüberschreitenden Flow dokumentieren

Aufbewahrung, Vernichtung und Testamente

Kanzleien unterliegen konkurrierenden Aufbewahrungsanforderungen. Das anwaltliche Berufsrecht verlangt die Aufbewahrung von Mandatsakten für eine gewisse Zeit nach Mandatsschluss – typischerweise 5–10 Jahre je nach Jurisdiktion, unbegrenzt für Testamente. Aufbewahrung bedeutet aber auch fortlaufendes Datenverletzungsrisiko.

Richtlinienelemente:

Laufende Mandate: Dauer des Mandats plus mindestens 1 Jahr
Abgeschlossene Mandate nach Berufsrecht (in Deutschland typischerweise 6 Jahre nach §§195 ff. BGB für Schadensersatzansprüche)
Vernichtung mit NIST SP 800-88 Rev. 1 Mediensanierung für Festplatten
Kryptografische Löschung für Cloud-Speicher durch Vernichtung der Verschlüsselungsschlüssel

Die temporären Kopien Ihres Übertragungstools brauchen ihre eigene Aufbewahrungsrichtlinie. Eine 30-tägige automatische Löschung für Ad-hoc-Transfer-Links ist angemessen.

Vorbereitung auf Datenschutzverletzungen

Eine Datenpanne in einer Kanzlei löst mehrere Meldepflichten aus: an Mandanten nach Mandatsbrief-Bedingungen und treuhänderischer Pflicht, an den BfDI und die zuständige Aufsichtsbehörde nach DSGVO Artikel 33 (innerhalb 72 Stunden nach Kenntnisnahme), an die Landesbehörden nach BDSG.

Die ersten 72 Stunden sind entscheidend. Haben Sie einen Reaktionsplan entworfen, bevor der Vorfall eintritt: benannter Vorfallskoordinator, externer Datenschutzberater, Forensikfirma, PR-Plan und Mandantenbenachrichtigungsvorlagen.

Das beste Werkzeug schützt nicht gegen einen Associate, der unverschlüsselt die falsche Adresse schreibt. Jährliche Schulungen zu Dateihandhabung und eine Kultur, in der Beinahe-Fehler gemeldet werden, leisten mehr als jedes Werkzeug. Sichere Dateifreigabe für Kanzleien ist eine Richtlinie, ein DMS, ein Übertragungstool, ein Schulungsprogramm, ein Aufbewahrungsplan und ein Notfallreaktionsplan – miteinander verknüpft durch Mandatsnummern und schriftlich dokumentiert.