Rechtsdokumente sicher teilen: verschlüsselter Versand

Rechtsdokumente sicher zu teilen schützt das Anwaltsgeheimnis, entspricht berufsrechtlichen Vertraulichkeitspflichten (§ 43a BRAO in Deutschland, Art. 66-5 des Loi du 31 décembre 1971 in Frankreich, GDPR Art. 32 in der gesamten EU) und erzeugt einen nachvollziehbaren Prüfpfad. Das Verfahren: Datei im Browser mit AES-256-GCM verschlüsseln, Passwort getrennt vom Link übermitteln, Ablaufdatum dem Verfahren entsprechend setzen und den Download protokollieren. Ein PDF eines unterzeichneten Vergleichsvertrags verdient dieselbe Sorgfalt wie die Vorlage von Finanzdokumenten in einem E-Discovery-Verfahren.

Was das Anwaltsgeheimnis tatsächlich verlangt

Das anwaltliche Berufsrecht verpflichtet Rechtsanwälte in der gesamten EU und darüber hinaus, alle zumutbaren Maßnahmen zu ergreifen, um die unbefugte Offenbarung von mandantenbezogenen Informationen zu verhindern. Europäische Datenschutzbehörden — darunter die deutsche Datenschutzkonferenz und die französische CNIL — betonen, dass unverschlüsselte E-Mail für sensible Mandate unzureichend sein kann.

Praktische Anforderungen:

Verschlüsselung bei der Übertragung und im Ruhezustand als Mindestanforderung.
Für privilegiertes Material: Ende-zu-Ende-Verschlüsselung entfernt den Transferanbieter aus dem Vertrauenskreis.
Passwortschutz auf dem Dokumentenkanal, Passwort über einen anderen Kanal.
Nachweisbare Protokollierung von Versand und Empfang.

Jurisdiktionelle Besonderheiten

EU (DSGVO Art. 32): geeignete technische Maßnahmen „unter Berücksichtigung des Stands der Technik" — Verschlüsselung ist namentlich als Beispiel aufgeführt. Art. 5 Abs. 1 lit. f verlangt Integrität und Vertraulichkeit.
Deutschland (BRAO § 43a, DSGVO): Rechtsanwälte unterliegen der Verschwiegenheitspflicht; Verstöße sind strafbar. Das besondere elektronische Anwaltspostfach (beA) ist für Gerichtskorrespondenz vorgeschrieben; Mandantenkommunikation ist formfrei, muss aber dem Berufsgeheimnis genügen.
Frankreich (RIN, Art. 66-5 Loi du 31 décembre 1971): Avocats müssen das secret professionnel wahren; für Gerichtseinreichungen gilt das e-Barreau-System.
Schweiz (nDSG 2023 + Art. 321 StGB): Anwälte unterliegen dem Berufsgeheimnis; Verletzung ist strafrechtlich.
UK (SRA Code of Conduct 2019, Principle 7): Vertraulichkeit und Cybersicherheit gemäß Law Society Practice Note erwartet Verschlüsselung sensibler Daten.

Ein sicherer Transferdienst sollte die strengste anwendbare Regel erfüllen — in grenzüberschreitenden Mandaten meist die DSGVO in Verbindung mit dem jeweiligen Berufsrecht.

Häufige Dateitypen und mandatsbezogenes Risiko

| Datei | Typische Größe | Risiko | | --- | --- | --- | | Unterzeichneter Vergleichsvertrag .pdf | 2–20 MB | Hoch — Konditionen oft vertraulich | | E-Discovery-Produktion (TIFF/Load File) | 1–50 GB | Hoch — personenbezogene Daten, gesiegelte Unterlagen | | Zeugenaussage-Transkripte mit Anlagen | 100 MB – 2 GB | Hoch — privilegierte Auszüge möglich | | Sachverständigengutachten | 10–100 MB | Hoch — anwaltliche Arbeit | | Vertragsentwürfe (Redlines) | 1–10 MB | Mittel | | Unternehmens-Due-Diligence-Raum | 5–500 GB | Hoch — Virtual Data Room verwenden, kein Transferlink |

E-Discovery-Produktionen über 50 GB gehören in einen Virtual Data Room (Relativity, Everlaw, DISCO) mit granularer Zugriffsprotokollierung. Transferlinks eignen sich für Einzellieferungen, vertrauliche Korrespondenz und kleine Produktionen.

Das sichere Liefermuster

Produktion nummerieren und ordnen: Load Files, gescannte PDFs, native Dateien, Privilegienprotokoll.
Bundle mit eindeutigem Dateinamen einpacken: Müller_v_Schmidt_Produktion_001_2026-03-15.zip.
In einen E2E-verschlüsselten Transferdienst hochladen. Browser leitet 256-Bit-Schlüssel mit PBKDF2-HMAC-SHA256 ab, 600.000 Iterationen gemäß OWASP 2023, aus einer Passphrase.
AES-256-GCM verschlüsselt Chunks (128-Bit-Authentifizierungs-Tag pro Chunk). Chiffretext wird über TLS 1.3 hochgeladen.
Link per E-Mail senden, Passwort per Telefonanruf oder Signal.
Gegenseite lädt herunter, entschlüsselt im Browser, bestätigt SHA-256-Hash falls veröffentlicht.
Download-Benachrichtigung ins Postfach. In der Mandatsakte speichern.

Dieser Ablauf widersteht einer Privilegienprüfung und einem Auskunftsersuchen an den Transferanbieter — der nur Chiffretext besitzt.

Versehentliche Offenbarung und die Rückrufmöglichkeit

Zivilprozessordnungen in verschiedenen Ländern erlauben es, versehentlich produziertes privilegiertes Material zurückzufordern, wenn der Produzent zumutbare Maßnahmen zur Verhinderung der Offenbarung ergriffen hat. „Zumutbare Maßnahmen" umfassen:

Verwendung von E2E-verschlüsseltem Transfer (kein Klartext-E-Mail)
Privilegienprotokoll vor der Produktion
Prüfung der Load File auf Privilegien-Tags
Vereinbarung mit der Gegenseite über Rückrufverfahren

Ein Transferdienst, der einen Nachweis des Chiffretext-Bundles aufbewahrt, stärkt die „zumutbare Maßnahmen"-Position.

Metadaten und die verborgene Autorenfalle

Microsoft Word-Dokumente enthalten Metadaten — Autorenname, Unternehmen, Bearbeitungszeit, nachverfolgte Änderungen. Ein mandatskritisches Word-Dokument, das ohne Prüfung verschickt wird, kann interne Kommentare, frühere Versionen und die Identität des bearbeitenden Anwalts offenbaren. Verwenden Sie Datei → Info → Dokument prüfen → Auf Probleme prüfen in Word oder konvertieren Sie zu PDF und bereinigen Sie mit Adobe Acrobat Pros Werkzeuge → Schwärzen → Ausgeblendete Informationen entfernen.

Bei PDFs: Dokumenteigenschaften, verbliebene Formularfelder, Anmerkungen, Anlagen und Lesezeichen prüfen. Vor der Produktion vereinfachen.

Ablaufdatum dem Mandat anpassen

Laufendes Verfahren: 30–60 Tage pro Transfer, rollierender Austausch entsprechend dem Verfahrensstand.
Abgeschlossene Mandatsakte an den Mandanten: 14 Tage; Mandant archiviert im eigenen System.
E-Discovery-Produktion an die Gegenseite: 30 Tage oder entsprechend gerichtlicher Anordnung.
Transaktionelle Abschlussdokumente: 14 Tage, dann gehen unterzeichnete Kopien an den Unternehmenssekretär des Mandanten.

Unbegrenzte Links vermeiden. Sie werden zu vergessenen Angriffsflächen.

Anforderungen an den Prüfpfad

Ein rechtlich belastbarer Transfer benötigt:

Absenderidentität oder zumindest Zeitstempel + Absender-IP
Empfänger-E-Mail oder Download-IP
Dateigröße (nicht Inhalt) beim Upload
Download-Zeitstempel(e)
Ablauf und automatischer Löschzeitpunkt
Optional: SHA-256-Hash des Chiffretexts, separat veröffentlicht zur Manipulationserkennung

HexaTransfer erzeugt dieses Protokoll, während der Dateiinhalt für den Dienst unlesbar bleibt. Die Verschlüsselung findet im Browser über die Web Crypto API statt; der Server speichert Chiffretext und Metadaten. Für einen Partner, der die Custody-Chain einer Produktion verteidigt, ist das der Unterschied zwischen „unser Anbieter hätte es lesen können" und „unser Anbieter konnte es nicht".

Grenzüberschreitende Mandate

Ein Londoner Solicitor, der einen SPA-Entwurf mit einem US-amerikanischen Associate und einem Frankfurter Local Counsel teilt, sieht sich gleichzeitig mit drei Rechtsordnungen konfrontiert. Ende-zu-Ende-Verschlüsselung ist der kleinste gemeinsame Nenner, der alle drei erfüllt, ohne separate Workflows je Rechtsordnung.

Dienstvergleich für die Rechtsanwaltspraxis

| Dienst | E2E-Verschlüsselung | Passwort | Ablauf | Prüfpfad | Max. Größe | | --- | --- | --- | --- | --- | --- | | Standard-E-Mail + PDF-Passwort | Nein (E-Mail-Ebene) | Dokumentenpasswort | Postfachaufbewahrung | Begrenzt | 25 MB | | NetDocuments Secure Send | Im Ruhezustand | Ja | Ja | Ja | Variabel | | iManage Share | Im Ruhezustand | Ja | Ja | Ja | 5 GB | | Citrix ShareFile | Im Ruhezustand | Ja | Ja | Ja | 100 GB | | Tresorit Send | Ja (serverunterstützt) | Ja | Bis 7 Tage | Ja | 5 GB kostenlos | | HexaTransfer | Ja (AES-256-GCM, im Browser) | Ja | Konfigurierbar | Ja | 10 GB |

Eine Grundregel für jeden Rechtsdokumenten-Transfer

Passwort niemals im selben Kanal wie der Link übermitteln. Link per E-Mail, Passwort per SMS oder Telefon. Diese eine Disziplin verhindert den Großteil der Abfangszenarien.

Anwaltliche Arbeit ist vertraulich, weil der Mandant etwas Vertrauliches mitgeteilt hat. Der Übertragungsweg sollte diesen Schutz nicht zunichte machen.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.