# Cloud-Nutzung in Kanzleien nach § 203 StGB § 203 StGB schützt Mandantengeheimnisse vor unbefugter Offenbarung. Bei der Cloud-Nutzung in Kanzleien kann ein externer Zugriff darauf strafrechtlich relevant sein. Zulässiges IT-Outsourcing setzt insbesondere erforderliche Zugriffe sowie die Einhaltung der einschlägigen Geheimhaltungs- und Berufspflichten voraus. ### Zusammenfassung Das Wichtigste zur Cloud-Nutzung in Kanzleien nach § 203 StGB auf einen Blick: - **Strafrechtlicher Rahmen:** § 203 StGB schützt Mandantengeheimnisse; relevant wird die Cloud, sobald diese Geheimnisse einem externen Dienstleister zugänglich werden. - **Berufsrecht:** § 43e BRAO und § 62a StBerG erlauben den Dienstleistereinsatz, soweit der Zugang erforderlich ist, und verlangen eine sorgfältige Auswahl. - **Dienstleistervertrag:** Textform genügt; Pflicht sind Verschwiegenheit mit Belehrung, Begrenzung der Kenntnisnahme und Regeln für weitere Mitwirkende. - **Verschlüsselung:** Vor Klartextzugriffen des Anbieters schützt clientseitige Verschlüsselung nur, wenn die Schlüssel außerhalb seines Zugriffs bleiben. - **Zugriff:** Rollenbasierte Rechte, Mehrfaktor-Authentifizierung und dokumentierte, zeitlich begrenzte Supportzugriffe legen fest, wer Mandantendaten nutzen kann. - **Standort und Nachweise:** Ein Betrieb in Deutschland oder der EU garantiert nicht, dass Zugriffe nur innerhalb der EU stattfinden; ISO 27001 und C5 ersetzen keine eigene Bewertung. ## Wann berührt die Cloud § 203 StGB? Die strafrechtliche Frage entsteht, wenn fremde Geheimnisse einem externen Dienstleister zugänglich werden. Das betrifft nicht nur die eigentliche Aktenablage. Auch ein Supportzugriff auf ein System mit **lesbaren Mandantendaten** gehört in die Prüfung. Der bloße Begriff „Cloud“ entscheidet weder über die Zulässigkeit noch über eine Strafbarkeit. [§ 203 StGB](https://www.gesetze-im-internet.de/stgb/__203.html "Schutz von Privatgeheimnissen nach § 203 StGB") erfasst unter anderem Rechtsanwälte und Steuerberater. Absatz 3 ermöglicht die erforderliche Einbeziehung sonstiger mitwirkender Personen. Absatz 4 erfasst auch die unbefugte Offenbarung durch mitwirkende Personen. Daneben kann sich nach § 203 Abs. 4 Satz 2 StGB auch strafbar machen, wer nicht dafür sorgt, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wird. Satz 2 Nr. 1 betrifft dabei den Berufsgeheimnisträger selbst, Nr. 2 eine mitwirkende Person, die ihrerseits eine weitere mitwirkende Person einsetzt. In beiden Fällen setzt die Strafbarkeit voraus, dass die nicht ordnungsgemäß verpflichtete Person anschließend unbefugt ein Geheimnis offenbart. Praktisch sollte die Kanzlei vor einer Auslagerung klären, **welche Geheimnisse in der Anwendung liegen** und wer sie technisch lesen kann. Bei wirksamer clientseitiger Verschlüsselung ohne Schlüsselzugriff des Anbieters ist die Zugriffslage anders als bei einem Dienst, dessen Support Klartext benötigt. Metadaten oder zusätzliche Funktionen können trotzdem Informationen offenlegen und müssen mitbetrachtet werden. ## Wie greifen Strafrecht und Berufsrecht zusammen? Die gesetzliche Neuregelung von 2017 hat die Einbeziehung externer Mitwirkender unter bestimmten Voraussetzungen ermöglicht und berufsrechtlich ausgestaltet. Für Rechtsanwälte regelt [§ 43e BRAO](https://www.gesetze-im-internet.de/brao/__43e.html "Dienstleistereinsatz nach § 43e BRAO") den Dienstleistereinsatz. Für Steuerberater und Steuerbevollmächtigte enthält [§ 62a StBerG](https://www.gesetze-im-internet.de/stberg/__62a.html "Dienstleistereinsatz nach § 62a StBerG") weitgehend parallele Vorgaben. Die Erforderlichkeit des Zugangs bleibt eine zentrale Grenze.
Prüfpunkt Rechtsanwälte Steuerberater
Berufsrechtliche Grundlage § 43e BRAO § 62a StBerG
Verschwiegenheit als Ausgangspunkt § 43a Absatz 2 BRAO § 57 Absatz 1 StBerG
Auswahl Sorgfältige Auswahl nach Absatz 2 Sorgfältige Auswahl nach Absatz 2
Vertrag Textform; Pflichtinhalte nach Absatz 3 Textform; Pflichtinhalte nach Absatz 3
Auslandsdienstleistung Vergleichbarer Geheimnisschutz nach Absatz 4; gesetzliche Ausnahme beachten Vergleichbarer Geheimnisschutz nach Absatz 4; gesetzliche Ausnahme beachten
Unmittelbar mandatsbezogene Dienstleistung Einwilligung nach Absatz 5 Einwilligung nach Absatz 5
Datenschutz Bleibt nach Absatz 8 unberührt Bleibt nach Absatz 8 unberührt
Einwilligung und Verzicht Abs. 2 und 3 gelten trotz Einwilligung; ausdrücklicher Verzicht des Mandanten möglich, § 43e Abs. 6 BRAO Entsprechend § 62a Abs. 6 StBerG
Gesetzliche Ausnahmen Ausnahmen nach § 43e Abs. 7 BRAO Ausnahmen nach § 62a Abs. 7 StBerG
Eine allgemeine IT-Infrastruktur ist von einer Dienstleistung zu unterscheiden, die unmittelbar einem einzelnen Mandat dient. In der zweiten Konstellation verlangt das Berufsrecht die Einwilligung der Mandantschaft. Ob eine konkrete Zusatzleistung darunter fällt, ist anhand ihrer Aufgabe zu beurteilen. Einwilligungen beseitigen außerdem nicht ohne Weiteres die Anforderungen an Auswahl und Vertragsgestaltung. Die entsprechenden Gesetze enthalten hierzu besondere Regelungen. Die Kanzlei muss die Zusammenarbeit unverzüglich beenden, wenn die Einhaltung der einschlägigen Vorgaben nicht gewährleistet ist. Planen Sie deshalb schon bei der Auswahl, wie Akten exportiert und Zugänge beendet werden. Der [Leitfaden des CCBE zum Cloud-Einsatz](https://www.brak.de/newsroom/newsletter/nachrichten-aus-bruessel/2025/ausgabe-5-2025-v-14032025/anwaltschaft-und-cloud-computing-ccbe/ "Cloud-Computing und anwaltliche Berufspflichten") betont ebenfalls die **sorgfältige Anbieterauswahl** und Kenntnisse über Ort und Art der Verarbeitung. ## Was gehört in den Dienstleistervertrag? Der Vertrag bedarf der **Textform**, nicht zwingend einer eigenhändig unterschriebenen Schriftform. Nach [§ 126b BGB](https://www.gesetze-im-internet.de/bgb/__126b.html "Anforderungen an die Textform") muss eine lesbare Erklärung mit benannter erklärender Person auf einem dauerhaften Datenträger vorliegen. Eine entsprechend ausgestaltete und speicherbare elektronische Vereinbarung kann dies erfüllen. Prüfen Sie, ob alle maßgeblichen Anlagen in derselben verlässlichen Form vorliegen. Die folgende Checkliste verbindet die gesetzlichen Kerninhalte mit ergänzenden Regelungen für den sicheren Betrieb. Nicht jeder ergänzende Vertragsbaustein ist als ausdrücklicher Pflichtinhalt in § 43e BRAO oder § 62a StBerG genannt. - **Verschwiegenheit und Belehrung** (verpflichtend): Den Dienstleister zur Verschwiegenheit verpflichten und über die strafrechtlichen Folgen einer Pflichtverletzung belehren. - **Begrenzung der Kenntnisnahme** (verpflichtend): Festlegen, dass der Dienstleister nur insoweit Kenntnis von Geheimnissen erlangen darf, wie es für die Vertragserfüllung erforderlich ist. - **Weitere Mitwirkende** (verpflichtend): Regeln, ob weitere Personen eingesetzt werden dürfen; gegebenenfalls deren Verpflichtung zur Verschwiegenheit in Textform vorgeben. - **Betriebsmodell**: Datenstandorte und mögliche Supportzugriffe nachvollziehbar beschreiben; Änderungen vertraglich behandeln. - **Schutzmaßnahmen**: Zuständigkeiten für Zugriffsschutz und Verschlüsselung festhalten, einschließlich des Schlüsselmanagements. - **Störungen und Vertragsende**: Meldung von Sicherheitsvorfällen sowie Datenrückgabe und Löschung regeln; Exportmöglichkeiten prüfen. - **Datenschutz**: Soweit Auftragsverarbeitung vorliegt, die erforderlichen Inhalte nach Artikel 28 DSGVO ergänzen. Geheimhaltung muss die **tatsächliche Leistungskette** erreichen. Ein Vertrag mit dem Hauptanbieter hilft nur begrenzt, wenn ungeklärt bleibt, ob ein externer Supportpartner Zugriff erhält. Prüfen Sie deshalb, wie der Anbieter weitere Mitwirkende einbindet und deren Verpflichtung nachweist. ## Welche Verschlüsselung schützt Mandantendaten? Verschlüsselung schützt unterschiedliche Abschnitte der Verarbeitung. **Transportverschlüsselung** sichert die Verbindung zum Dienst. Eine **serverseitige Speicherverschlüsselung** schützt gespeicherte Daten in bestimmten Angriffsszenarien. Besitzt der Anbieter die nötigen Schlüssel, verhindert sie aber nicht automatisch dessen Klartextzugriff. Fragen Sie daher nach der tatsächlichen Entschlüsselungsmöglichkeit. Bei **clientseitiger Verschlüsselung** werden die Inhalte vor der Übertragung auf dem Endgerät verschlüsselt. Für einen Schutz vor Anbieterzugriffen müssen die Schlüssel außerhalb seines Zugriffs bleiben. Ende-zu-Ende-Verschlüsselung kann dafür einen geeigneten Ansatz bieten, wenn die konkrete Implementierung diesen Schutz tatsächlich leistet. Ein bloß außerhalb des Servers gespeicherter Schlüssel genügt nicht, wenn der Anbieter ihn dennoch abrufen kann. Berücksichtigen Sie die Funktionsgrenzen. Eine serverseitige Volltextsuche oder Dokumentverarbeitung benötigt je nach Architektur Zugriff auf lesbare Inhalte. Prüfen Sie zudem, ob Dateinamen und Vorschauen ebenfalls geschützt sind. Regeln Sie Wiederherstellung und Vertretung bei Schlüsselverlust, ohne den vorgesehenen Geheimnisschutz durch einen unkontrollierten Generalschlüssel aufzuheben. ## Wie wird der Zugriff begrenzt? Mit [Identity and Access Management](https://www.ionos.at/digitalguide/server/sicherheit/was-ist-iam-identity-and-access-management/) steuert die Kanzlei, **wer welche Daten nutzen darf**. Ordnen Sie Berechtigungen den tatsächlichen Aufgaben zu. Ein Teammitglied benötigt nicht automatisch Zugriff auf alle Mandate. Für administrative Tätigkeiten sollten getrennte Konten und besonders geschützte Anmeldeverfahren vorgesehen sein. Nutzen Sie Mehrfaktor-Authentifizierung und **überprüfen Sie Rechte regelmäßig**. Für Supportfälle ist ein dokumentierter, zeitlich begrenzter Zugriff sinnvoll. Halten Sie fest, wer ihn freigibt und wie er anschließend wieder entzogen wird. Protokolle sollten den Vorgang nachvollziehbar machen, ohne unnötig Mandatsinhalte zu vervielfältigen. Ein Zero-Trust-Ansatz bedeutet, Zugriffe anhand von Identität und Kontext zu prüfen, statt sie allein wegen der Zugehörigkeit zum Kanzleinetz zu erlauben. Das Konzept ist keine einzelne gesetzlich vorgeschriebene Softwarefunktion. Es unterstützt ein nachvollziehbares Schutzkonzept. Für die [Cloud Security](https://www.ionos.at/digitalguide/server/sicherheit/cloud-dienste-sicher-verwenden/) bleiben daneben geschützte Endgeräte und eine getestete [Backup-Strategie](https://www.ionos.at/digitalguide/server/knowhow/backup-strategien/) erforderlich. ## Welche Rolle spielen Standort und Datenhoheit? Ein **Betrieb in Deutschland oder der EU** kann die rechtliche Bewertung erleichtern und bestimmte Übermittlungsrisiken reduzieren. Er garantiert aber nicht, dass Zugriffe ausschließlich innerhalb der EU stattfinden. Auch externe Administration und Unterauftragnehmer müssen geprüft werden. Hinzu kommt die Frage, welchen rechtlichen Herausgabepflichten der Anbieter tatsächlich unterliegen kann. **Souveräne Cloud-Architekturen** sollten deshalb nach ihren konkreten Eigenschaften beurteilt werden: Entscheidend sind kontrollierbare Betriebswege und eine nachvollziehbare Verfügung über Daten und Schlüssel. Ein Marketingbegriff ersetzt keine Prüfung. Bei Dienstleistungen im Ausland ist der berufsrechtlich verlangte vergleichbare Geheimnisschutz gesondert zu bewerten. Bei personenbezogenen Daten kommen zusätzlich die Regeln der [DSGVO](https://www.ionos.at/digitalguide/websites/online-recht/datenschutz-grundverordnung-regeln-fuer-unternehmen/) zu Auftragsverarbeitung und gegebenenfalls Drittlandübermittlungen hinzu. Ein datenschutzrechtlicher Übermittlungsmechanismus beantwortet die berufsrechtliche Geheimnisschutzfrage nicht automatisch. Die [Empfehlungen des Europäischen Datenschutzausschusses zu ergänzenden Maßnahmen](https://www.edpb.europa.eu/documents/recommendation/recommendations-012020-on-measures-that-supplement-transfer-tools-to_en "Ergänzende Schutzmaßnahmen bei Datenübermittlungen") zeigen, weshalb wirksame Verschlüsselung und die Kontrolle der Schlüssel bei der Bewertung von Zugriffsmöglichkeiten wichtig sind. ### Was belegen ISO 27001 und C5? Eine Zertifizierung nach [ISO/IEC 27001](https://www.ionos.at/digitalguide/server/sicherheit/iso-27001/) betrifft ein Informationssicherheitsmanagementsystem im festgelegten Geltungsbereich. Ein [C5-Prüfbericht des BSI-Kriterienkatalogs](https://www.ionos.at/digitalguide/server/sicherheit/kriterienkatalog-c5/) liefert Informationen zu Cloud-Sicherheitskontrollen. Beides kann die Auswahl unterstützen. Prüfen Sie, ob der konkrete Dienst und sein Betriebsmodell erfasst sind und welche Aufgaben bei der Kanzlei verbleiben. Keiner dieser Nachweise bestätigt für sich allein, dass jede Nutzung der Cloud berufsrechtlich zulässig oder DSGVO-konform ist. Die Verarbeitung eines konkreten Mandats und die eigenen Einstellungen bleiben zu bewerten. Dazu gehört auch, ob eine neue Zusatzfunktion Informationen an weitere Systeme übermittelt. ## Wie lässt sich die Einführung überprüfen? Beginnen Sie mit einem **Test ohne echte Mandantengeheimnisse**. Prüfen Sie den vorgesehenen Datenfluss und den Supportzugang. Erproben Sie anschließend, ob berechtigte Personen auf benötigte Akten zugreifen und gesperrte Konten tatsächlich ausgeschlossen sind. Ein Wiederherstellungstest zeigt, ob die festgelegte Verschlüsselung auch mit dem Notfallverfahren zusammenpasst. Dokumentieren Sie vor der Freigabe die **rechtliche Bewertung und die akzeptierten Restrisiken**. Änderungen beim Anbieter oder zusätzliche Funktionen sind Anlass für eine erneute Prüfung. So wird aus einer einmaligen Vertragsprüfung ein kontrollierter Betrieb, bei dem rechtliche Absicherung und technische Umsetzung zusammenpassen. Bitte beachten Sie den [rechtlichen Hinweis](https://www.ionos.at/digitalguide/haftungsausschluss/) zu diesem Artikel. This is a markdown version of: [https://www.ionos.at/digitalguide/websites/online-recht/203-stgb-cloud-nutzung-in-kanzleien/](https://www.ionos.at/digitalguide/websites/online-recht/203-stgb-cloud-nutzung-in-kanzleien/) for AI/LLM consumption.