Cloud-Nutzung in Kanzleien nach § 203 StGB

§ 203 StGB schützt Man­dan­ten­ge­heim­nis­se vor un­be­fug­ter Of­fen­ba­rung. Bei der Cloud-Nutzung in Kanzleien kann ein externer Zugriff darauf straf­recht­lich relevant sein. Zu­läs­si­ges IT-Out­sour­cing setzt ins­be­son­de­re er­for­der­li­che Zugriffe sowie die Ein­hal­tung der ein­schlä­gi­gen Ge­heim­hal­tungs- und Be­rufs­pflich­ten voraus.

Wann berührt die Cloud § 203 StGB?

Die straf­recht­li­che Frage entsteht, wenn fremde Ge­heim­nis­se einem externen Dienst­leis­ter zu­gäng­lich werden. Das betrifft nicht nur die ei­gent­li­che Ak­ten­ab­la­ge. Auch ein Sup­port­zu­griff auf ein System mit lesbaren Man­dan­ten­da­ten gehört in die Prüfung. Der bloße Begriff „Cloud“ ent­schei­det weder über die Zu­läs­sig­keit noch über eine Straf­bar­keit.

§ 203 StGB erfasst unter anderem Rechts­an­wäl­te und Steu­er­be­ra­ter. Absatz 3 er­mög­licht die er­for­der­li­che Ein­be­zie­hung sonstiger mit­wir­ken­der Personen. Absatz 4 erfasst auch die unbefugte Of­fen­ba­rung durch mit­wir­ken­de Personen. Daneben kann sich nach § 203 Abs. 4 Satz 2 StGB auch strafbar machen, wer nicht dafür sorgt, dass eine mit­wir­ken­de Person zur Ge­heim­hal­tung ver­pflich­tet wird. Satz 2 Nr. 1 betrifft dabei den Be­rufs­ge­heim­nis­trä­ger selbst, Nr. 2 eine mit­wir­ken­de Person, die ih­rer­seits eine weitere mit­wir­ken­de Person einsetzt. In beiden Fällen setzt die Straf­bar­keit voraus, dass die nicht ord­nungs­ge­mäß ver­pflich­te­te Person an­schlie­ßend unbefugt ein Geheimnis offenbart.

Praktisch sollte die Kanzlei vor einer Aus­la­ge­rung klären, welche Ge­heim­nis­se in der Anwendung liegen und wer sie technisch lesen kann. Bei wirksamer cli­ent­sei­ti­ger Ver­schlüs­se­lung ohne Schlüs­sel­zu­griff des Anbieters ist die Zu­griffs­la­ge anders als bei einem Dienst, dessen Support Klartext benötigt. Metadaten oder zu­sätz­li­che Funk­tio­nen können trotzdem In­for­ma­tio­nen of­fen­le­gen und müssen mit­be­trach­tet werden.

Wie greifen Straf­recht und Be­rufs­recht zusammen?

Die ge­setz­li­che Neu­re­ge­lung von 2017 hat die Ein­be­zie­hung externer Mit­wir­ken­der unter be­stimm­ten Vor­aus­set­zun­gen er­mög­licht und be­rufs­recht­lich aus­ge­stal­tet. Für Rechts­an­wäl­te regelt § 43e BRAO den Dienst­leis­ter­ein­satz. Für Steu­er­be­ra­ter und Steu­er­be­voll­mäch­tig­te enthält § 62a StBerG weit­ge­hend parallele Vorgaben. Die Er­for­der­lich­keit des Zugangs bleibt eine zentrale Grenze.

Eine all­ge­mei­ne IT-In­fra­struk­tur ist von einer Dienst­leis­tung zu un­ter­schei­den, die un­mit­tel­bar einem einzelnen Mandat dient. In der zweiten Kon­stel­la­ti­on verlangt das Be­rufs­recht die Ein­wil­li­gung der Man­dant­schaft. Ob eine konkrete Zu­satz­leis­tung darunter fällt, ist anhand ihrer Aufgabe zu be­ur­tei­len. Ein­wil­li­gun­gen be­sei­ti­gen außerdem nicht ohne Weiteres die An­for­de­run­gen an Auswahl und Ver­trags­ge­stal­tung. Die ent­spre­chen­den Gesetze enthalten hierzu besondere Re­ge­lun­gen.

Die Kanzlei muss die Zu­sam­men­ar­beit un­ver­züg­lich beenden, wenn die Ein­hal­tung der ein­schlä­gi­gen Vorgaben nicht ge­währ­leis­tet ist. Planen Sie deshalb schon bei der Auswahl, wie Akten ex­por­tiert und Zugänge beendet werden. Der Leitfaden des CCBE zum Cloud-Einsatz betont ebenfalls die sorg­fäl­ti­ge An­bie­ter­aus­wahl und Kennt­nis­se über Ort und Art der Ver­ar­bei­tung.

Was gehört in den Dienst­leis­ter­ver­trag?

Der Vertrag bedarf der Textform, nicht zwingend einer ei­gen­hän­dig un­ter­schrie­be­nen Schrift­form. Nach § 126b BGB muss eine lesbare Erklärung mit benannter er­klä­ren­der Person auf einem dau­er­haf­ten Da­ten­trä­ger vorliegen. Eine ent­spre­chend aus­ge­stal­te­te und spei­cher­ba­re elek­tro­ni­sche Ver­ein­ba­rung kann dies erfüllen. Prüfen Sie, ob alle maß­geb­li­chen Anlagen in derselben ver­läss­li­chen Form vorliegen.

Die folgende Check­lis­te verbindet die ge­setz­li­chen Kern­in­hal­te mit er­gän­zen­den Re­ge­lun­gen für den sicheren Betrieb. Nicht jeder er­gän­zen­de Ver­trags­bau­stein ist als aus­drück­li­cher Pflicht­in­halt in § 43e BRAO oder § 62a StBerG genannt.

• Ver­schwie­gen­heit und Belehrung (ver­pflich­tend): Den Dienst­leis­ter zur Ver­schwie­gen­heit ver­pflich­ten und über die straf­recht­li­chen Folgen einer Pflicht­ver­let­zung belehren.
• Be­gren­zung der Kennt­nis­nah­me (ver­pflich­tend): Festlegen, dass der Dienst­leis­ter nur insoweit Kenntnis von Ge­heim­nis­sen erlangen darf, wie es für die Ver­trags­er­fül­lung er­for­der­lich ist.
• Weitere Mit­wir­ken­de (ver­pflich­tend): Regeln, ob weitere Personen ein­ge­setzt werden dürfen; ge­ge­be­nen­falls deren Ver­pflich­tung zur Ver­schwie­gen­heit in Textform vorgeben.
• Be­triebs­mo­dell: Da­ten­stand­or­te und mögliche Sup­port­zu­grif­fe nach­voll­zieh­bar be­schrei­ben; Än­de­run­gen ver­trag­lich behandeln.
• Schutz­maß­nah­men: Zu­stän­dig­kei­ten für Zu­griffs­schutz und Ver­schlüs­se­lung fest­hal­ten, ein­schließ­lich des Schlüs­sel­ma­nage­ments.
• Störungen und Ver­trags­en­de: Meldung von Si­cher­heits­vor­fäl­len sowie Da­ten­rück­ga­be und Löschung regeln; Ex­port­mög­lich­kei­ten prüfen.
• Da­ten­schutz: Soweit Auf­trags­ver­ar­bei­tung vorliegt, die er­for­der­li­chen Inhalte nach Artikel 28 DSGVO ergänzen.

Ge­heim­hal­tung muss die tat­säch­li­che Leis­tungs­ket­te erreichen. Ein Vertrag mit dem Haupt­an­bie­ter hilft nur begrenzt, wenn ungeklärt bleibt, ob ein externer Sup­port­part­ner Zugriff erhält. Prüfen Sie deshalb, wie der Anbieter weitere Mit­wir­ken­de einbindet und deren Ver­pflich­tung nachweist.

Welche Ver­schlüs­se­lung schützt Man­dan­ten­da­ten?

Ver­schlüs­se­lung schützt un­ter­schied­li­che Ab­schnit­te der Ver­ar­bei­tung. Trans­port­ver­schlüs­se­lung sichert die Ver­bin­dung zum Dienst. Eine ser­ver­sei­ti­ge Spei­cher­ver­schlüs­se­lung schützt ge­spei­cher­te Daten in be­stimm­ten An­griffs­sze­na­ri­en. Besitzt der Anbieter die nötigen Schlüssel, ver­hin­dert sie aber nicht au­to­ma­tisch dessen Klar­text­zu­griff. Fragen Sie daher nach der tat­säch­li­chen Ent­schlüs­se­lungs­mög­lich­keit.

Bei cli­ent­sei­ti­ger Ver­schlüs­se­lung werden die Inhalte vor der Über­tra­gung auf dem Endgerät ver­schlüs­selt. Für einen Schutz vor An­bie­ter­zu­grif­fen müssen die Schlüssel außerhalb seines Zugriffs bleiben. Ende-zu-Ende-Ver­schlüs­se­lung kann dafür einen ge­eig­ne­ten Ansatz bieten, wenn die konkrete Im­ple­men­tie­rung diesen Schutz tat­säch­lich leistet. Ein bloß außerhalb des Servers ge­spei­cher­ter Schlüssel genügt nicht, wenn der Anbieter ihn dennoch abrufen kann.

Be­rück­sich­ti­gen Sie die Funk­ti­ons­gren­zen. Eine ser­ver­sei­ti­ge Voll­text­su­che oder Do­ku­ment­ver­ar­bei­tung benötigt je nach Ar­chi­tek­tur Zugriff auf lesbare Inhalte. Prüfen Sie zudem, ob Da­tei­na­men und Vor­schau­en ebenfalls geschützt sind. Regeln Sie Wie­der­her­stel­lung und Ver­tre­tung bei Schlüs­sel­ver­lust, ohne den vor­ge­se­he­nen Ge­heim­nis­schutz durch einen un­kon­trol­lier­ten Ge­ne­ral­schlüs­sel auf­zu­he­ben.

Wie wird der Zugriff begrenzt?

Mit Identity and Access Ma­nage­ment steuert die Kanzlei, wer welche Daten nutzen darf. Ordnen Sie Be­rech­ti­gun­gen den tat­säch­li­chen Aufgaben zu. Ein Team­mit­glied benötigt nicht au­to­ma­tisch Zugriff auf alle Mandate. Für ad­mi­nis­tra­ti­ve Tä­tig­kei­ten sollten getrennte Konten und besonders ge­schütz­te An­mel­de­ver­fah­ren vor­ge­se­hen sein.

Nutzen Sie Mehr­fak­tor-Au­then­ti­fi­zie­rung und über­prü­fen Sie Rechte re­gel­mä­ßig. Für Sup­port­fäl­le ist ein do­ku­men­tier­ter, zeitlich be­grenz­ter Zugriff sinnvoll. Halten Sie fest, wer ihn freigibt und wie er an­schlie­ßend wieder entzogen wird. Pro­to­kol­le sollten den Vorgang nach­voll­zieh­bar machen, ohne unnötig Man­dats­in­hal­te zu ver­viel­fäl­ti­gen.

Ein Zero-Trust-Ansatz bedeutet, Zugriffe anhand von Identität und Kontext zu prüfen, statt sie allein wegen der Zu­ge­hö­rig­keit zum Kanz­lei­netz zu erlauben. Das Konzept ist keine einzelne ge­setz­lich vor­ge­schrie­be­ne Soft­ware­funk­ti­on. Es un­ter­stützt ein nach­voll­zieh­ba­res Schutz­kon­zept. Für die Cloud Security bleiben daneben ge­schütz­te Endgeräte und eine getestete Backup-Strategie er­for­der­lich.

Welche Rolle spielen Standort und Da­ten­ho­heit?

Ein Betrieb in Deutsch­land oder der EU kann die recht­li­che Bewertung er­leich­tern und bestimmte Über­mitt­lungs­ri­si­ken re­du­zie­ren. Er ga­ran­tiert aber nicht, dass Zugriffe aus­schließ­lich innerhalb der EU statt­fin­den. Auch externe Ad­mi­nis­tra­ti­on und Un­ter­auf­trag­neh­mer müssen geprüft werden. Hinzu kommt die Frage, welchen recht­li­chen Her­aus­ga­be­pflich­ten der Anbieter tat­säch­lich un­ter­lie­gen kann.

Souveräne Cloud-Ar­chi­tek­tu­ren sollten deshalb nach ihren konkreten Ei­gen­schaf­ten beurteilt werden: Ent­schei­dend sind kon­trol­lier­ba­re Be­triebs­we­ge und eine nach­voll­zieh­ba­re Verfügung über Daten und Schlüssel. Ein Mar­ke­ting­be­griff ersetzt keine Prüfung. Bei Dienst­leis­tun­gen im Ausland ist der be­rufs­recht­lich verlangte ver­gleich­ba­re Ge­heim­nis­schutz gesondert zu bewerten.

Bei per­so­nen­be­zo­ge­nen Daten kommen zu­sätz­lich die Regeln der DSGVO zu Auf­trags­ver­ar­bei­tung und ge­ge­be­nen­falls Dritt­land­über­mitt­lun­gen hinzu. Ein da­ten­schutz­recht­li­cher Über­mitt­lungs­me­cha­nis­mus be­ant­wor­tet die be­rufs­recht­li­che Ge­heim­nis­schutz­fra­ge nicht au­to­ma­tisch. Die Emp­feh­lun­gen des Eu­ro­päi­schen Da­ten­schutz­aus­schus­ses zu er­gän­zen­den Maßnahmen zeigen, weshalb wirksame Ver­schlüs­se­lung und die Kontrolle der Schlüssel bei der Bewertung von Zu­griffs­mög­lich­kei­ten wichtig sind.

Was belegen ISO 27001 und C5?

Eine Zer­ti­fi­zie­rung nach ISO/IEC 27001 betrifft ein In­for­ma­ti­ons­si­cher­heits­ma­nage­ment­sys­tem im fest­ge­leg­ten Gel­tungs­be­reich. Ein C5-Prüf­be­richt des BSI-Kri­te­ri­en­ka­ta­logs liefert In­for­ma­tio­nen zu Cloud-Si­cher­heits­kon­trol­len. Beides kann die Auswahl un­ter­stüt­zen. Prüfen Sie, ob der konkrete Dienst und sein Be­triebs­mo­dell erfasst sind und welche Aufgaben bei der Kanzlei ver­blei­ben.

Keiner dieser Nachweise bestätigt für sich allein, dass jede Nutzung der Cloud be­rufs­recht­lich zulässig oder DSGVO-konform ist. Die Ver­ar­bei­tung eines konkreten Mandats und die eigenen Ein­stel­lun­gen bleiben zu bewerten. Dazu gehört auch, ob eine neue Zu­satz­funk­ti­on In­for­ma­tio­nen an weitere Systeme über­mit­telt.

Wie lässt sich die Ein­füh­rung über­prü­fen?

Beginnen Sie mit einem Test ohne echte Man­dan­ten­ge­heim­nis­se. Prüfen Sie den vor­ge­se­he­nen Da­ten­fluss und den Sup­port­zu­gang. Erproben Sie an­schlie­ßend, ob be­rech­tig­te Personen auf benötigte Akten zugreifen und gesperrte Konten tat­säch­lich aus­ge­schlos­sen sind. Ein Wie­der­her­stel­lungs­test zeigt, ob die fest­ge­leg­te Ver­schlüs­se­lung auch mit dem Not­fall­ver­fah­ren zu­sam­men­passt.

Do­ku­men­tie­ren Sie vor der Freigabe die recht­li­che Bewertung und die ak­zep­tier­ten Rest­ri­si­ken. Än­de­run­gen beim Anbieter oder zu­sätz­li­che Funk­tio­nen sind Anlass für eine erneute Prüfung. So wird aus einer ein­ma­li­gen Ver­trags­prü­fung ein kon­trol­lier­ter Betrieb, bei dem recht­li­che Ab­si­che­rung und tech­ni­sche Umsetzung zu­sam­men­pas­sen.

Bitte beachten Sie den recht­li­chen Hinweis zu diesem Artikel.