Bei der Auswahl von Kanzleisoftware wird Sicherheit gern mit drei Angaben erledigt: Server in Deutschland, Verschlüsselung und ISO 27001. Keine davon ist wertlos. Zusammen sind sie trotzdem noch kein Sicherheitsnachweis.
Der Grund ist einfach. Ein Zertifikat kann nur einen bestimmten Geltungsbereich abdecken. Daten können während der Übertragung gut geschützt und im Backup schwach verschlüsselt sein. Ein deutsches Rechenzentrum sagt nichts darüber, wer administrative Rechte besitzt oder wie schnell eine kritische Schwachstelle geschlossen wird.
Im April 2026 veröffentlichte der Chaos Computer Club technische Analysen zu RA-MICRO Essentials. Nach Darstellung des CCC waren unter anderem Backups frei erreichbar, Teile davon nur mit veraltetem ZipCrypto geschützt und verschiedene Zugangsdaten in öffentlich zugänglichen Dateien beziehungsweise Quellcodebestandteilen auffindbar. Der CCC berichtet außerdem über ein rekonstruierbares JWT-Geheimnis und unzureichend geschützte Passwörter. Die vollständige Darstellung und die technischen Berichte sind beim CCC verlinkt.
Der Fall sollte nicht als pauschales Urteil über Cloudsoftware gelesen werden. Er zeigt etwas Nützlicheres: Sicherheitsfragen müssen auf konkrete Kontrollen und Belege zielen.
Berufsrecht macht Anbieterauswahl zur Daueraufgabe
Der BRAK-Leitfaden zum KI-Einsatz verweist bei externen Dienstleistern auf die sorgfältige Auswahl nach § 43e BRAO, vertragliche Mindestinhalte, Zweckbindung und Verschwiegenheit. Ist der erforderliche Schutz nicht mehr gewährleistet, muss die Zusammenarbeit beendet werden. Datenschutzrechtliche Pflichten laufen daneben weiter.
Damit ist die Prüfung nicht nach Vertragsunterschrift erledigt. Die Kanzlei braucht Nachweise, die aktualisiert werden können, und einen Weg, bei wesentlichen Änderungen neu zu entscheiden.
Prüfblock 1: Welche Belege liegen tatsächlich vor?
Ein belastbares Evidence Pack kann enthalten:
- ISO-27001-Zertifikat samt Scope und einbezogenen Standorten
- aktueller BSI-C5-Bericht oder vergleichbarer Kontrollbericht, sofern vorhanden
- Zusammenfassung eines unabhängigen Penetrationstests mit Datum und Prüfumfang
- dokumentierter Prozess für Schwachstellen, Patches und verantwortliche Offenlegung
- Beschreibung von Verschlüsselung, Schlüsselverwaltung und Mandantentrennung
- Liste der Unterauftragnehmer und Datenstandorte
- Backup-Konzept mit unveränderbaren beziehungsweise getrennten Sicherungen
- Ergebnis eines Wiederherstellungstests
- Rollenmodell für Support- und Administrationszugriffe
- Sicherheitsvorfallprozess mit Ansprechpartnern und Eskalationszeiten
Ein Anbieter kann aus guten Gründen nicht jeden technischen Bericht vollständig herausgeben. Dann sollte er zumindest Geltungsbereich, Prüfer, Datum, wesentliche Feststellungen und Abarbeitungsstatus nachvollziehbar belegen. "Aus Sicherheitsgründen vertraulich" darf keine Universalantwort sein.
Prüfblock 2: Passt die Architektur zum Schutzbedarf?
Die Kanzlei sollte den Datenweg zeichnen können. Wo liegen Dokumente, E-Mails, Backups und Protokolle? Welche Dienste verarbeiten Inhalte? Welche Systeme erhalten nur Metadaten? Welche Administrationszugriffe kommen aus Drittstaaten?
Bei KI-Funktionen kommen weitere Fragen hinzu:
- Welches Basismodell wird eingesetzt?
- Werden Eingaben oder Ausgaben zum Training verwendet?
- Können Funktionen mandats- oder mandantenbezogen gesperrt werden?
- Welche Inhalte landen in Protokollen?
- Wie lange werden Prompts, Dateien und Ergebnisse gespeichert?
- Bleiben Berechtigungen aus DMS und Akte bei der KI-Nutzung wirksam?
Die Antwort "Enterprise-Version" reicht nicht. Entscheidend ist die konkrete Konfiguration des gebuchten Produkts.
Prüfblock 3: Was steht im Vertrag, wenn es unangenehm wird?
Leistungsbeschreibungen handeln meist vom Normalbetrieb. Der Vertrag muss die Ausnahmen regeln:
- verbindliche Verfügbarkeit und Messmethode
- Reaktions- und Wiederherstellungszeiten nach Priorität
- Informationsfrist bei Sicherheitsvorfällen
- Freigabe oder Widerspruchsmöglichkeit bei neuen Unterauftragnehmern
- Ankündigungsfrist für wesentliche Funktions- und API-Änderungen
- Regelung für Preisänderungen
- Unterstützung bei Prüfungen und Betroffenenanfragen
- Haftung und Versicherung für typische Schadensbilder
- Sonderkündigung bei erheblichen Sicherheits- oder Leistungsänderungen
- Übergangsunterstützung nach Vertragsende
Die BSI-Checkliste zur Auswahl eines Cloud-Dienstes behandelt ausdrücklich auch die Überleitung zu einem anderen Cloud-Dienst oder die Rückführung in den eigenen Betrieb. Das ist keine Nebensache, sondern Teil der Beschaffungsentscheidung.
Prüfblock 4: Der Export muss vor dem Kauf getestet werden
"Ihre Daten gehören Ihnen" ist keine technische Spezifikation. Ein brauchbarer Exit beantwortet mindestens diese Fragen:
- Werden Dokumente im Originalformat exportiert?
- Bleiben Ordner-, Akten- und Dokumentbeziehungen erhalten?
- Sind E-Mails samt Anhängen und Headerinformationen enthalten?
- Werden Fristen, Aufgaben, Beteiligte, Notizen und Abrechnungsdaten mitgegeben?
- Gibt es Änderungs- und Zugriffsprotokolle?
- Ist das Format dokumentiert und maschinenlesbar?
- Wie lange dauert ein Gesamtexport unter realistischen Datenmengen?
- Welche Kosten entstehen für Export und Übergangsunterstützung?
- Wann werden Produktivdaten, Backups und Supportkopien gelöscht?
- Wie wird die Löschung bestätigt?
Der beste Zeitpunkt für einen Probeexport ist vor Vertragsabschluss. Dafür reichen einige Testakten mit Dokumenten, E-Mails, Terminen, Aufgaben und Abrechnungsinformationen. Lässt sich dieser kleine Bestand nicht vollständig herauslösen und prüfen, wird es mit zehn Jahren Kanzleidaten nicht leichter.
Ein klares Go, ein klares Nein und ein Rest Unsicherheit
Am Ende sollten die Feststellungen nicht in einem hundertseitigen Fragebogen verschwinden. Eine Entscheidungsseite genügt:
- Ausschlusskriterien erfüllt oder verletzt
- belastbare Nachweise vorhanden oder ausstehend
- akzeptierte Restrisiken mit Verantwortlichem
- vertraglich noch offene Punkte
- getesteter Exit ja oder nein
Manche Unsicherheit bleibt. Das ist normal. Problematisch wird sie erst, wenn aus einer unbelegten Anbieterantwort stillschweigend eine positive Bewertung wird.
Nach dem Vertrag beginnt die Lieferantenakte
Die Auswahlunterlagen sollten nach dem Go-live nicht im Projektordner verschwinden. Zertifikate laufen ab, Unterauftragnehmer wechseln, Funktionen ziehen in andere Rechenzentren und APIs werden verändert. Aus dem Evidence Pack wird deshalb eine kleine Lieferantenakte mit festen Prüfterminen.
Mindestens jährlich und zusätzlich bei wesentlichen Änderungen werden Zertifikate, Subprozessoren, Vorfälle, Wiederherstellungstests und offene Sicherheitsmaßnahmen aktualisiert. Für kritische Systeme sollte die Kanzlei außerdem dokumentieren, welche Abhängigkeiten bei einem Ausfall betroffen sind: Aktenzugriff, Fristen, E-Mail, beA, Telefonie, Website und Identitätsdienste. Erst diese Kette zeigt, ob der vereinbarte Wiederanlauf für den eigenen Betrieb genügt.
Auch der Probeexport sollte wiederholt werden. Datenmenge und Produktstruktur verändern sich während der Vertragslaufzeit. Ein Export, der mit zehn Testakten funktioniert hat, kann nach fünf Jahren an Dateigröße, Sonderzeichen, verwaisten Verknüpfungen oder undokumentierten Zusatzfeldern scheitern. Ein regelmäßiger Stichprobentest macht aus dem Exit eine betriebliche Fähigkeit statt einer Vertragsklausel.
Die LexVault-Prüfcheckliste für Security, Vertrag und Exit übersetzt die vier Prüfblöcke in konkrete Nachweise, Verantwortlichkeiten und Freigabefelder.
Transparenz: Dieser Beitrag wurde mit KI-Unterstützung erstellt und redaktionell geprüft. Die Checkliste ersetzt keine rechtliche, datenschutzrechtliche oder technische Einzelfallprüfung.