Archivhinweis: Dieser Beitrag wurde am 23. August 2026 nachträglich in das LexVault-Briefings-Archiv aufgenommen. Themenanlass: 30. Juli 2026; redaktionell aktualisiert am 23. August 2026.
In vielen Kanzleien steht "Zero Trust in der Kanzlei: Was davon im Mittelstand wirklich sinnvoll ist" längst auf der Tagesordnung, aber selten ist das Thema sauber entschieden. Zwischen Einzelfall, Gewohnheit und Anbieterpräsentation fehlt ein gemeinsamer Maßstab.
Fünf Fragen statt einer Produktdebatte
Kanzlei-IT ist Betriebsgrundlage und Teil professioneller Sorgfalt. Ausfälle, Fehlkonfigurationen oder unklare Zugriffe treffen Fristen, Vertraulichkeit und Mandantenvertrauen zugleich.
Was soll besser werden?
Die erste Frage ist schlicht: Welche konkrete Arbeit soll besser werden? Technikentscheidungen müssen deshalb vom Arbeitsrisiko her gedacht werden: Welche Fähigkeit muss verfügbar sein, welche Daten sind besonders sensibel und wie sieht der sichere Ausweichweg aus? Identitätsbasierter Zugriff, minimale Rechte und Geräteprüfung bringen mehr als ein modisches Großprojekt. Ohne diese Antwort wird jede Diskussion zur Sammlung persönlicher Vorlieben.
Woran wäre Fortschritt zu erkennen?
Die zweite Frage betrifft Beweise. Relevant sind Wiederanlaufzeit, Patch-Stand, MFA-Abdeckung, privilegierte Konten, Restore-Erfolg, offene Risiken und geübte Reaktionszeiten. MFA erzwingen. Definieren Sie Ergebnis, Verantwortliche und eine beobachtbare Abnahmebedingung. Admin-Konten trennen. Arbeiten Sie mit einem echten, repräsentativen Fall.
Was darf nicht passieren?
Die dritte Frage ist unangenehmer: Welche Fälle dürfen nicht in den neuen Standard geraten, und wer stoppt bei Zweifel? Überkomplexe Kontrollen treiben Mitarbeitende zu Umgehungslösungen.
Eine vierte Frage gilt dem Betrieb. Geräte verwalten. Legen Sie fest, wer entscheidet, wer prüft und wer bei Unsicherheit stoppt. Eine fünfte dem Ende des Versuchs. Zugriffe protokollieren. Messen Sie Wirkung und Nebenwirkung nach einem festen Zeitraum.
Antwort in einem Satz
Identitätsbasierter Zugriff, minimale Rechte und Geräteprüfung bringen mehr als ein modisches Großprojekt. Damit liegt eine Antwort vor, die sich prüfen lässt. Mehr sollte eine gute erste Entscheidung nicht versprechen.
Der Blick hinter den Prozess
Sicherheit zeigt sich nicht in einer Richtlinie, sondern am schlechten Tag: ein Konto ist gesperrt, ein Gerät verloren, ein Dienst nicht erreichbar. Dann müssen Ersatzweg, Kontaktkette und Verantwortung ohne Suche funktionieren. Entscheidend ist, "MFA erzwingen" und "Geräte verwalten" im selben Arbeitsablauf zu verbinden. Sonst verbessert die Kanzlei einen Teil und verschiebt das Problem an die nächste Übergabe.
Quellen und Stand
Redaktioneller Stand: 23. August 2026. Empfehlungen und Bewertungen sind redaktionelle Einordnungen auf Grundlage der genannten Quellen.