Verschwiegenheit lässt sich technisch abbilden

Berufsgeheimnisträger schulden ihren Mandanten Verschwiegenheit, und diese Pflicht endet nicht an der Tür des Serverraums. In der Praxis stellt sich die Frage sehr konkret: Kann das gesamte Team jede Akte öffnen, oder nur die daran beteiligten Personen? In gewachsenen Umgebungen lautet die Antwort überraschend oft, dass alle alles sehen können.

Wir bauen die Berechtigungen entlang der tatsächlichen Mandatsstruktur um. Grundlage ist eine Rollenaufstellung, die zwischen Berufsträgern, Sachbearbeitung, Sekretariat, Buchhaltung und externen Dienstleistern unterscheidet. Sonderfälle wie ein Mandat mit erhöhter Vertraulichkeit oder eine Konstellation, in der einzelne Personen ausgeschlossen bleiben müssen, bilden wir gesondert ab.

Ein Protokoll, das alles aufzeichnet, hilft niemandem, weil im Ernstfall niemand hindurchfindet. Sinnvoll ist eine bewusste Auswahl: Anmeldungen und fehlgeschlagene Anmeldeversuche, Änderungen an Berechtigungen, administrative Eingriffe und Zugriffe auf besonders geschützte Bestände.

Diese Aufzeichnungen legen wir so ab, dass sie nachträglich nicht verändert werden können, und definieren eine Aufbewahrungsdauer, die zu Ihren Fristen passt. So lässt sich eine Frage aus einem Mandat oder von einer Aufsicht mit Belegen beantworten statt mit Erinnerung.

Der wirksamste Angriff auf Mandantengeheimnisse braucht keinen Rechner. Ein offener Bildschirm im Besprechungsraum, ein Ausdruck, der über Nacht im Drucker liegt, ein Telefonat im Wartebereich: Diskretion entscheidet sich häufig an solchen Details.

Wir setzen automatische Bildschirmsperren mit kurzen Zeiten, richten Druckaufträge so ein, dass sie erst nach Anmeldung am Gerät ausgegeben werden, und statten publikumsnahe Arbeitsplätze mit Blickschutz aus. Für Besprechungsräume vereinbaren wir Regeln zur Nutzung von Bildschirmen und Gästezugängen.

Kanzleien und Vermögensverwaltungen bewegen Gelder und führen Korrespondenz, aus der Angreifer Anlässe ableiten können. Der bekannteste Fall ist die geänderte Bankverbindung in einer laufenden Abwicklung, versendet aus einem übernommenen Postfach oder von einer Adresse, die sich nur in einem Zeichen unterscheidet.

Wir sichern Postfächer mit Mehr-Faktor-Authentifizierung und Anmelderegeln ab, prüfen eingehende Nachrichten auf gefälschte Absender und richten Warnhinweise für Nachrichten von außerhalb ein. Parallel vereinbaren wir eine feste Freigaberegel für Zahlungen und Änderungen an Kontodaten, die immer eine Bestätigung über einen zweiten, bekannten Kanal verlangt.

Für Kanzleien und Beratungen berühren sich mehrere Anforderungen: die Datenschutz-Grundverordnung, berufsrechtliche Verschwiegenheitspflichten und je nach Struktur des Hauses die Vorgaben aus der NIS2-Umsetzung. Auftraggeber aus regulierten Branchen geben zusätzliche Anforderungen weiter.

Unser Beitrag ist die technisch-organisatorische Umsetzung: Verschlüsselung, Zugriffskontrolle, Protokollierung, Notfallvorsorge und eine Dokumentation, die diese Maßnahmen belegt. Ob und in welchem Umfang eine Vorgabe für Ihr Haus gilt, beurteilen Ihr Datenschutzbeauftragter und Ihre berufsrechtliche Beratung. Wir behaupten keine Zertifizierungen und ersetzen keine Rechtsberatung.