Die Daten Ihrer Mandanten,
sicher verschlossen.

Mit drei Bausteinen, die nur zusammen funktionieren: Zugriffskontrolle, Verschlüsselung sensibler Daten und Backups, die sich wirklich wiederherstellen lassen. Eine Kanzlei verwaltet Akten mit Vermögens-, Verfahrens- und manchmal Gesundheitsdaten Dritter, da reicht es nicht, einen Virenscanner zu haben und zu hoffen. Erstens muss klar sein, wer welche Akte öffnen darf und warum: Nicht das ganze Team muss alle Fälle sehen. Zweitens müssen Laptops und Festplatten, die das Büro verlassen – zu einer Verhandlung, zu einem Mandantentermin –, verschlüsselt sein, denn ein verlorenes unverschlüsseltes Gerät ist ein Datenschutzvorfall, dasselbe Gerät verschlüsselt in der Regel nicht. Drittens die Backups – wirklich getestet, nicht nur geplant. Hinzu kommt etwas, das fast niemand unterschrieben hat: der Vertrag mit Ihrem IT-Dienstleister als Auftragsverarbeiter. Ausführlicher erklären wir das in IT-Wartung und DSGVO für Unternehmen, und in Ihrer Kanzlei führen wir die komplette Prüfung durch, bevor wir irgendetwas anfassen.

Dass Sie nicht arbeiten können, bis das Problem gelöst ist – wenn keine zuverlässigen Backups vorhanden sind. Eine Kanzlei lebt von Akten, die sich nicht von Hand neu erstellen lassen: Ransomware, die den Ordner mit den laufenden Fällen verschlüsselt, oder eine Festplatte, die ohne Vorwarnung ausfällt, legt die Arbeit des Tages lahm und gefährdet die der vergangenen Monate, wenn nichts separat gesichert war. Wir richten automatische Backups ein, auf einem anderen Datenträger als dem täglich genutzten und mit mindestens einer Kopie außerhalb des Büros, und prüfen sie durch echte Wiederherstellungen – nicht nur durch einen Blick darauf, ob der Vorgang fehlerfrei durchgelaufen ist. Und wenn das Schlimmste eintritt, entscheiden die ersten Stunden nach dem Erkennen einer Verschlüsselung oder eines verdächtigen Zugriffs, wie viel sich retten lässt: das betroffene Gerät isolieren, nicht vorschnell zahlen und wissen, wen man anruft, bevor es passiert. Mehr dazu in Was in den ersten Stunden eines Ransomware-Angriffs zu tun ist – eine Lektüre, die man vorher kennen sollte, nicht erst danach.

Ja, mit einer sauber eingerichteten Verbindung, nicht mit irgendeinem losen Fernzugriff. Ein Partner, der vom Gericht, von zu Hause oder aus dem Büro eines Mandanten auf eine Akte zugreifen muss, sollte weder Passwörter per E-Mail teilen müssen noch auf einen ungeschützt ins Internet geöffneten Remote-Desktop angewiesen sein. Wir richten Fernzugriff und verschlüsselte VPN mit Zwei-Faktor-Authentifizierung ein, damit ein geleaktes Passwort allein nicht zum Zugang reicht, und machen die Akten nur von autorisierten Geräten und Konten aus zugänglich, nie von irgendeinem Rechner, den jemand gerade zur Hand hat. Wichtig ist auch, was passiert, wenn der Laptop eines Partners verloren geht oder gestohlen wird: Ist er verschlüsselt und lässt sich der Fernzugriff sofort sperren, wird aus einem Ärgernis kein Datenleck. Wir richten das zusammen mit der übrigen Infrastruktur der Kanzlei ein, unter Hosting & Cloud, damit Fernzugriff und Backups auf derselben Seite liegen und nicht zwei lose Systeme sind, die niemand richtig koordiniert.

Ja, und in einer Kanzlei verdient das besondere Aufmerksamkeit, weil über E-Mail Geld bewegt wird: Überweisungen von Mandanten, Vorschüsse, kurzfristige Änderungen der Bankverbindung. Wir richten professionelle E-Mail mit Ihrer eigenen Domain ein, mit Phishing-Filtern und den technischen DNS-Einträgen, die es erschweren, E-Mails im Namen Ihrer Kanzlei zu versenden. Doch kein Filter hält hundert Prozent auf, und der Betrug, der am meisten schmerzt, kommt oft per Telefon oder über eine E-Mail, die scheinbar von einem echten Mandanten stammt und darum bittet, das Zielkonto einer Zahlung zu ändern. Deshalb besteht die andere Hälfte darin, das Team darin zu schulen, jeder dringenden Änderung von Zahlungsanweisungen zu misstrauen und sie immer über einen anderen Kanal zu prüfen als den, über den die Nachricht kam – niemals durch Antworten auf dieselbe Nachricht. Dasselbe Manipulationsmuster zeigt sich bei Anrufern, die sich als technischer Support ausgeben, damit Sie ihnen Zugriff auf Ihren Rechner geben; wir erklären es in So erkennen Sie einen gefälschten Support-Anruf, und die ganze Kanzlei sollte es kennen, nicht nur die Person, die sich um die IT kümmert.

Eine einzige Kopie reicht nicht, und eine Kopie auf derselben Festplatte, die Sie täglich nutzen, zählt gar nicht als Backup. Unser Maßstab: mehrere Kopien von allem, was Sie nicht verlieren dürfen, auf unterschiedlichen Datenträgern, davon mindestens eine außerhalb des Büros – so reißen ein Brand, ein Diebstahl oder Ransomware, die alles Verbundene verschlüsselt, nicht auch noch die Backups mit. In einer Kanzlei heißt das: laufende Akten, E-Mails sowie die eigenen Steuer- und Personalunterlagen, nicht nur das, was der Mandant sieht. Was wirklich beweist, dass ein Backup funktioniert, ist, es wiederherzustellen und zu prüfen, ob sich die Datei öffnen lässt; ein nie getestetes Backup ist eine Annahme, keine Garantie. Die vollständige Methode erklären wir in Die 3-2-1-Regel für Backups, und wir richten alles so ein, dass es sich selbst überprüft, ohne dass jemand jede Woche daran denken muss.

Ja, wenn dieser Dienstleister auf Geräte zugreift, auf denen Daten Ihrer Mandanten liegen – und für den Support tut er das. Die DSGVO nennt das Auftragsverarbeitung und verlangt, dass dieses Verhältnis schriftlich geregelt ist: welche Daten er berührt, zu welchem Zweck, zu welcher Vertraulichkeit sich sein Personal verpflichtet, welche Sicherheitsmaßnahmen er anwendet und was mit den Daten geschieht, wenn die Zusammenarbeit endet. Häufig treffen wir auf Kanzleien, deren gesamte Datenschutzdokumentation in Ordnung ist, aber ohne diesen Vertrag – ausgerechnet mit dem Partner, der den meisten technischen Zugriff auf ihre Systeme hat. Das ist eines der am einfachsten zu lösenden und am häufigsten übersehenen Themen, und es funktioniert in beide Richtungen: Wenn ein Dienstleister sich wundert, dass Sie diesen Vertrag verlangen, sagt das schon etwas über seine Arbeitsweise aus. Ausführlicher, inklusive der Liste dessen, was er enthalten muss, erklären wir es in Was ein IT-Wartungsvertrag enthalten muss.