Cloud und Berufsgeheimnis – kein Widerspruch, aber Arbeit
E-Mail, Akten, Termine und Videokonferenzen laufen in vielen österreichischen Kanzleien längst über Microsoft 365. Für Rechtsanwältinnen, Rechtsanwälte und Steuerberatungskanzleien stellt sich dabei eine Frage, die andere Unternehmen so nicht haben: Wie lässt sich die Plattform so betreiben, dass die berufliche Verschwiegenheit gewahrt bleibt?
Die kurze Antwort: Microsoft 365 ist nicht von sich aus „kanzleitauglich“ oder „nicht kanzleitauglich“. Entscheidend sind Vertrag, Konfiguration und laufende Kontrolle. Dieser Beitrag zeigt, welche Einstellungen in der Praxis den Unterschied machen. Er ersetzt keine Rechtsberatung – ob Ihre Lösung den berufsrechtlichen Anforderungen genügt, klären Sie im Zweifel mit Ihrer Kammer.
Der rechtliche Rahmen in Kürze
- Rechtsanwälte: Nach § 9 Abs. 2 RAO ist der Rechtsanwalt zur Verschwiegenheit über die ihm anvertrauten Angelegenheiten verpflichtet; das gilt entsprechend für die von ihm herangezogenen Hilfskräfte.
- Steuerberatung und Wirtschaftsprüfung: § 80 WTBG 2017 verpflichtet Berufsberechtigte zur Verschwiegenheit über die ihnen anvertrauten Angelegenheiten und erstreckt diese Pflicht unter anderem auf Erfüllungsgehilfen.
- Externe Dienstleister: Der Österreichische Rechtsanwaltskammertag hat 2020 die Berufsrichtlinien (§ 40 RL-BA) technologieneutral neu gefasst. Laut ÖRAK-Infoblatt muss der Rechtsanwalt externe Dienstleister sorgfältig auswählen, Datensicherheit und Vertraulichkeit müssen dem Stand der Technik entsprechen, Klienten sind über die Kategorien der eingesetzten Dienstleister zu informieren, und der Dienstleister ist nachweislich vertraglich zu verpflichten, die Kanzlei im Fall einer Hausdurchsuchung unverzüglich zu informieren.
- DSGVO: Microsoft verarbeitet Daten als Auftragsverarbeiter. Dafür braucht es einen Vertrag nach Art. 28 DSGVO, und die Kanzlei muss angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO setzen.
Wie Sie insbesondere die Vorgabe zur Hausdurchsuchung gegenüber einem Großanbieter umsetzen, sollten Sie mit Ihrer Rechtsanwaltskammer bzw. der Kammer der Steuerberater und Wirtschaftsprüfer abstimmen.
Vertrag und Datenstandort
Auftragsverarbeitung: Die Microsoft Products and Services Data Protection Addendum (DPA) ist Teil der Vertragsbedingungen für Geschäftskunden. Legen Sie die jeweils gültige Fassung zu Ihren Unterlagen und vermerken Sie Microsoft im Verarbeitungsverzeichnis.
EU-Datengrenze: Microsoft hat im Februar 2025 die EU Data Boundary für Microsoft 365 abgeschlossen. Kundendaten, pseudonymisierte personenbezogene Daten und Supportdaten werden demnach innerhalb von EU und EFTA gespeichert und verarbeitet. Prüfen Sie im Admin Center, welcher Datenstandort für Ihre Microsoft-365-Umgebung (Tenant) angezeigt wird – und denken Sie daran, dass Zusatzdienste und Apps von Drittanbietern eigene Regeln haben können.
Die wichtigsten Einstellungen
Anmeldung absichern
Mehrstufige Anmeldung (MFA) ist Pflicht für alle Konten – ohne Ausnahme, auch für die Assistenz und das Sekretariat. Mit bedingtem Zugriff (Conditional Access, enthalten etwa in Business Premium) lassen sich zusätzlich Regeln festlegen: Zugriff nur von verwalteten Geräten, Sperre veralteter Anmeldeverfahren, keine Anmeldung aus Ländern, in denen niemand aus der Kanzlei arbeitet.
Vertraulichkeitsbezeichnungen und Verschlüsselung
Mit Vertraulichkeitsbezeichnungen (Sensitivity Labels) aus Microsoft Purview kennzeichnen Sie Dokumente und E-Mails, etwa als „Mandatsgeheimnis“. Die Bezeichnung kann eine Verschlüsselung auslösen, die mit dem Dokument mitwandert: Auch eine weitergeleitete Datei bleibt für Unbefugte unlesbar. Halten Sie das Schema einfach – drei bis vier Stufen reichen in den meisten Kanzleien.
Externe Freigaben und Gäste
Standardmäßig sind in SharePoint und OneDrive oft großzügige Freigaben möglich. Empfehlenswert ist:
- „Jeder mit dem Link“-Freigaben deaktivieren, nur namentliche Freigaben an bestimmte Personen zulassen
- Ablaufdatum für Freigabelinks und Gastzugriffe festlegen
- Gastzugriff in Teams bewusst steuern: nur für definierte Teams, regelmäßig überprüfen
- Freigaben pro Mandat bündeln, statt einzelne Dateien aus persönlichen OneDrives zu teilen
Aufbewahrung und Backup
Aufbewahrungsrichtlinien in Microsoft 365 verhindern das vorzeitige Löschen – ein Backup sind sie nicht. Microsoft betreibt die Plattform, die Sicherung Ihrer Daten gegen Fehlbedienung, Ransomware oder einen kompromittierten Account bleibt Ihre Aufgabe. Ein eigenständiges Backup für Microsoft 365 mit getrenntem Speicherort und dokumentierten Wiederherstellungstests gehört deshalb zur Grundausstattung.
Geräte verwalten
Mit Microsoft Intune sorgen Sie dafür, dass nur verschlüsselte, aktuelle und verwaltete Geräte auf Mandantendaten zugreifen. Geht ein Notebook oder Smartphone verloren, lassen sich Kanzleidaten aus der Ferne löschen. Auf privaten Smartphones können App-Schutzrichtlinien die Kanzleidaten von privaten Daten trennen.
Protokolle auswerten
Das Überwachungsprotokoll (Audit Log) zeigt, wer wann auf welche Dateien zugegriffen, Freigaben erstellt oder Postfachregeln geändert hat. Prüfen Sie, ob es aktiviert ist, wie lange Einträge in Ihrem Plan aufbewahrt werden, und richten Sie Warnungen für auffällige Vorgänge ein – etwa automatische Weiterleitungen an externe Adressen.
Copilot, KI und Mandantendaten
Microsoft 365 Copilot zeigt laut Microsoft nur Inhalte an, auf die die jeweilige Person zumindest Leserechte hat; Eingaben und Antworten werden nicht zum Training der Basismodelle verwendet. Das heißt aber auch: Zu weit gefasste Berechtigungen werden durch Copilot sofort sichtbar. Räumen Sie Freigaben deshalb vor der Einführung auf. Prüfen Sie außerdem im Admin Center, welche KI-Modelle und Erweiterungen zugelassen sind – nicht alle Zusatzmodelle fallen laut Microsoft unter die EU-Datengrenze.
Für KI-Werkzeuge außerhalb von Microsoft 365 bietet sich ein vorgeschalteter Filter an: houdini ersetzt personenbezogene Daten lokal durch Platzhalter, bevor ein Prompt das KI-Modell erreicht.
Checkliste für Ihre Kanzlei
- Microsoft DPA ablegen, Microsoft im Verarbeitungsverzeichnis eintragen
- Klienten über eingesetzte Dienstleister-Kategorien informieren (z. B. in der Mandatsvereinbarung)
- Datenstandort im Admin Center prüfen
- MFA für alle Konten, bedingten Zugriff für Kanzleigeräte einrichten
- Vertraulichkeitsbezeichnungen mit Verschlüsselung definieren
- „Jeder mit dem Link“ deaktivieren, Ablaufdaten für Gäste und Links setzen
- Eigenständiges Backup einrichten und Wiederherstellung testen
- Geräte mit Intune verwalten, Verlustfall durchspielen
- Audit Log aktivieren, Warnungen konfigurieren
- Copilot erst nach Berechtigungs-Check freischalten
Wie IT United unterstützt
Wir betreuen Kanzleien und kennen die Anforderungen an Verschwiegenheit und Nachvollziehbarkeit. Gemeinsam prüfen wir Ihre Microsoft-365-Umgebung, setzen die Einstellungen um und dokumentieren sie so, dass Sie gegenüber Klienten und Kammer Auskunft geben können. Mehr dazu auf unserer Seite für Kanzleien und zur IT-Security.
Sie möchten wissen, wo Ihre Microsoft-365-Umgebung steht? Vereinbaren Sie ein kostenloses Erstgespräch.