Der Wächter: Mandantendaten bleiben in der Kanzlei

Kanzleien dürfen Mandantendaten nicht in fremde KI-Systeme geben, wollen KI aber nutzen. Unsere Antwort ist ein Filter vor dem Modell: Er ersetzt Namen, Aktenzeichen und Kontodaten durch Platzhalter mit Rolle und Nummer, tauscht sie in der Antwort zurück und hält Verdachtsfälle vom Drittland fern. Ein zweiter Wächter prüft jede Fundstelle, die die KI zitiert.

31. August 2026 6 Minuten Lesezeit KI im Mittelstand

Regelwerk · Nachweis · Betrieb

Eine Kanzlei hat zwei Probleme mit KI, und die meisten Anbieter lösen nur eines. Das erste: Mandantendaten dürfen die Kanzlei nicht verlassen, § 203 StGB, § 43e BRAO, für Notariate § 26a BNotO. Das zweite: Was die KI zurückgibt, kann erfunden sein, und zwar so überzeugend, dass es im Schriftsatz landet. Das Kammergericht hat im November 2025 eine Anwältin wegen erfundener Rechtsprechungszitate ermahnt, das Amtsgericht Köln im Juli 2025 erfundene Fundstellen gerügt, und ein Landgericht hat einem Sachverständigen die Vergütung gestrichen, weil er sein Gutachten unerkannt von einer KI schreiben ließ.

Deshalb hat unsere Kanzlei-Instanz zwei Wächter. Der erste schützt den Weg nach draußen. Der zweite prüft, was hereinkommt. Dieser Beitrag beschreibt das Prinzip. Die Regeln bleiben, wo sie hingehören.

Wie funktioniert der Filter vor dem Modell?

Der Wächter sitzt zwischen dem Anwalt und dem Sprachmodell. Bevor eine Anfrage das Haus verlässt, ersetzt er alles, was ein Mandat identifiziert, durch Platzhalter. Die Zuordnung zwischen Platzhalter und Klartext bleibt im Haus. In der Antwort, die auf dem Bildschirm des Anwalts landet, werden die Platzhalter zurückgetauscht. Das Modell hat nie einen echten Namen gesehen, der Anwalt liest trotzdem einen fertigen Schriftsatz.

Woher weiß der Wächter, was ein Mandat identifiziert? Aus zwei Quellen. Erstens aus dem Aktenstamm der Kanzleisoftware, mit allen Beteiligten in allen Schreibweisen. Zweitens aus Mustern für das, was in keinem Stamm steht: Bankverbindungen, Registernummern, Kontaktdaten, Geburtsdaten.

Die Platzhalter tragen eine Rolle. Mandant, Gegner, Zeuge und Dritte sind im Schriftsatz nicht austauschbar; ein Modell, das nur „Person 1“ und „Person 2“ sieht, schreibt Unsinn.

Der Wächter gilt für die ganze Anfrage, nicht nur für den getippten Text. Anhänge laufen durch denselben Filter, Bilder eingeschlossen, weil ein Modell einen Namen auch aus einem Foto vorlesen kann. Das ist eine unserer Grundregeln: Wer nur den Text prüft, prüft nicht die Anfrage.

Die schwierigste Entscheidung

Rechtsrecherche muss möglich bleiben. Wer jedes Aktenzeichen schwärzt, zerstört den Zweck, für den eine Kanzlei das Werkzeug kauft, denn ein Muster kann ein öffentliches Urteil des Bundesgerichtshofs nicht von einem laufenden eigenen Verfahren unterscheiden. Also unterscheidet der Wächter zwischen dem, was er aus dem Stamm kennt, und dem, was ihm fremd ist. Für alles Unklare gilt „im Zweifel zu“: Die Anfrage bleibt lesbar, wird aber vom Drittland-Rechenort ferngehalten.

Ein Fehlalarm kostet eine etwas schwächere Antwort. Ein Durchrutscher kostet die Verschwiegenheitspflicht.

Der Rücktausch hat eigene Prüfungen. Zwei Kontoverbindungen im selben Schreiben dürfen nie auf denselben Platzhalter zusammenfallen, sonst steht in einer Zahlungsaufforderung die falsche Bankverbindung. Und erfindet das Modell einen Platzhalter, den es nie gab, meldet der Filter das, statt einen Schriftsatz mit einer eckigen Klammer in den Versand gehen zu lassen.

Innerhalb einer Akte bleiben die Platzhalter über alle Anfragen stabil, damit das Modell erkennt, dass derselbe Platzhalter in Anfrage eins und Anfrage drei dieselbe Person ist. Die Zuordnungstabelle liegt dafür verschlüsselt in der Anlage der Kanzlei, der Schlüssel getrennt, und sie wird mit der Akte gelöscht.

Grün, gelb, rot

In der Schule beginnt die Ampel bei „unbedenklich“. In der Kanzlei beginnt sie praktisch bei „vertraulich“, bis hin zur Tatsache der Mandatierung selbst.

Grün: kein Mandatsbezug, jedes Modell. Abstrakte Rechtsfragen, Normrecherche, Textbausteine ohne Parteinamen, die Struktur eines Schriftsatzes, Fortbildung. Hier liegt ein großer Teil des Nutzens, und hier kann eine Kanzlei ohne jede Berufsrechtsdiskussion anfangen.

Gelb: Mandatsbezug, nur pseudonymisiert, nur über das europäische Modell. Der Alltag: Schriftsatzentwurf, Aktenzusammenfassung, Vertragsprüfung, Analyse des gegnerischen Schriftsatzes. Eine Prüfansicht zeigt vor dem Absenden, was ersetzt wurde.

Rot: bleibt im Haus, unabhängig vom Wächter. Dazu gehören Sachverhalte, die für sich identifizierend sind, etwa nach Presseberichterstattung oder bei seltenen Konstellationen am kleinen Ort, Strafverteidigung mit konkretem Tatvorwurf, Gesundheitsdaten, Hinweisgeber-Identitäten und Mandate, in denen der Mandant dem KI-Einsatz widersprochen hat. Für rote Fälle gibt es das lokale Modell auf dem Kanzleiserver oder die Arbeit ohne KI. Das ist eine legitime Antwort, und sie gehört ausgesprochen.

Die Ampel ist zugleich ein Blatt Papier: derselbe Text als Entwurf einer Dienstanweisung, von der Kanzleileitung gezeichnet.

Der zweite Wächter: Fundstellen prüfen

Das Kammergericht hat die Regel ausgesprochen, die der zweite Wächter umsetzt: KI-Hilfe ist erlaubt, die Prüfung der zitierten Fundstellen ist Pflicht. Der Prüfer nimmt jede Fundstelle aus der Antwort und gleicht sie mit der Rechtsinformations-Schnittstelle des Bundes ab, die Bundesgesetze und die Rechtsprechung der Bundesgerichte im Volltext liefert.

Zwei Dinge sind dabei entscheidend. Erstens: Die amtliche Suche ist unscharf, ein erfundenes Aktenzeichen liefert trotzdem Treffer. Ein Treffer genügt deshalb nicht, die Fundstelle muss exakt stimmen. Zweitens: Der Bestand endet bei den Bundesgerichten. Deshalb gibt es drei Ergebnisse statt zwei: belegt, nicht auffindbar, nicht prüfbar.

Das dritte ist das wichtigste, weil es dem Anwalt sagt, wo er selbst nachsehen muss.

Eine eigene Urteilssammlung bauen wir bewusst nicht. Die Kanzlei hat ihren Zugang zu Urteilen längst. Was ihr fehlte, war die Prüfung dessen, was die KI behauptet.

Wie wir beweisen, dass die Kette dicht ist

Ein Schutzversprechen ist so viel wert wie seine Messung. Deshalb hat jeder Baustein des Wächters seinen Selbsttest, und alle laufen vor jeder Auslieferung. Dazu kommen Ende-zu-Ende-Abnahmen an der echten Instanz: eine Anfrage mit echtem Namen und echter Aktennummer, über den Wächter, zum Modell, zurück auf den Bildschirm, und anschließend der Blick ins Protokoll, das nachweislich weder Name noch Nummer enthält, nur Zählwerte.

Genauso werden Anhänge geprüft: ein Textdokument mit Kundendaten, ein Archiv, ein Bild mit eingebranntem Namen. Jeder dieser Wege wird gemessen, nicht angenommen, und jede Messung wird zur Regel für alle Instanzen gleichzeitig. Ein Monatsnachweis für die Kanzleileitung fasst die Zählwerte zusammen und beweist mit einem eigenen Test, dass kein Nutzerkennzeichen in den Bericht gelangt.

Was der Wächter nicht kann

Der Spitzname, der in keiner Akte steht. Der Sachverhalt, der eine Person durch den Zusammenhang identifiziert. Der Tippfehler im Namen. Das Diktat, solange die Spracherkennung nicht im Haus läuft. Wir schreiben das auf dasselbe Blatt wie die Stärken, weil eine Kanzlei die rote Stufe nur ernst nimmt, wenn sie weiß, warum es sie gibt.

Und der Satz, der in jedem unserer Texte gleich lautet: Der Wächter pseudonymisiert, er anonymisiert nicht. Die Verarbeitung bleibt personenbezogen, mit Auftragsverarbeitungsvertrag, technischen Maßnahmen und Verarbeitungsverzeichnis.

Das Modell bekommt Platzhalter, nicht Ihre Akte. Mehr versprechen wir nicht, weil mehr nicht haltbar wäre.

Dieser Beitrag ist eine fachliche Einordnung aus der Praxis, keine Rechtsberatung. Ob und wie eine Vorschrift Ihren Betrieb trifft, hängt vom Einzelfall ab. Rechtsstand ist das oben genannte Datum; die Verordnung (EU) 2024/1689 ist in Bewegung.

Veröffentlicht am 31. August 2026.

Kurz beantwortet

Drei Fragen dazu.

Ist das Anonymisierung?

Nein, Pseudonymisierung. Die Zuordnung zwischen Platzhalter und Klartext existiert, sie bleibt nur im Haus. Die Verarbeitung ist damit weiterhin personenbezogen und gehört ins Verarbeitungsverzeichnis. Der Wächter verstärkt die Verträge, er ersetzt sie nicht.

Was passiert mit einem Namen, der nicht in der Akte steht?

Der Wächter kennt die Beteiligten aus dem Aktenstamm der Kanzleisoftware und erkennt daneben Muster wie Kontonummern oder Geburtsdaten. Ein Spitzname, der nirgends steht, oder ein Sachverhalt, der eine Person durch den Kontext identifiziert, rutscht durch. Deshalb gibt es die rote Stufe: Solche Mandate bleiben im Haus, beim lokalen Modell oder ganz ohne KI.

Sehen Sie als Anbieter unsere Mandantendaten?

Nein. Die Zuordnungstabelle liegt verschlüsselt in der Anlage der Kanzlei, der Schlüssel getrennt und im Haus. Protokolle enthalten keine Inhalte, nur Zählwerte, etwa wie viele Namen in einer Anfrage ersetzt wurden. Das beweist ein Selbsttest, der bei jeder Auslieferung läuft.

Weiterlesen

Aus derselben Werkstatt.

KI im Mittelstand · 15. September 2026

Was der TÜV-Kurs zum KI-Compliance-Beauftragten bringt

Zwei Tage Seminar, 30 Fragen, ein Zertifikat: Was der Kurs zum KI-Compliance-Beauftragten (TÜV) einem Mittelständler wirklich bringt und was er nicht leistet.

Lesen →
KI im Mittelstand · 12. September 2026

KI-Inventar: der erste Schritt zur KI-Compliance

Was ein KI-Inventar ist, welche zehn Felder je Eintrag hineingehören, was draußen bleibt und wie es zur Grundlage für Schulung, Regelwerk und Rollenfrage wird.

Lesen →

Sie wollen wissen, wo Ihr Betrieb steht?

Ein Erstgespräch von 30 Minuten reicht, um die drei wichtigsten Punkte zu klären. Ohne Verpflichtung, ohne Folien.

Erstgespräch anfragen