Eine Kanzlei hat zwei Probleme mit KI, und die meisten Anbieter lösen nur eines. Das erste: Mandantendaten dürfen die Kanzlei nicht verlassen, § 203 StGB, § 43e BRAO, für Notariate § 26a BNotO. Das zweite: Was die KI zurückgibt, kann erfunden sein, und zwar so überzeugend, dass es im Schriftsatz landet. Das Kammergericht hat im November 2025 eine Anwältin wegen erfundener Rechtsprechungszitate ermahnt, das Amtsgericht Köln im Juli 2025 erfundene Fundstellen gerügt, und ein Landgericht hat einem Sachverständigen die Vergütung gestrichen, weil er sein Gutachten unerkannt von einer KI schreiben ließ.
Deshalb hat unsere Kanzlei-Instanz zwei Wächter. Der erste schützt den Weg nach draußen. Der zweite prüft, was hereinkommt. Dieser Beitrag beschreibt das Prinzip. Die Regeln bleiben, wo sie hingehören.
Wie funktioniert der Filter vor dem Modell?
Der Wächter sitzt zwischen dem Anwalt und dem Sprachmodell. Bevor eine Anfrage das Haus verlässt, ersetzt er alles, was ein Mandat identifiziert, durch Platzhalter. Die Zuordnung zwischen Platzhalter und Klartext bleibt im Haus. In der Antwort, die auf dem Bildschirm des Anwalts landet, werden die Platzhalter zurückgetauscht. Das Modell hat nie einen echten Namen gesehen, der Anwalt liest trotzdem einen fertigen Schriftsatz.
Woher weiß der Wächter, was ein Mandat identifiziert? Aus zwei Quellen. Erstens aus dem Aktenstamm der Kanzleisoftware, mit allen Beteiligten in allen Schreibweisen. Zweitens aus Mustern für das, was in keinem Stamm steht: Bankverbindungen, Registernummern, Kontaktdaten, Geburtsdaten.
Die Platzhalter tragen eine Rolle. Mandant, Gegner, Zeuge und Dritte sind im Schriftsatz nicht austauschbar; ein Modell, das nur „Person 1“ und „Person 2“ sieht, schreibt Unsinn.
Der Wächter gilt für die ganze Anfrage, nicht nur für den getippten Text. Anhänge laufen durch denselben Filter, Bilder eingeschlossen, weil ein Modell einen Namen auch aus einem Foto vorlesen kann. Das ist eine unserer Grundregeln: Wer nur den Text prüft, prüft nicht die Anfrage.
Die schwierigste Entscheidung
Rechtsrecherche muss möglich bleiben. Wer jedes Aktenzeichen schwärzt, zerstört den Zweck, für den eine Kanzlei das Werkzeug kauft, denn ein Muster kann ein öffentliches Urteil des Bundesgerichtshofs nicht von einem laufenden eigenen Verfahren unterscheiden. Also unterscheidet der Wächter zwischen dem, was er aus dem Stamm kennt, und dem, was ihm fremd ist. Für alles Unklare gilt „im Zweifel zu“: Die Anfrage bleibt lesbar, wird aber vom Drittland-Rechenort ferngehalten.
Ein Fehlalarm kostet eine etwas schwächere Antwort. Ein Durchrutscher kostet die Verschwiegenheitspflicht.
Der Rücktausch hat eigene Prüfungen. Zwei Kontoverbindungen im selben Schreiben dürfen nie auf denselben Platzhalter zusammenfallen, sonst steht in einer Zahlungsaufforderung die falsche Bankverbindung. Und erfindet das Modell einen Platzhalter, den es nie gab, meldet der Filter das, statt einen Schriftsatz mit einer eckigen Klammer in den Versand gehen zu lassen.
Innerhalb einer Akte bleiben die Platzhalter über alle Anfragen stabil, damit das Modell erkennt, dass derselbe Platzhalter in Anfrage eins und Anfrage drei dieselbe Person ist. Die Zuordnungstabelle liegt dafür verschlüsselt in der Anlage der Kanzlei, der Schlüssel getrennt, und sie wird mit der Akte gelöscht.
Grün, gelb, rot
In der Schule beginnt die Ampel bei „unbedenklich“. In der Kanzlei beginnt sie praktisch bei „vertraulich“, bis hin zur Tatsache der Mandatierung selbst.
Grün: kein Mandatsbezug, jedes Modell. Abstrakte Rechtsfragen, Normrecherche, Textbausteine ohne Parteinamen, die Struktur eines Schriftsatzes, Fortbildung. Hier liegt ein großer Teil des Nutzens, und hier kann eine Kanzlei ohne jede Berufsrechtsdiskussion anfangen.
Gelb: Mandatsbezug, nur pseudonymisiert, nur über das europäische Modell. Der Alltag: Schriftsatzentwurf, Aktenzusammenfassung, Vertragsprüfung, Analyse des gegnerischen Schriftsatzes. Eine Prüfansicht zeigt vor dem Absenden, was ersetzt wurde.
Rot: bleibt im Haus, unabhängig vom Wächter. Dazu gehören Sachverhalte, die für sich identifizierend sind, etwa nach Presseberichterstattung oder bei seltenen Konstellationen am kleinen Ort, Strafverteidigung mit konkretem Tatvorwurf, Gesundheitsdaten, Hinweisgeber-Identitäten und Mandate, in denen der Mandant dem KI-Einsatz widersprochen hat. Für rote Fälle gibt es das lokale Modell auf dem Kanzleiserver oder die Arbeit ohne KI. Das ist eine legitime Antwort, und sie gehört ausgesprochen.
Die Ampel ist zugleich ein Blatt Papier: derselbe Text als Entwurf einer Dienstanweisung, von der Kanzleileitung gezeichnet.
Der zweite Wächter: Fundstellen prüfen
Das Kammergericht hat die Regel ausgesprochen, die der zweite Wächter umsetzt: KI-Hilfe ist erlaubt, die Prüfung der zitierten Fundstellen ist Pflicht. Der Prüfer nimmt jede Fundstelle aus der Antwort und gleicht sie mit der Rechtsinformations-Schnittstelle des Bundes ab, die Bundesgesetze und die Rechtsprechung der Bundesgerichte im Volltext liefert.
Zwei Dinge sind dabei entscheidend. Erstens: Die amtliche Suche ist unscharf, ein erfundenes Aktenzeichen liefert trotzdem Treffer. Ein Treffer genügt deshalb nicht, die Fundstelle muss exakt stimmen. Zweitens: Der Bestand endet bei den Bundesgerichten. Deshalb gibt es drei Ergebnisse statt zwei: belegt, nicht auffindbar, nicht prüfbar.
Das dritte ist das wichtigste, weil es dem Anwalt sagt, wo er selbst nachsehen muss.
Eine eigene Urteilssammlung bauen wir bewusst nicht. Die Kanzlei hat ihren Zugang zu Urteilen längst. Was ihr fehlte, war die Prüfung dessen, was die KI behauptet.
Wie wir beweisen, dass die Kette dicht ist
Ein Schutzversprechen ist so viel wert wie seine Messung. Deshalb hat jeder Baustein des Wächters seinen Selbsttest, und alle laufen vor jeder Auslieferung. Dazu kommen Ende-zu-Ende-Abnahmen an der echten Instanz: eine Anfrage mit echtem Namen und echter Aktennummer, über den Wächter, zum Modell, zurück auf den Bildschirm, und anschließend der Blick ins Protokoll, das nachweislich weder Name noch Nummer enthält, nur Zählwerte.
Genauso werden Anhänge geprüft: ein Textdokument mit Kundendaten, ein Archiv, ein Bild mit eingebranntem Namen. Jeder dieser Wege wird gemessen, nicht angenommen, und jede Messung wird zur Regel für alle Instanzen gleichzeitig. Ein Monatsnachweis für die Kanzleileitung fasst die Zählwerte zusammen und beweist mit einem eigenen Test, dass kein Nutzerkennzeichen in den Bericht gelangt.
Was der Wächter nicht kann
Der Spitzname, der in keiner Akte steht. Der Sachverhalt, der eine Person durch den Zusammenhang identifiziert. Der Tippfehler im Namen. Das Diktat, solange die Spracherkennung nicht im Haus läuft. Wir schreiben das auf dasselbe Blatt wie die Stärken, weil eine Kanzlei die rote Stufe nur ernst nimmt, wenn sie weiß, warum es sie gibt.
Und der Satz, der in jedem unserer Texte gleich lautet: Der Wächter pseudonymisiert, er anonymisiert nicht. Die Verarbeitung bleibt personenbezogen, mit Auftragsverarbeitungsvertrag, technischen Maßnahmen und Verarbeitungsverzeichnis.
Das Modell bekommt Platzhalter, nicht Ihre Akte. Mehr versprechen wir nicht, weil mehr nicht haltbar wäre.
Veröffentlicht am 31. August 2026.