Das Mandantengeheimnis ist nur eine Mail vom Bruch entfernt.
Sie haften persönlich für die Verschwiegenheit, auch wenn im Sekretariat jemand klickt. Kanzleien verwalten Akten, die Gegner und Erpresser interessieren, und Gelder auf Anderkonten, die Betrüger anziehen. Ich trainiere Partner, Anwälte und Mitarbeitende darauf, die eine gefälschte Mail zu erkennen: ohne IT-Projekt, ohne Fachchinesisch, in rund 60 Minuten pro Person.
Schulung, Phishing-Test, sechs Monate Auffrischung und Nachweis. Kein Abo. Zwölf Köpfe: 588 € netto. Eine Partnerkanzlei mit 30 Köpfen: 1.470 € netto.
Online, jederzeit unterbrechbar, zwischen zwei Terminen oder am Freitagnachmittag. Ihr eigener Aufwand: Team eintragen, fertig.
Wer wann geschult wurde, plus Teamquote. Das Dokument für Datenschutzaufsicht, Versicherer und die eigene Kanzleiakte.
Montag Team eintragen, Freitag liegt der Nachweis im Cockpit. Ohne IT-Dienstleister, ohne Installation, beA und Kanzleisoftware bleiben unberührt.
Was Kriminelle mit Mandantenakten anfangen – und was es Sie kostet.
Den Wert Ihrer Akten können Sie kaum beziffern, die Angreifer können es. Mandantendaten werden nicht „gestohlen", sie werden kopiert: Sie haben sie weiterhin, und jemand anderes jetzt auch.
Mit Scheidungsakten, Strafverfahren oder Unternehmenskaufverträgen in der Hand schreiben Täter Ihre Mandanten selbst an: Zahlung oder Veröffentlichung. Die New Yorker Kanzlei Grubman Shire Meiselas & Sacks erlebte das 2020 mit prominenten Mandanten und einer Forderung von 42 Millionen Dollar.
Wird nicht gezahlt, landen Schriftsätze, Vollmachten und Ausweiskopien offen im Netz, auffindbar für Gegner, Presse und Identitätsdiebe. Rückholen ist unmöglich, die Verschwiegenheit ist dauerhaft gebrochen.
Ein Vergleichsbetrag oder eine Kaufpreisauszahlung geht auf die „neue Kontonummer" der Gegenseite oder des Mandanten. Das Geld ist weg, der Mandant verlangt es von Ihnen, und die Berufshaftpflicht prüft, ob Sie fahrlässig waren.
Verschlüsselte Systeme bedeuten: kein Zugriff auf Akten, Fristenkalender und beA, oft über Tage. Eine versäumte Frist ist ein Haftungsfall, und Wiederanlauf, Forensik und Rechtsberatung kosten meist mehr als jedes Lösegeld.
Und das müssen Sie dann tun
Meldung an den Landesbeauftragten für Datenschutz, sobald ein Risiko für Betroffene nicht ausgeschlossen ist (Art. 33 DSGVO). Die Verschwiegenheit befreit nicht davon.
Information jedes betroffenen Mandanten bei hohem Risiko (Art. 34 DSGVO), außerdem Anzeige an die Berufshaftpflicht und je nach Fall Strafanzeige.
Berufsrechtliche Verantwortung (§ 43a BRAO, § 203 StGB), mögliche Bußgelder und Schadensersatz. Der Ruf einer Kanzlei lässt sich nicht versichern.
Fast jeder dieser Fälle beginnt mit einer Mail, die eine Person für echt hielt. Dieses eine Erkennen trainiere ich.
So wird gerade Ihre Branche angegriffen.
Diese Szenarien bilde ich in realistischen Simulationen nach – damit Ihr Team sie im Ernstfall erkennt, statt sie erst im Schadensfall zu verstehen.
„Neue Nachricht im beA – bitte Postfach bestätigen" führt auf eine nachgebaute Anmeldung.
Ein angeblicher Schriftsatz des Gegners oder eine Abmahnung mit Fristdruck bringt eine Schaddatei ins Haus.
Mandant oder Gegenanwalt melden kurz vor der Auszahlung eine „neue Bankverbindung" für den Vergleichsbetrag.
Angeblich der Namenspartner, per Mail oder KI-generierter Sprachnachricht: eine dringende, vertrauliche Überweisung vom Anderkonto.
Was Sie müssen – und was Sie damit abhaken.
Für Kanzleien zählen das Berufsrecht (BRAO, BORA, § 203 StGB), die DSGVO und bei Cyberpolicen die Obliegenheiten des Versicherers. Eine eigene Schulungsvorschrift wie für Arztpraxen gibt es für Anwälte nicht, aber im Schadensfall fragen Aufsicht und Versicherer, was Sie organisatorisch getan haben.
Der Durchlauf deckt die Sensibilisierung Ihres Teams ab und belegt sie mit Zeitstempel: das, was Datenschutzaufsicht, Berufshaftpflicht und Cyberversicherer unter „organisatorischen Maßnahmen" verstehen.
Bei Ihnen bleiben die förmliche Verpflichtung der Mitarbeitenden, das Vier-Augen-Prinzip bei Zahlungen vom Anderkonto und die Technik: Verschlüsselung, Backups, Updates bei Ihrem IT-Dienstleister.
Alle Pflichten im Einzelnen, mit Paragraf und Angriffsszenario
Der Kurs sensibilisiert Ihr Team für Social Engineering und den Umgang mit Mandantendaten; die förmliche Verpflichtung der Mitarbeitenden nehmen Sie selbst vor. Der Nachweis belegt, dass Sie sensibilisiert haben.
Sekretariat, Referendare und Auszubildende durchlaufen denselben Kurs wie die Berufsträger und wissen danach, welche Anfragen sie nicht beantworten dürfen.
Geschultes Personal ist der organisatorische Teil und wird mit Zeitstempel dokumentiert. Verschlüsselung, Backups und Zugriffskontrolle ergänzt Ihr IT-Dienstleister.
Phishing-Simulationen mit beA-nahen Motiven trainieren das Erkennen gefälschter Benachrichtigungen; die Zugangskarte bleibt bei Ihnen.
Der Kurs übt den internen Meldeweg: wer ruft wen an, was wird notiert, was bleibt aus. Die Meldung selbst und das Verzeichnis führen Sie bzw. Ihr Datenschutzbeauftragter.
Die Schulung mit Nachweis ist genau das, was Versicherer im Fragebogen abfragen. Die Rückruf-Regel vor Überweisungen ist ein eigenes Kapitel; das Vier-Augen-Prinzip regeln Sie intern.
Nicht Teil der Awareness – bei Ihnen bzw. Ihrem IT-Dienstleister.
Der Nachweis ist Ihre Antwort auf diese Frage. Was er nicht ist: eine anerkannte Fortbildung nach § 43a Abs. 6 BRAO. Das Training schult Ihr Team, nicht Ihre Berufsträger im Fachrecht.
Das haben Sie nach dem Durchlauf in der Hand.
Nichts davon schreiben Sie selbst. Nach dem letzten Abschluss im Team liegt alles im Cockpit, Sie laden es herunter und legen es zur Kanzleiakte.
Eine Seite: Ausgangslage, Kosten für 12, 25 und 40 Köpfe, Aufwand, was es ist und was nicht, Beschlussvorschlag. Zum Ausdrucken für die nächste Besprechung.
📋 Schulungsnachweis mit ZeitstempelWer wann geschult wurde, Teamquote des Phishing-Tests, Zeitstempel. Unter Beispiele sehen Sie ein Muster mit fiktiven Daten, so wie es Ihr Makler bekommt.
🔎 Zertifikat je Person, prüfbarJede Person erhält eine Teilnahmebescheinigung, deren Echtheit jeder online prüfen kann.
🔒 AuftragsverarbeitungsvertragIch verarbeite Namen und Mail-Adressen Ihrer Mitarbeitenden, auf Servern in Deutschland. Der Vertrag kommt mit der Registrierung zustande, als PDF für Ihre Datenschutzakte.
So sieht das konkret aus.
Cockpit, Team-Report, Zertifikat und Nachweis einer fiktiven Firma mit zwölf Personen. Alle Namen und Ergebnisse sind erfunden, der Aufbau ist exakt der, den Sie später selbst sehen.
Gruppen, eingetragene Personen und die offenen Kosten aus laufenden Vorgängen und Rechnungen. Von hier aus starten Sie Schulung, Ersttest oder Wiederholungslauf.
Klick- und Eingabequote des Teams, Einordnung im Vergleich zu allen Testläufen, Beteiligung an Schulung und Training. Anonymisiert.
Ergebnis im Überblick und Schutzniveau mit Empfehlung. Das PDF trägt einen Echtheits-QR und eignet sich für Audit, Versicherer und NIS2-Dokumentation.
Name, Kurs, Datum von Schulung und Praxistest, Normbezug, Unterschrift und prüfbare Zertifikatsnummer mit QR-Code.
Alle durchgeführten Schulungen mit Zeitstempel und Teilnahmequote, zugeordnet zu den Anforderungen. Auch für ISO 27001, DSGVO, AI Act und Cyberversicherung.
Jede Person sieht nur ihr eigenes Ergebnis: Reaktion je Testmail, woran der Betrug zu erkennen war, und was das Gerät verraten hat.
So läuft das Training bei mir ab.
In einer Kanzlei zählen Sorgfalt, Diskretion und Reputation, auch beim Thema Sicherheit. Deshalb befähige ich zuerst, statt zu prüfen: Partner, Anwälte und Mitarbeitende starten mit demselben Wissensstand, bevor überhaupt ein simulierter Angriff kommt.
Zwei Wege – Sie wählen, was zu Ihnen passt.
Ich schule Ihr Team persönlich – vor Ort oder online, im Gespräch und mit Beispielen aus Ihrem Alltag.
Jede Person lernt online auf ihrem Wunschweg – per Text oder Video, im eigenen Tempo, mit Auswahl der Inhalte.
Erst schulen, dann testen – bewusst in dieser Reihenfolge.
-
Initiale Schulung
Zuerst befähige ich Ihr Team (oder Sie tun es mit meinen Unterlagen). Alle starten mit demselben Grundwissen.
-
Phishing-Test zur Selbstüberprüfung
Erst danach folgt der simulierte Angriff – nicht als Prüfung, sondern als Selbstcheck: Jede Person sieht, ob das Gelernte im Alltag sitzt.
-
Sicherheitskultur, bei Bedarf aufgefrischt
Aus Schulung und Test wächst eine konstruktive Sicherheitskultur im Betrieb, die Sie zu gegebener Zeit einfach wiederholen.
Ihr Lagebild entsteht aus den Ergebnissen Ihres Teams nach der Schulung – es zeigt den Zustand, den Sie erreichen wollten, nicht den ungeschützten Startpunkt.
Alles ohne Abo, nach Bedarf und immer mit meiner persönlichen Unterstützung.
Ein Ansprechpartner aus Südbaden, keine Hotline.
Ich bin Patrick Ihle, Gründer von secureIT, beruflich in der Informationssicherheit zu Hause und nebenberuflich seit über 20 Jahren Ausbilder und Dozent. secureIT ist mein eigener Betrieb in Ballrechten-Dottingen bei Freiburg. Wer bei mir bucht, hat einen Namen und eine Nummer, keine Hotline. Kanzleien in Südbaden besuche ich auf Wunsch vor Ort, alle anderen begleite ich online.
Mehr über michMandantengeheimnis und KI vertragen sich nur mit klaren Regeln.
Schriftsätze entwerfen, Akten zusammenfassen, Urteile recherchieren: Für Kanzleien ist KI verlockend und heikel zugleich. Mandantendaten in einem frei verfügbaren Chatbot können die Verschwiegenheit verletzen, und erfundene Fundstellen haben Gerichte bereits gerügt. Seit Februar 2025 gilt zudem die KI-Kompetenzpflicht für Ihr ganzes Team.
- Verschwiegenheit nach § 43a BRAO und § 203 StGB gilt auch beim KI-Einsatz
- Erfundene Urteile und Fundstellen erkennen, bevor sie im Schriftsatz landen
- KI-Kurs mit Bescheinigung je Person, dazu Muster-KI-Richtlinie für die Kanzlei
Für Ihre Kanzlei.
Der vollständige Abgleich mit DSGVO, Cyberversicherung und ISO 27001, falls Ihr Versicherer oder ein Großmandant mehr fragt.
Kostenloser Selbsttest →Drei simulierte Phishing-Mails an Ihre eigene Adresse. So sehen Sie vorab, wie der Test für Ihr Team aussieht.
Nachweis für die Cyberversicherung →Was der Versicherer im Fragebogen fragt und wie der Nachweis aussieht, zum Weiterleiten an Ihren Makler.
Häufige Fragen
Sehe ich, welcher Kollege auf die Test-Mail geklickt hat?
Berührt die Simulation beA, unsere Kanzleisoftware oder den Mailserver?
Erfüllt das die Obliegenheiten meiner Cyberversicherung?
Was passiert mit den Daten meiner Mitarbeitenden?
Wie viel Zeit kostet das meine Kanzlei wirklich?
Ist das ein Abo?
Was kostet das?
Hält der Effekt einer einmaligen Schulung überhaupt an?
Brauche ich dafür eine IT-Abteilung?
Wie läuft eine Schulung bei Ihnen ab?
Wird bei uns jemand vorgeführt oder überwacht?
Erfülle ich damit DSGVO, NIS2, ISO 27001 oder Versicherungsauflagen?
Was passiert bei Personalwechsel?
Bekomme ich einen Nachweis bzw. ein Zertifikat?
Deckt das auch KI-Betrug und Deepfakes ab?
Sind Schulen und Vereine wirklich kostenlos?
Wie schnell kann ich starten?
Ihre Frage ist nicht dabei?
Stellen Sie sie mir direkt. Eine E-Mail-Adresse brauchen Sie nur, wenn Sie meine Antwort erhalten möchten.
Partner, Anwälte und Sekretariat in einer Woche geschult.
Team eintragen, Kurs freischalten, fertig. Der Nachweis für Aufsicht und Versicherer liegt danach in der Kanzleiakte. Konto kostenlos, bezahlt wird erst beim Start.