Vorhaben besprechen

TOOLBOX · COMPLIANCE & NIS2

REIFEGRADCHECKKANZLEIEN.

Verschwiegenheit braucht sichere IT. 12 Fragen für Rechtsanwaltskanzleien, Notariate und Steuerberatung nach Berufsrecht, DSGVO und BSI-Grundschutz, sofort ein Reifegrad mit Maßnahmen und Quellen.

12 Fragen für Kanzleien

0 von 12 beantwortet

Bleibt in Ihrem Browser: Ihre Antworten werden nicht gesendet und nicht gespeichert. Nach dem Schließen der Seite sind sie weg; drucken Sie den Bericht oder speichern Sie ihn als PDF.

Antworten Sie je Maßnahme mit Ja, Teilweise oder Nein. Unter jeder Frage steht, was „Ja“ bedeutet. Wenn Sie es nicht wissen, wählen Sie Nein: Eine Maßnahme, die niemand bestätigen kann, zählt nicht als umgesetzt.

  1. Frage 1: Sind alle Mitarbeitenden schriftlich zur Verschwiegenheit und zum Datengeheimnis verpflichtet und wissen sie, welche Informationen sie wem weitergeben dürfen?

    OrganisationWichtige Maßnahme

    Ja heißt: Die Verpflichtung ist unterschrieben, gilt über das Dienstverhältnis hinaus, alle sind über die erlaubten Weitergaben belehrt, und beim Austritt wird noch einmal darauf hingewiesen.

  2. Frage 2: Sehen Mitarbeitende nur die Akten und Ordner, die sie für ihre Aufgaben brauchen, und werden Konten und Rechte beim Austritt sofort entzogen?

    Konten und ZugängeWichtige Maßnahme

    Ja heißt: Rechte richten sich nach der Aufgabe, jedes Konto gehört genau einer Person, und beim Austritt werden Konten gesperrt und Geräte eingezogen.

  3. Frage 3: Ist für E-Mail, Microsoft 365 oder andere Cloud-Dienste und für Zugriffe von außen eine Anmeldung mit zweitem Faktor Pflicht?

    Konten und ZugängeSchlüsselmaßnahme

    Ja heißt: Neben dem Passwort ist für alle diese Zugänge ein zweiter Faktor nötig, auch für die Fernwartung durch Dienstleister.

  4. Frage 4: Werden Betriebssysteme, Kanzleisoftware und Netzgeräte nach einem festgelegten Ablauf zeitnah aktualisiert, mit klarer Zuständigkeit?

    Systeme und NetzSchlüsselmaßnahme

    Ja heißt: Es ist festgelegt, wer Updates bewertet und einspielt, der Erfolg wird kontrolliert, und Geräte ohne Herstellerunterstützung werden ersetzt, sofern sie sich nicht nachweislich sicher weiterbetreiben lassen.

  5. Frage 5: Sind für die Domain der Kanzlei SPF, DKIM und DMARC so eingerichtet, dass empfangende Server E-Mails mit gefälschtem Absender Ihrer Domain abweisen sollen?

    Systeme und NetzWichtige Maßnahme

    Ja heißt: Alle sendeberechtigten Dienste stehen im SPF-Eintrag, ausgehende E-Mails sind mit DKIM signiert, und DMARC gibt vor, dass E-Mails im Fehlerfall abgewiesen werden. Steht DMARC noch auf Beobachten oder Quarantäne, wählen Sie Teilweise.

  6. Frage 6: Übermitteln Sie vertrauliche Unterlagen und Zugangsdaten verschlüsselt oder über einen geschützten Austausch statt als gewöhnliche E-Mail-Anhänge?

    Daten und SicherungWichtige Maßnahme

    Ja heißt: Es ist festgelegt, auf welchen Wegen vertrauliche Unterlagen ausgetauscht werden, und das Team hält sich daran.

  7. Frage 7: Sind Laptops, Smartphones und USB-Datenträger mit Kanzleidaten verschlüsselt und mit Sperrcode geschützt?

    Daten und SicherungWichtige Maßnahme

    Ja heißt: Datenträger von Laptops und Speicher mobiler Geräte sind verschlüsselt, Smartphones und Tablets haben einen Sperrcode und sperren sich selbst, und schutzbedürftige Daten auf USB-Sticks sind verschlüsselt.

  8. Frage 8: Werden Akten, Kanzleisoftware und E-Mails regelmäßig gesichert, liegt eine Kopie getrennt und vor Überschreiben geschützt, und testen Sie die Wiederherstellung?

    Daten und SicherungSchlüsselmaßnahme

    Ja heißt: Es gibt einen Sicherungsplan, eine Kopie liegt räumlich getrennt und kann nicht überschrieben werden, und die Rücksicherung wird regelmäßig getestet, zuletzt erfolgreich.

  9. Frage 9: Haben Sie mit IT-Dienstleistern und Cloud-Anbietern, die Mandantendaten sehen können, einen Auftragsverarbeitungsvertrag und eine schriftliche Verschwiegenheitsvereinbarung geschlossen?

    DienstleisterWichtige Maßnahme

    Ja heißt: Für jeden dieser Dienstleister liegen ein Auftragsverarbeitungsvertrag und eine Verschwiegenheitsvereinbarung vor, mit Regeln für Prüfung und Beendigung.

  10. Frage 10: Wird das Team regelmäßig zu Informationssicherheit geschult, etwa zu Phishing und gefälschten Zahlungsaufforderungen?

    MenschenWichtige Maßnahme

    Ja heißt: neue Mitarbeitende werden eingewiesen, und alle werden regelmäßig entsprechend ihren Aufgaben geschult.

  11. Frage 11: Ist festgelegt, was als Sicherheitsvorfall gilt, wer dann entscheidet und wer zu informieren ist, einschließlich der Meldung an die Datenschutzbehörde?

    Vorfall und NotfallWichtige Maßnahme

    Ja heißt: Eine kurze, allen bekannte Regelung nennt Zuständige, aktuelle Kontakte und die Schritte bei einer Datenpanne.

  12. Frage 12: Gibt es verbindliche Regeln für das Arbeiten im Homeoffice und unterwegs, etwa zu Arbeitsgeräten, Bildschirmsperre und dem Umgang mit Unterlagen?

    MenschenGrundlage

    Ja heißt: Die Regeln sind schriftlich, allen ausgehändigt und werden aktualisiert; Arbeitsgeräte erfüllen festgelegte Sicherheitsanforderungen.

0 von 12 beantwortet

SO RECHNET DER CHECK

Nachvollziehbar
statt Bauchgefühl.

12 Fragen, höchstens 26 Punkte. Die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS; Gewichte und Stufen sind eine Einschätzung von TOMORIS nach der Wirkung einer Maßnahme.

  • 01

    Antworten werden Punkte

    Ja zählt 1, Teilweise 0,5 und Nein 0 Punkte, jeweils mal dem Gewicht der Frage. Wissen Sie es nicht, wählen Sie Nein.

  • 02

    Gewicht nach Wirkung

    Schlüsselmaßnahme (3, hier 3×): Schützt unmittelbar vor den schwersten Folgen eines Angriffs oder Ausfalls: Datenverlust, Stillstand oder die Übernahme von Konten und Zugängen. Wichtige Maßnahme (2, hier 8×): Macht einen Vorfall unwahrscheinlicher oder begrenzt sein Ausmaß und seine Dauer. Grundlage (1, hier 1×): Organisatorische Voraussetzung, die über die anderen Maßnahmen wirkt, etwa Verantwortung, Überblick oder Dokumentation.

  • 03

    Prozent und Stufe

    Erreichte durch mögliche Punkte, abgerundet auf ganze Prozent. Stufe 1 Einstieg: 0 bis 39 Prozent. Stufe 2 Grundlagen: 40 bis 69 Prozent. Stufe 3 Fortgeschritten: 70 bis 89 Prozent. Stufe 4 Etabliert: ab 90 Prozent.

  • 04

    Schlüsselmaßnahmen begrenzen

    Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2, auch wenn die Prozentzahl höher liegt. Der Bericht nennt die offenen Maßnahmen nach Gewicht sortiert.

GRUNDLAGE

Worauf die
Fragen beruhen.

Rechtsanwältinnen und Rechtsanwälte, Notarinnen und Notare sowie Steuerberaterinnen und Steuerberater sind zur Verschwiegenheit verpflichtet (§ 9 Abs. 2 RAO, § 37 NO, § 80 WTBG 2017). Die Pflicht reicht bis zu den Mitarbeitenden: Rechtsanwälte haben ihre Hilfskräfte, Notare ihre Beschäftigten zur Verschwiegenheit zu verpflichten; nach dem WTBG 2017 gilt die Verschwiegenheit sinngemäß auch für Erfüllungsgehilfen.

Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau und nennt dafür ausdrücklich Beispiele wie die Verschlüsselung und die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen (Art. 32 Abs. 1).

Für die technischen Maßnahmen dient das IT-Grundschutz-Kompendium des BSI in der Edition 2023 als Vorbild. Es ist ein Regelwerk des deutschen BSI und in Österreich keine Rechtspflicht.

Mehr zur Branche Notare & Kanzleien · Mehr zur Branche Steuerberatung · NIS2-Betroffenheitscheck · Alle Downloads

FRAGEN

Gut zu wissen.

Wie wird der Reifegrad berechnet?

Jede Antwort bringt Punkte: Ja 1, Teilweise 0,5, Nein 0, multipliziert mit dem Gewicht der Frage (Schlüsselmaßnahme 3, wichtige Maßnahme 2, Grundlage 1). Diese Checkliste hat 12 Fragen und höchstens 26 Punkte. Die erreichten Punkte ergeben einen Prozentwert, abgerundet; daraus folgt die Stufe: Stufe 1 Einstieg 0 bis 39 Prozent, Stufe 2 Grundlagen 40 bis 69 Prozent, Stufe 3 Fortgeschritten 70 bis 89 Prozent, Stufe 4 Etabliert ab 90 Prozent. Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2.

Woher stammen die Fragen?

Aus dem Berufsrecht (§§ 9 und 12 RAO, § 37 NO, § 80 WTBG 2017), dem Datengeheimnis nach § 6 DSG, der DSGVO, dem IT-Grundschutz-Kompendium des BSI in der Edition 2023 und der BSI-Empfehlung zur Zwei-Faktor-Authentisierung. Das Kompendium ist ein Regelwerk des deutschen BSI und in Österreich keine Rechtspflicht; es dient als Vorbild für die technischen Maßnahmen. Jede Frage nennt ihre Fundstelle.

Was verlangt das Berufsrecht von der IT?

Es verpflichtet zur Verschwiegenheit und bezieht das Umfeld ein: Rechtsanwälte haben ihre Hilfskräfte zur Verschwiegenheit zu verpflichten und für die verlässliche Einhaltung vorzukehren (§ 9 Abs. 2 RAO), Notare die bei ihnen Beschäftigten zur Geheimhaltung (§ 37 Abs. 2 NO), und nach dem WTBG 2017 gilt die Verschwiegenheit sinngemäß auch für Erfüllungsgehilfen (§ 80 Abs. 5). Rechtsanwälte müssen zudem für die notwendigen Einrichtungen sorgen, insbesondere für den elektronischen Rechtsverkehr mit den Gerichten (§ 9 Abs. 1a RAO). Welche technischen und organisatorischen Maßnahmen dazu passen, verlangt die DSGVO nach dem Risiko (Art. 32); die Fragen beschreiben sie nach dem Vorbild des BSI.

Ist das Ergebnis ein Nachweis oder eine Rechtsberatung?

Nein. Der Check ist eine Selbsteinschätzung anhand Ihrer Antworten. Er ersetzt kein Audit und keine Rechtsberatung und weist nicht nach, dass gesetzliche oder berufsrechtliche Anforderungen erfüllt sind. Die Gewichte und Stufen sind eine Einschätzung von TOMORIS; die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS.

Werden meine Antworten übertragen oder gespeichert?

Nein. Fragebogen und Auswertung laufen vollständig in Ihrem Browser; Ihre Antworten werden weder an TOMORIS noch an Dritte übertragen und nicht gespeichert, auch nicht auf Ihrem Gerät. Erst wenn Sie „Ergebnis besprechen“ wählen, übernimmt das Kontaktformular Branche und Reifegradstufe als Thema, Ihre einzelnen Antworten nicht.

Wie speichere ich den Bericht als PDF?

Im Bericht „Drucken oder als PDF“ wählen und im Druckdialog als Drucker „Als PDF speichern“ oder „Microsoft Print to PDF“ einstellen. Gedruckt wird nur der Bericht, im dunklen Modus hell.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen