Ein Problem, das fast niemand sieht
Ein Anwalt erhält ein sensibles Dokument von seinem Mandanten. Ein Arzt bespricht eine Diagnose mit einem Kollegen. Ein Psychologe koordiniert mit einem Psychiater die Behandlung eines Patienten. Ein Steuerberater versendet die Daten einer Steuererklärung. Alle tun es per Messaging. Und fast keiner hat sich gefragt, wo diese Nachrichten landen.
Die Antwort ist in den meisten Fällen: auf einem Server, den sie nicht kontrollieren, in einem Land, dessen Gesetzgebung sie nicht kennen, betrieben von einem Unternehmen, dessen Geschäftsmodell genau darin besteht, Daten zu sammeln. Die Nachricht mag während der Übertragung verschlüsselt sein, aber sobald sie den Server erreicht, ist sie eine Kopie, die auf der Infrastruktur eines Dritten gespeichert wird.
Was das Gesetz sagt
Die europäische DSGVO ist eindeutig: Wer personenbezogene Daten Dritter verarbeitet, ist dafür verantwortlich, sie mit angemessenen technischen Maßnahmen zu schützen. Gute Absichten reichen nicht. Es reicht nicht, dass die App sagt, sie verschlüsselt. Wenn die Daten deines Mandanten auf einem Server liegen, der nicht den europäischen Vorschriften entspricht, bist du verantwortlich.
Und es geht nicht nur um die DSGVO. Die Berufsverschwiegenheit — geregelt für Anwälte, Ärzte, Psychologen, Wirtschaftsprüfer und viele andere — verlangt, dass die Kommunikation mit dem Klienten vertraulich ist. Nicht vertraulich "soweit möglich". Wirklich vertraulich. Wenn der Kanal, den du nutzt, das technisch nicht garantieren kann, gehst du ein Risiko ein, das du nicht eingehen solltest.
Was braucht ein Fachmann?
Was ein Fachmann braucht, der mit sensiblen Informationen umgeht, ist überraschend einfach. Einen Kanal, über den Nachrichten direkt von seinem Gerät zum Gerät des Empfängers gehen, ohne über einen Zwischenserver zu laufen. Wo keine Kopie in irgendeiner Cloud verbleibt. Wo man keine persönliche Telefonnummer angeben muss. Und wo die Infrastruktur vollständig den europäischen Vorschriften entspricht.
Er braucht keine komplexe App. Er braucht keine Schulung. Er muss seine Arbeitsweise nicht ändern. Er braucht genau das, was er schon nutzt — Instant Messaging — aber mit der technischen Garantie, dass die Informationen die Geräte der beiden Gesprächsteilnehmer nicht verlassen.
Der Unterschied zwischen Verschlüsseln und Nicht-Speichern
Eine Nachricht zu verschlüsseln und auf einem Server zu speichern ist wie ein Dokument in einen Tresor zu legen und den Tresor bei einem Fremden zu lassen. Der Tresor ist gut, ja. Aber das Dokument ist immer noch im Haus eines anderen. Und dieser andere kann einen Gerichtsbeschluss erhalten, kann Opfer eines Cyberangriffs werden oder kann einfach seine Nutzungsbedingungen ändern.
Die Alternative ist, dass das Dokument nie dein Büro verlässt. Dass es direkt von deinem Schreibtisch zum Schreibtisch deines Mandanten geht, ohne über einen Vermittler zu laufen. Genau das macht die direkte Kommunikation zwischen Geräten: Sie beseitigt den Vermittler. Nicht weil der Vermittler schlecht ist. Sondern weil er unnötig ist. Und das Unnötige ist in der Sicherheit immer ein Risiko.
Eine Frage der Verantwortung
Letztlich ist die Frage, die sich jeder Fachmann stellen sollte: Wenn morgen ein Gespräch mit meinem Mandanten durchsickert, kann ich beweisen, dass ich einen technisch sicheren Kanal genutzt habe? Kann ich beweisen, dass die Daten unsere Geräte nie verlassen haben? Kann ich beweisen, dass ich mich nicht auf den guten Willen eines Unternehmens auf einem anderen Kontinent verlassen habe?
Das Werkzeug, das du wählst, um mit deinen Klienten zu kommunizieren, sagt viel darüber aus, wie du ihr Vertrauen schätzt. Und es gibt Werkzeuge, die genau dafür entwickelt wurden: damit Vertrauen nicht von Versprechen abhängt, sondern von der Architektur.