Das Berufsgeheimnis im digitalen Zeitalter

Ein Problem, das fast niemand sieht

Ein Anwalt empfängt auf seinem Telefon ein sensibles Dokument von einem Mandanten. Ein Arzt bespricht eine heikle Diagnose mit einem Kollegen, während ein Psychologe die Behandlung eines Patienten mit einem Psychiater koordiniert. Und ein Steuerberater übermittelt über denselben Kanal die Daten einer anstehenden Steuererklärung. Alle tun dies über Instant-Messaging-Dienste. Und kaum jemand hält inne, um darüber nachzudenken, wo diese Nachrichten tatsächlich landen.

Die Antwort ist in den meisten Fällen dieselbe: auf einem Server, den der Berufsangehörige nicht kontrolliert, in einem Land, dessen Gesetzgebung er nicht zwingend kennt, verwaltet von einem Unternehmen, dessen Geschäftsmodell in direkten wirtschaftlichen Begriffen die Ansammlung von Daten ist. Die Nachricht mag bei der Übertragung verschlüsselt sein. Aber sobald sie den Server erreicht, ist sie eine Kopie, die auf der Infrastruktur eines Dritten gespeichert ist und den operativen, rechtlichen und kommerziellen Entscheidungen dieses Dritten unterliegt. Nicht denen des Berufsangehörigen.

Was die Gesetzgebung sagt

Die europäische Datenschutz-Grundverordnung ist in ihrem Artikel 32 eindeutig: Wer personenbezogene Daten verarbeitet, muss "geeignete" technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Angemessenheit der Maßnahmen wird nicht daran gemessen, "was die App vorgibt zu tun", sondern am tatsächlichen Risiko. Wenn Kundendaten auf einem Server landen, dessen Gerichtsbarkeit kein dem Europäischen Wirtschaftsraum gleichwertiges Schutzniveau garantiert, übernimmt der Verantwortliche – also der Fachmann – ein Risiko, dessen er sich wahrscheinlich nicht ganz bewusst ist.

Und es ist nicht nur die DSGVO. Das Berufsgeheimnis, das spezifisch für Anwälte, Ärzte, Psychologen, Wirtschaftsprüfer, Journalisten und andere geregelt ist, verlangt, dass die Kommunikation mit dem Kunden vertraulich ist. Nicht "so vertraulich wie möglich". Vertraulich ohne Wenn und Aber. Wenn der technisch genutzte Kanal dies nicht garantieren kann, übernimmt der Fachmann ein Risiko, das die Standesregeln seines Berufs nicht erlauben.

Das Paradoxe ist, dass das Risiko unsichtbar ist. Niemand prüft das Messaging der Kanzlei. Niemand verlangt den Datenverarbeitungsvertrag des Chat-Anbieters. Das Risiko tritt erst zutage, wenn es zu spät ist: ein Leck, eine veröffentlichte Sicherheitslücke, ein auf einem anderen Kontinent ohne Benachrichtigung des Benutzers vollstreckter Gerichtsbeschluss.

Was ein Fachmann technisch benötigt

Was ein Berufsgeheimnisträger benötigt, ist aus Sicht der Anforderungen eigentlich überraschend einfach:

• Ein Kanal, auf dem Nachrichten direkt vom Gerät des Senders zum Gerät des Empfängers gehen, ohne einen Zwischenserver zu passieren, der Kopien speichert.
• Eine Infrastruktur, deren Gerichtsbarkeit und Richtlinien durch Konstruktion auf die DSGVO ausgerichtet sind, nicht durch Erklärung.
• Eine Möglichkeit, sich gegenüber dem Gesprächspartner zu identifizieren, ohne berufliche Kontakte (Kundennamen, Telefonnummern, Adressbuch) an Dritte übergeben zu müssen.
• Ein überprüfbares System – nicht basierend auf dem Wort des Anbieters –, um zu bestätigen, dass die Nachricht bei der richtigen Person angekommen ist.

Es ist keine anspruchsvolle Liste. Es ist eigentlich das, was in der vor-digitalen Berufskommunikation als selbstverständlich vorausgesetzt wurde. Ein Einschreiben erfüllte all diese Kriterien. Ein Telefonanruf von der Kanzleizentrale zu der des Kunden ebenfalls. Das Merkwürdige ist nicht, dass diese Garantien heute gefordert werden: Das Merkwürdige ist, dass sie beim Übergang zum digitalen Kanal verloren gegangen sind, ohne dass es jemand bemerkt hat.

Der Unterschied zwischen Verschlüsseln und Nicht-Speichern

Es gibt eine nützliche Metapher. Eine Nachricht zu verschlüsseln und auf einem Server zu speichern, entspricht dem Legen eines Dokuments in einen Safe und dem Hinterlassen des Safes im Haus eines Unbekannten. Der Safe ist gut. Das Dokument kann im Prinzip nicht gelesen werden. Aber das Dokument befindet sich weiterhin im Haus eines anderen. Und dieser andere kann einen Gerichtsbeschluss erhalten, einen Cyberangriff erleiden, seine Servicebedingungen ändern, von einem anderen Unternehmen mit einer anderen Ethik gekauft werden oder morgen verschwinden.

Die strukturelle Alternative, die weder verfahrenstechnischer Natur ist noch auf Vertrauen basiert, besteht darin, dass das Dokument die Kanzlei nie verlässt. Dass es direkt vom Schreibtisch des Berufsangehörigen zum Schreibtisch des Mandanten reist, ohne einen Vermittler zu passieren. Genau das leistet die Punkt-zu-Punkt-Kommunikation zwischen Geräten in technischer Hinsicht: Sie eliminiert den Vermittler. Der Vermittler ist nicht per se böse: Im Falle des Berufsgeheimnisses ist er schlichtweg unnötig. Und was unnötig ist, muss in jedem System, das den Anspruch erhebt, sicher zu sein, aus Prinzip eliminiert werden.

Die Frage der Verantwortung

Letztlich ist die Frage, die jeder Berufsgeheimnisträger mit einem klaren Ja beantworten können sollte, folgende:

Wenn morgen ein Gespräch mit einem meiner Kunden durchsickert und ein Gericht oder eine Berufskammer mich fragt, wie ich die Vertraulichkeit verwalte, kann ich dann technisch nachweisen, dass der von mir genutzte Kanal keine Kopien in der Infrastruktur Dritter speichert? Kann ich nachweisen, dass die Daten die Geräte der beiden an der Konversation beteiligten Personen nie verlassen haben? Kann ich, ohne mich auf das Wort eines Unternehmens von einem anderen Kontinent zu verlassen, nachweisen, dass die Vertraulichkeit durch die Architektur und nicht durch ein Versprechen garantiert war?

Ist die Antwort nein, liegt das Problem nicht bei dem spezifischen Werkzeug: Es wurde ihm vielmehr eine Verantwortung übertragen, für die es nicht konzipiert war. Es ist, als würde man vertrauliche Akten in einen durchsichtigen Umschlag stecken und darauf vertrauen, dass der Briefträger nicht hinsieht.

Das Werkzeug, das ein Fachmann wählt, um mit seinen Kunden zu kommunizieren, sagt viel darüber aus, wie er deren Vertrauen schätzt. Es gibt Werkzeuge, die so konzipiert sind, dass dieses Vertrauen nicht von Versprechen abhängt, sondern von der Architektur. Und es gibt Werkzeuge, die das nicht sind. Den Unterschied zu kennen, ist Teil der Arbeit.