"Bring your own device" in Kanzleien: Ab in den Container

Bei Oppenhoff & Partner ist man rigoros. "Wir gestatten kein BYOD bei Smartphones", sagt Partner Dr. Jürgen Hartung. BYOD bedeutet: Bring your own device. Wer nach dieser Maxime verfährt, lässt Mitarbeiter für dienstliche Zwecke das eigene Handy benutzen. In den USA erfreut sich diese Methode großer Popularität. Bei einer Umfrage der US-Amerikanischen Rechtsanwaltskammer sagten 74 Prozent der befragten Rechtsanwälte, sie würden ihr privates Handy auch beruflich verwenden.

Die allermeisten Rechtsanwälte besitzen ohnehin inzwischen ein eigenes Smartphone. Warum sollte man da noch ein weiteres Handy anschaffen, das die Kanzlei bezahlt? Das könnte Kosten sparen und wäre praktisch. Doch für Rechtsanwälte ist der dienstliche Gebrauch ihrer Handys heikel. Einiges ist zu beachten, wenn man sich datenschutzrechtlich und sogar strafrechtlich nicht in die Nesseln setzen will.

Für Kanzleien gilt: Sie müssen nach dem Bundesdatenschutzgesetz (BDSG) die Kontrolle über die Daten behalten, die ihre Rechtsanwälte über die Smartphones verarbeiten. Sie müssen zum Beispiel dafür sorgen, dass Unbefugte keinen Zugang zu Inhalten und Apps haben, sie insbesondere nicht lesen, verändern oder löschen können. Gleichzeitig gilt auch das Trennungsgebot: Es muss die Möglichkeit geben, Kanzleidaten getrennt von privaten Daten zu verarbeiten. Darüber hinaus können etwa lizenzrechtliche Probleme entstehen: Wird zum Beispiel Software privat installiert, aber geschäftlich verwendet, kann sich haftbar machen.

Vertrauen ist gut, Kontrolle ist besser

Weil das Prinzip BYOD sich also nur entsprechend datenschutzrechtlicher Vorschriften umsetzen lässt, stünden Kanzleien theoretisch vor der Zwickmühle, ob sie dem Mitarbeiter verbieten, sein privates Smartphone beruflich zu nutzen oder das Handy von einem Administrator durchleuchten lassen. Doch welcher Arbeitnehmer würde das wollen, mit der Gefahr, dass dabei auch Privates Fotos, Mails und Spiele öffentlich wird?

Die Lösung zu diesem Problem könnte die Verwendung eines sogenannten Containers sein. Hinter dem Namen befindet sich eine App, in die sich der Nutzer per Passwort einwählen kann und die einen streng umgrenzten Raum innerhalb des Telefons bietet. Zwischen den sonstigen Programmen auf dem Handy und diesem Container besteht kein Austausch.

Das Besondere: die Kanzlei hat die volle Kontrolle über die Inhalte der Container-App. Wartungsarbeiten, Programme, Inhalte, Software können zentral über die Kanzlei-IT gesteuert werden. Die Daten werden bei der Speicherung und der Übertragung vom Server der Kanzlei verschlüsselt. Geht ein Gerät verloren oder wird es gestohlen, kann der Container gelöscht werden, ohne dass es Auswirkungen auf die übrigen Daten auf dem Handy hätte.

"Die Container-Lösung wirkt für den Nutzer zuerst vielleicht etwas unhandlich", sagt Rechtsanwalt Dr. Sebastian Kraska vom Institut für IT-Recht (IITR) in München. Schließlich müssen man sich erst einloggen, um alle Funktionen nutzen zu können. "Um eine vertrauliche Kommunikation zu gewährleisten, gibt es derzeit keine Alternative zu dieser Lösung", sagt der IT-Rechtsspezialist.

Der Container trennt Privates und Geschäftliches

Die Abgrenzung von der sonstigen Software auf dem Smartphone impliziert, dass innerhalb des Containers alle Dienste noch einmal verfügbar sein müssen, die man auch von seinem normalen Handy gewohnt ist. Zum Beispiel ein eigener Kalender oder ein Programm, um Emails abzurufen. Verschiedene Anbieter setzen hier an, und bieten standardmäßig innerhalb eines Containers Email, Kalender und Apps für den Dokumentenaustausch an. Auch geprüfte Apps von Drittanbietern können unter Umständen über den Container eingespielt werden. Zu den wichtigsten Anbietern von Container-Lösungen zählen etwa Good Technologies, AirWatch oder MobileIron.

Standard ist ein verschlüsselter Tunnel zur IT der Kanzlei. Damit können die Nutzer von unterwegs auf ihren Rechner zugreifen, was zum Beispiel bei Nutzern von Tablet-Computern sinnvoll sein kann. Wer wirklich sicher sein will, der unterbindet von der Kanzlei aus, dass Dokumente auf den mobilen Geräten abgespeichert werden können, sondern nur "remote" gearbeitet wird, also das Endgerät quasi lediglich als Bildschirm und Nutzeroberfläche für Inhalte auf der Hardware in der Kanzlei dient.

Bei Oppenhoff & Partner sichert man sich sogar doppelt ab: nur Kanzlei-Handys werden akzeptiert. Diese werden um eine Container-Lösung ergänzt. Und wenn die Rechtsanwälte eigene Rechner einsetzen, erlaubt die Kanzlei nur einen Remote-Zugriff über einen VPN-Tunnel. "Keinerlei Daten werden lokal gespeichert", sagt Hartung.

Selbstständige Rechtsanwälte müssen sich kontrollieren

Etwas anders ist die Situation, wenn selbstständige Anwälte ihr Smartphone geschäftlich nutzen. Eine komplexe Container-Lösung ist hier an sich nicht notwendig. Sie selbst haben ja die Kontrolle über die Inhalte und Apps auf ihrem Handy.

Doch gerade weil sie größere Freiheit und die Möglichkeit der Selbstkontrolle haben, ist ihr Gefahrenbewusstsein oft nicht besonders ausgeprägt. Wer unbesorgt Mandanten-Informationen, etwa Adressen, Telefonnummern oder gar Emails speichert und nicht dafür Sorge trägt, dass Dritte keinen Zugang zu diesen Daten haben, der bewegt sich auf dünnem Eis. Schließlich wird von Rechtsanwälten als Berufsgeheimnisträgern ein besonderer Umgang mit Mandanten-Informationen erwartet. Wer hier schludert, kann sich nach § 203 Strafgesetzbuch (StGB) sogar strafbar machen.

Für größere Kanzleien gilt: Wenn sie BYOD zulassen, ist die Verwendung eines Containers eine saubere Lösung. Doch klar ist auch: Die App kostet nicht nur in der Anschaffung Geld, auch in der Betreuung ist sie kaum weniger aufwendig als die Kontrolle eigener Kanzlei-Handys. Die Vermischung von Beruflichem und Privatem auf dem Smartphone zu verbieten, geht aber an der Lebenswirklichkeit vorbei. Und womöglich ist es schon in wenigen Jahren der Normalfall, dass in den Kanzleien private Handys genutzt werden.