Sicherheit & Datenschutz

Wie Mandatsinhalte in Ihrer Kanzlei verbleiben — rechtlich und technisch.

Mandatsinhalte auf Ihrem Gerät

Privilegierte Akteninhalte leben ausschließlich im Browser Ihres Geräts — sie werden weder auf unsere Server hochgeladen noch von uns gespeichert, gespiegelt oder eingesehen. Selbst mit vollständigem Infrastrukturzugang können wir Ihre Mandantendateien nicht lesen.

Browser-Voraussetzung. Die automatische Speicherung der Mandatsakten auf Ihrem Gerät setzt Chrome, Edge, Brave oder Arc voraus — unter Windows oder macOS. Safari und Firefox können Avantwerk ausführen, die Akten aber nicht selbsttätig auf dem Gerät halten; dort fordert die Anwendung stattdessen zum Speichern einer Sicherung auf.

Verschlüsselung auf Geräteebene

Sitzungsdaten werden im Browser mit AES-256-GCM versiegelt; der Schlüssel ist kanzleispezifisch und verlässt das Gerät nie — einschließlich eines etwaigen KI-Schlüssels (Enterprise BYOK). Unser System erhält keinen Zugriff auf diesen Schlüssel.

Verschwiegenheitssperre — absolut

Jede Datei wird vor jeder ausgehenden Aktion klassifiziert; privilegierte Mandatsinhalte sind gegenüber allen externen Zielen — KI-Anbieter, CRM, E-Signatur, E-Mail-Ausgang — hart gesperrt (§ 43a Abs. 2 BRAO · § 2 BORA · § 203 StGB). Diese Sperre ist nicht abschaltbar; die Verschwiegenheitspflicht ist strafbewehrt und nach deutschem Recht nicht abbedingbar.

Versteckte Anweisungen in übersandten Dokumenten

Dokumente, die Mandantinnen, Mandanten oder die Gegenseite übersenden, können verborgene Anweisungen an das Sprachmodell enthalten — sogenannte Prompt-Injection-Versuche: Formulierungen wie „Ignoriere alle vorherigen Anweisungen", „AN DIE KI:" oder Aufforderungen, den System-Prompt preiszugeben, zielen darauf ab, das Modell außerhalb Ihrer Kontrolle zu steuern. Für die Rechtsanwältin oder den Rechtsanwalt ist dieses Angriffsmuster in aller Regel unsichtbar. Das Material mit dem höchsten Injektionsrisiko ist dabei genau das Material, das die Gegenseite geschickt hat — eine Situation, die unmittelbar die Verschwiegenheitspflicht nach § 43a Abs. 2 BRAO, strafbewehrt nach § 203 StGB, berührt: Manipulierte Modellausgaben könnten privilegierte Akteninhalte gefährden.

Der Schutz ist die Umschließung, nicht allein der Detektor. Jeder nicht vertrauenswürdige Text — Mandantendokument, Transkript, Aktenkontext, gegnerische Korrespondenz —, der das Modell erreicht, wird vor der Übermittlung in einmalige Markierungen mit einer zufällig erzeugten Nonce eingeschlossen, zusammen mit der Anweisung, dass alles innerhalb dieser Markierungen ausschließlich auszuwertende Daten sind und keine zu befolgende Weisung. Da die Nonce für jede Anfrage neu erzeugt wird, kann ein Angreifer keinen Text formulieren, der den Schutzblock scheinbar vorzeitig schließt. Diese Umschließung läuft in allen wesentlichen Verarbeitungspfaden — beim Prüfer-Agenten in allen fünf Märkten, bei der Beweisauswertung, dem Retrieval-Grounding, den Risikovorschlägen, dem Prüfraster, der Sachverhaltsextraktion bei der Mandatsannahme (auf beiden Pfaden) und dem Compliance-Playbook. Die Schutzanweisung ist auf Deutsch verfasst, nicht zur Laufzeit übersetzt.

Ergänzend prüft ein Musterdetektor eingehende Texte auf bekannte Angriffsmuster — 20 Muster in Englisch, Polnisch, Deutsch, Spanisch und Niederländisch, jeweils in förmlicher und informeller Anredeform, weil Schriftstücke der Gegenseite häufig förmlich gehalten sind. Dieser Detektor ist kein vollständiger Klassifikator; er erfasst nicht alle denkbaren Varianten eines Injektionsversuchs — er ist das grobe Netz, nicht das Sieb. Der Schutz liegt in der Umschließung; der Detektor ergänzt sie als Frühwarnung. Erkennt das System einen möglichen Versuch, erhalten Sie einen Hinweis auf drei Oberflächen, die Sie tatsächlich nutzen: einem Banner über dem Chat-Eingabefeld beim Tippen oder Einfügen, einer Kennzeichnung je Datei in der Beweisdokumentenliste und im Mandantenschreiben-Fenster.

Diktat auf Ihrem Gerät

Das Diktat läuft vollständig im Browser Ihrer Kanzlei — per WebAssembly, auf WebGPU-fähigen Geräten auch hardwarebeschleunigt. Beim Transkribieren verlässt kein Audiofragment das Gerät; die Spracherkennung findet ausschließlich im Arbeitsspeicher statt, das Audio wird nach der Texterzeugung verworfen. Dies ist keine Komfortfunktion, sondern Normvollzug: gesprochene Mandatsinhalte sind privilegierte Daten im Sinne der anwaltlichen Verschwiegenheitspflicht (§ 43a Abs. 2 BRAO · § 2 BORA · § 203 Abs. 1 Nr. 3 StGB — strafbewehrt, nicht abbedingbar). Am 13. August 2026 wurden zwei Cloud-Pfade vollständig entfernt — die Browser-Web-Speech-API, die das Mikrofon bei bestimmten Browsern an externe Server übermittelt, sowie eine nicht ausgerollte KI-Transkriptions-Engine. Das Produkt verfügt seitdem über keinen Auftragsverarbeiter für Spracherkennung (Art. 28 Abs. 1 DSGVO).

Modell-Download. Das Sprachmodell wird beim ersten Diktat per HTTPS aus einem öffentlichen Modell-Repository (huggingface.co) in den Browser-Cache geladen — einmalig, ohne Konto, ohne API-Schlüssel. Die Audiodaten sind nie Teil dieser Anfrage. Nach dem Erstladen arbeitet die Diktatfunktion vollständig ohne Internetverbindung. Zur Wahl stehen das voreingestellte Whisper small (238 MB) für das tägliche Diktat und das optionale Whisper large v3 turbo (724 MB) für höhere Genauigkeit bei Eigennamen, Fundstellen und Paragraphennummern. Beide Größenangaben wurden am 13. August 2026 über die Hugging-Face-Blob-API für die genauen quantisierten Modelldateien gemessen, die die Anwendung lädt.

Grenzen. Die Transkription ist maschinell erzeugt und nicht zertifiziert. Das Ergebnis muss vor Verwendung in Schriftsätzen, Mandantenschreiben oder sonstigen Unterlagen gelesen und freigegeben werden — die inhaltliche Verantwortung verbleibt ausschließlich bei der Rechtsanwältin oder dem Rechtsanwalt. Das Produkt beansprucht weder eine gemessene Fehlerrate noch eine Zertifizierung für die Erkennungsqualität.

Keine KI-Trainingsnutzung

Mandatsinhalte, die zu Antwortzwecken an unseren KI-Anbieter übermittelt werden, dienen ausschließlich der Beantwortung Ihrer Anfrage — weder wir noch unser KI-Anbieter nutzen diese Inhalte für das Training von Modellen. Im Enterprise-BYOK-Betrieb verarbeitet Ihre Kanzlei als eigene Verantwortliche.

EU-Datenresidenz (Deutschland)

Die Infrastruktur ist in der EU (Deutschland) gehostet. Etwaige Drittlandtransfers werden im Unterauftragsverarbeiter-Verzeichnis mit den jeweiligen Schutzmaßnahmen gemäß Art. 46 DSGVO vollständig ausgewiesen.

Unterauftragsverarbeiter-Verzeichnis

Jeder eingesetzte Dritte ist im Verzeichnis namentlich benannt — mit Zweck, Standort, Datenkategorie und Transferschutzmaßnahme gemäß Art. 28 Abs. 2 DSGVO.

Infrastrukturkomponenten (keine Verarbeitung personenbezogener Kanzleidaten): Gitea (selbstgehostete Code-Verwaltung), Let's Encrypt (TLS-Zertifizierungsstelle), Cloudflare Inc. (ausschließlich DNS — der Datenverkehr läuft nicht über Cloudflare). Keine Auftragsverarbeiter i.S.d. Art. 28 DSGVO.

Zugang & Authentifizierung

Der Zugang zu allen administrativen Konsolen ist durch eine dedizierte Authentifizierungsschicht gesichert; Mehrfaktor-Authentifizierung (MFA) ist auf jeder Admin-Konsole verpflichtend.

Was wir nicht beanspruchen

Wir verfügen derzeit über keine ISO-27001-Zertifizierung; die unabhängige Zertifizierung befindet sich auf der Roadmap für Q4 2026. Bis dahin beschreiben wir unsere Maßnahmen offen und benennen offene Punkte — ohne Schönfärberei.

Meldung einer Datenpanne

Bei einem vermuteten Datenschutzvorfall oder einer Frage zum Datenschutz wenden Sie sich bitte an uns; bei einer Datenpanne besteht die Meldepflicht binnen 72 Stunden (Art. 33 DSGVO). legal@avantwerk.com