Eine kleine App für die Fristenübersicht, ein Formular für die Mandatsanfrage, ein internes Tool für die Zeiterfassung: Mit KI-Werkzeugen wie ChatGPT, Claude, Cursor oder Lovable entstehen solche Anwendungen heute in wenigen Tagen. Das Stichwort lautet „Vibe Coding“ – Software, die per Sprachbefehl und Prompt entsteht und oft ungeprüft live geht. Für Kanzleien klingt das verlockend. Doch Prof. Christian Solmecke von WBS.LEGAL weist in einem aktuellen Beitrag vom 29. Oktober 2026 darauf hin: Sobald echte Nutzer, Zahlungen und personenbezogene Daten im Spiel sind, gelten dieselben Anforderungen wie bei professionell entwickelter Software. Und die Verantwortung trägt der Betreiber.
Das Problem: Schnell gebaut, schlecht abgesichert
Die Risiken sind sowohl technischer als auch rechtlicher Natur. Technisch nennt der Beitrag drei typische Schwachstellen:
- Offene Datenbanken: KI-Tools richten Backends häufig bei Anbietern wie Supabase ein. Fehlen Zugriffsregeln auf Zeilenebene oder sind sie zu großzügig gesetzt, können Dritte mit dem öffentlichen Frontend-Schlüssel Kundendaten, Nachrichten oder Bestellungen lesen und womöglich verändern. Medienberichten zufolge war im Frühjahr 2026 annähernd jede zweite Supabase-Datenbank deutschsprachiger Websites offen.
- Ungeschützte Zugangsdaten: Schlüssel für Zahlungsdienste, Mailserver oder Schnittstellen landen durch fehlende Ausschlussregeln in veröffentlichten Dateien.
- Veraltete Bibliotheken: Die KI schlägt Pakete vor, die dem Trainingsstand entsprechen – mit bekannten Sicherheitslücken. Angreifer nutzen ihrerseits KI, um solche Lücken automatisiert aufzuspüren.
Rechtlich kommen weitere Fallstricke hinzu: Analyse- oder Werbedienste, die vor der Einwilligung geladen werden (§ 25 TDDDG), Schriftarten, Skripte oder Karten von fremden Servern, die IP-Adressen übermitteln (Art. 6 DSGVO), und generische Datenschutzerklärungen, die den Anforderungen des Art. 13 DSGVO nicht genügen. Bei online abschließbaren Abos kann zudem die fehlende Kündigungsschaltfläche nach § 312k BGB Abmahnungen auslösen. Und wer mit einem internen Tool Arbeitszeiten oder Leistungsdaten von Mitarbeitenden erfasst, muss das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG beachten.
Warum das gerade Kanzleien trifft
Eine Kanzlei verarbeitet täglich besonders schutzwürdige Informationen: Mandantendaten, Schriftsätze, Gesundheits- und Familiendaten. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Betreiber – nicht das KI-Modell, das nach dem Beitrag lediglich als Werkzeug gilt. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Kommt es zu einer Datenpanne, ist sie grundsätzlich binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO); bei hohem Risiko müssen auch die Betroffenen informiert werden (Art. 34 DSGVO). Hinzu kommen mögliche Bußgelder nach Art. 83 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO.
Für eine Anwaltskanzlei kommt zur Haftung noch ein Vertrauensschaden hinzu: Ein Datenleck bei einem selbstgebauten Mandantenformular wäre nicht nur ein Compliance-Thema, sondern ein Reputationsrisiko.
Die Lösung: Prüfen vor dem Livegang
Die gute Nachricht: Mit einer sauberen Bestandsaufnahme lassen sich die meisten Risiken früh erkennen. Die Handlungsempfehlungen des Beitrags lassen sich direkt auf den Kanzleialltag übertragen:
- Vor dem Livegang eine technische und rechtliche Bestandsaufnahme durchführen.
- Zugriffsregeln der Datenbank prüfen und Schlüssel aus dem Frontend heraushalten.
- Cookie-Einwilligung vor jeder nicht notwendigen Aktivierung einholen.
- Fremde Ressourcen möglichst auf den eigenen Server verlagern.
- Die Datenschutzerklärung an die tatsächlich eingesetzten Dienste anpassen.
- Bei Datenpannen fristgerecht reagieren und gegebenenfalls anwaltlich beraten lassen.
Wichtig: Automatisierte Prüfungen liefern Hinweise auf Risiken, keine abschließende Rechtsberatung. Wer Mandantendaten verarbeitet, sollte technische Prüfung, IT-Betrieb und Datenschutzbewertung nicht dem Zufall überlassen.
Ihre Vorteile mit geprüften Kanzlei-Lösungen
Gerade für sensible Abläufe wie die Mandatsaufnahme gibt es erprobte Lösungen, die genau auf die Anforderungen von Kanzleien abgestimmt sind. Das RA-MICRO Online-Mandat (OMA) ist ein digitaler Mandatsaufnahmebogen, über den neue Mandanten ihre Stammdaten selbst erfassen; die Daten werden in der RA-MICRO Kanzleisoftware automatisiert für die Anlage von Mandant und Fall verarbeitet. Das spart Zeit und vermeidet Insellösungen, die nebenher gepflegt und abgesichert werden müssten.
Auch die vorhandene Kanzlei-EDV profitiert von einem regelmäßigen Blick von außen. Der RA-MICRO Kanzleicheck prüft per Fernwartung die technischen Komponenten Ihrer Kanzlei-EDV, System- und Sicherungssoftware: von der Aktualität der Software über die Auslastung der Hardware bis zu Hinweisen zur Konfiguration sowie zur Beratung zu Backup-Strategien und Notfallplänen. So haben Sie Ihre Basis im Griff, bevor Sie zusätzliche Werkzeuge einführen.
Und wenn Sie KI nutzen möchten, dann mit Konzept: Der JURA KI Assistent anonymisiert Texte automatisch lokal, bevor sie an ein KI-Modell übertragen werden, und verifiziert zitierte Gesetze und Urteile auf Echtheit. Das ist ein deutlicher Unterschied zum ungeprüften „Einfach mal machen“.
Jetzt handeln: Wir beraten Sie gern
Setzen Sie in Ihrer Kanzlei bereits KI-gebaute Tools ein – oder planen Sie es? Wir als ius Systemhaus, Ihr RA-MICRO- und DictaNet-Partner aus Hannover, helfen Ihnen, Ihre Kanzlei-IT sicher, schlank und datenschutzkonform aufzustellen.
Sprechen Sie uns an: Telefon 0511/9998840 oder per E-Mail an frank.pelaccia@ius-systemhaus.de. Wir freuen uns auf Ihre Anfrage.