Cloud-Kanzleisoftware verlagert Betrieb, Updates und Teile der technischen Absicherung zum Anbieter. Die Verantwortung verschwindet dadurch nicht; sie wird geteilt. Deshalb sollte die Kanzlei genau verstehen, welche Aufgaben der Anbieter übernimmt und welche Entscheidungen bei ihr verbleiben.
Hostingstandort und Datenwege
Fragen Sie nicht nur „Wo steht der Server?“, sondern lassen Sie die gesamte Verarbeitungskette erklären. Dazu gehören Hauptsystem, Backups, Protokolle, E-Mail-Versand, Supportzugriffe, Dateikonvertierung, KI-Dienste und Unterauftragnehmer. Ein deutscher Rechenzentrumsstandort beantwortet nicht automatisch jede Frage zu weiteren Diensten.
- Verarbeitungsorte und wesentliche Unterauftragnehmer sind dokumentiert.
- Transportverschlüsselung und geschützte Speicherung sind beschrieben.
- Supportzugriffe sind begrenzt, autorisiert und nachvollziehbar.
- Test-, Staging- und Produktivdaten sind angemessen getrennt.
- Lösch- und Aufbewahrungsregeln gelten auch für Backups und Protokolle.
Berechtigungen: Rollen allein reichen nicht
Kanzleien benötigen eine verständliche Rechtearchitektur. Neben allgemeinen Rollen sind häufig personengebundene Zusatzrechte erforderlich, etwa für sensible Finanzbereiche. Prüfen Sie, ob Rechte einzeln vergeben, zeitnah entzogen und regelmäßig überprüft werden können. Administratorstatus sollte nicht automatisch jede fachliche Berechtigung enthalten.
In SILCROW sind erweiterte Finanzbereiche in getrennte Zusatz-Berechtigungsstufen gegliedert. Diese werden einzelnen Personen ausdrücklich zugewiesen; die Stufen schalten einander nicht automatisch frei.
Protokollierung mit praktischem Nutzen
Ein Audit-Log ist nur hilfreich, wenn relevante Ereignisse verständlich auffindbar sind. Testen Sie konkrete Fragen: Wer hat eine Frist geändert? Wer hat einen Export ausgelöst? Wann wurde ein sensibles Recht vergeben? Was geschah vor einem fehlgeschlagenen Versand?
Protokollierung sollte nicht nur Daten sammeln. Sie sollte eine reale betriebliche Frage in vertretbarer Zeit beantworten.
Backup ist erst mit Restore vollständig
Backup-Frequenz und Aufbewahrungsdauer sind wichtig. Entscheidend ist jedoch, ob Wiederherstellungen regelmäßig getestet werden. Fragen Sie nach realistischen Zielwerten für Datenverlustfenster und Wiederanlauf, nach räumlicher oder systemischer Trennung und nach dem Ablauf bei einem größeren Ausfall.
Der BSI-Kriterienkatalog C5 bietet eine strukturierte Orientierung für die Beurteilung von Cloud-Diensten. Er beschreibt Sicherheits- und Transparenzkriterien, ersetzt aber keine Prüfung des konkreten Dienstes, der Vertragslage und der eigenen organisatorischen Maßnahmen.
Updates, Störungen und Verantwortlichkeiten
Cloud-Software wird laufend aktualisiert. Lassen Sie sich erklären, wie Änderungen getestet, angekündigt und im Fehlerfall zurückgenommen werden. Für kritische Kanzleiprozesse sind Statuskommunikation, Eskalationswege und nachvollziehbare Störungsbearbeitung wichtiger als ein allgemeines Verfügbarkeitsversprechen.
- Wie werden sicherheitsrelevante Updates priorisiert?
- Welche Wartungsfenster gibt es?
- Wie erfährt die Kanzlei von Störungen und deren Behebung?
- Welche Prozesse funktionieren bei Ausfall einzelner Zusatzdienste weiter?
- Wie werden kritische Wiederanläufe kontrolliert?
Exit-Plan vor Vertragsbeginn
Ein vollständiger, dokumentierter Export darf kein Thema für den letzten Vertragstag sein. Klären Sie Formate, Dokumentstrukturen, Metadaten, Fristen, Kosten und Löschbestätigung schon bei der Auswahl. Das reduziert Abhängigkeit und erleichtert spätere Prüfungen oder Migrationen.
SILCROW Cloud transparent ansehen
SILCROW wird in Deutschland bei Hetzner in Falkenstein betrieben. Verschlüsselte Übertragung, personengebundene Rechte, Audit-Logs, gestaffelte Sicherungen und Wiederherstellungsprüfungen sind Teil des Betriebskonzepts. Die konkrete rechtliche und organisatorische Ausgestaltung wird mit der Kanzlei im Onboarding festgelegt. Sicherheitsübersicht ansehen.