Die Kommunikation zwischen Anwalt und Mandant findet zunehmend nicht über die klassische Telefonie, sondern über Messenger statt. Sie ermöglichen den Austausch von Nachrichten und Dokumenten sowie Audio- und Videoanrufe; das bloße Vorhandensein von Verschlüsselung bedeutet jedoch noch keine absolute Vertraulichkeit. Zum Schutz des anwaltlichen Geheimnisses ist es wichtig, nicht nur den Übertragungsweg zu bewerten, sondern das gesamte System: Messenger, Serverinfrastruktur, Konto, Gerät des Anwalts und Gerät des Mandanten.
Warum die Kommunikation zu Messengern gewechselt hat
Die Entwicklung des mobilen Internets und die Verbreitung von 3G-, 4G- und 5G-Netzen haben die alltägliche Kommunikation erheblich verändert. Klassische Sprachanrufe und SMS sind weitgehend Messengern gewichen, die nicht nur Sprache, sondern auch Text, Dokumente, Fotos, Video und andere Informationen über das Internet übertragen.
Für den Anwalt ist das praktisch, weil ein wesentlicher Teil der Mandantenkommunikation in einer Anwendung stattfinden kann. Zugleich bedeutet das, dass in einer Umgebung ein großes Volumen an Informationen konzentriert wird, die dem anwaltlichen Geheimnis unterliegen können.
Gemäß Artikel 22 des ukrainischen Gesetzes „Über die Anwaltschaft und die anwaltliche Tätigkeit“ umfasst das anwaltliche Geheimnis insbesondere Informationen über den Mandanten, die Angelegenheiten, mit denen er sich gewandt hat, den Inhalt von Beratungen und Erläuterungen sowie Dokumente und Informationen auf elektronischen Trägern. Der Schutz von Messengern betrifft daher unmittelbar die berufliche Tätigkeit des Anwalts.
Einen absolut „abhörsicheren“ Messenger gibt es nicht
Bei der Wahl eines Kommunikationsmittels ist ein vereinfachter Ansatz zu vermeiden, bei dem ein Messenger als absolut sicher und ein anderer als absolut unsicher gilt.
Die Sicherheit hängt von der Architektur des jeweiligen Dienstes, dem Verschlüsselungsmodell, dem Authentifizierungsmechanismus, der Speicherung von Nachrichten, Backups, dem Schutz der Endgeräte und dem Verhalten der Nutzer selbst ab.
Entscheidend ist, ob Ende-zu-Ende-Verschlüsselung (end-to-end encryption) eingesetzt wird. Bei diesem Modell wird die Nachricht auf dem Gerät des Absenders verschlüsselt und soll nur auf dem Gerät des Empfängers entschlüsselt werden. Bei korrekter Umsetzung dient der Server der Übertragung verschlüsselter Daten, sollte aber keinen Schlüssel zum Lesen des Nachrichteninhalts besitzen.
Signal etwa erklärt, dass Nachrichten und Anrufe im Dienst stets durch Ende-zu-Ende-Verschlüsselung geschützt sind. Telegram nutzt ein anderes Modell: gewöhnliche Cloud-Chats verwenden Verschlüsselung zwischen Client und Server und werden in Telegram Cloud gespeichert, während Secret Chats eine separate Ende-zu-Ende-Verschlüsselung nutzen und an konkrete Geräte gebunden sind.
Bei der Bewertung eines Messengers sollte der Anwalt daher nicht nur auf die Werbeaussage „Daten sind verschlüsselt“ achten, sondern verstehen, wo verschlüsselt wird, wer potenziell über Schlüssel verfügt und wo der Gesprächsverlauf gespeichert wird.
Geschützter Transport ist noch nicht die gesamte Sicherheit
Das Abfangen modern korrekt verschlüsselten Verkehrs während der Übertragung im Netz ist deutlich schwieriger als der Informationsgewinn über ein kompromittiertes Konto oder Endgerät.
Für den Anwalt liegt das praktische Risiko daher oft nicht in der Mitte des Kanals, sondern an seinen Enden.
Selbst starke Transportverschlüsselung hilft nicht, wenn ein Dritter Zugang zum Telefon selbst, zu einer aktiven Messenger-Sitzung oder zum Nutzerkonto erlangt. In diesem Fall können Informationen bereits nach der rechtmäßigen Entschlüsselung durch die App zur Anzeige für den Gerätebesitzer gewonnen werden.
Deshalb ist die Frage „Ist der Messenger verschlüsselt?“ nur eine der Fragen, die bei der Sicherheitsbewertung gestellt werden müssen.
Was auf dem Messenger-Server geschieht
Eine eigene Frage betrifft den Serveranteil des Dienstes.
Der Nutzer sieht die Mobile- oder Desktop-App, doch die meisten modernen Messaging-Systeme verfügen auch über Serverinfrastruktur. Darüber laufen Authentifizierung, Nachrichtenrouting, Gerätesynchronisation und andere Betriebsprozesse.
Wie viele Informationen dem Server zugänglich sind, hängt von der Architektur des jeweiligen Messengers ab. Bei Diensten mit Ende-zu-Ende-Verschlüsselung kann der Server keinen Zugriff auf den Nachrichteninhalt haben; bestimmte Betriebsdaten können für das Funktionieren des Systems dennoch erforderlich sein.
Es ist daher unzutreffend anzunehmen, dass sämtliche Messenger zwingend den Inhalt jedes Gesprächs speichern. Ebenso unzutreffend ist die automatische Annahme, der Server wisse allein wegen Verschlüsselung nichts über den Nutzer.
Auch die Offenheit des Quellcodes ist bedeutsam. Die Möglichkeit, Client- oder Servercode zu prüfen, erhöht die technische Überprüfbarkeit. Signal veröffentlicht beispielsweise den Quellcode von Clients und Serverteil. Selbst offener Code ist jedoch keine absolute Garantie dafür, dass eine konkrete Infrastruktur zu einem bestimmten Zeitpunkt genau mit der vom Nutzer untersuchten Konfiguration läuft.
Der Anwalt sollte den Messenger-Server daher als eigenes Element des Bedrohungsmodells betrachten.
Informationen auf dem Telefon selbst können wichtiger sein als der Server
Ein weiteres wesentliches Problem ist die lokale Speicherung von Informationen.
Selbst wenn eine Nachricht über einen gut geschützten Kanal übertragen wird, muss sie schließlich auf dem Telefon oder Computer des Nutzers angezeigt werden. Auf dem Endgerät können Chatverlauf, Anhänge, Fotos, Dokumente, App-Cache, Benachrichtigungen und andere Daten verbleiben.
Der Schutz des Messengers lässt sich daher faktisch nicht vom Schutz des Geräts selbst trennen.
Wenn das Telefon von Anwalt oder Mandant von einem Dritten entsperrt, mit Schadsoftware infiziert oder anderweitig kompromittiert ist, löst der kryptografische Schutz des Kanals das Gesamtproblem nicht mehr.
Mit anderen Worten: Selbst ein sehr sicherer Messenger kann ein völlig ungeschütztes Endgerät nicht kompensieren. Siehe auch wie man erkennt, ob das Telefon abgehört wird.
Kontoübernahme
Eine eigene Risikokategorie betrifft nicht die Kryptografie, sondern die Authentifizierungslogik.
Einige Messenger nutzen die Telefonnummer als einen der zentralen Nutzeridentifikatoren. Andere können E-Mail, Passwort, QR-Codes, Einmal-Links oder eine Kombination mehrerer Methoden verwenden.
Reicht für den Login die Kontrolle über die Telefonnummer und einen Einmalcode, kann die Kompromittierung dieses Mechanismus das Risiko einer Kontoübernahme schaffen. Das kann etwa geschehen, wenn ein Angreifer den Authentifizierungscode oder die Kontrolle über die Nummer erlangt.
Deshalb ist ein zusätzliches Passwort oder eine zweistufige Prüfung ein wichtiges Schutzelement dort, wo der Messenger dies unterstützt.
Besonders kritisch wird dies bei Diensten, deren Nachrichtenverlauf über den Server synchronisiert wird. Verbindet ein Dritter erfolgreich eine neue autorisierte Sitzung, können die Folgen weit schwerwiegender sein als das Abfangen eines einzelnen SMS-Codes.
Telegram etwa erlaubt die Nutzung eines Kontos auf mehreren Geräten, und gewöhnliche Cloud-Nachrichten werden zwischen ihnen synchronisiert. Secret Chats folgen einem anderen Modell und sind kein Bestandteil von Telegram Cloud.
Anonymität und Identifizierung des Nutzers
Sicherheit und Anonymität sind nicht dasselbe.
Ein Messenger kann starke Verschlüsselung nutzen und das Konto dennoch mit Telefonnummer, E-Mail oder anderen Identifikatoren verknüpfen.
Der Anwalt muss daher gesondert verstehen, welche Informationen zur Erstellung und Wiederherstellung des Kontos dienen, was andere Nutzer sehen und welche Identifikatoren potenziell beim Dienst selbst verbleiben.
Das ist besonders wichtig, wenn Vertraulichkeit nicht nur den Inhalt der Verhandlungen betrifft, sondern auch die Tatsache der Kommunikation zwischen einem konkreten Anwalt und einem konkreten Mandanten.
Die Regeln müssen beide Seiten einhalten
Eine der wichtigsten Bedingungen sicherer Kommunikation ist dasselbe Disziplinniveau aller Beteiligten.
Es hat wenig praktischen Sinn, wenn der Anwalt Telefon und Konto maximal schützt, der Mandant aber ein schwaches Passwort nutzt, keinen zusätzlichen Login-Schutz einsetzt oder offene Messenger-Sitzungen auf Fremdgeräten hinterlässt.
Die Sicherheit eines Verhandlungsprozesses wird durch das schwächste Glied bestimmt.
Für besonders sensible Angelegenheiten sollten Anwalt und Mandant daher vereinbarte Regeln zur Messenger-Nutzung einhalten: einen klaren Kommunikationskanal, Kontrolle aktiver Geräte und Sitzungen sowie Schutz des Zugangs zu Konten und Geräten selbst.
Es geht nicht darum, für jede Beratung eine komplexe technische Prozedur zu schaffen. Es geht um das Verständnis, dass Vertraulichkeit von beiden Gesprächsseiten abhängt.
Anfragen an Messenger-Betreiber
Ein weiterer Aspekt betrifft die Informationen, über die der Dienstanbieter tatsächlich verfügt.
Betreiber von Online-Diensten können Anfragen von Strafverfolgungs- oder anderen zuständigen Behörden in der gesetzlich vorgesehenen Form erhalten. Das Volumen der Informationen, das der Dienst technisch bereitstellen kann, hängt jedoch direkt davon ab, welche Daten er erhebt und speichert.
Deshalb kann man nicht behaupten, jeder Messenger könne auf Anfrage den gesamten Nachrichtenverlauf eines Nutzers herausgeben.
Signal gibt öffentlich an, aufgrund seiner Architektur keinen Zugang zu Nachrichteninhalt, Anrufen und einem großen damit verbundenen Datensatz zu haben und daher nicht herausgeben zu können, was es nicht speichert. Die Datenschutzrichtlinie von Telegram sieht die Möglichkeit vor, IP-Adresse und Telefonnummer auf ordnungsgemäße Anfrage zuständiger Justizbehörden in den von der Richtlinie definierten Fällen offenzulegen.
Bei der Risikobewertung ist daher zwischen Nachrichteninhalt, Metadaten und Registrierungsdaten zu unterscheiden.
Verlust oder Beschlagnahme des Telefons
Ein eigenes Risiko entsteht, wenn ein Dritter das Telefon physisch erhält.
Das kann Verlust des Geräts, Diebstahl oder Beschlagnahme in der gesetzlich vorgesehenen Form sein.
In diesem Fall ist nicht mehr der Netzverkehr das Hauptziel, sondern die Information, die sich unmittelbar auf dem Gerät befindet. Ob sie erlangt werden kann, hängt vom Telefonmodell, der Betriebssystemversion, dem Gerätezustand, der Sperrmethode, dem kryptografischen Schutz und anderen technischen Faktoren ab.
Man sollte daher nicht davon ausgehen, dass Daten von jedem modernen Smartphone „leicht“ erlangt werden können. Ebenso falsch ist die Annahme, allein die Nutzung eines sicheren Messengers mache die Untersuchung des Geräts automatisch unmöglich.
Für den Anwalt unterstreicht das erneut die Notwendigkeit, nicht nur das Messenger-Konto zu schützen, sondern auch das Telefon als physischen Träger vertraulicher Informationen.
Der Messenger schützt nicht vor dem Abhören des Raums selbst
Selbst ein ideal geschützter Kommunikationskanal löst nicht das Problem der physischen Tonerfassung.
Führt der Anwalt einen Messenger-Anruf in einem Raum durch, in dem ein fremdes Mikrofon oder ein anderes Aufnahmegerät installiert ist, muss der Gegner die Kryptografie des Messengers nicht angreifen.
Besonders offensichtlich wird dieses Risiko bei Nutzung der Freisprechfunktion. Das Gespräch wird dann physisch im Raum wiedergegeben und kann mit jedem Mittel aufgezeichnet werden, das akustische Information erfassen kann.
Deshalb sind Messenger-Sicherheit und technischer Schutz des Verhandlungsorts als zusammenhängende Fragen zu betrachten. Siehe auch wie man einen Besprechungsraum vor Abhören schützt und den Beitrag zur Vertraulichkeit von Anwalt und Mandant.
Eigene Infrastruktur auf Basis von Matrix
Wenn eine Organisation mehr Kontrolle über die Kommunikationsinfrastruktur benötigt, ist ein möglicher Ansatz der Einsatz eines eigenen Servers auf Basis des offenen Matrix-Protokolls.
Matrix ermöglicht den Betrieb eines eigenen Homeservers und unterstützt Ende-zu-Ende-Verschlüsselung privater Kommunikation. Das gibt der Organisation die Möglichkeit, die Serverinfrastruktur selbst zu kontrollieren, statt vollständig von einem einzigen externen Anbieter abhängig zu sein.
Zur zusätzlichen Kontrolle des Netzwerkzugangs kann eine solche Infrastruktur zusammen mit VPN und eigenen Regeln für Server- und Schlüsselverwaltung genutzt werden.
Ein eigener Server ist jedoch nicht automatisch die sicherere Lösung. Schutz, Updates, Backup und Administration werden ebenfalls zur Verantwortung des Eigentümers. Dieser Ansatz ist daher vor allem sinnvoll, wenn die erforderlichen technischen Kompetenzen und die Fähigkeit zur ordnungsgemäßen Wartung der Infrastruktur vorhanden sind.
Ein gehärtetes Betriebssystem als zusätzliche Schicht
Die letzte Ebene, der Aufmerksamkeit gebührt, ist das Betriebssystem des Smartphones selbst.
Für Nutzer mit erhöhtem Bedrohungsmodell können spezialisierte Lösungen mit verstärkten Sicherheitsmechanismen eingesetzt werden. Ein Beispiel ist GrapheneOS – ein Betriebssystem auf Basis des Android Open Source Project, das auf Verringerung der Angriffsfläche, stärkere App-Isolation und besseren Schutz vor der Ausnutzung von Schwachstellen ausgerichtet ist.
Zugleich schafft kein Betriebssystem eine Nullwahrscheinlichkeit einer Malware-Infektion. Seine Aufgabe ist es, die Angriffsfläche zu verringern, die Ausnutzung von Schwachstellen zu erschweren und die Folgen einer möglichen Kompromittierung zu begrenzen.
Ein gehärtetes Betriebssystem ist daher ein zusätzliches Element, kein Ersatz für andere Sicherheitsmaßnahmen.
Fazit
Die Sicherheit der Kommunikation zwischen Anwalt und Mandant in einem Messenger wird nicht allein durch den App-Namen oder das Vorhandensein des Wortes „encrypted“ bestimmt.
Gleichzeitig zu bewerten sind Verschlüsselungsmodell, Serverarchitektur, Speicherung des Nachrichtenverlaufs, Authentifizierungsmechanismus, Bindung des Kontos an Telefonnummer oder andere Identifikatoren, aktive Sitzungen und der Schutz des Endgeräts.
Gesondert zu berücksichtigen sind physischer Zugang zum Telefon, die Untersuchung der darauf gespeicherten Informationen und die Erfassung des Gesprächsinhalts durch technische Mittel, die direkt im Raum installiert sind.
Dabei müssen dieselben Regeln sowohl vom Anwalt als auch vom Mandanten eingehalten werden. Schützt eine Seite Geräte und Konten ordnungsgemäß und die andere nicht, sinkt das Gesamtniveau der Vertraulichkeit.
In Situationen mit erhöhten Kontrollanforderungen können eigene Kommunikationssysteme auf Matrix-Basis, zusätzlicher VPN-Einsatz und gehärtete Betriebssysteme erwogen werden. Das Grundprinzip bleibt unverändert: Geschützt werden muss nicht ein einzelner Messenger, sondern die gesamte Kette der Übertragung und Speicherung von Informationen.
Gerade dieser ganzheitliche Ansatz ermöglicht es dem Anwalt, Risiken der Kompromittierung von Verhandlungen zu verringern, Mandanteninformationen zu schützen und dem Erhalt des anwaltlichen Geheimnisses unter den Bedingungen moderner digitaler Kommunikation angemessen Rechnung zu tragen.
Messenger und anwaltliches Geheimnis
Müssen Sie die Sicherheit der Mandantenkommunikation bewerten?
Das Team von ProDefence hilft, das Bedrohungsmodell für Messenger, Konten und Endgeräte zu prüfen und bei Bedarf eine TSCM-Untersuchung des Raums für vertrauliche Verhandlungen durchzuführen. Ohne unbegründete Garantien „absoluter Sicherheit“.
Vertraulich. Ohne Nachfrage nach Seed-Phrase oder privaten Schlüsseln.
