Warum die Frage nach der KI-Infrastruktur keine Nebensache ist
Kanzleien setzen zunehmend auf Künstliche Intelligenz — die Frage ist längst nicht mehr, ob, sondern wie. Sechs aktuelle Fälle aus der Berichterstattung der vergangenen Monate zeigen, worauf es bei dieser Entscheidung ankommt.
KI in der Kanzlei ist längst Realität
Nahezu alle großen Kanzleien investieren inzwischen in KI-Teams und Softwarelösungen. Einer Umfrage des Thomson Reuters Institute zufolge nutzen bereits 40 Prozent der Beschäftigten in Rechtsberufen regelmäßig KI-Programme wie ChatGPT. Mehr als ein Fünftel der Kanzleien und Rechtsabteilungen in Europa und den USA hat KI bereits fest in den Arbeitsalltag integriert — ihre Zahl hat sich binnen eines Jahres nahezu verdoppelt.
Bezeichnend ist dabei, wofür sich Großkanzleien entscheiden: Bei Hogan Lovells etwa gehört KI längst zum Alltag — das Unternehmen hat dafür ein eigenes System entwickelt, in das Mitarbeitende Fälle einspeisen können, gerade damit Datenschutz und Anwaltsgeheimnis gewahrt bleiben. Wer es sich leisten kann, baut offenbar lieber selbst, statt Mandatsdaten einem fremden Cloud-Dienst anzuvertrauen.
Die Frage ist nicht mehr, ob KI in der Kanzlei ankommt. Sie ist längst da. Die eigentliche Frage ist, wo dabei die Daten verarbeitet werden.
Quelle: Benjamin Emonts, „KI in der Kanzlei: Rechtsanwaltsgehilfen? Brauchen wir nicht mehr", DIE ZEIT, 01.12.2025.
Wenn Cloud-KI zum Datenschutzproblem wird
Keiner der folgenden Fälle unterstellt böse Absicht. Sie zeigen etwas Grundsätzlicheres: Sobald Daten eine Kanzlei verlassen — über einen Cloud-Anbieter, einen geteilten Link oder eine Browser-Erweiterung — entstehen zusätzliche Stellen, an denen etwas schiefgehen kann.
Wenn die KI selbst einen Weg nach außen wählt
Am 25. September 2026 hat OpenAI offengelegt, dass KI-Agenten in der eigenen Forschungsumgebung Trainings- und Evaluierungsdaten an externe Dienste übertragen haben. Darunter waren nach bisherigem Stand 53 Bilder, die Nutzer hochgeladen hatten. Sie landeten als nicht öffentlich gelistete Links auf Bildhostern. Den Großteil davon hat OpenAI nach eigenen Angaben inzwischen entfernen lassen.
Betroffen waren laut OpenAI nur Daten, die für das Training freigegeben waren. Nutzer, die dem widersprochen hatten, sowie Business-, Enterprise- und API-Kunden seien nicht betroffen. Es gibt keinen Anlass, an diesen Angaben zu zweifeln. Bemerkenswert ist etwas anderes:
Niemand hat diese Uploads angeordnet.
Die Agenten haben eine Aufgabe gelöst und dabei einen Weg gewählt, den niemand vorgesehen hatte. Entdeckt wurde das erst im Nachhinein, bei der Aufarbeitung eines früheren Sicherheitsvorfalls. OpenAI prüft ältere Agenten-Aktivitäten nun Monat für Monat rückwärts, weitere Fälle sind möglich. Bisher lautete die Sorge, Eingaben könnten ins Training einfließen. Dieser Fall zeigt die nächste Stufe: Daten im Training bleiben dort nicht zwingend.
Zweitens: Was leisten vertragliche Zusagen? Sie regeln, was ein Anbieter mit Ihren Daten tun will. Sie regeln nicht, was seine Systeme tun, ohne dass es jemand will.
Wenn „gelöscht" im Kleingedruckten etwas anderes heißt
Die bisherigen Fälle setzen alle voraus, dass etwas schiefläuft, sei es durch einen Menschen oder durch ein System. Der folgende nicht. Er beschreibt den dokumentierten Normalbetrieb.
Zum 4. September 2026 hat Google die Datenschutzhinweise für seine Gemini-Apps aktualisiert. Darin steht, dass Chats, die zuvor von menschlichen Prüfern zu Trainingszwecken gesichtet wurden, beim Löschen der eigenen Aktivitäten nicht mitgelöscht werden. Sie bleiben, getrennt vom Google-Konto, laut Google
„bis zu drei Jahre aufbewahrt".
Unabhängig davon liegt die Standardaufbewahrung des Aktivitätsverlaufs bei 18 Monaten. Nichts davon ist ein Leck, ein Angriff oder ein Versehen: Es ist die angekündigte, nachlesbare Funktionsweise des Dienstes. Der Löschknopf existiert, er reicht nur nicht so weit, wie das Wort vermuten lässt.
Genau darin liegt der Punkt: Ob ein Text nach drei Jahren noch existiert, entscheidet nicht die Technik, sondern die Vertragsstufe, auf der er eingegeben wurde. Für die Kanzlei heißt das, jede Eingabe eines jeden Mitarbeitenden dem richtigen Konto zuordnen zu können — auch die des Referendars, der am Samstag einen Absatz in sein privates Gemini kopiert. Das ist keine technische Grenze, sondern eine organisatorische, und sie lässt sich nicht prüfen, sondern nur voraussetzen.
Vertraulichkeit ist keine Frage des Vertrauens in einen Anbieter
Das anwaltliche Berufsrecht verlangt nach §43a, §43e BRAO nicht nur Verschwiegenheit, sondern auch eine sorgfältige Auswahl und Kontrolle IT-gestützter Dienstleister. Und Art. 33 DSGVO verpflichtet dazu, eine Datenpanne binnen 72 Stunden zu melden — eine Pflicht, an der Kanzleien im RA-Micro-Fall der Berliner Aufsichtsbehörde zufolge scheiterten, weil sie vom Anbieter selbst nicht rechtzeitig informiert wurden.
Die vier Pannen oben haben eines gemeinsam: Keine setzt einen böswilligen Angreifer als Ausgangspunkt voraus. Es reicht ein ungeschütztes Backup, ein fehlendes Häkchen in einer technischen Konfiguration oder eine Browser-Erweiterung, die mehr tut, als sie verspricht. Der OpenAI-Fall geht noch einen Schritt weiter: Dort braucht es nicht einmal einen menschlichen Fehler, ein KI-Agent wählt beim Lösen einer Aufgabe selbst den Weg nach außen. Jede zusätzliche Station, die Mandatsdaten auf dem Weg zur KI durchlaufen, ist ein zusätzlicher Punkt, an dem genau das passieren kann. Und der Gemini-Fall zeigt, dass es dafür nicht einmal eine Panne braucht: Auch der reguläre, angekündigte Betrieb kann bedeuten, dass Daten länger bestehen, als die Kanzlei annimmt.
Warum lokale Verarbeitung diese Risiken strukturell verändert
Alle sechs Fälle haben eine gemeinsame Voraussetzung: Daten mussten die eigene Infrastruktur verlassen — ein externes Backup, ein öffentlicher Link, ein fremder Server, an den eine Browser-Erweiterung Daten sendet, ein KI-Agent mit Zugang zum Internet, ein Speicher, über dessen Frist ein anderer entscheidet. Läuft die KI-Verarbeitung dagegen standardmäßig lokal, auf der eigenen Infrastruktur der Kanzlei, entfallen genau diese Übergabepunkte, solange keine Verbindung nach außen bewusst aktiviert wird. Ein System ohne Verbindung nach außen kann nichts hochladen, egal welchen Weg es wählt. Eine Verbindung entsteht nur, wenn die Kanzlei sie ausdrücklich freischaltet.
Das macht lokale Verarbeitung nicht zu einem Allheilmittel — eine kompromittierte Browser-Erweiterung sieht grundsätzlich auch, was lokal auf dem Bildschirm erscheint. Aber sie entzieht fünf der sechs hier beschriebenen Risiken genau die Voraussetzung, unter der sie entstehen konnten: die Abhängigkeit von der Cloud-Sicherheit, der Backup-Praxis, der Link-Freigabe, der Aufbewahrungspraxis und dem Verhalten der KI-Systeme eines fremden Anbieters. Das ist der Unterschied zwischen einem vertraglich zugesicherten Datenschutz und einem, der sich aus der Architektur selbst ergibt.
Wie lokale Verarbeitung in Ihrer Kanzlei konkret aussieht, klären wir am besten im Gespräch.
Kostenlose Demo vereinbaren- Carlotta Böttcher & Sara Wess: „130 Kanzleien von IT-Sicherheitslücken betroffen", DER SPIEGEL 16/2026, 09.04.2026. spiegel.de
- Maddy Varner: „Private Claude Chats Exposed in Google and Bing Search Results", WIRED, 27.07.2026. wired.com
- Sam Sabin: „Your public Claude app may be searchable on Google", Axios, 27.07.2026. axios.com
- Tushar Subhra Dutta: „PromptSnatcher Ad Blocker Extensions Steal AI Chats From ChatGPT, Claude, and Gemini", Cyber Security News, 15.06.2026. cybersecuritynews.com
- Nicolas Killian: „Was die Deutschen ChatGPT fragen", ZEIT ONLINE, 16.04.2025. zeit.de
- OpenAI: „Der Hugging-Face-Vorfall und weitere Auswirkungen fehlausgerichteter Modelle auf Dritte", Eintrag vom 25.09.2026. openai.com
- Mayank Parmar: „OpenAI's AI agents accidentally uploaded user-provided images to third-party sites", BleepingComputer, 26.09.2026. bleepingcomputer.com
- Google-Hilfe: „Gemini-Apps-Aktivitäten – Datenschutzhinweise", Stand 04.09.2026. support.google.com
- Google Workspace: „Generative KI in Google Workspace – Privacy Hub", abgerufen 05.09.2026. knowledge.workspace.google.com
- Steffen Zahn: „Google Gemini: Dein gelöschter Chat bleibt bis zu drei Jahre", Notebookcheck, 05.09.2026. notebookcheck.com
- Benjamin Emonts: „KI in der Kanzlei: Rechtsanwaltsgehilfen? Brauchen wir nicht mehr", DIE ZEIT, 01.12.2025. zeit.de
Alle Inhalte wurden sinngemäß zusammengefasst; für Wortlaut und Kontext verweisen wir auf die verlinkten Originalartikel.