Abuse Monitoring – wo Cloud-KI das Anwaltsgeheimnis offen lässt

Auf der Iserlohner Strafrechtstagung der Strafverteidigervereinigung NRW hat Colin Carter von der Universität Basel im September eine Folie gezeigt, die jeder Kanzlei zu denken geben sollte. Zusatzvereinbarungen zum Schutz des Berufsgeheimnisses seien bei den großen Cloud-Anbietern für kleine und mittlere Kanzleien meist nicht zu bekommen. Und selbst wer eine abschließt, behalte ein Restrisiko, das „Abuse Monitoring“. Ein Opt-out werde in der Regel nicht gewährt. Ein Blick in die aktuellen Bedingungen der Anbieter bestätigt das weitgehend.

Was Abuse Monitoring ist

Wer ein Sprachmodell über die Cloud nutzt, schickt seine Eingaben an den Anbieter. Dort laufen sie nicht nur durch das Modell, sondern auch durch Filter, die Verstöße gegen die Nutzungsbedingungen erkennen sollen, etwa Anleitungen zu Waffen, Schadsoftware oder Missbrauchsdarstellungen. Dafür speichern die Anbieter Eingaben und Ausgaben für eine gewisse Zeit oder halten markierte Fälle fest. Bei Verdacht können Mitarbeiter des Anbieters die Inhalte lesen. Das ist Abuse Monitoring. Es dient einem legitimen Zweck. Für das Anwaltsgeheimnis heißt es, dass ein Mensch beim Anbieter Mandatsinhalte zu sehen bekommen kann.

Wie die großen Anbieter es regeln

Microsoft. Erkennen bei Azure OpenAI und Foundry die Algorithmen Anzeichen für Missbrauch, wird eine Stichprobe von Eingaben und Ausgaben zur Prüfung ausgewählt. Geprüft wird zunächst automatisiert, auch durch Sprachmodelle, bei Bedarf zusätzlich durch Menschen. Die Prüfer sind autorisierte Microsoft-Mitarbeiter. Bei Bereitstellung im Europäischen Wirtschaftsraum sitzen sie dort. Eine Speicherfrist nennt die Datenschutzdokumentation nicht mehr, die früher genannten „bis zu 30 Tage“ wurden gestrichen. Speicherung und menschliche Prüfung lassen sich nur auf Antrag abschalten, die automatisierte Prüfung bleibt auch dann. Den Antrag können nach den Zugangsregeln nur Kunden stellen, die von einem Microsoft-Account-Team betreut werden oder an einem berechtigten Programm teilnehmen. Für seine Copilot-Dienste einschließlich Microsoft 365 Copilot hat Microsoft das Abuse Monitoring mit menschlicher Prüfung dagegen nach eigenen Angaben abgeschaltet.

Google. Bei Vertex AI, das Google inzwischen Gemini Enterprise Agent Platform nennt, protokolliert Google bei den eigenen Modellen Eingaben, die auf einen Verstoß hindeuten, und speichert sie bis zu 90 Tage in der vom Kunden gewählten Region. Autorisierte Google-Mitarbeiter können sie prüfen. Das betrifft nach der Dokumentation nur Kunden, deren Nutzung den Online-Nutzungsbedingungen unterliegt. Wer einen individuell verhandelten Rahmenvertrag hat, das Google Cloud Master Agreement, ist ausgenommen. Alle anderen können nach der Seite zur Null-Speicherung eine Ausnahme beantragen. Für besonders leistungsstarke Modelle, die Google als „Advanced AI“ einstuft, darunter Claude Mythos und Claude Fable, gilt etwas anderes. Dort werden sämtliche Eingaben und Antworten bis zu 30 Tage gespeichert, Google-Mitarbeiter können sie prüfen, und ein Opt-out ist nach Google möglicherweise nicht zu haben. Bei der bezahlten Gemini-API über Google AI Studio werden Daten zur Missbrauchskontrolle 55 Tage aufbewahrt, und Google verweist dort selbst auf Vertex AI, wer eine garantierte Null-Speicherung braucht. Wer Antworten mit der Google-Suche anreichert, hinterlässt bei Google je nach Dienst die abgeleiteten Suchanfragen (Vertex AI, bis zu drei Tage) oder Eingaben und Antworten (Gemini-API, 30 Tage). Abschalten lässt sich das nicht.

OpenAI. Bei der API speichert OpenAI Protokolle zur Missbrauchskontrolle standardmäßig bis zu 30 Tage („Your data“). Null-Speicherung und eingeschränkte Kontrolle gibt es nur nach vorheriger Genehmigung und über den Vertrieb.

Anthropic. Anthropic löscht API-Eingaben und -Ausgaben spätestens nach 30 Tagen. Stufen die automatischen Systeme einen Chat als Verstoß ein, bleiben die Inhalte bis zu zwei Jahre gespeichert, die Klassifizierungswerte bis zu sieben Jahre (Datenschutzhinweise). Null-Speicherung gibt es auch hier nur mit Zustimmung des Anbieters. Für die leistungsstärksten Modelle, die Mythos-Klasse und Fable, gilt seit Juni 2026 eine 30-tägige Speicherung auf allen Plattformen, grundsätzlich auch für Kunden mit vereinbarter Null-Speicherung. Ausgenommen sind vorerst Teilnehmer des Programms „Enterprise Frontier Safeguards“.

Amazon. Amazon Bedrock arbeitet nach eigenen Angaben grundsätzlich ohne Zugriff von Mitarbeitern auf Kundendaten und gibt nichts an die Modellanbieter weiter (Abuse Detection). Auch hier gibt es inzwischen Ausnahmen. Bei bestimmten OpenAI-Modellen wird markierter Verkehr bis zu 30 Tage gespeichert, bei Claude Fable sämtlicher Verkehr, und markierte Inhalte kann AWS dort durch Menschen prüfen lassen. Teilnehmer von „Enterprise Frontier Safeguards“ erhalten für Fable bis Ende 2026 eine Null-Speicherung.

Das Bild ist nicht einheitlich, das Muster schon. Wer groß genug ist, verhandelt sich heraus. Wer zu Standardbedingungen bucht, bleibt drin. Das deckt sich mit Carters Befund.

Warum das berufsrechtlich zählt

Die Verschwiegenheit nach § 43a Abs. 2 BRAO gilt auch beim Einsatz von KI. Dienstleistern darf der Anwalt Mandatsgeheimnisse nach § 43e BRAO nur zugänglich machen, soweit das für die Dienstleistung erforderlich ist. Der Vertrag bedarf der Textform und muss den Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichten. Fehlt diese Verpflichtung und offenbart der Dienstleister ein Geheimnis, macht sich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB der Anwalt selbst strafbar.

Die BRAK stellt in ihren Hinweisen zum KI-Einsatz klar, dass es für den Zugang nicht darauf ankommt, ob der Anbieter tatsächlich Kenntnis nimmt. Es genügt, dass er die Möglichkeit dazu hat. Abuse Monitoring mit menschlicher Prüfung ist genau diese Möglichkeit. Dass es nur Verdachtsfälle trifft, ändert daran nichts.

Die Folgefrage ist, ob die Prüfer des Anbieters von einer Verschwiegenheitsverpflichtung erfasst sind. Mit einer Zusatzvereinbarung nach § 43e BRAO, die den Anbieter verpflichtet und ihm aufgibt, seine Mitarbeiter ebenfalls in Textform zu verpflichten, sind sie wirksam zur Verschwiegenheit verpflichtet, und das eigene Strafbarkeitsrisiko des Anwalts aus § 203 Abs. 4 Satz 2 Nr. 1 StGB entfällt. Ohne eine solche Vereinbarung fehlt diese Absicherung, und die Standardbedingungen behalten die Prüfung gerade vor. Werden die Leistungen im Ausland erbracht, kommt § 43e Abs. 4 BRAO hinzu. Dann muss der Schutz der Geheimnisse dort dem inländischen vergleichbar sein, was innerhalb von EU und EWR regelmäßig keine Schwierigkeiten macht. Und dient ein Dienst unmittelbar einem einzelnen Mandat, verlangt § 43e Abs. 5 BRAO zusätzlich die Einwilligung des Mandanten.

Strafverteidiger trifft es doppelt

In Strafakten steht, wonach die Filter suchen. Dazu gehören Durchsuchungsberichte aus Betäubungsmittelverfahren, Chatprotokolle über Waffengeschäfte und Anklagen wegen Terrorismusfinanzierung oder Missbrauchsdarstellungen. Wer solche Unterlagen von einer Cloud-KI zusammenfassen lässt, liefert genau die Stichworte, bei denen automatische Klassifizierer anschlagen. Ich halte es deshalb für naheliegend, dass Verteidigerprompts häufiger markiert werden als die einer Wirtschaftskanzlei. Belegen lässt sich das nicht, weil kein Anbieter offenlegt, was seine Filter auslöst. Bei Anthropic würde ein markierter Chat dann bis zu zwei Jahre gespeichert. Hinzu kommt die Zweckbindung der Akteneinsicht nach § 32f Abs. 5 StPO, die auch die Daten von Zeugen und Mitbeschuldigten schützt. Dazu mehr im Beitrag KI in der Strafverteidigung.

Die Schweiz streitet noch, Deutschland hat entschieden

Gless und Carter haben die Frage aus Schweizer Sicht gestellt. Dort ist umstritten, ob ein Cloud- oder KI-Anbieter überhaupt Hilfsperson des Anwalts im Sinne von Art. 321 StGB sein kann. Ein für den Schweizerischen Anwaltsverband erstelltes Gutachten bejaht das, andere Stimmen in der Lehre sehen schon in der Weitergabe an den Anbieter ein Offenbaren. Zum Anwaltsgeheimnis beim KI-Einsatz haben sich Schweizer Gerichte, soweit ersichtlich, bisher nicht geäußert. Der deutsche Gesetzgeber hat den Streit 2017 mit § 203 Abs. 3 StGB und § 43e BRAO entschieden. Die Weitergabe an Dienstleister ist erlaubt, aber nur unter den genannten Bedingungen. Das Problem des Abuse Monitoring löst das nicht. Es verschiebt es in den Vertrag.

Was ich Kanzleien rate

Vor dem Einsatz eines Cloud-Modells für Mandatsinhalte gehört die Missbrauchskontrolle auf die Prüfliste. Der Anbieter muss sagen können, ob Eingaben gespeichert werden, wie lange und wo, und ob Menschen sie lesen können. Er muss sagen, ob sich das abschalten lässt und ob die Kanzlei dafür überhaupt in Frage kommt. Juristische KI-Werkzeuge, die auf einem der großen Modelle aufsetzen, können dessen Bedingungen erben. Auch dort lohnt die Frage, welcher Vertrag zwischen Werkzeuganbieter und Modellanbieter gilt. Carter mahnte zu Recht, Verträge und Dokumentation mancher Anbieter juristischer Werkzeuge seien intransparent oder unzureichend.

Wo das nicht zu klären ist, bleiben drei Wege. Der erste ist, Inhalte so zu abstrahieren und zu anonymisieren, dass kein Mandatsgeheimnis übrig bleibt, was nach der BRAK mehr verlangt als das Schwärzen von Namen. Der zweite ist ein Dienst, bei dem die Prüfung durch Menschen vertraglich ausgeschlossen ist. Der dritte ist, das Modell selbst zu betreiben, wie auf der Seite Lokale KI in der Kanzlei beschrieben. Lokal gibt es kein Abuse Monitoring, weil kein Anbieter mitliest.

Das Restrisiko steht nicht im Auftragsverarbeitungsvertrag, sondern in der Missbrauchsrichtlinie. Wer nur das eine liest, übersieht das andere.

Stand 13. Oktober 2026