Kanzlei: Microsoft 365 Copilot ohne das Risiko, dass Mandantenakten abfließen

Ausgangslage

Eine Kanzlei in Vilnius mit 30 Mitarbeitenden: Partner, Anwälte, Assistenz und Verwaltung. Die gesamte Arbeit läuft in einer Microsoft-365-Umgebung: Outlook, Teams, SharePoint und OneDrive. Im Lauf von fünf Jahren hatten sich Dutzende SharePoint-Websites angesammelt, jede so angelegt, wie die jeweilige Person es für richtig hielt: manche nach Mandant, manche nach Anwalt, manche schlicht „Neue Website (3)“. Der Zugriff wurde über Links für „alle in der Organisation“ geteilt, weil das einfacher war.

Der Managing Partner wollte Microsoft 365 Copilot einführen. Die Anwälte nutzten bereits öffentliche KI-Werkzeuge für Zusammenfassungen von Verträgen, was Fragen zur Vertraulichkeit aufwarf. Vor dem Pilot machte der IT-Verantwortliche der Kanzlei einen einfachen Test: Er gab den Namen eines Mandanten in die Suche ein und sah Akten, mit denen er nichts zu tun hatte. Copilot würde diesen Zugriff nur beschleunigen: Er antwortet auf Grundlage von allem, was der Benutzer sehen kann.

Die zweite Frage waren Backups. Die Kanzlei ging davon aus, dass Microsoft alles aufbewahrt – bis ein Anwalt versehentlich einen Mandantenordner löschte und sich nach 90 Tagen zeigte, dass er nicht mehr im Papierkorb lag.

Was gebraucht wurde

• Eine klare Zugriffsstruktur: Akten sieht nur das Team, das am Mandat arbeitet.
• Vertraulichkeitsbezeichnungen, damit vertrauliche Dokumente automatisch gekennzeichnet und geschützt werden.
• Unabhängige Microsoft-365-Backups mit der Möglichkeit, eine E-Mail oder ein Dokument auch nach einem Jahr wiederherzustellen.
• Ein Copilot-Pilot, der keine Mandantendaten gefährdet und einen echten Nutzen zeigt.
• Minimale Störung für die Anwälte: kein einziger Tag ohne Zugriff auf die Akten.

Was wir getan haben

Wochen 1–2: Bestandsaufnahme der Zugriffe

Wir erstellten einen Bericht über alle SharePoint-Websites, Teams-Teams und Freigabelinks. Das Ergebnis: 46 Websites, davon 19 mit Zugriff für die gesamte Organisation, und 230 aktive Links „jeder mit dem Link“. Gemeinsam mit den Partnern vereinbarten wir eine neue Struktur: eine Website pro Dezernat (Praxisgruppe), ein Mandat pro Teams-Kanal, und Zugriff über Gruppen statt über Einzelpersonen.

Wochen 3–4: Bereinigung der Microsoft-365-Sicherheit

Das war Arbeit an der Microsoft-365-Sicherheit: Wir deaktivierten das anonyme Teilen, verschoben die Akten nach dem vereinbarten Schema in die neue Struktur (alte Links funktionierten dank Weiterleitungen weiter) und richteten die Vertraulichkeitsbezeichnungen „Intern“, „Vertraulich“ und „Mandantenakte“ ein. Die letzte verschlüsselt das Dokument automatisch und verhindert, dass es außerhalb der Kanzlei weitergeleitet wird. Wir aktivierten bedingten Zugriff mit Multi-Faktor-Authentifizierung für alle und sperrten Anmeldungen mit privaten Konten von Kanzleigeräten.

Woche 5: Veeam-Backups

Wir aktivierten das Microsoft-365-Backup mit Veeam: Exchange, SharePoint, OneDrive und Teams werden mehrmals täglich im MDP-CLOUD-Rechenzentrum in Litauen (EU) gesichert und, wie von der Kanzlei gefordert, sieben Jahre aufbewahrt. Die erste Wiederherstellung führten wir noch in derselben Woche durch: Auf Wunsch eines Anwalts holten wir eine einen Monat zuvor gelöschte E-Mail-Konversation zurück.

Wochen 6–7: Copilot-Pilot

Wir aktivierten Microsoft 365 Copilot für zehn Anwälte. Vorher prüften wir, was jede Person sieht: Eine Suche nach dem Namen eines Mandanten zeigt jetzt nur noch die Mandate des eigenen Teams. Der Pilot dauerte zwei Wochen: Vertragszusammenfassungen, Besprechungsprotokolle aus Teams, erste Entwürfe für Antworten auf Anfragen. Gemeinsam erarbeiteten wir eine kurze Nutzungsrichtlinie: was erlaubt ist, was nicht und wie man Ergebnisse prüft.

Während des Pilots führte jeder Teilnehmer ein einfaches Protokoll: für welche Aufgabe er Copilot nutzte, wie lange sie vorher dauerte und wie lange jetzt, und ob das Ergebnis korrigiert werden musste. Wir prüften außerdem, ob Dokumente aus Mandaten anderer Teams in Copilot-Antworten auftauchten; in zwei Wochen gab es keinen solchen Fall. Am schwierigsten war nicht die Technik, sondern die Gewohnheit: Einige Anwälte versuchten anfangs trotzdem, öffentliche Werkzeuge zu nutzen, weil sie ihnen vertraut waren. Geholfen haben kurze praktische Schulungen mit konkreten Beispielen aus dem Kanzleialltag.

Ergebnis

Vertrauliche Akten, die die ganze Kanzlei sehen kann: keine, null, und das wird jeden Monat durch einen automatisierten Bericht geprüft. Die Wiederherstellung einer gelöschten E-Mail oder eines Dokuments aus dem Veeam-Backup dauert etwa 15 Minuten, unabhängig davon, wann es gelöscht wurde. Die Pilotteilnehmer schätzten die gesparte Zeit selbst ein: im Durchschnitt etwa 3 Stunden pro Woche und Anwalt, hauptsächlich durch das Erstellen von Zusammenfassungen und Protokollen.

Nach dem Pilot wurde Copilot auf alle Anwälte ausgeweitet. Die Nutzung öffentlicher KI-Werkzeuge mit Mandantendaten ist durch eine interne Richtlinie und technisch durch DLP-Regeln untersagt. Wir betreuen die Microsoft-365-Umgebung der Kanzlei weiter: Neue Websites werden aus einer vereinbarten Vorlage erstellt, und der Zugriffsbericht geht jeden Monat an den Managing Partner.

„Der größte Nutzen ist nicht Copilot, sondern dass wir endlich wissen, wer was sieht.“

Was wir in einer ähnlichen Situation raten

• Bringen Sie den Zugriff vor Copilot in Ordnung. Copilot ändert keine Berechtigungen, er zeigt nur, wie sie tatsächlich sind.
• Vertraulichkeitsbezeichnungen funktionieren nur, wenn es wenige und klare gibt. Drei Bezeichnungen, die jeder versteht, sind besser als zehn.
• Microsoft 365 ist kein Backup. Gelöschte Daten verschwinden nach einer festgelegten Frist; ein unabhängiges Backup ist die einzige Möglichkeit, sie nach einem Jahr zurückzuholen.
• Starten Sie den Pilot mit wenigen Mitarbeitenden, die den Nutzen selbst messen. Das ist das beste Argument für die Geschäftsleitung.