Kanzleien · Governance-Kennzahlen für Datenzugriff, Aufbewahrung und Ethical Walls

Ein einziger fehlgeleiteter Dokumentenzugriff zwang 2018 eine große US-Kanzlei, ein Mandat mitten im laufenden Verfahren niederzulegen, weil eine Associate, die auf einer „Ethical Wall"-Liste stand, eine Datei geöffnet hatte, die sie nie hätte sehen dürfen. Keine böse Absicht, kein Leak an die Presse, nur eine Lücke in den Berechtigungen. Der Haftpflichtversicherer der Kanzlei wollte danach genau eines: einen Nachweis in Zahlen, dass sich das nicht wiederholen kann. Darum geht es in dieser Lektion.

Kanzleien sitzen auf einigen der sensibelsten Daten der Wirtschaft: privilegierte Mandantenkommunikation, M&A-Konditionen vor der Bekanntgabe, Prozessstrategien, Geschäftsgeheimnisse. Governance ist hier kein abstraktes Compliance-Theater. Sie wird gemessen, auditiert und zunehmend von Mandanten eingefordert, bevor diese überhaupt ein Mandatsschreiben unterzeichnen.

Die relevanten Daten: zentrale Quellen

Vor den Kennzahlen kommen die Systeme, die die Daten erzeugen:

• Dokumentenmanagementsysteme (DMS): iManage und NetDocuments dominieren den Markt. Jedes Öffnen, Bearbeiten und Herunterladen einer Datei erzeugt einen Logeintrag.
• Ethical-Wall- / Conflicts-Systeme: Software (oft im DMS integriert oder über Tools wie Intapp), die benannten Personen den Zugriff auf bestimmte Mandate verwehrt.
• Access Control Lists (ACLs): die Berechtigungstabellen, die festlegen, wer was sehen darf, auf Mandats-, Ordner- oder Dokumentenebene.
• Aufbewahrungsfristen (Retention Schedules): Regeln (oft im DMS oder in einem eigenen Records-Management-Modul), die vorgeben, wie lange Mandatsakten, Abrechnungsunterlagen und Conflict-Check-Daten aufbewahrt werden, bevor sie gelöscht oder archiviert werden.
• Audit-Logs: mit Zeitstempel versehene Aufzeichnungen jedes Zugriffsversuchs, erfolgreich oder abgelehnt, über DMS, E-Mail (Outlook/Exchange) und Practice-Management-Systeme hinweg.

Mandantenaudits (durch Rechtsabteilungen von Unternehmen oder Cyber-Versicherer) verlangen zunehmend direkt Auszüge aus diesen Systemen, nicht nur Policy-Dokumente.

Zentrale Governance-Kennzahlen

Vollständigkeit der Access Logs und Audit-Abdeckung

Access Log Completeness Rate: der Anteil der Systeme (DMS, E-Mail, E-Discovery-Plattformen), die tatsächlich abrufbare Audit-Logs erzeugen, gemessen an allen Systemen, die Mandantendaten enthalten.

Eine Umfrage der Association of Corporate Counsel (ACC) von 2023 und mehrere Legal-Ops-Benchmarking-Berichte (etwa der International Legal Technology Association, ILTA) deuten darauf hin, dass große Kanzleien bei DMS-Plattformen eine Logging-Abdeckung nahe 100 % anstreben, die Abdeckung bei Shadow IT (private Cloud-Laufwerke, nicht freigegebene Messaging-Apps) aber eine hartnäckige und oft ungemessene Lücke bleibt. Behandeln Sie jede konkrete Prozentzahl hier als Selbstauskunft der Kanzleien, nicht als branchenweit auditierte Zahl.

Rechenbeispiel: Eine Kanzlei hat 40 Systeme, die Mandantendaten berühren. Automatisiertes Audit-Logging ist bei 34 bestätigt aktiv.

Access Log Completeness Rate = 34 / 40 = 85 %

Ein Auditbericht, der 85 % ausweist, würde in der Regel einen Remediation-Plan für die verbleibenden sechs Systeme erfordern, bevor die Outside-Counsel-Guidelines eines Mandanten als erfüllt gelten.

Ethical-Wall-Verstöße

Eine Ethical Wall (auch „Screen" oder „Cone of Silence") ist eine interne Informationsbarriere, die Anwälten oder Mitarbeitern mit Interessenkonflikt den Zugriff auf ein Mandat verwehrt, vorgeschrieben durch Berufsregeln wie ABA Model Rule 1.10 (Zurechnung von Interessenkonflikten) in den USA oder die Standards and Regulations der SRA (Solicitors Regulation Authority) in England und Wales.

Zentrale Kennzahl: Breach Incident Rate, üblicherweise erfasst als:

Breach Rate = (bestätigte unberechtigte Zugriffe) / (Gesamtzahl der abgeschirmten Mandate) im Zeitraum

Kanzleien berichten dies quartalsweise an ihre Risk Committees. Ein „Breach" ist nicht immer böswillig: Oft bedeutet ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →, dass eine automatische Wall bei der Anlage eines neuen Mandats nicht korrekt angewandt wurde oder ein Lateral Hire (ein von einer anderen Kanzlei gewechselter Anwalt) nicht rechtzeitig abgeschirmt wurde.

Mean Time to Detect (MTTD) und Mean Time to Remediate (MTTR) stammen aus der Cybersecurity und werden hier zunehmend angewandt: wie viel Zeit zwischen dem unberechtigten Zugriff und seiner Entdeckung vergeht und wie viel zwischen Entdeckung und Korrektur der Wall.

Retention Policy Compliance Rate

Aufbewahrungsregeln überschneiden sich mit Regulierung wie der EU-DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung, seit 2018), die Datenminimierung und Grenzen für die Speicherdauer personenbezogener Daten vorschreibt, sowie mit US-Landesrecht und Vorgaben der Anwaltskammern zur Aufbewahrung von Mandatsakten (oft 5 bis 10 Jahre nach Mandatsabschluss, je nach Bundesstaat und Rechtsgebiet unterschiedlich).

Retention Compliance Rate

Konforme Datensätze = fristgerecht gelöschte/archivierte Datensätze / alle zur Bearbeitung fälligen Datensätze

Wenn eine Kanzlei in diesem Jahr 10.000 abgeschlossene Mandatsakten zur Dispositionsprüfung fällig hat und nur 7.200 tatsächlich fristgerecht bearbeitet wurden (gelöscht, archiviert oder wegen Legal Hold verlängert):

Retention Compliance Rate = 7.200 / 10.000 = 72 %

Eine Quote von 72 % wäre in den meisten Audit-Frameworks ein Red Flag; in Legal-Ops-Kreisen informell genannte Benchmarks (ILTA, Umfragen von Ari Kaplan Advisors) legen nahe, dass Kanzleien für belastbare Retention-Programme 90 %+ anstreben, wobei dies eine Branchenschätzung ist und kein regulatorisches Minimum.

Legal-Hold-Compliance

Wenn ein Rechtsstreit mit hinreichender Wahrscheinlichkeit zu erwarten ist, begründet die US-Rechtsprechung (insbesondere *Zubulake v. UBS Warburg*, 2003-2004) die Pflicht, die reguläre Löschung per Legal Hold auszusetzen. Kennzahl: Anteil der Custodians (Mitarbeiter, die relevante Daten halten), die eine Hold-Benachrichtigung innerhalb eines definierten Zeitfensters bestätigt haben (üblich sind 48 bis 72 Stunden). Ein Versagen hier ist ein direktes Spoliation-Risiko (Beweismittelvernichtung) nach Federal Rule of Civil Procedure 37(e).

Wie das gebenchmarkt wird

Unternehmensmandanten formalisieren dies inzwischen über Outside Counsel Guidelines (OCGs), vertragliche Dokumente, die Anforderungen an den Umgang mit Daten als Bedingung für das Mandat festlegen. Cyber-Versicherer sowie Organisationen wie die Legal Marketing Association und ILTA veröffentlichen regelmäßig Benchmarking-Umfragen (Selbstauskünfte, Zahlen als Richtwerte behandeln).

Externe Frameworks, an denen sich Kanzleien messen:

• ISO/IEC 27001 (Informationssicherheitsmanagement, internationaler Standard)
• NIST Cybersecurity Framework (USA, freiwillig, aber weit verbreitet, nist.gov/cyberframework)
• SOC 2 Type II Reports (US-Prüfungsstandard zu Sicherheit, Verfügbarkeit und Vertraulichkeit über einen Zeitraum, keine Stichtagsprüfung)

Viele Am-Law-200-Kanzleien durchlaufen inzwischen jährliche SOC-2-Audits, gerade weil Mandanten das verlangen, bevor sie sensible Deal-Daten übermitteln.

Ein einfaches Governance-Dashboard

Risk Committees prüfen monatlich typischerweise eine kleine Zahl von Kennzahlen, keine Rohlogs. Ein minimales Dashboard kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte erfassen:

Metric                         This Qtr   Target    Status
------------------------------------------------------------
Access log completeness         91%        95%       AMBER
Ethical wall breaches (count)    2          0         RED
Avg. MTTD (days)                 6         <2         RED
Retention compliance            88%        90%       AMBER
Legal hold ack. rate (48hr)      94%        95%       AMBER

Dieses Format, übernommen aus IT-Operations-Dashboards, ist das, was General Counsel und Chief Information Security Officers (CISOs) in Kanzleien zunehmend Executive Committees und auf Anfrage auch Mandanten vorlegen.

🎬 [VIDEO: „What is an Ethical Wall in Law Firms?" — youtube.com — suchen Sie nach Erklärvideos von Compliance-Anbietern für Kanzleien (z. B. Intapp oder iManage), die zeigen, wie Ethical Walls in DMS-Plattformen konfiguriert und überwacht werden]

Key Takeaways

• Governance in Kanzleien ist messbar: Vollständigkeit der Access Logs, Ethical-Wall-Breach-Raten, Retention Compliance Rates und Bestätigungsquoten bei Legal Holds sind die zentralen auditierbaren Kennzahlen, nicht bloße Policy-Erklärungen.
• Die Datenquellen konzentrieren sich auf DMS-Plattformen (iManage, NetDocuments), Conflicts-/Ethical-Wall-Software (z. B. Intapp) und Audit-Logs aus E-Mail- und Practice-Systemen; Shadow IT ist die größte ungemessene Lücke.
• Aufbewahrungs- und Hold-Pflichten sind in realer Regulierung verankert (DSGVO in Europa, FRCP Rule 37(e) und Rechtsprechung wie *Zubulake* in den USA) sowie in Berufsregeln (ABA Model Rule 1.10, SRA Standards).
• Benchmarks (etwa 90 %+ Retention Compliance, Log-Abdeckung nahe 100 %) sind Branchenschätzungen aus Umfragen (ILTA, ACC) und keine harten regulatorischen Schwellen, also immer als solche kennzeichnen.
• Mandanten setzen diese Kennzahlen inzwischen vertraglich über Outside Counsel Guidelines durch und verlangen unabhängige Verifizierung (SOC 2 Type II, ISO 27001) statt allein der Selbstauskunft der Kanzlei.