Vertraulichkeitsbarrieren, die ein Audit überstehen, nicht nur den Policy-Ordner

# Vertraulichkeitsbarrieren, die ein Audit überstehen, nicht nur den Policy-Ordner

Ein Partner einer mittelgroßen Kanzlei stellt einen Lateral Hire von einem Wettbewerber ein. Sechs Wochen später stellt die Gegenseite in einem laufenden Verfahren einen Antrag auf Ausschluss der gesamten Kanzlei, mit dem Argument, der Lateral habe achtzehn Monate zuvor auf der anderen Seite desselben Mandats gearbeitet. Die Kanzlei legt ihr Memo zur „Ethical Wall" vor: ein einseitiges PDF, unterschrieben, datiert, in einer Schublade abgelegt. Der Richter stellt eine einfache Frage: Woher wissen Sie, dass die Barriere tatsächlich gehalten hat? Niemand im Raum kann das mit Daten beantworten. Die Kanzlei vergleicht sich, statt den Ausschluss zu riskieren. Das ist der Preis einer Policy, die nur auf Papier existiert.

In dieser Lektion geht es darum, Informationsbarrieren (auch Ethical Walls oder Vertraulichkeitsbarrieren genannt) zu bauen, die Nachweise produzieren, nicht nur Absichten.

Warum Papierbarrieren scheitern

Eine Informationsbarriere ist ein Satz von Kontrollen, der bestimmte Personen daran hindert, auf bestimmte Mandanten- oder Mandatsinformationen zuzugreifen, meist wegen eines Interessenkonflikts. Professional-Services-Firmen (Recht, Wirtschaftsprüfung, Beratung, Investment Banking) setzen sie permanent ein: Sie erlauben einer Kanzlei, gleichzeitig einen Merger-Mandanten und einen aktivistischen Investor zu betreuen, oder einen Lateral Hire aufzunehmen, ohne bestehende Mandate abgeben zu müssen.

Die regulatorische Logik unterscheidet sich je nach Sektor, der Mechanismus ist überall derselbe:

• Kanzleien: ABA Model Rule 1.10 und die Entsprechungen der Bundesstaaten erlauben das Screening eines „personally disqualified" Anwalts, statt den Konflikt der gesamten Kanzlei zuzurechnen, sofern der Screen zeitnah, dokumentiert und überprüfbar ist.
• Wirtschaftsprüfung/Audit: Die Auditor-Independence-Regeln der SEC (Regulation S-X Rule 2-01) und die PCAOB-Standards verlangen Barrieren zwischen Audit- und Non-Audit-Service-Teams beim selben Emittenten.
• Investmentbanken und Beratungen: FINRA Rule 2241 und entsprechende EU/UK-Conduct-Regeln verlangen Barrieren zwischen Research, Banking und Trading Desks; in Großbritannien regelt SYSC 10 im FCA-Handbuch das Management von Interessenkonflikten.
• EU-weit: Die DSGVO (Datenschutz-Grundverordnung) nennt „Ethical Walls" nicht, aber die Zweckbindung nach Artikel 5 und die „geeigneten technischen und organisatorischen MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßnahmen" nach Artikel 32 verlangen faktisch dieselben Zugriffskontrollen, sobald die zugrunde liegenden Informationen personenbezogene Daten enthalten.

Das gemeinsame Versagensmuster in all diesen Fällen: Firmen schreiben die Policy, instrumentieren sie aber nie. Ein Memo mit der Aussage „der Lateral wird nicht auf die Akten von Mandat X zugreifen" ist ein Versprechen. Ein Systemlog, das achtzehn Monate lang null Zugriffsereignisse auf den Ordner von Mandat X im Dokumentenmanagementsystem unter den Credentials dieser Person zeigt, ist ein Nachweis.

Eine Barriere entwerfen, die Nachweise produziert

Eine belastbare Barriere braucht vier Ebenen, nicht eine.

1. Dateninventar und Mapping. Bevor Sie etwas abschotten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, müssen Sie wissen, wo es liegt: Ordner im Dokumentenmanagementsystem (DMS), E-Mail, Shared Drives, CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →-Datensätze, Kalendereinladungen, Slack-/Teams-Kanäle, sogar Papierakten im physischen Archiv. Die meisten Ausschlussanträge haben Erfolg, weil Firmen den DMS-Ordner abgeschottet, aber den E-Mail-Verteiler oder das Abrechnungssystem vergessen haben, in dem der Name der gescreenten Person weiterhin auf Zeiterfassungen auftaucht.

2. Umsetzung der Zugriffskontrolle. Das ist technisch, nicht nur administrativ:

• Role-Based Access Control (RBAC) auf Ordner- und Systemebene, nicht nur die Anweisung „bitte nicht hineinsehen".
• Automatischer Ausschluss aus mandatsspezifischen Verteilerlisten.
• Conflict Flags im Practice-Management-System, die den Login der gescreenten Person schon am Öffnen des Mandatsdatensatzes hindern.

3. Logging und Monitoring. Jeder Zugriffsversuch, erfolgreich oder abgelehnt, sollte einen Logeintrag mit Zeitstempel erzeugen: User-ID, Ressource, Aktion, Ergebnis. Das ist das Rohmaterial für den Audit Trail.

4. Regelmäßige Tests. Jemand Unabhängiges (oft der General Counsel einer Firma, ein Risk Officer oder eine vom Deal-Team getrennte Compliance-Funktion) versucht nach einem festen Plan tatsächlich, die Barriere zu durchbrechen, und prüft die Logs auf Auffälligkeiten.

Eine einfache Audit-Query, illustriert

Hier ist die Art von Prüfung, die das Information-Governance-Team einer Firma jederzeit ausführen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen sollte, konzeptionell (die konkreten Systeme variieren: iManage, NetDocuments, Relativity bei Kanzleien; SharePoint/Purview bei vielen Beratungen):

-- Flag any access to a walled matter by a screened individual
SELECT access_log.timestamp, access_log.user_id, access_log.resource_id,
       access_log.action, access_log.result
FROM access_log
JOIN screened_individuals ON access_log.user_id = screened_individuals.user_id
JOIN walled_matters ON access_log.resource_id = walled_matters.matter_id
WHERE screened_individuals.matter_id = walled_matters.matter_id
  AND access_log.timestamp BETWEEN screened_individuals.screen_start_date
                                AND screened_individuals.screen_end_date
ORDER BY access_log.timestamp DESC;

Eine Firma, die diese Query ausführen und ein sauberes (oder ehrlich erklärtes) Ergebnis liefern kann, hat einen Audit Trail. Eine Firma, die nur ein unterschriebenes Memo vorlegen kann, hat keinen. Das ist der größte Unterschied, wenn ein Richter, eine Aufsichtsbehörde oder ein gegnerischer Sachverständiger sagt: „Beweisen Sie es."

Was Aufsichtsbehörden und Gerichte tatsächlich prüfen

Wird eine Barriere angegriffen, sind die Fragen durchweg Datenfragen:

• Timing: Wurde der Screen eingerichtet, bevor der Lateral überhaupt Zugriff hatte, oder rückwirkend, nachdem der Konflikt aufgefallen war? Gerichte (siehe die Begründung in *Kirk v. First American Title Ins. Co.*, einem häufig zitierten kalifornischen Fall zur Rechtzeitigkeit von Screens) gewichten das stark.
• Vollständigkeit: Deckte der Screen jedes System ab oder nur das offensichtliche?
• Überprüfbarkeit: Kann die Firma Logs vorlegen, nicht nur Erklärungen?
• Durchsetzung: Gab es Durchbruchsversuche, und wenn ja, was geschah danach? Eine einzelne protokollierte Ablehnung, die untersucht und abgeschlossen wurde, stärkt die Glaubwürdigkeit sogar; ein nicht überwachtes System, das nichts zeigt, weil nichts erfasst wurde, wirkt unter Prüfung schlechter, nicht besser.
• Laufende Zertifizierung: Viele Firmen verlangen von gescreenten Personen und aufsichtsführenden Partnern eine quartalsweise Neubestätigung, dass keine Gespräche über das Mandat stattgefunden haben. Fehlende Zertifizierungen sind ein Warnsignal, nach dem Prüfer gezielt suchen.

Eine praktische Referenz dazu, wie Konflikte und Screening-Pflichten mit Datenkontrollen zusammenwirken, finden Sie in der Guidance der ABA zum Screening nach Model Rule 1.10 und, für Pflichten zur Zugriffskontrolle im EU-Kontext, in den Leitlinien des Europäischen Datenschutzausschusses zu Sicherheitsmaßnahmen nach Artikel 32.

Audit-Muskeln aufbauen: eine praktische Checkliste

Behandeln Sie die Verifizierung der Barriere als wiederkehrende Kontrolle, nicht als einmaliges Setup:

1. Bei Einrichtung des Screens: alle Systeme inventarisieren, die das Mandat berühren, technische Zugriffssperren umsetzen (nicht nur Anweisungen), Datum und Uhrzeit des Inkrafttretens dokumentieren.

2. Wöchentlich oder monatlich: automatisierte Log-Prüfung auf Zugriffsversuche gescreenter Personen; Ausnahmeberichte gehen an Compliance, nicht an das Deal-Team.

3. Quartalsweise: Neubestätigung durch die gescreente Person und durch Kolleginnen und Kollegen, die sie versehentlich einbeziehen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnten (E-Mail-cc-Fehler sind in der Praxis der häufigste Durchbruch).

4. Bei Mandatsabschluss oder Ausscheiden des Laterals: formelles Wind-down-Log, das belegt, dass der Screen über die volle Dauer aufrechterhalten wurde, archiviert für die Aufbewahrungsfrist der Firma (oft 6 bis 10 Jahre, je nach Jurisdiktion und Mandatstyp).

5. Jährliches internes Audit: ein unabhängiger Test, manchmal buchstäblich ein Red-Team-Versuch, auf abgeschottetes Material zuzugreifen, um zu bestätigen, dass die Kontrollen trotz Systemänderungen noch funktionieren (eine DMS-Migration ist ein Klassiker, bei dem Barrieren unbemerkt brechen).

Das ist dieselbe Logik wie beim Sammeln von Nachweisen für SOC 2 (System and Organization Controls 2, ein US-Prüfungsstandard für Datenkontrollen von Dienstleistern): kontinuierliches Logging schlägt punktuelle Zusicherungen jedes Mal, wenn ein Prüfer auftaucht.

🎬 [VIDEO: "Ethical Walls Explained" - youtube.com - suchen Sie nach Kanzlei- und Compliance-Kanälen zur Umsetzung von Informationsbarrieren und Conflict Screening in der Praxis; achten Sie auf Inhalte von CLE-Anbietern der Anwaltskammern oder Legal-Ops-Anbietern]

Key Takeaways

• Eine Informationsbarriere ist nur so stark wie ihr Audit Trail: ein unterschriebenes Memo ist eine Policy, ein Zugriffslog mit Zeitstempel ist ein Nachweis.
• Erfassen Sie jedes System, das die abgeschotteten Informationen berührt (DMS, E-Mail, Abrechnung, Kalender, Chat), bevor Sie einen Screen für vollständig erklären; unvollständige Inventare sind die häufigste Ursache gescheiterter Barrieren.
• Bauen Sie technische Zugriffskontrollen (RBAC, automatisierte Ausschlüsse, Login-Sperren), nicht nur mündliche Anweisungen, und protokollieren Sie jeden Zugriffsversuch und jede Ablehnung.
• Testen Sie die Barriere regelmäßig mit unabhängiger Prüfung oder Red-Team-Checks, besonders rund um Systemmigrationen, die Kontrollen routinemäßig unbemerkt brechen.
• Aufsichtsbehörden und Gerichte (unter ABA Model Rule 1.10, SEC/PCAOB-Independence-Regeln, FCA SYSC 10 oder DSGVO Artikel 32) stellen alle dieselbe Grundfrage: KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie es beweisen, nicht nur behaupten?