Das Nadelöhr des § 203 StGB und die Drittgeheimnisse

Bei einer Cloud-KI kommt es für § 203 StGB darauf an, ob die Übermittlung einem außenstehenden Menschen Kenntnis vom Geheimnis ermöglicht. Ein Trainingsausschluss beantwortet diese Frage noch nicht. Maßgeblich sind insbesondere Verschlüsselung, Zugriffsrechte, Administrationsmöglichkeiten und die tatsächliche Verarbeitung beim Anbieter. Aus dem Schlagwort „Cloud“ folgt ebenso wenig automatisch ein strafbares Offenbaren wie aus dem Schlagwort „CLOUD Act“. Zu unterscheiden sind der Tatbestand und die Befugnis zur Einschaltung mitwirkender Personen nach § 203 Abs. 3 Satz 2 StGB. Wer den Einsatz rechtlich beurteilen will, muss beide Fragen beantworten. Ein Verbot lässt sich nicht aus dem bloßen Ortswechsel der Daten herleiten.

Ist der Upload ein Offenbaren?

Offenbaren ist nach der Rechtsprechung die Mitteilung eines Geheimnisses an einen Dritten, der es noch nicht kennt, und nach überwiegender Auffassung im Schrifttum genügt dafür schon die Eröffnung der Möglichkeit der Kenntnisnahme. Wer einen Brief an die falsche Adresse schickt, hat offenbart, auch wenn der Empfänger ihn ungelesen zurückgibt. Wer eine Akte auf einen Server legt, auf den der Anbieter zugreifen kann, hat sie dem Anbieter offenbart, auch wenn dort niemand liest. Die Formel, kein realistischer menschlicher Leser bedeute kein Offenbaren, findet in den Kommentaren keine Stütze, und die Anbieter, die versichern, ihre Mitarbeiter läsen keine Eingaben, versichern damit nur, dass sie die Möglichkeit nicht nutzen, nicht, dass sie fehlt. Der Trainingsausschluss ändert daran nichts, er regelt die Verwendung, nicht den Zugang. Wo fremder Zugriff durch Verschlüsselung mit alleiniger Schlüsselhoheit des Anwalts tatsächlich ausgeschlossen ist, liegt dagegen kein Offenbaren vor, weil der Anbieter nur Datenmüll sieht. Diese Lösung des Cloud-Speicherfalls lässt sich auf die Inferenz nicht übertragen, weil ein Sprachmodell zur Verarbeitung Klartext braucht. Verfahren, die Modelle auf verschlüsselten Daten rechnen lassen, sind Forschungsgegenstand und für die Praxis nicht verfügbar. Solange das so bleibt, ist der Upload in ein Cloud-Modell nach herrschender Meinung ein Offenbaren, und die Frage verschiebt sich auf die Befugnis.

Dieser Lesart lässt sich widersprechen. Der Widerspruch ist eine These, die sich aus Wortlaut, Rechtsgut und Systematik der Norm begründen lässt, kein Satz, den ein Gericht bestätigt hätte. Offenbaren heißt nach dem Wortsinn, dass ein anderer etwas erfährt. Der Geheimnisbegriff des § 203 StGB ist auf die Kenntnis eines Menschen zugeschnitten, und ein Geheimnis, das kein Mensch erfährt, wird nicht verletzt. Das Gesetz schützt die Vertraulichkeit als Zustand zwischen Personen, und eine Maschine, die Text verarbeitet und vergisst, ist keine Person, der etwas anvertraut wird. Die Formel von der bloßen Möglichkeit der Kenntnisnahme ist für den fehlgeleiteten Brief und die offene Aktenablage entwickelt worden, also für Vorgänge, bei denen das Lesen der nächste erwartbare Schritt ist. Bei einem System, das Eingaben verarbeitet und löscht und bei dem der Zugriff durch Menschen vertraglich ausgeschlossen ist, beschreibt sie kein Offenbaren mehr, sondern ein Restrisiko, und Restrisiken regelt das Berufsrecht mit der Sorgfaltspflicht, nicht das Strafrecht mit dem Tatbestand. Die Übermittlung an ein technisches System ohne realistische menschliche Wahrnehmung und ohne Verlust der Geheimnisherrschaft ist deshalb kein Offenbaren im Sinne der Norm. Die Reform von 2017 erlaubt die erforderliche Einschaltung mitwirkender Personen. Sie kann Speicherung und Verarbeitung gleichermaßen erfassen. Wer die Verarbeitung durch ein Sprachmodell trotzdem anders behandeln will, muss einen rechtlich erheblichen Unterschied benennen. Allein die größere Leistungsfähigkeit des Werkzeugs liefert ihn nicht. Diese Position ist nicht die herrschende, und wer ihr folgt, folgt ihr auf eigenes Risiko.

Wann die Offenbarung befugt ist

Nach herrschender Meinung entscheidet deshalb, ob die Offenbarung unbefugt ist. Eine Befugnis kann aus der Einwilligung des Mandanten folgen, die für seine eigenen Geheimnisse wirkt, und bei mandatsbezogenen Geheimnissen folgt sie aus § 203 Abs. 3 Satz 2 StGB in Verbindung mit § 43e BRAO, wenn der Anbieter als mitwirkende Person vertraglich gebunden ist und der Datenzugang für die Leistung erforderlich ist. Ob die Verarbeitung von Mandatsgeheimnissen im Klartext durch ein Sprachmodell diese Schwelle erreicht, ist eine offene Auslegungsfrage. Die Bundesrechtsanwaltskammer hielt Ende 2024 die Übermittlung von Mandatsgeheimnissen an frei zugängliche Modelle nach dem damaligen Stand der Technik für nicht erforderlich. Der Deutsche Anwaltverein ist in seiner Stellungnahme 32/2025 vom Juli 2025 deutlich weiter gegangen. Er bezieht die Erforderlichkeit auf den Umfang der Offenbarung, verlangt bei vertraglich gebundenen Dienstleistern keine generelle Anonymisierung, empfiehlt den vertraglichen Trainingsausschluss und trennt Berufs- und Strafrecht ausdrücklich. Die Argumente des Anwaltvereins sind die besseren. Die Erforderlichkeit des § 203 Abs. 3 Satz 2 StGB ist nach der Gesetzesbegründung von 2017 dieselbe wie die des § 43e BRAO, sie betrifft den Umfang der Daten, nicht die Entscheidung für den Dienstleister, und ein Gesetzgeber, der die externe Datenspeicherung ausdrücklich erlauben wollte, hat die externe Datenverarbeitung nicht verbieten wollen, weil Speicherung ohne Verarbeitung im Rechenzentrum nicht vorkommt. Wer die Akte einem Anbieter zur Zusammenfassung übermittelt, übermittelt, was die Zusammenfassung erfordert. Ob er sie selbst hätte zusammenfassen können, ist keine Frage der Erforderlichkeit, sondern seiner unternehmerischen Entscheidung.

Die Drittgeheimnisse als eigentliches Hindernis

Bei Drittgeheimnissen genügt die Zustimmung des Mandanten nach herrschender strafrechtlicher Auffassung nicht. Daraus folgt aber noch kein Verbot, eine Ermittlungsakte durch einen Dienstleister bearbeiten zu lassen. § 203 Abs. 3 Satz 2 StGB beschränkt die Mitwirkungsbefugnis nicht auf Geheimnisse des eigenen Mandanten. Auch Informationen über Zeugen, Mitbeschuldigte und Geschädigte können von ihr erfasst sein, soweit der Zugang für die rechtmäßige Mitwirkung erforderlich ist. Der entscheidende Streit betrifft deshalb Reichweite und Voraussetzungen dieser Befugnis. Wer bereits aus dem Vorhandensein von Drittgeheimnissen auf Strafbarkeit schließt, ignoriert die Vorschrift, die der Gesetzgeber für arbeitsteilige Berufsausübung geschaffen hat.

§ 203 StGB schützt das Vertrauensverhältnis zum Mandanten, und mandatsbezogene Drittinformationen unterliegen seiner Verfügung. Das Bundesverwaltungsgericht hat im Informationsfreiheitsrecht mandatsbezogene Drittgeheimnisse anerkannt und die Verfügung darüber dem Mandanten zugeordnet (BVerwG, Urteil vom 10. April 2019 – 7 C 23.18). Über § 203 StGB oder über Sprachmodelle hat es nicht entschieden, und wer die Entscheidung hierher überträgt, argumentiert systematisch, nicht mit einem Präjudiz. Der Gedanke trägt die Übertragung, weil er nicht am Informationsfreiheitsrecht hängt, sondern an der Struktur des Mandats. Der Verteidiger, der die Akte verarbeiten lässt, um seinen Mandanten zu verteidigen, verwendet die Drittinformationen für den Zweck, für den er sie erhalten hat, und er verletzt kein Vertrauen, weil ihm der Zeuge nichts anvertraut hat. Das ist eine Position gegen die herrschende Meinung, und sie wird hier ohne Abstriche vertreten. Selbst wer der herrschenden Meinung folgt, kann die Nutzung nicht gänzlich verbieten. Aus § 43e BRAO ergibt sich ein allgemeiner Leitgedanke. Die Nutzung externer technischer Dienstleistungen, die eine Kenntnisnahme von Geheimnissen erfordern, ist unter strengen Sorgfalts- und Vertragspflichten zulässig, und ein Sprachmodell ist funktional nichts anderes als ein hochspezialisierter Dienstleister. Ihn pauschal auszuschließen, während das externe Rechenzentrum erlaubt ist, wäre ein Wertungswiderspruch. Die mitwirkende Person nach § 203 Abs. 3 Satz 2 StGB darf alle Geheimnisse zur Kenntnis nehmen, die die Berufsausübung erfordert, und die Norm unterscheidet nicht zwischen Geheimnissen des Mandanten und Geheimnissen Dritter, weil die Schreibkraft, die das Vernehmungsprotokoll abtippt, die Geheimnisse des Zeugen ebenso erfährt wie die des Mandanten.

Das Argument aus § 32f StPO

Ein zweites Argument liefert § 32f StPO. Der Staat stellt die Akte elektronisch zum Abruf bereit und erwartet ihre elektronische Bearbeitung. Wenn der Staat digital ermittelt, mit Auswertungssoftware, mit Sprachanalyse, mit automatisierter Durchsuchung von Datenträgern, kann dem Verteidiger die Nutzung digitaler Auswertungswerkzeuge nicht mit dem Argument versagt werden, die Akte enthalte Geheimnisse. Die elektronische Akte setzt die elektronische Bearbeitbarkeit voraus, und § 32f Abs. 5 StPO regelt die Zweckbindung, nicht die Werkzeugwahl. Der Verteidiger, der die Akte in einem Werkzeug verarbeitet, das ihm die Verteidigung erleichtert, verwendet sie für den Zweck des Verfahrens, und mehr verlangt die Norm nicht. Wer dem Verteidiger das Werkzeug verbietet, das der Staatsanwaltschaft zur Verfügung steht, verletzt die Waffengleichheit, die Art. 6 EMRK gebietet, und er tut es mit einer Auslegung des § 203 StGB, die der Gesetzgeber der Strafprozessordnung nicht vor Augen hatte.

Wo das Risiko heute liegt

Die Position, dass die Übermittlung an ein System ohne realistische menschliche Wahrnehmung und ohne Verlust der Geheimnisherrschaft kein Offenbaren ist und dass mandatsbezogene Drittgeheimnisse der Verfügung des Mandanten unterliegen, ist begründet, aber nicht herrschend. Wer ihr folgt, sollte die Strafbarkeitslage nüchtern sehen. § 203 StGB verlangt Vorsatz, aber der Vorsatz bezieht sich auf den Sachverhalt, und wer weiß, dass er eine Akte mit fremden Geheimnissen an einen Anbieter überträgt, handelt vorsätzlich, auch wenn er die Übertragung für erlaubt hält. Zwei Irrtümer sind auseinanderzuhalten. Wer glaubt, die Daten seien so verschlüsselt, dass der Anbieter sie nicht lesen kann, und darin irrt, irrt über den Sachverhalt, und dieser Irrtum schließt nach § 16 StGB den Vorsatz aus. Wer die Technik richtig einschätzt und nur die Norm anders auslegt als die herrschende Meinung, irrt über das Verbot, und dieser Irrtum entschuldigt nach § 17 StGB nur, wenn er unvermeidbar war. Bei einer Auslegung, deren Umstrittenheit man kennt, ist das schwer zu begründen, und ein vermeidbarer Verbotsirrtum mildert die Strafe allenfalls. Was bleibt, ist der Strafantrag, den die Verfolgung voraussetzt und den ein Zeuge stellen müsste, der erfahren hat, dass die Akte in einem Modell war, und es bleibt das Gewicht der Argumente, die für die Position sprechen. Das Risiko ist deshalb kleiner, als die Debatte vermuten lässt, und es ist kleiner als das Risiko, in einem Großverfahren etwas zu übersehen, weil man die Akte nicht auswerten konnte. Es ist aber vorhanden, und wer es eingeht, sollte es mit einem Vertrag nach § 43e BRAO, mit einem Trainingsausschluss, mit einem Anbieter in der Union, mit einer Dokumentation seiner Prüfung und mit einer Beschränkung der Eingaben auf das Erforderliche so klein machen, wie es geht. Was sich nicht pseudonymisieren lässt, gehört nicht in eine ungesicherte Cloud, und was sich pseudonymisieren lässt, darf man nicht aus Angst liegen lassen.