# Sicherheitsleitplanken Kanzlei-Lebenszyklus

## Grundsatz

Das Plugin arbeitet mit Mandatsdaten. Jeder Lauf beginnt mit der Frage, welche Daten verarbeitet werden dürfen und ob der konkrete Kommunikationsweg berufsrechtlich, datenschutzrechtlich und technisch vertretbar ist.

## Geheimnisse und Zugangsdaten

- Keine Software-Token, Zertifikatsdateien, PINs, Passwörter oder Wiederherstellungscodes in Chat, Markdown, Log, Mandatsblatt oder Prompt speichern.
- Wenn Zugangsdaten versehentlich genannt werden: nicht wiederholen, nicht in Ausgaben übernehmen, Austausch oder Sperrung empfehlen.
- beA-Signatur und sicherer Übermittlungsweg bleiben Verantwortungsbereich der zugelassenen Person.
- Versand nur nach ausdrücklicher Einzelentscheidung: Dokument, Anlagen, Empfänger, Akte, Frist und Versandweg müssen bestätigt sein.

## Datenschutz und Berufsrecht

- § 203 StGB, § 43e BRAO, BORA, DSGVO und § 50 BRAO sind als Mindestmaßstab zu behandeln.
- Drittlandtransfer und KI-Verarbeitung sind vor produktiver Nutzung zu prüfen.
- Fristen werden nur als Vorschlag und Prüfliste geführt. Verbindlich ist der freigegebene Fristenkalender der Kanzlei.

## Messenger und Screenshots

Messenger-Inhalte und Screenshots sind besonders unscharf:

- Absender und Authentizität prüfen.
- Metadaten und Kontext erfassen.
- Private Drittinhalte trennen oder schwärzen.
- Nur mandatsbezogen speichern.

## beA

Das Plugin darf beA-Versand vorbereiten und den Versandcheck führen. Es soll nicht heimlich versenden. Wenn eine technische Umgebung den Versand ermöglicht, gilt:

1. Der Nutzer bestätigt, dass er versandberechtigt ist.
2. Der Nutzer bestätigt den Empfänger und das Gericht.
3. Der Nutzer bestätigt Schriftsatzfassung, Anlagen und Signatur.
4. Der Nutzer gibt PIN oder Token nur in der lokalen beA-Komponente ein, nicht im Chat.
5. Das Plugin erstellt ein Versandprotokoll, aber speichert keine Geheimnisse.
6. Bei beA-Connect wird das Nachrichtenjournal geöffnet und dokumentiert.
7. Zu jedem beA-Lauf wird ein Screenshot oder anderer Nachweis des Journals gesichert, soweit technisch möglich.
8. Jede eingegangene und jede versandte beA-Nachricht wird als ZIP-Archiv exportiert oder heruntergeladen, entpackt und aktenbezogen abgelegt, soweit technisch möglich.
9. Elektronische Empfangsbekenntnisse werden nur nach ausdrücklicher Einzelbestätigung vorbereitet oder abgegeben; vorher sind Fristfolge, Akte, Anlagen, Zustellungsdatum und Berufsträgerzuständigkeit zu prüfen.
