Microsoft 365 ist in vielen Notariaten ein fester Bestandteil der täglichen Arbeit. Schriftsätze und Entwürfe entstehen in Word, die Kommunikation läuft über Outlook und Dokumente werden über Teams, OneDrive oder SharePoint bearbeitet. Gerade diese enge Verzahnung macht eine klare technische und organisatorische Abgrenzung notwendig. Denn nicht jede Datei,die in einem Notariat entsteht, darf automatisch in jedem Microsoft-Dienst gespeichert werden.

Die entscheidende Frage lautet daher nicht, ob ein Notariat Microsoft 365 einsetzen kann. Geklärt werden muss vielmehr, welche Informationen in welchem Dienst verarbeitet werden dürfen, wie Zugriffe abgesichert sind und an welcher Stelle die Cloud-Nutzung ihre Grenze erreicht.

Arbeitshilfe oder Bestandteil der notariellen Akte?

Die Bundesnotarkammer unterscheidet in ihrem Rundschreiben Nr. 04/2021 zwischen notariellen Akten und Verzeichnissen auf der einen Seite und bloßen Hilfsmitteln auf der anderen. Ein Urkundenentwurf kann zunächst eine Arbeitsdatei und damit ein solches Hilfsmittel sein. Wird die Datei später Bestandteil einer elektronischen Nebenakte, gelten jedoch die Vorgaben für die notarielle Aktenführung. Amtliche Unterlagen müssen in der Geschäftsstelle oder in den dafür vorgesehenen Systemen der Bundesnotarkammer gespeichert werden.

Für die praktische Nutzung von Microsoft 365 bedeutet das: OneDrive, SharePoint und Teams dürfen nicht als pauschaler Speicherort für alle Dokumente eingerichtet werden. Vor dem produktiven Einsatz muss feststehen,welche Dokumentarten dort verarbeitet werden dürfen und wann eine Datei in das vorgesehene notarielle Aktensystem überführt werden muss.

Diese Entscheidung sollte nicht dem einzelnen Mitarbeiter überlassen bleiben. Ein Notariat benötigt nachvollziehbare Regeln für Entwürfe, E-Mail-Anhänge, Besprechungsunterlagen und Dateien aus der Zusammenarbeit mit Beteiligten. Sonst kann dieselbe Datei je nach Bearbeitungsstand unbemerkt von einer zulässigen Arbeitshilfe zum falsch gespeicherten Aktenbestandteil werden.

Schutz beginnt bei Zugriffsrechten

Ein gestohlenes Kennwort darf nicht ausreichen, um auf E-Mails, Entwürfe und Mandantendaten zuzugreifen. Deshalb gehört eine verpflichtende Mehrfaktor-Authentifizierung zur Grundkonfiguration. Ergänzende Zugriffsregeln können Anmeldungen abhängig vom verwendeten Gerät, dem Standortoder einem erkannten Risiko einschränken.

Besonders sensibel sind Administratorkonten. Sie sollten getrennt von normalen Benutzerkonten geführt und nur für administrative Aufgaben verwendet werden. Rechte müssen sich auf das beschränken, was für die jeweilige Tätigkeit tatsächlich notwendig ist. Das gilt auch für externe IT-Dienstleister.

Bei Supportfällen kann Microsoft Customer Lockbox eine zusätzliche Kontrollstufe schaffen. Bevor ein Microsoft-Supporttechniker auf Kundeninhalte zugreift, kann eine Freigabe durch eine autorisierte Person im Notariat erforderlich sein. Genehmigungen, Ablehnungen und ausgeführte Zugriffe werden im Auditprotokoll erfasst. Customer Lockbox verhindert damit nicht jede Form der Datenverarbeitung durch Microsoft, macht bestimmte Supportzugriffe aber kontrollierbar und nachvollziehbar.

Office-Dateien brauchen technische Leitplanken

Die Absicherung darf nicht bei der Anmeldung enden. Entscheidend ist auch, was mit einer Datei geschieht, nachdem sie erstellt wurde. Ein vertraulicher Entwurf kann beispielsweise versehentlich in einem offenen Teams-Kanal landen, über einen Freigabelink weitergegeben oder an einen falschen Empfänger versendet werden.

Microsoft Purview bietet dafür Sensitivity Labels. Mit ihnen lassen sich Dateien und E-Mails klassifizieren und abhängig von ihrer Schutzstufe mit Zugriffsregeln oder Verschlüsselung versehen. Data-Loss-Prevention-Richtlinien können zusätzlich erkennen, wenn sensible Inhalte über nicht vorgesehene Wege geteilt werden, und die betreffende Aktion blockieren oder zur Prüfung melden.

Die Technik ersetzt allerdings keine fachliche Einordnung. Ein Label kann eine Datei schützen, aber nicht entscheiden, ob sie überhaupt in SharePoint oder OneDrive gespeichert werden darf. Deshalb muss zuerst definiert werden, welche Dokumentkategorien das Notariat verwendet und welcher Speicherort für jede Kategorie vorgesehen ist. Erst danach lassen sich die Microsoft-Regeln sinnvoll konfigurieren.

Auch Teams benötigt klare Grenzen. Externe Zusammenarbeit sollte nur gezielt für festgelegte Organisationen oder Personen freigegeben werden. Aufzeichnungen und Transkriptionen von Besprechungen sollten nicht standardmäßig aktiviert sein, da dadurch zusätzliche Dateien und Verarbeitungswege entstehen. Dasselbe gilt für weitere Funktionen, die Inhalte analysieren oder an zusätzliche Microsoft-Dienste übermitteln.

Der IT-Dienstleister gehört zum Schutzkonzept

Bei Wartung, Administration und Fehleranalyse kann ein externer IT-Dienstleister mit Informationen in Berührung kommen, die der notariellen Verschwiegenheit unterliegen. § 26a der Bundesnotarordnung erlaubt einen solchen Zugang nur, soweit er für die beauftragte Dienstleistung erforderlich ist. Der Dienstleister muss sorgfältig ausgewählt und in Textform zur Verschwiegenheit verpflichtet werden.

Eine Auftragsverarbeitungsvereinbarung nach der DSGVO bildet deshalb nur einen Teil der notwendigen Absicherung. Zusätzlich müssen die berufsrechtliche Verschwiegenheit, der Einsatz von Unterauftragnehmern, die Berechtigungen der eingesetzten Techniker und das Vorgehen bei Sicherheitsvorfällen geregelt sein.

Vertrag und technische Realität müssen dabei übereinstimmen. Es genügt nicht, Zugriffe auf dem Papier zu begrenzen, wenn Administratoren im laufenden Betrieb dauerhaft umfassende Rechte besitzen. Zugänge sollten nur bei Bedarf bestehen, protokolliert werden und nach Abschluss der Aufgabe wieder entfallen.

Was ein Notariat konkret festlegen muss

Microsoft 365 sollte nicht als einheitlicher Speicher für sämtliche Arbeits- und Akteninhalte behandelt werden. Vor der Einführung muss verbindlich geklärt sein, welche Dateien als Arbeitshilfen in Microsoft 365 verarbeitet werden dürfen, wann sie in ein notarielles Aktensystem überführt werden und welche Funktionen zusätzliche Datenkopien erzeugen.

Auf dieser Grundlage werden Mehrfaktor-Authentifizierung, Administratorrechte, externe Freigaben, Datenklassifizierung, Supportzugriffe sowie Aufzeichnungs- und Analysefunktionen konfiguriert. Anschließend müssen sicherheitsrelevante Änderungen und ungewöhnliche Zugriffe fortlaufend überwacht werden. Eine einmalige Einrichtung reicht nicht, weil neue Benutzer, geänderte Freigaben und zusätzliche Microsoft-Funktionen die ursprüngliche Schutzwirkung schrittweise aufheben können.

Die praktisch verwertbare Grenze ist klar: Microsoft 365 eignet sich für definierte und freigegebene Arbeitsprozesse. Es ist jedoch kein pauschaler Ablageort für den gesamten notariellen Datenbestand. Erst die klare Trennung von Arbeitshilfen und amtlichen Akten, verbunden mit eingeschränkten Zugriffsrechten und einem kontrollierten Betrieb, macht die Plattform für den Einsatz im Notariat geeignet.

‍

FAQ: Microsoft 365 im Notariat

Dürfen alle notariellen Dokumente in OneDrive oder SharePoint gespeichert werden?

Nein. Vor dem Einsatz muss zwischen Arbeitshilfen und Bestandteilen der notariellen Akte unterschieden werden. Für jede Dokumentart ist verbindlich festzulegen, welcher Speicherort zulässig ist.

Welche Schutzmaßnahme ist für Benutzerkonten grundlegend?

Mehrfaktor-Authentifizierung sollte für alle Benutzer verpflichtend sein. Ergänzende Zugriffsregeln können Anmeldungen anhand von Gerät, Standort und erkanntem Risiko einschränken.

Was leisten Sensitivity Labels und DLP-Regeln?

Sie können Dateien und E-Mails klassifizieren, Zugriffsrechte steuern und nicht vorgesehene Freigaben blockieren oder melden. Sie ersetzen jedoch nicht die fachliche Entscheidung, ob eine Datei überhaupt in einem Microsoft-Onlinedienst gespeichert werden darf.

Sollten Aufzeichnungen und Transkriptionen in Teams standardmäßig aktiv sein?

Nein. Solche Funktionen erzeugen zusätzliche Dateien und Verarbeitungswege und sollten nur gezielt freigegeben werden. Vorher muss geklärt sein, welche Inhalte verarbeitet und wo sie gespeichert werden.

Welche Rolle hat der externe IT-Dienstleister?

Er gehört zum Schutzkonzept, weil er bei Administration und Support mit vertraulichen Informationen in Berührung kommen kann. Seine Zugriffe müssen erforderlich, vertraglich geregelt, protokolliert und zeitlich begrenzt sein.

‍