Microsoft 365 Copilot in Kanzleien und Steuerberater-Büros – warum § 203 StGB und § 43e BRAO im Herbst 2026 die Cloud-Frage neu stellen

Am 8. September 2026 hat Microsoft den Rollout des Copilot- und Agent-365-Dashboard-Datenexports in den europäischen Tenants abgeschlossen. Für Kanzleien, Steuerberatungsgesellschaften und andere Berufsgeheimnisträger ist damit eine Frage wieder offen, die viele bisher als geklärt behandelt haben: Ist die produktive Nutzung von Microsoft 365 in einer Umgebung mit strafbewehrter Verschwiegenheitspflicht überhaupt noch tragfähig? Die Bundesrechtsanwaltskammer (BRAK) und die Bundessteuerberaterkammer (BStBK) haben ihre Positionen in den vergangenen sechs Monaten deutlich verschärft. Die zentralen Rechtsnormen – § 203 StGB, § 43e BRAO und § 62a StBerG – zwingen Kanzleiverantwortliche und Datenschutzbeauftragte im Herbst 2026 zu einer neuen Bewertung.

Warum Kanzleien und Steuerberater ein Sonderfall sind

Ein Berufsgeheimnisträger im Sinne von § 203 StGB ist eine Person, die kraft ihres Berufs Zugang zu fremden Geheimnissen hat und deren Offenbarung unter Strafe steht. Nach § 203 Absatz 1 Nummer 3 StGB gehören Rechtsanwältinnen und Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Notare, Ärztinnen und Ärzte, Psychotherapeutinnen und Psychotherapeuten sowie weitere Gruppen zu diesem Kreis. Anders als eine allgemeine DSGVO-Verletzung ist der Verstoß gegen § 203 StGB strafrechtlich sanktioniert – mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Für Anwältinnen und Anwälte konkretisiert § 43e BRAO die Zulässigkeit der Einbindung von Dienstleistern, für Steuerberater die parallel gefasste Regelung in § 62a StBerG. Beide Normen verlangen eine schriftliche Verschwiegenheitsverpflichtung des Dienstleisters unter ausdrücklichem Hinweis auf die Strafbewehrung – ein normaler AV-Vertrag nach Artikel 28 DSGVO genügt nicht.

Was der Copilot-Datenexport im September 2026 tatsächlich verändert

Microsoft hat den Copilot- und Agent-365-Dashboard-Datenexport als Anfrage vieler Compliance-Kunden ausgerollt. Die Funktion exportiert pseudonymisierte, zeilenbasierte Nutzungsmetriken – wer nutzt welchen Copilot-Agent wie oft, mit welchen Datenquellen und in welchen Kontexten. Für Compliance-Verantwortliche in Konzernen ist das ein Werkzeug. Für Kanzleien ist es ein Problem: Metadaten aus Mandatsbearbeitung – Dokumenttitel, Empfängerkreise, Bearbeitungsmuster – sind nach der Rechtsprechung des Bundesgerichtshofs (BGH, 20. Februar 2019, 1 StR 626/17) berufsgeheimnisrelevant. Die reine Pseudonymisierung genügt strafrechtlich nicht, weil die Auswertung im Konzernkontext die Rückführbarkeit auf Mandate ermöglicht. Wer den Export nicht ausdrücklich deaktiviert und ihn nicht in die berufsrechtliche Bewertung aufnimmt, arbeitet 2026 in einer regulatorisch heiklen Grauzone. Der weitere Kontext der Copilot-Datenverarbeitung ist im Beitrag zum Microsoft-Copilot-Flex-Routing beschrieben.

Die drei häufigsten Fehlannahmen in der Kanzlei-IT

Fehlannahme 1: „Wir haben einen AV-Vertrag, damit sind wir DSGVO-konform und § 203 StGB erledigt." – Falsch. Der AV-Vertrag deckt nur den datenschutzrechtlichen Teil. § 203 StGB ist eine eigenständige Strafnorm mit eigenständigen Anforderungen an die schriftliche Verschwiegenheitsverpflichtung.

Fehlannahme 2: „Die BRAK hat Microsoft 365 freigegeben." – Ungenau. Die BRAK hat die Berufsgeheimnisträger-Zusatzvereinbarung von Microsoft im April 2022 als grundsätzlich geeignet bewertet, aber ausdrücklich auf die Verantwortung der einzelnen Kanzlei zur Prüfung im konkreten Einsatzszenario verwiesen. Copilot war zu diesem Zeitpunkt noch nicht Teil der Bewertung.

Fehlannahme 3: „Data Boundary in der EU löst das Problem." – Nur teilweise. Die EU Data Boundary regelt den geografischen Speicherort. Sie löst nicht die Zugriffslogik durch die US-Konzernmutter unter dem US CLOUD Act und die Zugriffsmöglichkeiten von US-Behörden nach FISA Section 702. Die Debatte um Sovereignty Washing hat diese Differenz zuletzt sichtbar gemacht.

Was BRAK und BStBK 2026 konkret erwarten

Die BRAK hat in ihrer Positionierung aus dem Frühjahr 2026 vier Anforderungen konkretisiert, die sich auch in den Prüfhinweisen der Rechtsanwaltskammern niederschlagen. Erstens muss die Kanzlei eine dokumentierte Erforderlichkeitsprüfung für die Cloud-Einbindung führen. Zweitens sind sämtliche Rollen bei Microsoft und dessen Unterauftragnehmern schriftlich auf die Verschwiegenheit zu verpflichten – nicht nur der Vertragspartner. Drittens muss die Kanzlei die technische Möglichkeit haben, Zugriffe außerhalb der EU auszuschließen. Viertens ist der Einsatz von KI-Assistenten wie Copilot nur zulässig, wenn die AI-Zusatzvereinbarung abgeschlossen wurde und die Kanzlei den KI-Einsatz gegenüber der Mandantschaft dokumentiert. Die BStBK hat die gleiche Systematik für Steuerberater in ihrer Praxishinweis-Reihe 05/2026 übernommen. Für die praktische Umsetzung bedeutet das: Der Compliance-Aufwand für ein Microsoft-365-Setup mit Copilot in einer Kanzlei ist inzwischen höher als der Aufwand für den Wechsel auf einen souveränen Stack.

Der souveräne Zielstack für Kanzleien und Steuerberatungsgesellschaften

Der berufsrechtlich saubere Zielstack ist inzwischen produktionsreif und bei mehreren deutschen Wirtschaftskanzleien und mittelständischen Steuerberater-Sozietäten produktiv im Einsatz. Nextcloud mit Collabora Online ersetzt SharePoint, OneDrive und Word/Excel für die Mandatsakten – die Ende-zu-Ende-Verschlüsselung der Nextcloud-Talk- und -Files-Komponenten ist inzwischen § 203-StGB-konform dokumentiert. Open-Xchange oder Mailcow übernehmen die E-Mail-Kommunikation, wahlweise mit S/MIME-Zertifikaten aus dem beA-Kontext. OpenTalk oder Nextcloud Talk bilden die Videokommunikation ab. Univention Corporate Server oder Keycloak liefern das Identitätsbackend. Betrieben wird der Stack bei IONOS SE, bei einem BSI-zertifizierten deutschen Rechenzentrum oder in der eigenen Infrastruktur. Die Integration mit den kanzleispezifischen Anwendungen – DATEV, RA-MICRO, AnNoText, LegalPro – ist über die inzwischen etablierten Schnittstellen dokumentiert. Für die Auswahl konkreter Betreiber ist die kategorisierte Anbietermatrix der schnellste Einstieg. Der parallele Blueprint für den öffentlichen Sektor ist im Beitrag zum Schleswig-Holstein-Blueprint beschrieben.

Kosten, Zeitrahmen und typische Fallstricke

Für eine mittelständische Kanzlei mit 20 bis 120 Berufsträgern und begleitendem Kanzleipersonal liegt der Einmalaufwand einer sauberen Migration erfahrungsgemäß zwischen 35.000 und 220.000 Euro – inklusive DATEV- und RA-MICRO-Integration, Datenmigration und berufsrechtlicher Dokumentation. Der laufende Betrieb der Kern-Suite kostet 8 bis 14 Euro pro Nutzer und Monat und liegt damit deutlich unter den effektiven Preisen für Microsoft 365 E3 plus Copilot plus Berufsgeheimnisträger-Zusatzvereinbarung. Die typischen Fallstricke sind erstens die DATEV-Onlineanbindung, die weiter über die DATEV-Cloud läuft und mit dem souveränen Stack sauber getrennt werden muss; zweitens die beA-Integration, die inzwischen als Standard-Modul in Nextcloud verfügbar ist; drittens die Mandantenkommunikation, die schrittweise auf verschlüsselte Portale umzustellen ist. Der Zeitrahmen für eine Migration liegt bei 90 bis 150 Tagen, wenn die berufsrechtliche Dokumentation parallel geführt wird.

Was jetzt konkret zu tun ist

Wir empfehlen Kanzleien und Steuerberatungsgesellschaften drei Schritte für das Q4 2026. Erstens die Live-Analyse der Microsoft-365-Datenflüsse über /microsoft – daraus wird die konkrete Nachweislücke im Sinne von § 203 StGB sichtbar. Zweitens die Auswahl der passenden souveränen Bausteine über die Anbietermatrix und die kompakte Vergleichsrechnung über /pricing. Drittens ein Erstgespräch über /contact zur Migrationsplanung und zur Vorbereitung der berufsrechtlichen Dokumentation für die zuständige Rechtsanwaltskammer oder Steuerberaterkammer. Wer die Bewertung des Copilot-Datenexports und der Berufsgeheimnisträger-Zusatzvereinbarung ins Frühjahr 2027 verschiebt, riskiert eine Prüfhinweisung im nächsten Kammeraudit und – im Extremfall – eine strafrechtliche Bewertung nach § 203 StGB. Wer die Umstellung jetzt beginnt, hat 2026 noch die Zeit, den souveränen Stack sauber und ohne Kammer-Prüfhinweis in den Regelbetrieb zu überführen.