Mandantenportal und elektronische Signatur in der Kanzlei

Ein Mandantenportal ist ein geschützter Online-Bereich, in dem die Kanzlei Dokumente freigibt, Mandantinnen und Mandanten Unterlagen hochladen und Verträge elektronisch unterzeichnen. Der Beitrag zeigt, was ein Portal leisten sollte, wie sich elektronische Signaturen rechtlich einordnen und woran Sie Angebote prüfen.

Wofür Kanzleien ein Mandantenportal einsetzen

• Freigabe einzelner Dokumente: Mandanten sehen nur, was die Kanzlei gezielt freigibt, nicht die ganze Akte.
• Upload durch Mandanten: Belege und Bescheide gehen geprüft in die Kanzlei und werden der Akte zugeordnet (siehe Dokumente und Volltextsuche).
• Benachrichtigung ohne Aktendetails: Eine E-Mail weist nur auf neue Inhalte im Portal hin, ohne Namen, Aktenzeichen oder Sachverhalt.
• Kanzleierscheinungsbild: Portal, Einladung, Passwort-Link und Anmeldecode tragen Logo, Farben und Angaben der Kanzlei.

Sicherheit im Portal

Prüfen Sie diese Bausteine; weitere Fragen behandelt der Beitrag zu Datenschutz, Berufsgeheimnis und Zugriffsrechten.

• Zweiter Faktor zusätzlich zum Passwort, mit Sperre oder Ratenbegrenzung nach Fehlversuchen.
• Einmaliger, befristeter Link für Einladung und Passwort-Wiederherstellung: Mandanten legen ihr Passwort selbst fest, die Kanzlei vergibt und versendet keines.
• Geräte und Sitzung: Geräte nur befristet als vertrauenswürdig merken, alle Geräte zentral abmelden, inaktive Sitzungen beenden.
• Rechte: Jeder Mandant sieht nur eigene Akten und freigegebene Dokumente – serverseitig erzwungen, nicht nur ausgeblendet.
• Upload-Prüfung: Positivliste zulässiger Dateitypen, Größengrenze, optional Virenscan.

E-Mail oder Portal

Berufsrechtlich ist ein Kommunikationsweg mit Risiken für die Vertraulichkeit erlaubt, wenn der Mandant zustimmt (§ 2 Abs. 2 der Berufsordnung, BORA). Von einer Zustimmung ist auszugehen, wenn er den Weg vorschlägt oder beginnt und ihn nach einem zumindest pauschalen Risikohinweis fortsetzt. Das Datenschutzrecht bleibt unberührt (§ 2 Abs. 5 BORA).

Die Orientierungshilfe der Datenschutzkonferenz (DSK) zur E-Mail (Fassung vom 27.05.2021) nennt bei normalem Risiko Transportverschlüsselung (TLS) als Mindestmaßnahme, bei hohem Risiko regelmäßig zusätzlich Ende-zu-Ende-Verschlüsselung (S/MIME oder OpenPGP). Lassen sich die Anforderungen nicht erfüllen, ist ein anderer Kanal zu wählen; ein Webportal nennt die DSK als möglichen Weg.

Nach einer Mitteilung der Bundesrechtsanwaltskammer (BRAK) zur Neufassung vom November 2022 verlangt die Aufsicht für Berufsgeheimnisträger keine pauschale Ende-zu-Ende-Verschlüsselung, sondern eine Risikoabschätzung vor dem Versand. Wie sich beide Fassungen zueinander verhalten, konnten wir nicht klären. Ob unverschlüsselte E-Mails unter der DSGVO überhaupt zulässig sind, blieb nach dem Anwaltsblatt des Deutschen Anwaltvereins (2019) offen. Mehr: beA, Posteingang und E-Mail.

Textform: Ist sie vorgeschrieben, muss die Erklärung auf einem dauerhaften Datenträger abgegeben werden (§ 126b BGB). Als Auslegungshilfe kommt eine EuGH-Entscheidung zu Mailboxen auf E-Banking-Websites in Betracht (C-375/15): Nutzer müssen Mitteilungen speichern und unverändert wiedergeben können, ohne dass der Anbieter sie einseitig ändern kann. Der Anbieter muss zudem von sich aus auf sie hinweisen, wenn Nutzer die Website dafür aufsuchen müssen. Ein Portal ohne Benachrichtigung und Download erfüllt die Textform danach nicht sicher.

Elektronische Signatur: drei Stufen

Die eIDAS-Verordnung (VO (EU) Nr. 910/2014 in der Fassung der VO (EU) 2024/1183) unterscheidet:

• Einfach: Daten, die anderen Daten beigefügt oder logisch mit ihnen verbunden sind und die der Unterzeichner zum Unterzeichnen verwendet (Art. 3 Nr. 10).
• Fortgeschritten: erfüllt Art. 26 – eindeutig dem Unterzeichner zugeordnet, Identifizierung möglich, Erstellung unter seiner alleinigen Kontrolle, nachträgliche Änderungen erkennbar.
• Qualifiziert (QES): fortgeschritten, erstellt mit einer qualifizierten Signaturerstellungseinheit und beruhend auf einem qualifizierten Zertifikat (Art. 3 Nr. 12), das ein qualifizierter Vertrauensdiensteanbieter ausstellt (Nr. 15).

Einer Signatur darf Rechtswirkung und Zulässigkeit als Beweismittel nicht allein abgesprochen werden, weil sie elektronisch oder nicht qualifiziert ist (Art. 25 Abs. 1). Die QES hat die gleiche Rechtswirkung wie die handschriftliche Unterschrift (Art. 25 Abs. 2) und ersetzt die gesetzliche Schriftform, soweit das Gesetz nichts anderes bestimmt (§ 126 Abs. 3, § 126a BGB). Wo das Gesetz Schriftform verlangt, genügen einfache und fortgeschrittene Signaturen nicht.

Für Dokumente mit QES gelten die Regeln zur Beweiskraft privater Urkunden entsprechend; der Anschein der Echtheit lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen (§ 371a Abs. 1 ZPO). Ohne QES würdigt das Gericht frei.

Welche Form brauchen Kanzleidokumente?

Dokument	Form	Fundstelle
Mandatsvertrag	Keine gesetzliche Formvorgabe für den Vertragsschluss. Bei Verbrauchern kann Fernabsatzrecht mit Widerrufsrecht gelten.	§§ 611, 675, § 312g BGB
Vergütungsvereinbarung	Textform, keine QES nötig. Sie muss bezeichnet, abgesetzt, nicht in der Vollmacht enthalten sein und einen Hinweis zur Kostenerstattung enthalten. Genügt sie Satz 1 oder 2 nicht, gilt nur die gesetzliche Vergütung.	§ 3a Abs. 1 Satz 1 bis 3, § 4b RVG
Prozessvollmacht	Schriftlich zu den Gerichtsakten. Seit 17.07.2024 darf der Bevollmächtigte die unterschriebene, eingescannte Vollmacht signiert übermitteln; nach der Gesetzesbegründung kann das Gericht bei Zweifeln das Original verlangen.	§ 80, § 88, § 130a Abs. 3 Satz 1, 3 ZPO
Schuldanerkenntnis des Mandanten	Schriftform; elektronische Form ausgeschlossen, auch mit QES.	§§ 780, 781 BGB

Die BRAK rät (Stand Juli 2024) wegen § 174 BGB zu Papieroriginalen. Ob eine im Portal einfach signierte Vollmacht genügt, sollten Sie klären lassen.

Prüfprotokoll, Prüfsummen und Siegel

Ein Prüfprotokoll hält fest, wer wann, von wo und mit welcher Bestätigung unterzeichnet hat. Prüfsummen (Hashwerte) zeigen, ob die Datei später verändert wurde. Beides unterstützt den Nachweis, ersetzt aber keine QES.

Ein elektronisches Siegel soll Ursprung und Unversehrtheit von Daten sicherstellen. Siegelersteller ist eine juristische Person (Art. 3 Nr. 24, 25 eIDAS). Ein Siegel ersetzt keine Unterschrift; die Gleichstellung mit der Handschrift gilt nur für die QES (Art. 25 Abs. 2). PAdES (ETSI EN 319 142-1) ist ein Standard für Signaturen in PDF-Dateien; er regelt das Format, nicht die Rechtswirkung.

Mandanteninformation und Datenschutz

Erhebt die Kanzlei bei Registrierung und Nutzung Daten, teilt sie den Mandanten zum Zeitpunkt der Erhebung unter anderem Zwecke, Rechtsgrundlage, Empfänger (etwa Hosting-Dienstleister), Speicherdauer und Betroffenenrechte mit (Art. 13 Abs. 1, 2 DSGVO). Erhält ein Dienstleister Zugang zu Mandatsgeheimnissen, gelten zusätzlich sorgfältige Auswahl und ein Vertrag in Textform mit Verschwiegenheitsverpflichtung (§ 43e BRAO).

Anforderungen im Überblick

Anforderung	Warum	Woran Sie es prüfen
Zweiter Faktor bei der Anmeldung	BSI: zweiter Faktor steigert die Sicherheit	Testkonto: Anmeldung ohne zweiten Faktor scheitert, auch nach Passwort-Zurücksetzung
Einmaliger, befristeter Link	Kein Passwort per E-Mail	Link zweimal öffnen, nach Ablauf erneut
Trennung nach Mandant	Fremde Akten bleiben unsichtbar	Zwei Testmandanten; Adressen fremder Dokumente aufrufen
Upload-Prüfung	Schutz vor Schadsoftware	Dateityp-Liste, Größengrenze, Virenscan; Testdatei
Signaturvorgang mit Protokoll	Nachweis des Ablaufs	Beispielvorgang: Zeitpunkt, Bestätigung, Prüfsumme

Häufige Fragen

Genügt eine einfache elektronische Signatur für einen Mandatsvertrag?

Für den Anwaltsvertrag enthalten §§ 611, 675 BGB keine Formvorgabe; er ist formfrei möglich. Eine einfache Signatur kann dann als Nachweis dienen, ersetzt aber keine gesetzlich vorgeschriebene Schriftform (§ 126a BGB). Für die Vergütungsvereinbarung genügt Textform (§ 3a RVG). Bei Verbrauchern kann ein Widerrufsrecht nach § 312g BGB bestehen.

Ist eine einfache Signatur rechtlich wirkungslos?

Nein. Art. 25 Abs. 1 eIDAS verbietet, einer Signatur Rechtswirkung und Zulässigkeit als Beweismittel allein deshalb abzusprechen, weil sie nicht qualifiziert ist. Die Gleichstellung mit der Handschrift gilt nur für die qualifizierte Signatur (QES, Art. 25 Abs. 2). Wo das Gesetz Schriftform verlangt, genügt eine einfache Signatur nicht (§ 126a BGB).

Darf ich Mandanten unverschlüsselt per E-Mail schreiben, wenn sie zustimmen?

Berufsrechtlich ja, wenn der Mandant dem Weg zustimmt (§ 2 Abs. 2 BORA). Das Datenschutzrecht bleibt unberührt (§ 2 Abs. 5 BORA). Nach der Orientierungshilfe der Datenschutzkonferenz (Fassung 2021) ist bei normalem Risiko Transportverschlüsselung die Mindestmaßnahme, bei hohem Risiko mehr. Nach einer BRAK-Mitteilung verlangt die Aufsicht zudem eine Risikoabschätzung vor dem Versand.

Rechtsgrundlagen und Quellen

• eIDAS-Verordnung, konsolidiert – Signaturstufen, Siegel
• § 126a BGB – elektronische Form
• § 126b BGB – Textform
• § 174 BGB – Vollmachtsurkunde
• § 371a ZPO – Beweiskraft
• § 3a RVG – Vergütungsvereinbarung
• BORA, Fassung vom 01.12.2025 – § 2, Kommunikationswege
• DSK-Orientierungshilfe E-Mail – Verschlüsselung
• DSGVO – Art. 13, 32
• BRAK-Mitteilung zur DSK-Orientierungshilfe, 11/2022 – Risikoabschätzung
• § 43e BRAO – Dienstleister
• § 31a BRAO – beA-Zugang
• BSI IT-Grundschutz-Kompendium, Edition 2023 – Baustein ORP.4
• EuGH, Urteil vom 25.01.2017 – C-375/15 – dauerhafter Datenträger
• ETSI EN 319 142-1 – PAdES

Weiterlesen

• Datenschutz, Berufsgeheimnis und Zugriffsrechte
• Dokumente, Vorlagen und Volltextsuche in der Kanzleisoftware
• beA, Posteingang und E-Mail in der Kanzleisoftware
• Kanzleisoftware im Vergleich