IT- / Datenschutzrecht
Cybersecurity-Vertrag Pentest, SOC
anymize entfernt Mandanten-, Dienstleister- und System-Klarnamen, interne IP-Bereiche, Asset-Bezeichnungen und Personen-Daten der Meldeketten automatisch aus dem Cybersecurity-Vertrag, bevor er an GPT, Claude oder Gemini geht — und setzt sie nach der KI-Antwort wieder ein. So entwerfen oder prüfen Sie einen Pentest- oder SOC-Vertrag mit Haftungs-Cap, Meldeketten, Incident-Response-SLA, NIS2-Verzahnung und ISO-27001-Bezügen in Minuten, ohne § 43a BRAO oder § 203 StGB zu berühren.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Cybersecurity-Verträge — Penetration Tests, Security Operations Center (SOC), Managed Detection & Response — sind ein eigenes Vertragsfeld mit Anforderungen, die quer zu klassischen IT-Dienstleistungs-Verträgen liegen: Der Dienstleister bekommt Zugriff auf produktive Systeme und sensible Daten, gleichzeitig liegt die Haftung für Schäden während des Pentests im Graubereich; bei SOC-Konstellationen entsteht eine kontinuierliche Daten-Übermittlung mit Detektions-Logik; bei Incidents greifen Meldepflichten aus DSGVO Art. 33 und 34, aus NIS2 (DSU-Richtlinie) und ggf. aus sektoraler Regulierung (DORA, KRITIS) ineinander. Wer einen Cybersecurity-Vertrag manuell entwirft oder prüft, sitzt 90–180 Minuten am Vertragstext. Mit anymize geht der Vertragstext anonymisiert an ein Frontier-Modell — Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen und Personen-Daten der Meldeketten verlassen das Haus nicht. Die anwaltliche Würdigung — Haftungs-Strategie, Meldeketten-Architektur, NIS2-Anwendbarkeit und Konsistenz mit ISO 27001 — bleibt anwaltliche Eigenleistung.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- Fachanwält:in für IT-Recht; Fachanwält:in für Informationstechnologierecht mit Cybersecurity-Schwerpunkt; Inhouse-Counsel bei NIS2-pflichtiger Mandantschaft; externe:r Informations-Sicherheits-Beauftragte:r mit Vertrags-Beratungsmandat.
- Seniorität
- Berufserfahrung mittel bis Spezialist:in — Cybersecurity-Verträge sind technisch dicht und brauchen Verständnis für Pentest-Methoden (Black-Box / Grey-Box / White-Box, OSSTMM, OWASP, PTES), für SOC-Architektur (SIEM, EDR, XDR, MDR) und für die Meldepflicht-Architektur (DSGVO, NIS2, DORA, KRITIS). Bei NIS2-Anwendungsbereich der Mandantschaft den geübten Blick auf § 32 BSIG-NIS2-Umsetzung.
- Kanzleigröße
- Einzelkanzlei mit IT-Sicherheits-Schwerpunkt bis Großkanzlei mit Cybersecurity-/Regulierungs-Praxis. Der Effizienz-Hebel rechnet sich besonders bei Mandantschaft im NIS2-Anwendungsbereich, bei KRITIS-Betreiber:innen oder bei Mandantschaft mit mehreren parallelen Cybersecurity-Dienstleistungs-Verträgen.
- Spezifische Kontexte
- Mandantschaft beauftragt erstmalig einen Penetration Test und braucht Vertrags-Drafting mit Haftungs-Schutz; Aufbau eines Managed SOC mit kontinuierlicher Datenübermittlung und Detektions-Logik; Incident-Response-Retainer-Vertrag für den Krisenfall; Vertrags-Erneuerung mit Anpassung an NIS2-Umsetzung (BSIG seit 2025); Konzern-Sourcing mit zentraler Cybersecurity-Anbieter-Liste.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
Cybersecurity-Verträge sind anwaltlich anspruchsvoll, weil sie mehrere Konflikt-Linien gleichzeitig adressieren müssen: Der Dienstleister will Pentests mit weitem Scope und niedriger Haftungs-Grenze; die Mandantschaft braucht Haftungs-Schutz für Schäden durch den Test selbst, Klarheit über Meldeketten im Findings-Fall und Vorrang-Regeln gegenüber den eigenen Incident-Response-Prozessen. Bei SOC-Konstellationen kommt die kontinuierliche Datenübermittlung mit Detektions-Logik hinzu — die Frage nach AVV-Konstellation, Drittlandtransfer und DSGVO-Rechtsgrundlage stellt sich täglich. Mit NIS2 (umgesetzt in das BSIG seit 2025) und DORA sind Meldepflichten verschärft worden, die Vertraulichkeit gegenüber Aufsichtsbehörden und Strafverfolgung ist ein gesonderter Regelungsbereich. Wer einen solchen Vertrag manuell drafted oder prüft, sitzt 90–180 Minuten am Klausel-Vergleich. Wer ChatGPT oder Claude direkt nutzen würde, käme in Minuten zur Klausel-Matrix — verletzt aber § 43a BRAO und § 203 StGB, sobald Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen und Personen-Daten der Meldeketten das Haus verlassen. anymize löst genau diesen Konflikt: Klarnamen werden vor dem KI-Aufruf zu Platzhaltern; die KI-Antwort kommt strukturiert zurück, anymize re-identifiziert. Die Vertraulichkeit ist strukturell gewahrt.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Cybersecurity-Vertrag
~90 Min
Frontier-KI strukturiert Klausel-Matrix mit Scope-Analyse, Haftungs-Cap-Architektur, Meldeketten-Übersicht und NIS2-/ISO-27001-Konsistenz in unter 15 Minuten. Anwaltliche Würdigung der Haftungs-Strategie, Meldeketten-Architektur und Konsistenz-Bewertung kommen wie gewohnt obendrauf.
Mehrwert pro Vertrag
€ 375–675
Stundensatz IT-Recht (€ 250–450/h) angewandt auf 90 Minuten freigespielte Strukturierungs-Zeit.
Vertraulichkeit
strukturell
anymize entfernt 40+ Kategorien personenbezogener und geschäftsgeheimnis-relevanter Daten — Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen, Personen-Daten der Meldeketten, IBANs — bevor der Vertrag das Haus verlässt.
Erkennungsrate
>95 %
Dreifach geprüft (Algorithmus + zwei spezialisierte KI-Prüfungen). Restmenge kontrollieren Sie im Vorschau-Modus vor dem KI-Aufruf.
So gehen Sie vor
In 5 Schritten zum Antrag
Cybersecurity-Vertrag und Mandatskontext bereitstellen. Sie übernehmen den Vertrags-Entwurf (PDF, Word, Markdown) und ggf. die zugehörigen Anhänge (Scope-Liste, SLA, AVV, ISO-27001-Dokumentation) in den anymize-Arbeitsplatz. Klären Sie: Welcher Vertragstyp (Pentest einmalig, Pentest-Retainer, SOC, MDR, Incident-Response-Retainer)? Welcher Mandantschafts-Status (NIS2-essential, NIS2-important, KRITIS, DORA-pflichtig, kein Anwendungsbereich)? Welche Asset-Klasse betroffen (Produktiv-Systeme, Kunden-Daten, OT/ICS, Cloud-Konstrukt)?
Sie
Mandatsgrundlage · NIS2-/DORA-Anwendungsbereich
anymize anonymisiert automatisch. Über 40 Kategorien personenbezogener und geschäftsgeheimnis-relevanter Daten — Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen, Personen-Daten der Meldeketten (CISO, Datenschutzbeauftragte, Notfall-Hotline), IBANs, Vertretungsberechtigte — werden durch semantische Platzhalter ersetzt. Sie sehen die Vorschau vor dem KI-Aufruf. Bei Asset-Listen mit zehn oder mehr Einträgen empfehlen wir, einmal komplett zu prüfen.
anymize
§ 43a BRAO Verschwiegenheit · § 203 StGB · Geschäftsgeheimnis
Frontier-KI strukturiert. Der pseudonymisierte Cybersecurity-Vertrag geht an Ihr gewähltes Modell — GPT, Claude oder Gemini, alle in anymize verfügbar. Mit dem unten stehenden Prompt fragen Sie eine Klausel-Matrix mit den sieben Kern-Dimensionen ab: Scope und Methode, Haftungs-Cap und Ausnahmen, Meldeketten beim Findings-Fall, Incident-Response-SLA, NIS2-Verzahnung, ISO-27001-Bezüge und AVV-/Drittlandtransfer-Konstrukt. Die KI sieht keine Klarnamen — sie arbeitet ausschließlich mit den Platzhaltern.
GPT / Claude / Gemini in anymize
Klausel-Matrix in Minuten
anymize re-identifiziert. Die KI-Antwort kommt mit Platzhaltern zurück; anymize setzt automatisch die Originaldaten wieder ein. Sie erhalten eine Klausel-Matrix, die Sie anwaltlich würdigen: Scope-Reichweite und Methoden-Tauglichkeit, Haftungs-Cap-Akzeptanz im Lichte der NIS2-/DSGVO-Bußgeld-Risiken, Meldeketten-Konsistenz mit den eigenen Incident-Response-Prozessen, NIS2-/DORA-Anwendbarkeit und Folge-Pflichten, AVV-Konstellation.
anymize + Sie
Bidirektionale Anonymisierung · anwaltliche Würdigung
Mandanten-Empfehlung und Verhandlung. Sie schicken die Klausel-Matrix mit Mandanten-Empfehlung an die Mandantschaft. Bei Lücken: Empfehlung zur Scope-Konkretisierung (genaue IP-Bereiche und Out-of-Scope-Listen), zur Haftungs-Cap-Verhandlung (Ausnahmen bei DSGVO-Bußgeldern, bei meldepflichtigen Schäden, bei vorsätzlicher Schädigung), zur Meldeketten-Schärfung (Wer meldet wann an wen?), zur NIS2-/ISO-27001-Konsistenz-Klausel. Bei akuter Incident-Lage: Eskalations-Plan und Behörden-Kommunikations-Architektur abstimmen.
Sie
Anwaltliche Beratung im Mandatsverhältnis
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt 40+ Kategorien personenbezogener und geschäftsgeheimnis-relevanter Daten — Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen, Personen-Daten der Meldeketten, IBANs — mit über 95 % Erkennungsrate.
- Dreistufige Prüfung: Algorithmische Analyse, dann zwei spezialisierte KI-Prüfungen, die auch Kontext berücksichtigen (z. B. Hostname vs. Marke).
- Bidirektionale Anonymisierung: Platzhalter werden eingesetzt, das Frontier-Modell antwortet mit Kontext, anymize re-identifiziert beim Empfang.
- Daten in deutschen Rechenzentren (Hetzner). Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Was Sie als Anwält:in tun
- Vertragstyp und NIS2-/DORA-Anwendbarkeit klären — die Meldeketten-Architektur hängt davon ab.
- Vorschau der Anonymisierung sichten — bei Asset-Listen und IP-Bereichen besonders sorgfältig, da diese Geschäftsgeheimnis-relevant sind.
- Klausel-Matrix anwaltlich würdigen — die Haftungs-Cap-Strategie und die Meldeketten-Architektur leistet die KI bewusst nicht abschließend.
- Konsistenz-Prüfung mit AVV nach Art. 28 DSGVO, mit ISO-27001-Dokumentation der Mandantschaft und mit den eigenen Incident-Response-Prozessen.
- Mandanten-Empfehlung formulieren, Verhandlungs-Strategie für Scope, Haftungs-Cap und Meldeketten abstimmen, bei akuter Incident-Lage Behörden-Kommunikations-Plan vorbereiten.
Daten-Input
Cybersecurity-Vertrag (Pentest, SOC, MDR, Incident-Response-Retainer) als PDF/Word/Markdown, zugehöriger AVV nach Art. 28 DSGVO, Scope-Liste, SLA-Anhang, optional ISO-27001-Statement of Applicability und Incident-Response-Plan der Mandantschaft.
Output-Kontrolle
Pseudonymisierter Text geht an die KI. Re-identifizierte Klausel-Matrix kommt zurück. anymize selbst trifft keine inhaltlichen Aussagen — die Strukturierung leistet das Frontier-Modell, die Würdigung machen Sie.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Sichtung der Anonymisierung, anwaltliche Bewertung der Haftungs-Strategie und Meldeketten-Architektur, Mandanten-Beratung, Verhandlungs-Strategie — alles im üblichen Kanzlei-Workflow. anymize ist der Anonymisierungs-Layer, keine Workflow-Software.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Cybersecurity-Vertrag, AVV und Anhänge in anymize einfügen — die Anonymisierung läuft automatisch (Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen, Personen-Daten der Meldeketten werden zu Platzhaltern).
2. Diesen Prompt kopieren und an den Vertrag anhängen; AVV, Scope-Liste und SLA als weitere Blöcke daruntersetzen.
3. In anymize unter „Tools → Reasoning“ auf „Thinking-Modus“ stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
# Rolle
Du bist Vertragsanalyse-Assistenz fuer eine IT-/Cybersecurity-
Rechts-Kanzlei.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.
# Aufgabe
Pruefe den vorgelegten Cybersecurity-Vertrag (Penetration Test,
Security Operations Center, Managed Detection & Response oder
Incident-Response-Retainer) systematisch gegen
(1) Scope und Methode (OSSTMM, OWASP, PTES, NIST SP 800-115),
(2) Haftungs-Cap mit Ausnahmen-Architektur,
(3) Meldeketten beim Findings-/Incident-Fall,
(4) Incident-Response-SLA (Reaktionszeit, Eskalations-Pfad,
Wiederherstellungs-Frist),
(5) NIS2-Verzahnung (BSIG-Umsetzung seit 2025, Meldepflichten
24 h / 72 h / 1 Monat),
(6) ISO-27001-Bezuege (Annex A Kontrollen, Statement of
Applicability),
(7) AVV-Konstellation und Drittlandtransfer.
Liefere eine Klausel-Matrix mit Soll-Ist-Vergleich und einem
Verhandelbarkeits-Hinweis je Befund. Die anwaltliche Wertung —
Haftungs-Strategie, Meldeketten-Architektur, NIS2-/DORA-
Anwendungsbereich-Bewertung — ist NICHT deine Aufgabe.
# Inhalt
## Abschnitt 1 — Scope und Methode
Tabelle mit Spalten: Punkt | Klausel | Soll | Ist | Luecke?
Punkte:
- Scope-Definition (IP-Bereiche, Systeme, Anwendungen, OT/ICS)
- Out-of-Scope-Liste (Produktiv-DBs, kritische Notfall-Systeme)
- Methode (Black-Box / Grey-Box / White-Box; OSSTMM / OWASP / PTES)
- Zeitfenster (Geschaeftszeit, Wartungs-Fenster, 24/7)
- Schlachtordnung bei laufender Beobachtung durch das SOC der
Mandantschaft
- Reporting (Format, Schwere-Klassifikation, Re-Test)
## Abschnitt 2 — Haftungs-Cap und Ausnahmen
Tabelle mit Spalten: Anforderung | Klausel | Soll | Ist | Luecke?
Anforderungen:
- Cap-Hoehe absolut oder pro Schadensfall oder pro Vertragsjahr
- Ausnahme bei Vorsatz und grober Fahrlaessigkeit (zwingend)
- Ausnahme bei DSGVO-Bussgeldern (marktstandard)
- Ausnahme bei Schaeden aus dem Pentest selbst (kritisch bei
produktiven Systemen)
- Ausnahme bei Verletzung der Geheimhaltungspflicht
- Versicherungs-Nachweis des Dienstleisters
- Mitwirkungs-/Mitverschuldens-Klauseln
## Abschnitt 3 — Meldeketten beim Findings-/Incident-Fall
Tabelle mit Spalten: Stufe | Empfaenger | Frist | Klausel | Luecke?
Stufen:
- Kritische Finding (Sofort-Meldung an CISO / Hotline)
- Hohe Finding (innerhalb 24 h an CISO und Datenschutzbeauftragte)
- Mittlere/niedrige Finding (im Reporting-Zyklus)
- Datenpanne i. S. Art. 33 DSGVO (Meldung-Architektur)
- Sicherheits-Vorfall i. S. NIS2 / § 32 BSIG (24 h Erst-,
72 h Folge-, 1 Monat Abschluss-Meldung)
- DORA-Incident (Finanzsektor)
- Sektorspezifische Meldepflichten (KRITIS-Verordnung, ICS-
Richtlinie)
## Abschnitt 4 — Incident-Response-SLA
Tabelle mit Spalten: Metrik | Ziel | Messung | Eskalation | Folge
Metriken:
- Reaktionszeit nach Alarm-Schwere (S1: < 30 min, S2: < 4 h,
S3: < 1 Werktag)
- Wiederherstellungs-Frist (RTO)
- Forensik-Bereitschaft (Stunden bis Vor-Ort-Praesenz)
- Kommunikations-Frequenz waehrend Incident
- Eskalations-Pfad bei SLA-Verfehlung
## Abschnitt 5 — NIS2-Verzahnung
Tabelle mit Spalten: Anforderung | Klausel | Soll | Ist | Luecke?
Anforderungen:
- Klarheit, dass Mandantschaft NIS2-essential oder -important ist
(sofern zutreffend)
- Unterstuetzung bei NIS2-Meldungen (24 h / 72 h / 1 Monat)
- Vertraulichkeit gegenueber Behoerden-Anfragen geregelt
- NIS2-Geschaeftsleitungs-Pflichten (Schulung,
Risiko-Management) im Vertrag adressiert
- Subdienstleister-Architektur und NIS2-Lieferketten-Risiko
## Abschnitt 6 — ISO-27001-Bezuege
Tabelle mit Spalten: Annex-A-Kontrolle | Vertragsklausel | Soll | Ist
Bezuege:
- A.5.7 Threat Intelligence
- A.5.10 Acceptable Use
- A.5.23 Cloud Services
- A.6.3 Information Security Awareness
- A.8.7 Protection against Malware
- A.8.8 Management of Technical Vulnerabilities
- A.8.16 Monitoring Activities
- A.8.27 Secure Coding (falls relevant fuer Pentest-Inhalt)
- Statement of Applicability der Mandantschaft
## Abschnitt 7 — AVV und Drittlandtransfer
Tabelle mit Spalten: Anforderung | Klausel | Soll | Ist | Luecke?
Anforderungen:
- AVV nach Art. 28 DSGVO als Anlage
- Sub-Prozessor-Liste mit Drittlandtransfer-Markierung
- SCC-Modul-Verweis bei Drittland
- TIA-Verweis bei Drittland-Sub-Prozessor
- Loesch- und Rueckgabe-Pflicht am Vertragsende
## Abschnitt 8 — Verhandelbarkeits-Uebersicht
Tabelle mit Spalten: Luecke | Stufe | Verhandlungs-Hinweis
Stufen:
- [STANDARD] — typische Branchen-Luecke, regelmaessig verhandelbar
- [KRITISCH] — NIS2-/DSGVO-Pflichtverletzung oder Haftungs-Cap-
No-Go
- [ANWALT-PRUEFUNG] — anwaltliche Bewertung im konkreten Setup
erforderlich
# Format
Markdown. Tabellen fuer alle Abschnitte. Bei zitierten NIS2-Normen
immer mit BSIG-Paragraph (z. B. "§ 32 BSIG"); bei zitierten ISO-
Kontrollen mit Annex-A-Nummer.
# Verbote
KEINE abschliessende Aussage zur NIS2-/DORA-Anwendbarkeit ohne
Sachverhalts-Beleg.
KEINE Empfehlung zur Annahme / Verhandlung / Ablehnung.
KEINE Spekulation zur Vertrauenswuerdigkeit des Dienstleisters.
KEINE Aussage zur Marktueblichkeit von Haftungs-Cap-Hoehen ohne
Quellen-Beleg.
KEINE Bezugnahme auf KI-Modell-Versionen oder Hersteller-Marketing.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Vertragsparteien:
Dienstleister: [[Unternehmensname-3a7c]],
[[Adresse-3a7c]], vertreten durch [[Vorname-3a7c]] [[Nachname-3a7c]].
Auftraggeber (Mandant): [[Unternehmensname-8d2e]],
[[Adresse-8d2e]], vertreten durch [[Vorname-8d2e]] [[Nachname-8d2e]].
Leistungsgegenstand:
Penetration Test und Aufbau eines Managed SOC fuer die Produktiv-
Systeme [[Produktname-8d2e-01]], [[Produktname-8d2e-02]] und
die OT-Umgebung [[Produktname-8d2e-03]] am Standort
[[Adresse-8d2e-02]]. Methodik: Grey-Box gemaess OSSTMM 3 und
OWASP Testing Guide v4.
Auszug § 4 (Scope):
Im Pentest-Scope sind die Netzbereiche [[IP-Bereich-8d2e-01]]
und [[IP-Bereich-8d2e-02]]. Out-of-Scope sind die SAP-Produktiv-
Datenbank [[Hostname-8d2e-01]] und der OT-Notfall-Bus
[[Hostname-8d2e-02]]. Tests in der OT-Umgebung finden
ausschliesslich im Wartungs-Fenster Samstag 02:00–06:00 statt.
Auszug § 7 (Haftung):
Die Haftung des Dienstleisters ist auf den Betrag der fuer das
jeweilige Projekt vereinbarten Verguetung begrenzt, maximal
jedoch 250.000 Euro je Schadensfall. Diese Begrenzung gilt nicht
bei Vorsatz und grober Fahrlaessigkeit. Eine Versicherung mit
einer Deckungssumme von 5 Mio. Euro wird vom Dienstleister
unterhalten.
Auszug § 9 (Meldeketten):
Kritische Findings werden binnen vier Stunden an die Notfall-
Hotline [[Telefonnummer-8d2e]] und an die CISO-Adresse
[[Email-8d2e]] gemeldet. Hohe Findings im wochentlichen
Reporting. Eine Meldung an Aufsichtsbehoerden obliegt
ausschliesslich dem Auftraggeber.
Auszug § 11 (Incident-Response-SLA):
Reaktionszeit Schwere 1 (Totalausfall, akuter Daten-Diebstahl):
30 Minuten 24/7. Schwere 2 (signifikante Beeintraechtigung):
4 Stunden 24/7. Vor-Ort-Praesenz bei Schwere 1: binnen 8 Stunden.
Auszug § 14 (NIS2):
Der Dienstleister unterstuetzt den Auftraggeber bei der
Erfuellung seiner Pflichten nach NIS2 / BSIG, soweit dies aus
den vom Dienstleister erlangten Informationen erforderlich ist.
Anlage 3 (Sub-Prozessoren):
[[Unternehmensname-c4a9]] (Threat Intelligence, EU)
[[Unternehmensname-1f6b]] (Forensik-Sandbox, USA)
[[Unternehmensname-7e2d]] (SIEM-Hosting, EU)So liefert anymize zurück
Der Antrags-Entwurf
# Cybersecurity-Vertrag — Klausel-Matrix
## Abschnitt 1 — Scope und Methode
| Punkt | Klausel | Soll | Ist | Luecke? |
|---|---|---|---|---|
| Scope-Definition (IP-Bereiche) | § 4 | konkret | [[IP-Bereich-8d2e-01]] und [[IP-Bereich-8d2e-02]] | erfuellt |
| Out-of-Scope (kritische Notfall-Systeme) | § 4 | konkret | [[Hostname-8d2e-01]] und [[Hostname-8d2e-02]] | erfuellt |
| Methode | § Leistungsgegenstand | OSSTMM/OWASP/PTES | OSSTMM 3 und OWASP Testing Guide v4 | erfuellt |
| Zeitfenster (OT-Wartungs-Fenster) | § 4 | Pflicht bei OT | Samstag 02:00–06:00 | erfuellt |
| Schlachtordnung mit eigenem SOC | n. v. | empfohlen | nicht geregelt | [STANDARD] |
| Reporting-Format und Schwere-Klassifikation | § Leistungsgegenstand | konkret | nicht ersichtlich, ob Schwere-Klassifikation definiert | [STANDARD] |
| Re-Test nach Behebung | n. v. | empfehlenswert | nicht geregelt | [STANDARD] |
## Abschnitt 2 — Haftungs-Cap und Ausnahmen
| Anforderung | Klausel | Soll | Ist | Luecke? |
|---|---|---|---|---|
| Cap-Hoehe | § 7 | branchen-uebliche Spanne | 250.000 EUR je Schadensfall | erfuellt mit Reserve [STANDARD] |
| Ausnahme Vorsatz/grobe Fahrlaessigkeit | § 7 | zwingend | erfuellt | — |
| Ausnahme DSGVO-Bussgelder | § 7 | marktstandard | nicht erwaehnt | [KRITISCH] |
| Ausnahme meldepflichtige Datenpannen | § 7 | empfohlen | nicht erwaehnt | [KRITISCH] |
| Ausnahme Schaeden aus Pentest selbst | § 7 | empfohlen | nicht erwaehnt | [KRITISCH] — Pentest in Produktiv-Systemen |
| Ausnahme Verletzung Geheimhaltungs-Pflicht | § 7 | empfohlen | nicht erwaehnt | [STANDARD] |
| Versicherungs-Nachweis | § 7 | Pflicht | 5 Mio. EUR Deckungssumme | erfuellt |
| Mitwirkungs-Klausel | n. v. | empfohlen | nicht geregelt | [STANDARD] |
## Abschnitt 3 — Meldeketten
| Stufe | Empfaenger | Frist | Klausel | Luecke? |
|---|---|---|---|---|
| Kritische Finding | Hotline [[Telefonnummer-8d2e]] und CISO [[Email-8d2e]] | 4 h | § 9 | erfuellt |
| Hohe Finding | (woechentliches Reporting) | 7 Tage | § 9 | [STANDARD] — 24 h waere strenger |
| Mittlere/niedrige Finding | im Reporting-Zyklus | — | § 9 | erfuellt |
| Datenpanne Art. 33 DSGVO | obliegt Auftraggeber | — | § 9 | [PRUEFUNG] — Unterstuetzungs-Pflicht des Dienstleisters klaeren |
| NIS2-Vorfall (§ 32 BSIG, 24 h / 72 h / 1 Monat) | (in § 14 angedeutet) | 24 h Erst-Meldung | § 14 | [KRITISCH] — Unterstuetzung "soweit erforderlich" ist vage |
| DORA-Incident (falls anwendbar) | n. v. | — | n. v. | [PRUEFUNG] — Anwendbarkeit klaeren |
| KRITIS-/sektorale Meldepflicht | n. v. | — | n. v. | [PRUEFUNG] |
## Abschnitt 4 — Incident-Response-SLA
| Metrik | Ziel | Messung | Eskalation | Folge bei Verfehlung |
|---|---|---|---|---|
| Reaktionszeit S1 | 30 min 24/7 | nicht definiert (Stoppuhr ab welchem Trigger?) | nicht geregelt | nicht geregelt [STANDARD] |
| Reaktionszeit S2 | 4 h 24/7 | nicht definiert | nicht geregelt | nicht geregelt [STANDARD] |
| Vor-Ort-Praesenz S1 | 8 h | nicht definiert | nicht geregelt | nicht geregelt [STANDARD] |
| RTO | nicht spezifiziert | — | — | — [STANDARD] |
| Kommunikations-Frequenz waehrend Incident | nicht spezifiziert | — | — | — [STANDARD] |
| Sonder-Kuendigung bei SLA-Verfehlung | nicht geregelt | — | — | — [STANDARD] |
## Abschnitt 5 — NIS2-Verzahnung
| Anforderung | Klausel | Soll | Ist | Luecke? |
|---|---|---|---|---|
| Anwendungsbereich der Mandantschaft (NIS2-essential / -important / kein Anwendungsbereich) | n. v. | Sachverhalts-Klaerung | nicht ersichtlich | [PRUEFUNG] |
| Unterstuetzung NIS2-Meldungen | § 14 | konkret | "soweit erforderlich" — vage | [KRITISCH] — 24 h / 72 h / 1 Monat ausdruecklich verankern |
| Vertraulichkeit gegenueber Behoerden | n. v. | empfohlen | nicht geregelt | [STANDARD] |
| NIS2-Geschaeftsleitungs-Pflichten | n. v. | informativ | nicht geregelt | [STANDARD] |
| Sub-Dienstleister-Architektur und Lieferketten-Risiko | Anlage 3 | NIS2 Art. 21 Abs. 2 lit. d | Sub-Liste vorhanden | [PRUEFUNG] — Lieferketten-Sicherheits-Klausel pruefen |
## Abschnitt 6 — ISO-27001-Bezuege
| Annex-A-Kontrolle | Vertragsklausel | Soll | Ist |
|---|---|---|---|
| A.5.7 Threat Intelligence | Anlage 3 (Threat-Intel-Subprozessor) | im Vertrag adressiert | teilweise |
| A.5.23 Cloud Services | Anlage 3 ([[Unternehmensname-7e2d]] SIEM) | Konsistenz pruefen | [PRUEFUNG] |
| A.8.7 Protection against Malware | § Leistungsgegenstand | im SOC-Setup adressiert | teilweise |
| A.8.8 Vulnerability Management | § Leistungsgegenstand | Pentest-Bezug | erfuellt |
| A.8.16 Monitoring Activities | § 11 / SOC-Leistung | Pflicht | teilweise |
| Statement of Applicability der Mandantschaft | n. v. | Konsistenz | nicht im Vertrag | [PRUEFUNG] |
## Abschnitt 7 — AVV und Drittlandtransfer
| Anforderung | Klausel | Soll | Ist | Luecke? |
|---|---|---|---|---|
| AVV nach Art. 28 DSGVO | n. v. im Auszug | Pflicht | nicht ersichtlich | [PRUEFUNG] |
| Sub-Prozessor-Liste mit Drittland-Markierung | Anlage 3 | Pflicht | [[Unternehmensname-1f6b]] (USA) markiert | erfuellt |
| SCC-Modul-Verweis bei Drittland | n. v. im Auszug | Pflicht | nicht ersichtlich | [KRITISCH] |
| TIA-Verweis bei Drittland-Sub-Prozessor | n. v. im Auszug | Pflicht | nicht ersichtlich | [KRITISCH] |
| Loesch- und Rueckgabe-Pflicht am Vertragsende | n. v. im Auszug | Pflicht | nicht ersichtlich | [PRUEFUNG] |
## Abschnitt 8 — Verhandelbarkeits-Uebersicht
| Luecke | Stufe | Verhandlungs-Hinweis |
|---|---|---|
| Haftungs-Cap ohne Ausnahme DSGVO-Bussgelder | [KRITISCH] | Marktstandard fordert Ausnahme |
| Haftungs-Cap ohne Ausnahme meldepflichtige Datenpannen | [KRITISCH] | Marktstandard fordert Ausnahme |
| Haftungs-Cap ohne Ausnahme Pentest-Schaden | [KRITISCH] | bei produktiven Systemen unverzichtbar |
| NIS2-Unterstuetzung "soweit erforderlich" | [KRITISCH] | 24 h / 72 h / 1 Monat ausdruecklich verankern |
| Drittlandtransfer SCC-Modul nicht erwaehnt | [KRITISCH] | Pflicht — Klausel ergaenzen |
| Drittlandtransfer TIA nicht erwaehnt | [KRITISCH] | Pflicht — Klausel ergaenzen |
| Reporting-Format und Schwere-Klassifikation | [STANDARD] | konkret regeln |
| Re-Test nach Behebung | [STANDARD] | gaengig im Pentest-Markt |
| Sonder-Kuendigung bei SLA-Verfehlung | [STANDARD] | gaengig nach drei Monaten Verfehlung in Folge |
| SoA-Bezug der Mandantschaft im Vertrag | [PRUEFUNG] | ISO-27001-Konsistenz pruefen |
| DORA-Anwendbarkeit | [PRUEFUNG] | Finanzsektor-Status der Mandantschaft klaeren |
[ANWALT-PRUEFUNG: NIS2-Anwendungsbereich der Mandantschaft, DORA-
Status, Haftungs-Cap-Strategie und Meldeketten-Konsistenz mit den
eigenen Incident-Response-Prozessen erfolgen anwaltlich auf Basis
dieser Klausel-Matrix.]Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
§ 43a BRAO Verschwiegenheit
Cybersecurity-Verträge enthalten besonders sensible Mandanten-Internas: IP-Bereiche, Asset-Bezeichnungen, OT/ICS-Architektur, Notfall-Hotlines und CISO-Daten. anymize ersetzt 40+ Kategorien personenbezogener und geschäftsgeheimnis-relevanter Daten durch Platzhalter, bevor irgendein KI-Anbieter den Vertragstext sieht. Erkennungsrate über 95 %.
§ 43e BRAO Auftragsverarbeitung
Sie schließen einen AVV mit anymize ab. Datenverarbeitung ausschließlich in deutschen Rechenzentren (Hetzner). Originaldokumente speichern wir nicht — nur die Zuordnung Platzhalter ↔ Originaldaten, mit Aufbewahrungsfrist nach Ihrer Wahl. Eine Selbstreferenz für IT-Sicherheits-Kanzleien: Sie prüfen den Cybersecurity-Vertrag mit einem Werkzeug, das selbst nach § 43e BRAO ausgelegt ist.
§ 203 StGB Geheimnisschutz
Indem Mandantenname, Dienstleister-Identität, IP-Bereiche, Asset-Bezeichnungen und Personen-Daten der Meldeketten das Haus nicht verlassen, vermeiden Sie das Offenbarungsproblem grundsätzlich. Die anymize-Mitarbeitenden sind nach § 203 belehrt und sehen ohnehin nur die Zuordnungstabelle, nicht den Vertragstext.
Haftungs-Cap-Architektur bei Pentest in Produktiv-Systemen
Penetration Tests in Produktiv-Systemen tragen ein nicht eliminierbares Restrisiko, dass durch den Test selbst Schäden entstehen — Service-Ausfall, Datenkorruption, OT/ICS-Auslösung. Ein Haftungs-Cap ohne ausdrückliche Ausnahme für Schäden aus dem Pentest selbst ist daher kritisch. Marktstandard: Cap mit Ausnahme bei Vorsatz, grober Fahrlässigkeit, DSGVO-Bußgeldern und meldepflichtigen Datenpannen.
NIS2 / § 32 BSIG Meldepflichten
Die NIS2-Umsetzung im BSIG (in Kraft seit 2025) verlangt von essential und important entities eine 24-Stunden-Erst-Meldung, eine 72-Stunden-Folge-Meldung und eine 1-Monats-Abschluss-Meldung bei erheblichen Sicherheitsvorfällen. Cybersecurity-Dienstleister sind eine zentrale Informations-Quelle für diese Meldungen — die Unterstützungs-Pflicht im Vertrag muss daher konkret und mit Fristen versehen sein, nicht vage als „soweit erforderlich“.
DORA bei Finanzsektor-Mandantschaft
Bei Mandantschaft im Finanzsektor (Bank, Wertpapierfirma, Versicherer, IKT-Dritt-Dienstleister) greift DORA (VO 2022/2554) mit zusätzlichen Anforderungen an IKT-Dienstleistungs-Verträge, TIBER-Pentests und Incident-Reporting. Die KI markiert die Anwendbarkeits-Frage; die Bewertung ist anwaltlich.
Meldeketten-Konsistenz mit eigenen Incident-Response-Prozessen
Die Meldekette des Dienstleisters muss zur Incident-Response-Architektur der Mandantschaft passen: Wer ist Erstempfänger:in? Wer eskaliert an Geschäftsleitung, CISO, Datenschutzbeauftragte:n und externe Counsel? Wer hält die Behörden-Kommunikations-Hoheit? Wer macht die forensische Sicherung? In der Praxis ist das selten konsistent abgestimmt. Die KI strukturiert die Frage; die Konsistenz-Prüfung ist anwaltlich.
Drittlandtransfer bei Threat Intelligence und Sandbox-Forensik
SOC- und Incident-Response-Dienstleister nutzen häufig Threat-Intelligence-Feeds, Sandbox-Forensik und SIEM-Hosting in den USA oder weiteren Drittländern. Damit sind SCC-Module, TIA und ggf. EU-US-DPF-Status zu prüfen. Bei Incident-Daten (Logs, Datei-Hashes, ggf. Mandanten-IP-Bereiche) kann auch eine eigene Drittlandtransfer-Frage entstehen, selbst wenn der Hauptdienst in der EU erbracht wird.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die juristisch entscheidende Frage beim Cybersecurity-Vertrags-Review: Sieht der KI-Anbieter den Mandantennamen, die Dienstleister-Identität, die IP-Bereiche, die Asset-Bezeichnungen und die Personen-Daten der Meldeketten? Antwort mit anymize: nein. Mandanten- und Dienstleister-Klarnamen, Adressen, IP-Bereiche, Hostnamen, Telefonnummern und E-Mail-Adressen der Meldeketten werden vor dem KI-Aufruf durch Platzhalter ersetzt; nach der KI-Antwort identifiziert anymize zurück. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 43e BRAO ist Teil des Standardvertrags, Originaldokumente werden nicht gespeichert. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Mandatsvertrag); bei Cybersecurity-Verträgen mit Art.-9-Datenflüssen — etwa Gesundheits- oder Bestands-Daten in Produktiv-Systemen — zusätzlich Art. 9 Abs. 2 lit. f i.V.m. § 43a BRAO. Mandanten- und Dienstleister-Klarnamen werden aus dem KI-Kontext gehalten, was § 203 StGB strukturell entlastet. Die EDPB Opinion 28/2024 erkennt funktionale Anonymität gegenüber Cloud-Diensten an — anymize setzt diese funktionale Anonymität operativ um. Bei Cybersecurity-Vertragsdaten kommt der Geschäftsgeheimnis-Schutz nach GeschGehG hinzu; auch diese Daten werden von anymize erkannt und ersetzt.
Was anymize konkret leistet
- Erkennt Mandanten- und Dienstleister-Klarnamen, Adressen, IP-Bereiche, Asset-Bezeichnungen, Hostnamen, Telefonnummern und E-Mail-Adressen mit über 95 % Genauigkeit.
- Ersetzt sie durch semantische Platzhalter, bevor der Vertragstext an GPT, Claude oder Gemini geht.
- Re-identifiziert die KI-Antwort automatisch — Sie sehen die Klausel-Matrix mit den richtigen Klarnamen zurück.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO mit § 43e BRAO-Erklärung im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Vertragstyp geklärt (Pentest einmalig, Pentest-Retainer, SOC, MDR, Incident-Response-Retainer)?
- NIS2-Anwendungsbereich der Mandantschaft bestimmt (essential / important / kein Anwendungsbereich)?
- DORA-Anwendbarkeit (Finanzsektor) geklärt?
- Asset-Klasse (Produktiv-Systeme, Kunden-Daten, OT/ICS) klassifiziert?
- Anonymisierungs-Vorschau gesichtet — IP-Bereiche und Asset-Bezeichnungen vollständig?
Nach der KI-Antwort
- Re-Identifikation korrekt — alle Platzhalter zurückgesetzt?
- Klausel-Matrix vollständig — alle acht Abschnitte abgedeckt?
- Haftungs-Cap-Ausnahmen anwaltlich geprüft (DSGVO-Bußgelder, Datenpannen, Pentest-Schäden)?
- NIS2-Meldepflicht-Unterstützung konkret geregelt — nicht bloß als „soweit erforderlich“?
- Drittlandtransfer-Konstrukt (SCC, TIA) bei Sub-Prozessoren abgearbeitet?
Vor der Mandanten-Empfehlung
- Haftungs-Strategie anwaltlich verantwortet (Cap-Höhe, Ausnahmen)?
- Meldeketten-Konsistenz mit eigenem Incident-Response-Prozess geprüft?
- ISO-27001-Statement-of-Applicability-Konsistenz dokumentiert?
- Bei akuter Incident-Lage: Eskalations-Plan und Behörden-Kommunikations-Architektur abgestimmt?
- Folge-Mandate identifiziert (AVV-Review, TIA, NIS2-Beratung, DORA-Compliance)?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI gibt abschließende NIS2-/DORA-Anwendbarkeits-Bewertung ab — der Prompt verbietet das, prüfen Sie die Markierung.
- →KI behauptet, eine 24-h-NIS2-Meldepflicht-Unterstützung sei „soweit erforderlich“ ausreichend — sie ist es nicht.
- →KI verwechselt DSGVO Art. 33 (Datenpanne, 72 h) und § 32 BSIG (NIS2-Vorfall, 24 h / 72 h / 1 Monat) — beide gelten parallel mit unterschiedlichen Fristen.
- →KI bewertet Haftungs-Cap-Höhe als „marktüblich“ ohne Quellen-Beleg — bei Pentest in Produktiv-Systemen ist der ökonomische Kontext entscheidend.
- →KI vergisst die Konsistenz-Prüfung Hauptvertrag/AVV — die Sub-Prozessor-Liste muss synchron sein.
- →KI behandelt OT/ICS wie klassische IT — die Risiko-Architektur und Wartungs-Fenster sind grundlegend anders.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen
- Network and Information Security Directive 2
- Bundesamt-für-Sicherheit-in-der-Informationstechnik-Gesetz
- Digital Operational Resilience Act für Finanzsektor
- Sicherheit der Verarbeitung — TOMs
- Meldepflicht bei Datenpannen
- Benachrichtigung der betroffenen Person
- Auftragsverarbeitung
- Drittlandtransfer
- Kritische-Infrastrukturen-Verordnung
Berufsrechtliche Grundlagen
- Anwaltliche Verschwiegenheit
- Auftragsverarbeitung und IT-Auslagerung
- Verletzung von Privatgeheimnissen
- Geschäftsgeheimnis-Schutz
Sekundärquellen
- Informations-Sicherheits-Management-Systeme
- Annex-A-Kontrollen (93 Kontrollen)
- Open Source Security Testing Methodology Manual
- Web Application Penetration Testing
- Technical Guide to Information Security Testing
- Penetration Testing Execution Standard
- BSI-Leitfaden zur Durchführung von Pentests
- AI-/Modell-Verarbeitung und funktionale Anonymität
- Mandantentransparenz und KI-Einsatz
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.