Bedrohungsmodell

Kasimir ist gegen drei konkrete Szenarien konstruiert. Für jedes benennen wir die Gegenmaßnahme und das verbleibende Risiko.

1.1 Datenabfluss an Modellanbieter

Das Szenario. Mandantendaten gelangen in den Trainingsdatensatz eines Modellanbieters oder verbleiben in dessen Protokollen. Die Kanzlei erfährt davon nichts und kann es nicht überprüfen.

Dieses Risiko ist strukturell und betrifft jedes Cloud-Produkt in diesem Markt. Der compliance-stärkste österreichische Cloud-Wettbewerber räumt in seiner eigenen Anlage zur ÖRAK-Checkliste ein, dass hochgeladene Dateiinhalte technisch bedingt unverschlüsselt an das Sprachmodell übermittelt werden müssen. Verschlüsselung im Ruhezustand hilft in dem Moment nicht mehr, in dem das Modell die Datei lesen muss. [Quelle: https://aissociate.at/oerak_ki_checkliste_2026_01.pdf, Stand: 25.07.2026]

Was Kasimir dagegen tut. Der gesamte Modellverkehr verlässt das System durch genau ein Modul. Direkte Aufrufe von Anbieter-SDKs sind durch eine Lint-Regel gesperrt, die durch einen Test erzwungen wird — ein Entwickler kann diesen Pfad nicht versehentlich umgehen. An dieser einen Stelle greift die PII-Redaktion (Abschnitt 3). Ein Wechsel des Generierungsanbieters ist deshalb eine Konfigurationsänderung an dieser einen Stelle. Die Verlagerung auf eigene Hardware setzt zusätzlich eine Serving-Schicht voraus, die wir heute nicht ausliefern; beim Einbettungsmodell kommt eine vollständige Neuindexierung des Bestands hinzu.

Was offen bleibt. Die Redaktion deckt den Modellpfad ab, nicht den Embedding-Pfad. Der Rohtext jedes indexierten Dokuments wird derzeit unredigiert an den Embedding-Dienst übertragen. Details in Abschnitt 2 und 3. Das ist die größte Lücke zwischen Architekturanspruch und heutigem Betrieb, und wir stellen sie deshalb an den Anfang.

1.2 Zugriff durch Dritte

Das Szenario. Nicht die Kanzlei wird durchsucht, sondern ein Dienstleister. Oder ein ausländisches Gericht ordnet an, was der Anbieter eigentlich gelöscht hätte.

Das ist kein theoretischer Fall. In NYT v. OpenAI ordnete ein US-Magistrate-Judge am 13.05.2025 an, sämtliche Ausgabeprotokolle aufzubewahren und zu separieren, die andernfalls gelöscht worden wären — ausdrücklich einschließlich von Nutzern gelöschter und temporärer Chats. Betroffen waren auch API-Kunden ohne Zero-Data-Retention-Vereinbarung. Der Anbieter kam der Anordnung ab Mitte Mai nach und informierte die Nutzer erst am 05.06.2025. Die Anordnung wurde im Oktober 2025 aufgehoben; bereits aufbewahrte Daten blieben aufbewahrt. Weder ein Vertrag noch eine EU-Region noch eine Löscheinstellung hat diese Kunden geschützt, weil der Anbieter der Gerichtsbarkeit unterlag. [Quelle: https://venturebeat.com/ai/sam-altman-calls-for-ai-privilege-as-openai-clarifies-court-order-to-retain-temporary-and-deleted-chatgpt-sessions, Stand: 25.07.2026]

Für österreichische Kanzleien kommt § 40 Abs 3 Z 3 RL-BA 2015 hinzu: Der externe Dienstleister muss vertraglich und nachweislich verpflichtet sein, die Anwältin oder den Anwalt im Fall einer Hausdurchsuchung unverzüglich zu informieren. [Quelle: https://www.oerak.at/fileadmin/user_upload/Gesetzestexte/RL-BA/RL-BA_2015_29092023.pdf, Stand: 25.07.2026]

Was Kasimir dagegen tut. Die Antwort hängt am Betriebsmodell und wir geben sie deshalb dort (Abschnitt 2). Im heutigen, von uns betriebenen Modell gibt es Dritte — Hetzner und Scaleway — und es gilt die volle Begründungslast nach § 43e BRAO beziehungsweise § 40 Abs 3 RL-BA. Im On-Premises-Modell gibt es keinen Dritten, der durchsucht werden könnte.

Cloud ist erlaubt, aber begründungspflichtig. On-Premises ist begründungsfrei. Wer Ihnen sagt, Cloud sei für Kanzleien rechtswidrig, irrt.

1.3 Unbelegte Aussagen im Schriftsatz

Das Szenario. Ein Modell erfindet eine Entscheidung, eine Fundstelle oder eine Randnummer. Der Schriftsatz geht hinaus. Die Sanktion trifft die Berufsträgerin, nicht das Werkzeug.

Auch das ist entschieden: OGH 07.10.2025, 14 Os 95/25i (Zurückweisung einer mit Fehlzitaten durchsetzten Nichtigkeitsbeschwerde); KG Berlin 20.11.2025, 17 WF 144/25; AG Köln, 312 F 130/25 (erfundene Urteile, fiktive Monografien und Kommentar-Randnummern). [Quelle: https://www.anwaltsblatt.at/artikel/zurueckweisung-einer-nichtigkeitsbeschwerde-wegen-ki-generierter-fehlzitate, Stand: 25.07.2026] [Quelle: https://www.datenschutzticker.de/2025/10/ag-koeln-anwalt-zitiert-ki-halluzinationen-vor-gericht/, Stand: 25.07.2026]

Was Kasimir dagegen tut. Das Ziel ist Überprüfbarkeit, nicht Fehlerfreiheit. Vier Mechanismen greifen ineinander:

1. Verweigerung vor der Generierung. Liefert die Suche nichts oder liegt die beste Bewertung unter dem Schwellenwert, gibt das System eine feste Absage aus und ruft das Modell gar nicht erst auf.
2. Bindung an die gefundenen Stellen. Die acht abgerufenen Passagen werden als [S1]…[S8] übergeben; der Systemprompt untersagt das Erfinden von Paragrafen, Aktenzahlen, Daten, Parteinamen und Beträgen und verlangt einen Beleganker an jeder Tatsachen- oder Rechtsaussage.
3. Zitatprüfung nach der Generierung. Jeder Anker, der auf keine reale Quelle zeigt, wird zu [?]; Aussagen, deren Anker sämtlich unbekannt sind, werden entfernt. Enthält die Antwort am Ende keinen einzigen gültigen Anker, wird sie vollständig verworfen und durch die Absage ersetzt.
4. Zweiter Modelldurchlauf. Ein Prüflauf bewertet jede Aussage gegen die zitierte Passage und kann Aussagen streichen oder die Antwort insgesamt zurückweisen.

Jede angezeigte Quelle ist ein realer indexierter Abschnitt eines realen Dokuments, mit Dokument, Seite und Abschnittsbezeichnung und aufklappbarem Kontext. Die Erkennung von Zitaten (§/Abs/Z/lit, OGH-, VwGH-, VfGH- und EuGH-Aktenzahlen, BGBl, ECLI, RIS-ELI-Adressen) erfolgt regelbasiert, niemals durch ein Modell.

Das verwandelt die von der BRAK geforderte eigenverantwortliche Endkontrolle aus einer unbegrenzten Nachrecherche in eine Prüfung entlang belegter Fundstellen. Es ersetzt sie nicht.

Was offen bleibt. Der Prüflauf ist ein Modell, das ein Modell bewertet. Er gleicht Antworttext gegen abgerufenen Quelltext ab — es gibt keine Abfrage einer Rechtsdatenbank, keine Prüfung des Inkrafttretens und keine Kenntnis von Aufhebungen. Im laufenden Chat werden die Tokens zuerst angezeigt und das Prüfergebnis danach als Hinweis nachgereicht. Die Grenzen im Detail stehen in Abschnitt 8.