Warum §97 StPO dich seltener schützt als du denkst, und was die Architektur deines Geräts damit zu tun hat
⚖️ Dieser Beitrag stellt keine Rechtsberatung dar. Er fasst öffentlich zugängliche Quellen zusammen und ordnet sie für die berufliche Praxis ein. Im konkreten Einzelfall wende dich an eine Fachanwältin oder einen Fachanwalt für Strafrecht oder IT-Recht.
Auf einen Blick
Worum es geht. Wenn dein Smartphone in fremde Hände gerät, schützt dich das Beschlagnahmeverbot des §97 StPO nicht so umfassend, wie viele denken. Bundesverfassungsgericht und Praxis haben den Schutzkreis enger gezogen als der Gesetzeswortlaut nahelegt. Was rechtlich nicht mehr greift, muss technisch greifen. Sonst stehst du mit deiner Verschwiegenheitspflicht aus §203 StGB und mit der DSGVO-Pflicht zu technisch-organisatorischen Maßnahmen allein da.
Was du mitnimmst.
- Warum dein Smartphone heute der unterschätzte Schwachpunkt deiner Verschwiegenheitspflicht ist.
- Was §97 StPO wirklich schützt und an welchen Stellen die Rechtsprechung dich im Stich lässt.
- Wie eine konkrete Migration von einem Standard-Smartphone zu einem gehärteten Pixel mit GrapheneOS abläuft, vom ersten Gedanken bis zur laufenden Praxis.
Zeit bis zur ersten umsetzbaren Erkenntnis: 8 Minuten.
Ein Mittwochmorgen in einer Strafverteidiger-Kanzlei
Stell dir vor, du bist Strafverteidigerin in einer mittelgroßen Kanzlei in München. Ein Dienstagabend, du arbeitest noch an einem Schriftsatz, dein Mandant ist in einem Verfahren wegen Steuerhinterziehung beschuldigt, du vertrittst ihn seit zwei Jahren. Mittwoch früh um sieben Uhr klingelt es an deiner Bürotür. Drei Beamte der Steuerfahndung stehen vor dir, ein Durchsuchungsbeschluss in der Hand. Verfahren: nicht gegen deinen Mandanten, sondern gegen dich. Verdacht der Beihilfe zur Steuerhinterziehung.
Du wirst diesen Vorwurf später zerschlagen, weil er auf einer Verwechslung beruht. Aber heute, jetzt, in diesem Moment, geht es nicht um Verwechslungen. Die Beamten nehmen alles mit, was ihnen relevant erscheint. Deinen Laptop, deine Akten, deinen Schreibtischcomputer. Und dein Smartphone, das gerade auf dem Schreibtisch liegt, entsperrt, weil du eben noch eine Mail an einen anderen Mandanten geschrieben hattest.
Auf dem Smartphone sind die Mails der letzten acht Jahre. Achtzig aktive Mandate, dreihundert abgeschlossene. Kalendereinträge mit Klientennamen, Sprachmemos aus Verhandlungspausen, Fotos von Akten, die du nachmittags noch lesen wolltest. Und es ist nicht durch eine PIN gesperrt, weil du es vor zwanzig Sekunden noch in der Hand hattest. Die Beamten stecken es in einen Faraday-Beutel und nehmen es mit.
Du wirst in den nächsten Wochen erleben, dass dich §97 StPO in diesem konkreten Fall nicht schützt. Weil du selbst beschuldigt bist, gilt das Beschlagnahmeverbot nicht. Du wirst auch erleben, dass alle achtzig aktiven Mandate, deren Daten auf dem Gerät lagen, von der Forensik des Bundeszentralamts für Steuern ausgelesen wurden. Du wirst in achtzig Telefonaten mit deinen Mandanten erklären müssen, was da passiert ist. Du wirst Anzeigen wegen §203 StGB von vereinzelten Mandanten erhalten. Deine Berufshaftpflicht-Versicherung wird Fragen stellen. Die Rechtsanwaltskammer wird eine Aufsichtsmaßnahme prüfen.
Das ist kein konstruiertes Schreckensszenario. Es ist die Lage, die dieser Artikel beschreibt. Sie tritt nicht jeden Tag ein. Aber sie tritt häufiger ein, als die meisten Berufsgeheimnisträger denken. Und sie hängt entscheidend davon ab, wie dein Smartphone gebaut ist.
🟢 Orientierung: drei Pflichten, ein Schutz, ein Smartphone
Bevor wir in die Praxis gehen, brauchen wir einen klaren Blick auf die rechtliche Lage. Die meisten Berufsgeheimnisträger kennen §203 StGB und meinen damit, das Wesentliche zu wissen. Tatsächlich treffen vier Normen gleichzeitig auf dein Smartphone zu, drei davon legen dir Pflichten auf, nur eine schützt dich.
§203 StGB: deine eigene Strafbarkeit
Der §203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Wer als Berufsgeheimnisträger ein fremdes Geheimnis unbefugt offenbart, riskiert bis zu einem Jahr Freiheitsstrafe oder eine Geldstrafe. Erfasst sind unter anderem Anwälte, Notare, Ärzte, Steuerberater, Wirtschaftsprüfer und Psychotherapeuten.
Zwei Punkte werden hier oft unterschätzt. Erstens: „Offenbaren“ heißt nicht nur aktives Weitergeben, sondern auch Zulassen. Wer technisch keine vernünftigen Vorkehrungen trifft und dadurch Dritten den Zugriff auf Berufsgeheimnisse ermöglicht, kann nach Meinung der Fachliteratur den Tatbestand des Offenbarens erfüllen. Zweitens: nach der Reform 2017 ist Outsourcing an externe Dienstleister wie Cloud-Anbieter zwar erlaubt, aber an Bedingungen geknüpft. Ein guter Überblick zur Reform findet sich im Beitrag von Niko Härting in der Legal Tribune Online und im KriPoZ-Beitrag zur IT-Compliance.
DSGVO Art. 32: die Pflicht zur Technik
Parallel zu §203 StGB greift die DSGVO mit Art. 32. Diese Norm verpflichtet dich als Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen. Der Maßstab dafür ist der „Stand der Technik“. Verschlüsselung wird im Wortlaut der Norm ausdrücklich genannt.
Das ist eine Pflicht mit Zähnen. Bei Verstoß drohen Bußgelder bis zu zwanzig Millionen Euro oder vier Prozent des Jahresumsatzes, je nachdem was höher ist. Bei einer Kanzlei oder Praxis ist das selten der Maximalbetrag, aber sechsstellig kann es leicht werden, wie die Bußgeld-Praxis der Landesdatenschutzbehörden in den letzten Jahren zeigt.
Was „Stand der Technik“ konkret heißt, ist eine bewegliche Norm. 2015 war ein PIN-gesperrtes iPhone möglicherweise ausreichend. 2026, nach dem Cellebrite-Leak vom Oktober 2025, ist das Standard-iPhone nicht mehr unkompliziert als „stand-der-technik-konform“ zu verteidigen. Wer als Berufsgeheimnisträger heute auf die Frage einer Aufsichtsbehörde antworten muss, warum er Mandantendaten auf einem Standard-iPhone speichert, hat eine schwierigere Position als noch vor wenigen Jahren.
§97 StPO: das Beschlagnahmeverbot mit den engen Grenzen
Jetzt zur einzigen Schutznorm im Pflichtenkreis. Der §97 StPO regelt das Beschlagnahmeverbot. Vereinfacht: schriftliche Mitteilungen, Aufzeichnungen und Gegenstände, die einem Berufsgeheimnisträger im Rahmen seiner Tätigkeit anvertraut wurden, dürfen nicht beschlagnahmt werden. Die Norm ist die prozessuale Rückseite des Zeugnisverweigerungsrechts aus §53 StPO.
Das klingt erstmal beruhigend. Das Problem liegt im Kleingedruckten und in der Rechtsprechung dazu. Die zentrale Einschränkung lautet: §97 Abs. 1 StPO schützt nur das Vertrauensverhältnis zwischen Berufsgeheimnisträger und einem Beschuldigten. Wenn dein Mandant kein Beschuldigter ist, schützt dich die Norm nicht. Wenn du selbst beschuldigt bist, schützt sie dich erst recht nicht.
Das Bundesverfassungsgericht hat das in mehreren Entscheidungen bestätigt. In der Entscheidung 2 BvR 2016/06 heißt es sinngemäß: Die Annahme der Fachgerichte, die Beziehung eines Nichtbeschuldigten zu einem Berufsgeheimnisträger unterliege nicht der Schutznorm des §97 Abs. 1 StPO, begegne keinen verfassungsrechtlichen Bedenken. Übersetzt: das ist nun mal so, da ändern wir nichts dran.
Praktisch bedeutet das: wenn dein Mandant noch nicht in einem Strafverfahren beschuldigt ist, kannst du dich nicht auf §97 StPO berufen. Eine Anwaltskanzlei, die für ein Unternehmen Compliance-Untersuchungen durchführt, kann beschlagnahmt werden, selbst wenn das Unternehmen selbst nicht in einem Strafverfahren steht. Das ist der Kern des Jones-Day-Falls aus dem VW-Komplex, der die deutsche Anwaltschaft 2017 in Aufruhr versetzte. Volkswagen war selbst nicht Beschuldigte, sondern hatte die Kanzlei mit interner Aufklärung beauftragt. Die Beschlagnahme der Kanzlei-Unterlagen durch die Staatsanwaltschaft München war zulässig, sagte das Bundesverfassungsgericht. §97 StPO half nicht.
Das Berufsrecht: Verschwiegenheitspflicht aus eigener Quelle
Über §203 StGB hinaus gilt für die meisten Berufsgeheimnisträger noch das eigene Berufsrecht. Anwälte haben §43a BRAO und §2 BORA. Ärzte haben §9 der Musterberufsordnung. Steuerberater haben §57 StBerG. Diese Normen sind in der Regel breiter als §203 StGB und werden durch die jeweilige Kammer durchgesetzt. Eine Verletzung kann zu Kammerverfahren bis hin zum Ausschluss aus dem Berufsstand führen, unabhängig von einer strafrechtlichen Verurteilung.
🟡 Praxis: vier Szenarien, in denen dein Smartphone ausgelesen wird
So weit die graue Theorie. Jetzt zu den konkreten Lagen, in denen dein Smartphone in fremde Hände geraten kann, und zu der Frage, was die rechtliche Lage in jedem dieser Fälle für dich tut.
Szenario 1: dein Mandant ist Beschuldigter
Das ist die einzige Konstellation, in der §97 StPO ohne Einschränkung greift. Dein Mandant steht in einem Strafverfahren, du vertrittst ihn, deine Kommunikation mit ihm ist beschlagnahmefrei. Wenn die Staatsanwaltschaft im Verfahren gegen deinen Mandanten bei dir eine Durchsuchung anstrebt, kannst du dich auf das Beschlagnahmeverbot berufen.
Aber Achtung: das gilt nur für Unterlagen, die diesen konkreten Mandanten betreffen. Andere Mandate, die zufällig auf demselben Smartphone liegen, sind durch §97 nicht geschützt. Wenn deine Mail-App acht Jahre alte Korrespondenz mit anderen, nicht-beschuldigten Mandanten enthält, dürfen die Beamten das mitnehmen. Theoretisch sollen sie aussortieren, praktisch ist die Erfahrung der Strafverteidiger-Szene: was einmal in der Forensik-Datenbank liegt, lebt dort sein eigenes Leben.
Szenario 2: dein Mandant ist nicht Beschuldigter
Das ist die Lage, die viele unterschätzen. Dein Mandant ist ein Unternehmen, das eine Compliance-Untersuchung beauftragt. Du recherchierst monatelang interne Vorgänge, sammelst sensibelste Informationen über Mitarbeiter, Geschäftspartner, Geldströme. Dann beginnt eine Staatsanwaltschaft ein Verfahren gegen einen einzelnen Mitarbeiter dieses Unternehmens. Das Unternehmen selbst ist nicht beschuldigt. Die Staatsanwaltschaft will Einblick in deine Compliance-Unterlagen.
§97 StPO schützt dich hier nicht. Das Vertrauensverhältnis besteht nicht zwischen dir und einem Beschuldigten, sondern zwischen dir und einem Nichtbeschuldigten. Eine Beschlagnahme deines Smartphones, deines Laptops, deines Server-Backups ist rechtlich zulässig.
Auch Ärzte können in diese Lage geraten. Wenn dein Patient nicht selbst Beschuldigter ist, sondern ein Familienmitglied, ein Arbeitgeber, eine Versicherung, und es kommt zu einem Verfahren in deren Sphäre, kann deine Patientenakte zum Beweismittel werden.
Szenario 3: du bist selbst Beschuldigter
Hier wird es persönlich. Sobald du selbst beschuldigt bist, sei es wegen Berufsausübung-bezogener Vorwürfe (Beihilfe, Geldwäsche, Steuerverkürzung) oder wegen ganz anderer Sachverhalte (fahrlässige Körperverletzung im Straßenverkehr, Familienstreit, was auch immer), schützt §97 StPO dich nicht. Die Norm ist konstruiert, um deine Mandanten zu schützen, nicht dich selbst.
Praktisch heißt das: jede Hausdurchsuchung gegen dich persönlich, aus welchem Grund auch immer, ermöglicht den Zugriff auf dein Berufsgeheimnis-Smartphone. Die Tatsache, dass dort auch Mandantendaten liegen, ändert daran rechtlich erstmal nichts. Du musst dann im Nachhinein versuchen, die Verwertung der so erlangten Daten zu verhindern, aber die Forensik hat sie inzwischen.
Szenario 4: Verlust, Diebstahl, Grenzkontrolle
Das vierte Szenario ist das mit der breitesten Häufigkeit und der schwächsten rechtlichen Schutzlage. Smartphones gehen verloren. Sie werden gestohlen. Sie werden am Flughafen einbehalten. In autoritären Ländern werden sie an der Grenze entriegelt verlangt. In keinem dieser Fälle hilft dir §97 StPO, weil keine deutsche Ermittlungsbehörde involviert ist.
Wer als Anwältin zu Mandanten ins Ausland fliegt, wer als Notar Verträge in einem anderen Land beurkundet, wer als Arzt zu internationalen Konferenzen reist, ist in dieser Lage. Und dann sind §203 StGB und DSGVO Art. 32 die einzigen Normen, die noch wirken, und beide legen dir Pflichten auf, sie schützen dich nicht.
Die strukturelle Erkenntnis
Drei von vier typischen Szenarien fallen nicht unter den Schutz von §97 StPO. In allen vier Szenarien giltst aber deine Verschwiegenheitspflicht aus §203 StGB und §43a BRAO. Das ist die zentrale strukturelle Erkenntnis dieses Artikels. Wo das Recht nicht mehr schützt, schützt nur noch die Architektur deines Geräts.
Genau hier kommt GrapheneOS ins Spiel.
🟡 Praxis: was ein gehärtetes Smartphone konkret leistet
Im GrapheneOS-Geschichtsartikel auf fleet-data.de haben wir nachgezeichnet, woher dieses Betriebssystem kommt und worauf es technisch steht. Hier geht es um die andere Seite der Medaille: was ein Pixel mit GrapheneOS in den vier eben beschriebenen Szenarien konkret tut.
Daten in der App-Sandbox
GrapheneOS isoliert jede App in einer eigenen Sandbox. Wenn die Forensik dein entsperrtes Gerät bekommt und versucht, mit einem speziellen Tool die Daten auszulesen, sieht sie eine App-Landschaft, in der die Apps nicht aufeinander zugreifen können. Eine ausgelesene Mail-App gibt ihre eigenen Mails preis, aber nicht die Daten der Kanzleisoftware nebenan, nicht den Inhalt von Signal-Chats, nicht die Sprachmemos.
Das ist auf einem Standard-iPhone und auf Standard-Android nicht so. Dort gibt es zwar auch Sandboxes, aber sie sind weicher und werden durch die jeweilige Hersteller-Cloud-Integration regelmäßig durchbrochen. Eine Forensik-Lösung wie Cellebrite extrahiert aus einem AFU-Gerät (after first unlock, also nach erster Entsperrung seit dem letzten Neustart) deutlich mehr Daten, als die App-Architektur eigentlich freigeben sollte.
Der Auto-Reboot
GrapheneOS hat ein Feature namens Auto-Reboot. Du kannst einstellen, dass das Gerät sich nach einer bestimmten Zeit ohne Entsperrung von selbst neu startet. Standardmäßig sind 18 Stunden eingestellt, du kannst es auf 10 Minuten verkürzen. Nach dem Neustart befindet sich das Gerät im BFU-Zustand (before first unlock). In diesem Zustand sind die kryptografischen Schlüssel nicht im Arbeitsspeicher. Die Daten sind verschlüsselt auf dem Flash-Speicher, aber nichts ist entschlüsselt.
Das ist der Zustand, in dem das Gerät den maximalen Widerstand gegen Forensik leistet. Cellebrite hat in der geleakten Matrix vom Oktober 2025 für Pixel 9 mit GrapheneOS im BFU-Zustand „no access“ eingetragen. Kein Zugriff. Wenn dein Gerät beschlagnahmt wird und du es nicht in den nächsten Stunden entsperrst (was du in der Untersuchungshaft sowieso nicht kannst), bleibt es im BFU-Zustand. Die Forensik kommt nicht rein.
Die Duress-PIN
GrapheneOS bietet eine zweite PIN, die „Duress-PIN“ oder „Notfall-PIN“. Wenn du diese eingibst, anstatt deine normale PIN, löscht das Gerät sich selbst. Innerhalb von Sekunden. Restlos.
Das ist ein Werkzeug für Lagen, in denen du physisch gezwungen wirst, das Gerät zu entsperren. Grenzkontrolle in einem autoritären Land. Überfall. Eine Situation, in der du nicht „nein“ sagen kannst. Du gibst die Duress-PIN ein, das Gerät startet wieder und ist leer. Die Person, die dich gezwungen hat, sieht ein leeres Smartphone, du hast deine Pflicht aus §203 StGB erfüllt.
In Deutschland gilt: du musst keiner Behörde deine PIN nennen. §136 StPO Abs. 1 Satz 2 räumt dir das Schweigerecht ein. In anderen Ländern, etwa Großbritannien (RIPA, Section 49), kann es Strafen für die Verweigerung geben. Wer dorthin reist, ist mit einer Duress-PIN sicherer aufgestellt als ohne.
Separate Profile
GrapheneOS unterstützt vollständig separate Benutzerprofile auf einem Gerät. Jedes Profil hat eigene Apps, eigene Daten, eigene Verschlüsselung. Wer auf eine Recherchereise oder zu einer sensiblen Mandantenverhandlung im Ausland reist, kann ein Reise-Profil einrichten, das nur die nötigsten Apps enthält. Das Hauptprofil mit allen Mandanten- oder Patientendaten bleibt zu Hause, im verschlüsselten BFU-Zustand. Selbst wenn das Reise-Profil entsperrt wird, sind die Daten des Hauptprofils nicht zugänglich.
🟡 Praxis: die Migration für eine Kanzlei oder Praxis
Theorie und Architektur sind das eine. Eine reale Migration in einem Kanzlei- oder Praxisbetrieb das andere. Hier ein konkreter Fahrplan, der sich an dem orientiert, was ich in der Beratung von Kanzleien und Praxen in den letzten Monaten gesehen habe.
Schritt 1: Bestandsaufnahme
Bevor du irgendetwas kaufst, schau dir an, was du heute auf deinem Smartphone hast. Welche Apps sind beruflich relevant? Welche Konten sind eingerichtet? Welche Zwei-Faktor-Verfahren laufen über das Gerät? Welche Zertifikate sind installiert (beA für Anwälte, beSt für Steuerberater, eGK-Funktionen für Ärzte)?
Diese Liste brauchst du, um in Schritt 4 nichts zu vergessen. Schreib sie auf, lieber zu detailliert als zu knapp. Plane dafür zwei Stunden, in Ruhe.
Schritt 2: das richtige Pixel beschaffen
Empfohlene Modelle, Stand Mai 2026: Pixel 8a (etwa 390 Euro, die günstigste vollwertige Variante), Pixel 9 (etwa 700 Euro, die Standard-Wahl), Pixel 9 Pro (etwa 1.000 Euro, mit mehr Speicher und besserer Kamera). Alle drei werden mit mindestens sieben Jahren Software-Update-Garantie verkauft.
Wichtig: kaufe die unentriegelte Version direkt bei Google oder bei einem Händler, nicht über einen Mobilfunkanbieter. Über Vertrags-Modelle gehen oft Bootloader-Beschränkungen einher, die die Installation von GrapheneOS erschweren oder unmöglich machen.
Schritt 3: GrapheneOS installieren
GrapheneOS bietet einen Web-basierten Installer, der über einen Chrome- oder Edge-Browser läuft. Du brauchst ein USB-Kabel, dein neues Pixel und etwa zwanzig Minuten. Der Ablauf:
Bootloader entsperren, das offizielle GrapheneOS-Image herunterladen, das Image flashen, den Bootloader wieder verriegeln. Das alles macht der Web-Installer für dich, du klickst dich durch einen Assistenten.
Wenn du dich damit nicht wohl fühlst, lass es einen IT-Dienstleister machen. Es ist ein einmaliger Vorgang, der gut delegierbar ist. In Beratungs-Kontexten plane ich dafür mit Mandantinnen üblicherweise einen Vor-Ort-Termin von einer Stunde.
Schritt 4: Daten und Apps migrieren
Jetzt richtest du deine Apps neu ein. Das ist der zeitaufwändigste Teil, weil viele Zugänge neu authentifiziert werden müssen. Drei bis vier Stunden sind realistisch. Die wichtigsten Bausteine:
Sandboxed Google Play installieren (das ist die Variante des Play Stores, die GrapheneOS sicher in einer Sandbox laufen lässt). Mail-Konten neu einrichten. WhatsApp, Signal, Threema oder andere sichere Messenger neu registrieren. beA-Software oder beSt-Software installieren. Zwei-Faktor-Authenticator neu aufsetzen, am besten mit einem getrennten Sicherungs-Backup der Wiederherstellungscodes. Banking-Apps neu installieren (manche funktionieren ohne Anpassung, einige verlangen einen „Reset“ der App-Registrierung, das musst du im Einzelfall mit der Bank klären).
Plane bei diesem Schritt einen ganzen Vormittag ein, idealerweise an einem Tag ohne dringende Mandate.
Schritt 5: laufende Pflege
Nach der Migration kommt der dauerhafte Betrieb. Drei Dinge solltest du gleich am Anfang einstellen:
Auto-Reboot aktivieren, ich empfehle 6 bis 12 Stunden für die meisten Berufsgeheimnisträger. Bei höheren Risikoprofilen kürzer.
Duress-PIN setzen, auch wenn du sie hoffentlich nie brauchst. Eine PIN, die du dir gut merken kannst, die aber nicht versehentlich getippt wird.
Backup-Strategie festlegen. GrapheneOS unterstützt das Tool Seedvault für lokale verschlüsselte Backups. Speichere die Backups auf einem getrennten verschlüsselten Datenträger, nicht in einer Cloud.
Updates kommen über das integrierte Update-System direkt von der GrapheneOS Foundation. Monatlich einmal kurz prüfen reicht, in der Regel installieren sich Updates automatisch.
🔵 Tiefe: warum das Recht uns hier nicht weiterhilft
Wir kommen zur unbequemen Reflexion. Warum eigentlich ist die Rechtslage so, wie sie ist? Warum schützt §97 StPO uns nicht weiter, als er es tut?
Die ehrliche Antwort hat zwei Ebenen. Auf der einen Seite gibt es ein legitimes Interesse des Strafverfolgungsstaats an Beweismitteln. Wenn jeder Berufsgeheimnisträger pauschal unangreifbar wäre, würde der Schutz zu einer Konstruktion, in die Beschuldigte ihre Daten schlicht verlagern könnten. Daher die Beschränkung: nur das Vertrauensverhältnis zu einem konkret Beschuldigten ist geschützt, alles andere nicht.
Auf der anderen Seite gibt es ein historisches Argument. Die Norm §97 StPO wurde geschaffen, als der typische „Gegenstand“ beim Anwalt eine Akte aus Papier war. Eine Akte enthält in der Regel die Unterlagen zu einem Fall, klar abgrenzbar. Wer eine bestimmte Akte beschlagnahmt, bekommt diesen einen Fall. Andere Mandate sind in anderen Aktenordnern, anderen Schränken, anderen Räumen.
Ein Smartphone funktioniert vollkommen anders. Es enthält die Daten von Hunderten Mandaten gleichzeitig, in einer Mail-Datenbank, einem Kalender, einem App-Speicher. Eine „Akte“ ist physisch nicht abgrenzbar. Wer das Smartphone bekommt, bekommt alles. Die Norm aus den 1870er Jahren, die in ihren Grundzügen bis heute gilt, war für diese Lage nie gedacht.
Die juristische Diskussion bewegt sich. Es gibt Stimmen, die fordern, §97 StPO an die digitale Realität anzupassen. Bisher hat sich der Gesetzgeber zurückgehalten, vermutlich weil der politische Konflikt zwischen Strafverfolgung und Berufsgeheimnisträger-Schutz im Gleichgewicht ist und niemand etwas verändern will. Ob das so bleibt, ist offen. Bis dahin gilt: das Recht schützt dich nicht, also schützt dich die Architektur deines Geräts oder gar nichts.
Das ist die strukturelle Lehre dieses Artikels, und sie ist nicht GrapheneOS-spezifisch. Sie würde auch für andere gehärtete Plattformen gelten, sobald solche existieren. Heute existiert GrapheneOS, und es ist die ehrlichste Antwort, die wir auf die Frage geben können, wie ein deutsches Anwalts- oder Arzt-Smartphone 2026 aussehen sollte.
Was bleibt
Drei Beobachtungen am Ende dieses Rundgangs.
Erstens: dein Berufsgeheimnis liegt auf deinem Smartphone, auch wenn du das selten so denkst. Die Mails der Mandanten, die Termine, die Sprachmemos, die Fotos der Akten. All das ist Berufsgeheimnis im Sinne von §203 StGB. Wer das nicht so behandelt, übersieht den Schwerpunkt der eigenen Pflichtenlage.
Zweitens: das Beschlagnahmeverbot des §97 StPO schützt dich in mehr Fällen nicht als in Fällen, in denen es schützt. Das ist eine harte Aussage, aber sie folgt aus der Rechtsprechung des Bundesverfassungsgerichts. Wer sich auf §97 StPO als alleinige Schutzschicht verlässt, hat keinen Plan B, wenn die Norm ausnahmsweise nicht greift, und in vier von fünf Praxis-Szenarien greift sie nicht.
Drittens: wo das Recht nicht mehr schützt, schützt nur die Architektur. Das ist nicht nur eine technische Aussage, sondern eine berufsethische. Du schuldest deinen Mandanten und Patienten den bestmöglichen Schutz ihrer Daten. Wenn die rechtliche Schutzschicht löchrig ist, kannst du dich darauf berufen und hoffen, dass es schon gut geht. Oder du baust eine zweite Schicht ein, die hält, auch wenn die erste versagt. Was du wählst, sagt etwas darüber aus, wie ernst du deine Verschwiegenheitspflicht nimmst.
Mein Segelboot heißt Legacy. Legacy ist das, was du deinen Mandanten und Patienten hinterlässt, lange nachdem ihre konkrete Akte längst abgeschlossen ist: dass ihre Geheimnisse bei dir sicher waren. Das ist nicht primär eine Technikfrage. Aber es wird zu einer Technikfrage, wenn du es ernst meinst.
Häufige Fragen
1. Muss ich wirklich umstellen oder reicht ein gutes Passwort auf dem iPhone?
Ein gutes Passwort auf dem iPhone ist deutlich besser als ein schlechtes Passwort oder kein Passwort. Aber es schützt nicht gegen die forensischen Werkzeuge, die heute in jedem Polizei-Labor stehen. Wenn das Bedrohungsmodell „Beschlagnahme oder Verlust“ lautet, ist das iPhone nach aktuellem Stand der Cellebrite-Matrix angreifbar. Wenn dein Bedrohungsmodell hauptsächlich „neugierige Familienangehörige“ lautet, reicht das iPhone-Passwort. Du musst die Frage ehrlich für dich selbst beantworten.
2. Verliere ich Apps, wenn ich umstelle?
Praktisch wenige. GrapheneOS lässt dich den Google Play Store in einer Sandbox installieren, und damit bekommst du fast alle Apps, die du auf einem normalen Android-Smartphone hättest. Banking-Apps funktionieren in der Regel, beA und beSt laufen, Signal und Threema laufen ohnehin. Was nicht oder nur eingeschränkt funktioniert, sind einige sehr spezielle Apps mit aggressiver Geräte-Attestierung (manche Versicherungs-Apps, einige Sportwetten-Apps, vereinzelt Streamingdienste). Für die Berufspraxis ist das in der Regel kein Problem.
3. Was kostet die Umstellung insgesamt?
Reine Gerätekosten: 390 bis 1.000 Euro je nach Pixel-Modell. Eigene Arbeitszeit: ein halber Arbeitstag, wenn du es selbst machst. Mit IT-Dienstleister: etwa 300 bis 600 Euro Beratungskosten zusätzlich, einmalig. Laufende Kosten: keine, GrapheneOS ist kostenlos und wird über Spenden finanziert.
4. Ist GrapheneOS rechtlich anerkannt als „Stand der Technik“ nach Art. 32 DSGVO?
Es gibt keine offizielle Anerkennung durch eine deutsche Behörde, aber das ist auch nicht der Maßstab. „Stand der Technik“ ist eine bewegliche, fachlich-praktische Norm, kein Zertifizierungsverfahren. Wer auf Nachfrage einer Datenschutzbehörde belegen kann, dass die gewählte Lösung dem aktuellen Stand der Sicherheits-Forschung entspricht, ist gut aufgestellt. GrapheneOS hat öffentliche Belege dafür (Cellebrite-Resistenz, Snowden-Empfehlung, Empfehlung in Investigativ-Redaktionen), und das wäre in einem Verfahren plausibel zu argumentieren.
5. Was ist mit dem Bundeskanzler-Telefon, das ich aus der Presse kenne?
Das ist eine BSI-zugelassene SecuSUITE-Plattform, gebaut für die Bedürfnisse der Bundesregierung. Sie ist nicht zivil zu kaufen. Sie ist auch nicht für zivile Berufe ausgelegt. Wer als Anwältin keinen Zugang zum Bundes-Mobilfunknetz und keinen Bedarf an militärischen Verschlüsselungs-Standards für Verschlusssachen hat, ist mit einem Pixel und GrapheneOS besser bedient.
6. Die unbequeme Frage: Wenn die Beschlagnahme eines Smartphones so selten vorkommt, warum sollte ich diesen Aufwand betreiben?
Das ist die Frage, die ehrlich gestellt werden muss. Antwort: weil das Risiko-Profil sich verändert hat. Vor zehn Jahren war Cellebrite-Forensik selten und teuer. Heute ist sie Standard in jeder mittleren Polizeibehörde. Vor zehn Jahren wurde §203 StGB selten in IT-Kontexten verhandelt. Heute steht „Unterlassung geeigneter technischer Maßnahmen“ als eigene Fallgruppe in der Fachliteratur. Vor zehn Jahren war Smartphone-Sicherheit ein Nice-to-have. Heute ist sie Stand der Technik nach Art. 32 DSGVO.
Du baust nicht für den Normalfall vor. Du baust für den Ausnahmefall. Und der Ausnahmefall ist immer der, in dem es um deine Karriere geht, deine Versicherungsprämie, dein Verhältnis zur Kammer, deine Mandanten, dein Vertrauen in dich selbst. Wenn du den Aufwand jetzt nicht treibst, weil „es eh nicht passiert“, wirst du an dem Tag, an dem es doch passiert, wünschen, du hättest es getan. Das ist die Lehre.
Wer noch tiefer einsteigen will
Rechtliche Grundlagen
Der Originaltext von §203 StGB bei gesetze-im-internet.de und die Kommentierung bei dejure.org. Lesenswert ist der LTO-Beitrag von Niko Härting zur Reform 2017, der die Brücke zwischen alter und neuer Fassung gut beschreibt.
Der Originaltext von §97 StPO und ein lesenswerter Praxis-Beitrag auf anwalt.de zur Frage, wo die Norm in der Praxis kippt. Wer den Jones-Day-Fall im Detail nachvollziehen will, findet bei Rickert.law eine gute Aufarbeitung.
Der Originaltext von DSGVO Art. 32 und ergänzend der Vermerk des Hamburger Datenschutzbeauftragten zur Abdingbarkeit von TOMs. Ein guter Überblick zur IT-Compliance bei Berufsgeheimnisträgern liefert der KriPoZ-Beitrag von 2017, der zwar die Reform-Geschichte behandelt, aber die strukturellen Überlegungen sind weiter gültig.
Praktische Anlaufstellen
Die Hauptseite von GrapheneOS mit allen Installations-Anleitungen und der Liste unterstützter Geräte. Wer ernsthaft anfangen will, klickt dort.
Das Diskussionsforum der GrapheneOS Community für konkrete Praxis-Fragen. Antworten kommen oft binnen Stunden, das Niveau ist hoch.
Verwandte Artikel auf fleet-data.de
In der Sicherheits-Rubrik findest du den Artikel zur Geschichte von GrapheneOS, der die technischen und historischen Wurzeln dieses Werkzeugs ausführlich beschreibt, und den Artikel zur Geschichte von PGP, der die ältere Erbschaft der zivilen Verschlüsselung erzählt.
In Kürze folgt in dieser Rubrik der Artikel zur konkreten Schritt-für-Schritt-Installation von GrapheneOS auf einem Pixel-Gerät, mit Screenshots und allen Fallstricken.
Schluss
Du bist Berufsgeheimnisträger geworden, weil du in einem Vertrauensberuf arbeiten wolltest. Das Vertrauen, das deine Mandanten oder Patienten dir entgegenbringen, ist die Substanz deines Berufs. §203 StGB ist der gesetzliche Rahmen, in dem dieses Vertrauen geschützt wird. Aber dieser Rahmen funktioniert nur, wenn du auch die technische Seite mitdenkst.
Das Smartphone ist die Stelle, an der das Berufsgeheimnis am verletzlichsten ist. Es ist permanent online, es geht mit dir überall hin, es kann jederzeit in fremde Hände geraten. Wer hier nicht vorbereitet ist, läuft mit einer offenen Tür herum, auch wenn die Akten in der Kanzlei dreifach gesichert sind.
Die gute Nachricht: die Lösung ist nicht teuer, nicht kompliziert, nicht weltbewegend. Ein Pixel-Smartphone für vierhundert Euro, einmal nachmittags installieren, dann läuft es. Die Investition rentiert sich nicht jeden Tag, weil die Beschlagnahme selten ist. Aber an dem Tag, an dem sie kommt, rentiert sie sich auf einmal.
Ich wünsche dir, dass dieser Tag nie kommt. Und falls er kommt, dass du dann nicht ich-hätte-doch-Schritte zählst, sondern ruhig sagen kannst: das Gerät schweigt, weil ich es so eingerichtet habe.⛵
Franz-Martin ist Gründer von Fleet Daten & Systems Consulting und seit über vier Jahrzehnten in der Software-Entwicklung. Er schreibt auf fleet-data.de über Sicherheit, Architektur und die Frage, was zivile Werkzeuge können müssen, um zu halten. Kontakt: kontakt@fleet-data.de
© 2026 Fleet Daten & Systems Consulting | fleet-data.de Dieser Beitrag stellt keine Rechts- oder Steuerberatung dar. Bei konkreten rechtlichen Fragen wende dich an eine Fachanwältin oder einen Fachanwalt für Strafrecht oder IT-Recht.