IT-Sicherheit in Kanzleien: Social Engineering stoppen

Innerhalb weniger Tage haben gleich mehrere große US-Kanzleien Datenschutzvorfälle gemeldet. Holland & Knight erklärte, ein Angreifer habe sich per Social Engineering Fernzugriff auf einen Kanzleirechner verschafft. Squire Patton Boggs meldete am 8. Oktober einen Vorfall, bei dem „ein unbefugter Dritter einen begrenzten Satz an Informationen" erlangt habe. Bereits im September hatten Quinn Emanuel und McDermott Vorfälle gemeldet, ebenfalls mit Social Engineering als Ausgangspunkt. (Cybernews, 10.10.2026)

Man könnte das als amerikanisches Großkanzlei-Thema abtun. Das wäre ein Fehler. Die Methode, Menschen statt Firewalls anzugreifen, funktioniert in einer Boutique-Kanzlei in Frankfurt genauso wie in einer Wirtschaftskanzlei mit Tausenden Anwälten. Dieser Beitrag zeigt, was hinter den Vorfällen steckt und wie die IT-Sicherheit in der Kanzlei pragmatisch gestärkt werden kann.

Was bei den Kanzleien passiert ist

Fernzugriff durch Täuschung

Bei Holland & Knight wurde laut Bericht eine „kleine Zahl von Dateien" offengelegt, teils mit US-Sozialversicherungsnummern; 14 Mandanten wurden benachrichtigt. Die Kanzlei gab an, ihre Systeme seien funktionsfähig geblieben und Strafverfolgungsbehörden seien eingeschaltet. (Tech Insider; Law360)

Bei Greenberg Traurig wurde im September bestätigt, dass ein unbefugter Akteur auf eine begrenzte Zahl von Dokumenten zugegriffen und diese im Darknet veröffentlicht hatte. Gegen mehrere Kanzleien wurden inzwischen Sammelklagen eingereicht. (Cybernews; Tech Insider)

Eine Tätergruppe wurde in keinem der Fälle öffentlich benannt.

Warum Kanzleien ein lohnendes Ziel sind

Kanzleien verwalten genau die Informationen, die für Angreifer wertvoll sind: Transaktionsdetails, Vertragsentwürfe, Gesellschafterdaten, Prozessstrategien, Bankverbindungen. Gleichzeitig ist die IT oft schlank aufgestellt, und die Arbeitskultur setzt auf schnelle, vertrauensvolle Kommunikation. Genau das nutzt Social Engineering aus.

So läuft ein typischer Social-Engineering-Angriff auf eine Kanzlei

Die konkreten Abläufe der US-Fälle sind nicht öffentlich. Das Grundmuster solcher Angriffe ist aber gut dokumentiert:

1. Recherche: Angreifer sammeln Namen, Rollen und Kanzleistruktur aus Website, LinkedIn und Handelsregister.
2. Vorwand: Ein Anruf vom „IT-Support", eine dringende Mandantenanfrage oder eine angebliche Störung im Dokumentenmanagement.
3. Fernzugriff: Das Opfer wird gebeten, ein Fernwartungstool zu starten, einen Code weiterzugeben oder eine MFA-Anfrage zu bestätigen.
4. Ausbreitung: Mit legitimem Zugang bewegen sich Angreifer unauffällig, kopieren Akten oder sammeln weitere Zugangsdaten.
5. Erpressung oder Weiterverkauf: Daten werden veröffentlicht, verkauft oder für Folgeangriffe auf Mandanten genutzt.

Der entscheidende Punkt: An keiner Stelle muss eine technische Schwachstelle ausgenutzt werden. Der Angriff nutzt Vertrauen.

Mandantendaten schützen: Berufsrechtlicher Rahmen

Für deutsche Rechtsanwältinnen und Rechtsanwälte ist IT-Sicherheit nicht nur eine technische Frage. Die Verschwiegenheitspflicht ist strafrechtlich (§ 203 StGB) und berufsrechtlich abgesichert. § 43e BRAO regelt, unter welchen Voraussetzungen Dienstleister, etwa IT-Betreuer oder Cloud-Anbieter, Zugang zu geschützten Informationen erhalten dürfen. Dazu gehören eine sorgfältige Auswahl und eine schriftliche Verpflichtung zur Verschwiegenheit.

Hinzu kommen die DSGVO-Pflichten: Bei einer Verletzung des Schutzes personenbezogener Daten ist in der Regel binnen 72 Stunden die Aufsichtsbehörde zu informieren (Art. 33 DSGVO).

Für Steuerberatungs- und Wirtschaftsprüfungskanzleien gelten vergleichbare Verschwiegenheitsregeln. Auch wenn die meisten Kanzleien nicht unter NIS-2 fallen, erwarten Mandanten aus regulierten Branchen zunehmend Nachweise über angemessene Sicherheitsmaßnahmen, etwa im Rahmen ihrer eigenen Lieferkettenprüfung.

Hinweis: Dieser Abschnitt gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.

Sieben Maßnahmen für die IT-Sicherheit in der Kanzlei

Organisatorisch

1. Rückruf-Regel einführen: Wer sich als IT-Support, Bank oder Mandant mit ungewöhnlicher Bitte meldet, wird über eine bekannte Nummer zurückgerufen, nie über die Nummer aus der Nachricht.
2. Klare Support-Prozesse: Mitarbeitende wissen, wie sich der echte IT-Dienstleister meldet und dass er niemals spontan zur Installation eines Fernwartungstools auffordert.
3. Gezielte Schulung: Kurze, realistische Übungen zu Vishing (Telefon-Täuschung) und MFA-Müdigkeit wirken besser als jährliche Pflichtvorträge.

Technisch

1. Fernwartungstools kontrollieren: Nur freigegebene Tools zulassen, alle anderen per Anwendungssteuerung blockieren. Unbekannte Remote-Sessions lösen einen Alarm aus.
2. Phishing-resistente MFA: FIDO2-Schlüssel oder Number-Matching statt einfacher Push-Bestätigung.
3. Prinzip der minimalen Rechte: Nicht jeder Arbeitsplatz braucht Zugriff auf alle Mandantenakten.
4. Überwachung rund um die Uhr: Ungewöhnliche Anmeldezeiten, große Datenexporte oder neue Weiterleitungsregeln im Postfach sind typische Frühwarnzeichen. Eine 24/7-Überwachung durch ein SOC erkennt solche Muster auch nachts und am Wochenende. 24/7-Überwachung mit Managed Detection & Response

Kurzer Selbstcheck für Kanzleipartner

| Frage | Ja | Nein | |---|---|---| | Wissen alle Mitarbeitenden, wie sich unser IT-Dienstleister legitimiert? | ☐ | ☐ | | Ist MFA für E-Mail, DMS und Fernzugriff aktiv? | ☐ | ☐ | | Werden unbekannte Fernwartungstools technisch blockiert? | ☐ | ☐ | | Gibt es einen Notfallkontakt für einen Sicherheitsvorfall? | ☐ | ☐ | | Wurde die externe Angriffsfläche in den letzten 12 Monaten getestet? | ☐ | ☐ |

Jedes „Nein" ist ein guter Startpunkt. Ein Penetrationstest mit Social-Engineering-Anteil zeigt realistisch, wie die Kanzlei auf eine echte Täuschung reagiert. Penetrationstest mit Social-Engineering-Modul

Typische Schwachstellen in kleinen und mittleren Kanzleien

In der Praxis begegnen uns in Kanzleien immer wieder ähnliche Muster. Sie sind selten Ausdruck von Nachlässigkeit, sondern entstehen aus gewachsenen Strukturen:

• Gemeinsam genutzte Konten: Sekretariats- oder Funktionspostfächer, auf die mehrere Personen mit demselben Passwort zugreifen. Wer sich einloggt, ist dann kaum nachvollziehbar.
• Dauerhaft offene Fernwartung: Der IT-Dienstleister hat einen ständigen Zugang, der nie geschlossen wird. Für Angreifer ist ein solcher Zugang besonders attraktiv, weil seine Nutzung unauffällig wirkt.
• beA und Fachsoftware ohne zusätzlichen Schutz: Die Kanzleisoftware ist gut gepflegt, der Arbeitsplatzrechner, über den sie genutzt wird, aber nicht überwacht.
• Mobiles Arbeiten ohne klare Regeln: Akten auf privaten Geräten oder in nicht freigegebenen Cloud-Speichern.
• Fehlende Protokollierung: Wenn es doch zu einem Vorfall kommt, lässt sich nicht mehr rekonstruieren, auf welche Mandantenakten zugegriffen wurde. Genau diese Frage ist aber für Meldepflichten und Mandanteninformation entscheidend.

Keiner dieser Punkte erfordert eine große Umstrukturierung. Oft reichen klare Regeln, ein paar technische Einstellungen und eine Instanz, die regelmäßig nachprüft, ob die Regeln auch eingehalten werden. Für Kanzleien ohne eigene Sicherheitsverantwortliche kann ein externer Informationssicherheitsbeauftragter diese Rolle übernehmen. externer Informationssicherheitsbeauftragter

Wenn es doch passiert: Erste Schritte

Bemerkt eine Mitarbeiterin, dass sie einem falschen Supporter Zugriff gewährt hat, zählt jede Minute. Wichtig ist eine Kultur, in der solche Meldungen ohne Angst vor Schuldzuweisung möglich sind. Danach: Gerät vom Netz trennen (nicht ausschalten), Passwörter von einem sauberen Gerät ändern, Incident-Response-Partner einbinden und die Meldefristen prüfen. Incident Response

Fazit

Die Vorfälle bei US-Großkanzleien zeigen, dass Angreifer gezielt auf Menschen setzen. Für deutsche Kanzleien heißt das nicht, in Panik zu verfallen, sondern die Grundlagen konsequent umzusetzen: verlässliche Rückruf-Prozesse, kontrollierte Fernwartung, starke MFA und jemand, der Auffälligkeiten auch außerhalb der Bürozeiten bemerkt.

Wenn Sie wissen möchten, wie Ihre Kanzlei auf einen solchen Angriff reagieren würde, unterstützen wir Sie gern mit einer kompakten Bestandsaufnahme, vertraulich und ohne Verpflichtung. Vertrauliches Erstgespräch

Häufige Fragen

Warum sind Kanzleien beliebte Ziele für Cyberangriffe?

Kanzleien verwalten hochsensible Informationen wie Transaktionsdaten, Verträge und Bankverbindungen, haben aber oft eine schlanke IT-Organisation. Für Angreifer ist das Verhältnis von Aufwand zu Ertrag daher attraktiv.

Was ist Social Engineering im Kanzleikontext?

Social Engineering bezeichnet die gezielte Täuschung von Menschen, etwa durch einen Anruf eines angeblichen IT-Supports, der zur Installation eines Fernwartungstools oder zur Bestätigung einer MFA-Anfrage auffordert. Eine technische Schwachstelle ist dafür nicht nötig.

Darf eine Kanzlei einen externen IT-Dienstleister oder SOC einsetzen?

Ja. § 43e BRAO erlaubt den Einsatz von Dienstleistern unter bestimmten Voraussetzungen, insbesondere sorgfältiger Auswahl und schriftlicher Verpflichtung zur Verschwiegenheit. Im Einzelfall sollte die Ausgestaltung berufsrechtlich geprüft werden.

Was muss eine Kanzlei nach einem Datenleck melden?

Bei einer Verletzung des Schutzes personenbezogener Daten in der Regel binnen 72 Stunden an die Datenschutzaufsicht (Art. 33 DSGVO), bei hohem Risiko zusätzlich an die Betroffenen. Berufsrechtliche Folgen sind gesondert zu prüfen. ---

Quellen

• Cybernews: Multiple major US law firms hit by data breaches (10.10.2026) –: https://cybernews.com/news/us-law-firms-hit-by-data-breaches/
• Tech Insider: Law Firm Data Breaches Hit Holland & Knight, 14 Clients –: https://tech-insider.org/holland-knight-law-firm-data-breaches-2026/
• Law360: Squire Patton Boggs, Holland & Knight Report Data Breaches –: https://www.law360.com/articles/2536515/squire-patton-boggs-holland-knight-report-data-breaches