IT-Sicherheit für Kanzleien: DSGVO, Berufsrecht & NIS2 in der Praxis

Anwalts- und Steuerkanzleien verwalten hochsensible Daten: Mandantengeheimnisse, Vertragsunterlagen, Finanzdaten, teils strategisch brisante Informationen ganzer Unternehmen. Genau das macht sie für Angreifer attraktiv – ein erfolgreicher Angriff auf eine Kanzlei trifft potenziell zugleich deren gesamte Mandantschaft. Hinzu kommt, dass viele Kanzleien organisatorisch schlank aufgestellt sind und keine eigene IT-Sicherheitsfunktion haben. Diese Kombination aus hohem Datenwert und begrenzten Ressourcen ist aus Angreifersicht ideal.

Für Kanzleien ist IT-Sicherheit deshalb nicht nur ein technisches, sondern ein berufsrechtliches und haftungsrelevantes Thema.

Drei Regelwerke, die zusammenwirken

Das Berufsrecht und die Verschwiegenheitspflicht. Die anwaltliche Verschwiegenheit ist eine Kernpflicht. Ein Datenabfluss durch unzureichende IT-Sicherheit kann nicht nur einen Datenschutzverstoß darstellen, sondern auch berufsrechtliche Konsequenzen haben. Mandantendaten müssen durch angemessene technische und organisatorische Maßnahmen geschützt werden.

Die DSGVO. Kanzleien verarbeiten in großem Umfang personenbezogene Daten und unterliegen damit vollständig der DSGVO – inklusive der Pflicht zu angemessenen Schutzmaßnahmen und der 72-Stunden-Meldepflicht bei Datenpannen.

NIS2 – je nach Größe und Tätigkeit. Ob eine Kanzlei direkt unter NIS2 fällt, hängt von Größe und Tätigkeitsfeld ab. Doch selbst wenn keine unmittelbare Betroffenheit besteht, geraten Kanzleien über die Lieferkette ihrer Mandanten unter Druck: Wer regulierte Unternehmen berät, muss zunehmend selbst Sicherheitsnachweise erbringen. Mehr dazu unter NIS2-Compliance.

Die typischen Schwachstellen in Kanzleien

In der Praxis wiederholen sich dieselben Lücken: fehlende Multi-Faktor-Authentifizierung beim Zugriff auf Kanzleisoftware und E-Mail, unverschlüsselte Kommunikation mit Mandanten, veraltete Systeme aufgrund von Update-Scheu, unzureichend getestete Backups sowie Mitarbeiter, die Phishing-Mails nicht erkennen. Jede dieser Lücken ist für sich genommen leicht ausnutzbar – und in Summe ergeben sie ein erhebliches Risiko.

Was Kanzleien konkret umsetzen sollten

Sinnvoll ist ein abgestuftes Vorgehen: zuerst die Basis (MFA, getestete Backups, aktuelle Systeme, verschlüsselte Mandantenkommunikation), dann die Sensibilisierung der Mitarbeiter durch regelmäßige Awareness-Schulungen und Phishing-Simulationen, und schließlich eine kontinuierliche Überwachung, die Angriffe erkennt, bevor Mandantendaten abfließen. Da kaum eine Kanzlei eine eigene Sicherheitsabteilung betreibt, ist die Auslagerung der Überwachung und der Incident Response an einen spezialisierten Dienstleister meist der praktikabelste Weg.

Valyros übernimmt für Kanzleien die 24/7-Überwachung, Awareness-Schulungen und Incident Response als Managed Service – abgestimmt auf Verschwiegenheitspflicht und DSGVO. Managed Detection & Response liefert die kontinuierliche Angriffserkennung, ergänzt durch Business Continuity für strukturierte Notfallvorsorge. Sicherheitscheck für Ihre Kanzlei anfordern.