In einer einzigen Juniwoche tauchten mehrere deutsche Kanzleien auf den Leak-Seiten organisierter Ransomware-Gruppen auf. Das ist kein Zufall – sondern eine klare Verschiebung des Angriffsfokus.
Allein in einer einzigen Juniwoche tauchten mehrere deutsche Kanzleien neu auf den Erpresser-Plattformen organisierter Ransomware-Gruppen auf – darunter eine süddeutsche Steuerkanzlei und eine auf gewerblichen Rechtsschutz spezialisierte Anwaltskanzlei mit Münchner Bezug. Das ist kein Zufall, sondern Teil einer klaren Verschiebung: Angreifer entdecken den deutschen Mittelstand und besonders regulierte Berufe als lohnendes Ziel.
Warum gerade Kanzleien und Steuerberater?
Steuerberater und Rechtsanwälte verwalten genau das, was für Kriminelle den höchsten Hebel hat: hochsensible, geschützte Mandantendaten. Jahresabschlüsse, Verträge, Personaldaten, laufende Verfahren – Informationen, deren Vertraulichkeit gesetzlich vorgeschrieben ist und deren Offenlegung existenzbedrohend wäre.
Genau das macht diese Berufsgruppen erpressbar. Wer mit der Veröffentlichung von Mandantengeheimnissen droht, erzeugt einen Druck, den kaum ein Produktionsbetrieb in dieser Form kennt. Hinzu kommt die Verschwiegenheitspflicht nach § 203 Strafgesetzbuch: Ein Datenabfluss ist hier nicht nur ein IT-Problem, sondern auch ein berufsrechtliches.
Erschwerend wirken drei Faktoren, die typisch für Kanzleien sind. Erstens lassen sich Ausfälle schlecht verkraften – gerade Steuerberater arbeiten gegen feste Fristen, in denen jeder stillstehende Tag teuer wird. Zweitens gelten lange Aufbewahrungspflichten, sodass über Jahre gewachsene Datenbestände vorgehalten werden. Drittens fehlt vielen Kanzleien eine eigene IT-Abteilung – die Technik läuft mit, solange sie funktioniert, wird aber selten systematisch abgesichert.
So läuft ein Angriff ab
Ein Ransomware-Angriff ist selten ein lauter Knall, sondern ein leiser, geplanter Prozess. In aller Regel folgt er fünf Phasen:
1. Erstzugang. Die Täter verschaffen sich einen ersten Fuß in die Tür – häufig über eine täuschend echte Phishing-Mail (eine gefälschte Nachricht, die zum Klick auf einen Anhang oder Link verleitet), über ein veraltetes, nicht aktualisiertes Fernzugangssystem (VPN) oder über zuvor gestohlene Zugangsdaten.
2. Ausbreitung. Einmal im Netzwerk, bewegen sich die Angreifer unbemerkt von System zu System und verschaffen sich nach und nach weitreichende Rechte – bis hinauf zur vollständigen Kontrolle über die zentrale Benutzerverwaltung.
3. Datendiebstahl. Bevor irgendetwas verschlüsselt wird, kopieren die Täter still und leise die wertvollsten Daten heraus. Dieser Schritt ist entscheidend – und der Grund, warum ein reines Backup heute nicht mehr ausreicht.
4. Verschlüsselung. Erst jetzt schlagen die Angreifer sichtbar zu: Dateien und Server werden verschlüsselt, der Betrieb steht still. Auf den Bildschirmen erscheint die Lösegeldforderung.
5. Erpressung. Gefordert wird Geld – kombiniert mit der Drohung, die gestohlenen Daten zu veröffentlichen.
Besonders tückisch: Zwischen Erstzugang und Verschlüsselung vergehen oft Tage bis Wochen, in denen die Angreifer unbemerkt im System sitzen. Wer Auffälligkeiten frühzeitig erkennt, kann den Schaden in dieser Phase noch verhindern.
Der öffentliche Pranger: Wenn das Mandantengeheimnis zur Verhandlungsmasse wird
Die fünfte Phase verdient besondere Aufmerksamkeit, denn hier hat sich die Methodik der Täter grundlegend verändert. Klassische Ransomware verschlüsselte lediglich Daten – wer ein sauberes Backup hatte, konnte die Forderung ignorieren. Heute arbeiten die meisten Gruppen mit der sogenannten Double Extortion, der „doppelten Erpressung“: Die Daten werden nicht nur verschlüsselt, sondern vorher kopiert.
Zahlt das Opfer nicht, landet es auf einer Leak-Seite – einer öffentlich erreichbaren Plattform im Darknet, auf der die Täter ihre Opfer mit Namen auflisten und mit einem Countdown zur Veröffentlichung der gestohlenen Daten unter Druck setzen. Genau über solche Seiten wurden auch die eingangs erwähnten Kanzleien öffentlich. Faktisch ist das ein digitaler Pranger: Schon der bloße Eintrag signalisiert Mandanten, Geschäftspartnern und Wettbewerbern, dass es einen Sicherheitsvorfall gegeben hat.
Für eine Kanzlei ist das die eigentliche Eskalationsstufe. Ein verschlüsselter Server lässt sich aus einem Backup wiederherstellen – ein veröffentlichtes Mandantengeheimnis nicht zurückholen. Der Vertrauensschaden ist dauerhaft.
Was ein Angriff kostet – und welche Pflichten greifen
Die direkten Kosten eines Vorfalls – Wiederherstellung, externe Forensik, Ausfallzeit – summieren sich schnell auf fünf- bis sechsstellige Beträge. Schwerer wiegen oft die Folgen, die sich nicht in Rechnungen messen lassen: abgewanderte Mandanten und ein beschädigter Ruf.
Hinzu kommen rechtliche Pflichten. Werden personenbezogene Daten kompromittiert, greift die Meldepflicht nach DSGVO: Der Vorfall muss in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden, unter Umständen sind auch die Betroffenen zu informieren. Für Anwälte und Steuerberater kommt die berufsrechtliche Dimension der Verschwiegenheitspflicht hinzu. Ein Datenleck kann damit gleich auf mehreren Ebenen Konsequenzen haben.
| Risiko | Konsequenz für die Kanzlei |
| Direkte Kosten | Wiederherstellung, Forensik, Ausfallzeit – schnell fünf- bis sechsstellig |
| DSGVO | Meldepflicht binnen 72 Stunden, mögliche Bußgelder |
| § 203 StGB | Bruch der Verschwiegenheitspflicht – berufsrechtliche Folgen |
| Reputation | Abgewanderte Mandanten, dauerhafter Vertrauensschaden |
So schützen Sie Ihre Kanzlei: Maßnahmen nach Priorität
Die gute Nachricht: Die meisten Angriffe nutzen bekannte Schwachstellen aus. Wer die Grundlagen beherrscht, senkt sein Risiko erheblich.
Sofort umsetzbar:
- Mehr-Faktor-Authentifizierung (MFA) für alle Zugänge aktivieren – also eine zusätzliche Sicherheitsabfrage beim Login, ähnlich wie beim Online-Banking. Gestohlene Passwörter allein nützen Angreifern dann nichts mehr.
- Backups vom Netzwerk trennen. Nur eine Datensicherung, die nicht überschrieben oder verschlüsselt werden kann, ist im Ernstfall wirklich etwas wert.
Kurzfristig:
- Systeme konsequent aktualisieren, insbesondere Fernzugänge und Firewalls. Veraltete VPN-Zugänge sind ein häufiges Einfallstor.
- Mitarbeitende schulen. Da viele Angriffe mit einer Phishing-Mail beginnen, ist ein aufmerksames Team eine der wirksamsten Verteidigungslinien.
- Frühwarnung einrichten. Eine kontinuierliche Überwachung der Systeme erkennt verdächtige Aktivitäten in jener stillen Phase, bevor verschlüsselt wird.
Strategisch:
- Notfallplan erstellen und üben, damit im Ernstfall jeder weiß, was zu tun ist.
- Schwachstellen aktiv aufdecken. Mit einem professionellen Penetrationstest prüfen wir Ihre Systeme aus der Perspektive eines Angreifers – bevor es echte Kriminelle tun.
Einen Überblick über alle Bausteine finden Sie auf unserer Seite zur IT-Sicherheit.
Häufige Fragen zu Ransomware in der Kanzlei
1️⃣ Warum sind gerade Kanzleien und Steuerberater im Visier?
Weil sie hochsensible Mandantendaten verwalten, deren Vertraulichkeit gesetzlich vorgeschrieben ist. Die Drohung, solche Daten zu veröffentlichen, erzeugt enormen Druck. Hinzu kommen feste Fristen, lange Aufbewahrungspflichten und oft fehlende eigene IT-Abteilungen – das macht regulierte Berufe besonders erpressbar.
2️⃣ Was bedeutet Double Extortion?
Double Extortion (doppelte Erpressung) bedeutet: Die Täter verschlüsseln die Daten nicht nur, sondern kopieren sie vorher heraus. Zahlt das Opfer nicht, drohen sie mit der Veröffentlichung auf einer Leak-Seite im Darknet. Ein Backup allein schützt deshalb nicht mehr vor dem eigentlichen Schaden.
3️⃣ Reicht ein Backup als Schutz aus?
Nein. Ein Backup hilft, verschlüsselte Systeme wiederherzustellen – aber es verhindert nicht, dass zuvor gestohlene Daten veröffentlicht werden. Wichtig ist, dass Backups vom Netzwerk getrennt und nicht überschreibbar sind. Daneben braucht es Maßnahmen, die den Datendiebstahl von vornherein erschweren.
4️⃣ Welche Meldepflichten greifen nach einem Angriff?
Werden personenbezogene Daten kompromittiert, muss der Vorfall nach DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden, teils auch den Betroffenen. Für Anwälte und Steuerberater kommt die berufsrechtliche Verschwiegenheitspflicht nach § 203 StGB hinzu.
5️⃣ Was sind die wichtigsten Sofortmaßnahmen?
Mehr-Faktor-Authentifizierung für alle Zugänge, vom Netzwerk getrennte Backups, konsequente Updates von Fernzugängen und Firewalls sowie geschulte Mitarbeitende. Ergänzt um eine kontinuierliche Überwachung, die verdächtige Aktivitäten erkennt, bevor verschlüsselt wird.
Fazit
Ransomware ist für Kanzleien längst kein abstraktes IT-Thema mehr, sondern ein konkretes Geschäftsrisiko – mit einer rechtlichen und einer Reputationskomponente, die weit über die Technik hinausreichen. Die jüngsten Fälle zeigen: Die Frage ist nicht, ob regulierte Berufe ins Visier geraten, sondern wann.
Die drei wichtigsten Punkte:
- Kanzleien sind wegen ihrer sensiblen Mandantendaten besonders erpressbar – der öffentliche Pranger trifft sie härter als andere Branchen.
- Ein Backup allein schützt nicht mehr, weil Daten heute vor der Verschlüsselung gestohlen werden.
- Mit wenigen, konsequent umgesetzten Maßnahmen lässt sich das Risiko erheblich senken.
Wie wir Sie unterstützen können
Wir sichern oberbayerische Kanzleien und Mittelständler seit Jahren gegen genau diese Bedrohungen ab – mit über 20 Jahren IT-Security in München. Gemeinsam analysieren wir Ihre aktuelle Situation und entwickeln einen realistischen Schutzplan.
