Bericht zeigt wachsende Cybergefahren für Kanzleien

Anwaltskanzleien verwahren vertrauliche Mandanteninformationen, Geschäftsgeheimnisse und sensible Finanzdaten. Das macht sie zu einem attraktiven Ziel für Cyberkriminelle, die mit gestohlenen Daten Geld erpressen wollen, ebenso wie für staatlich unterstützte Spionagegruppen. Die Zahl der Angriffe auf den Rechtssektor hat sich zwischen 2023 und 2026 nahezu verdoppelt. Das geht aus dem Legal Threat Landscape Report 2026 des IT-Sicherheitsunternehmens CrowdStrike hervor, das die Bedrohungslage von September 2025 bis August 2026 untersucht.

Erpressung mit gestohlenen Mandantendaten

Den größten Anteil (82 Prozent) machten finanziell motivierte Cyberangriffe aus. Sie versuchen, mit gestohlenen Daten Lösegeld zu erpressen oder diese auf kriminellen Plattformen zu verkaufen. Besonders häufig geraten Kanzleien ins Visier von Gruppen, die gezielt große Organisationen angreifen. Im Berichtszeitraum tauchten 455 Einrichtungen aus dem Rechtssektor auf den Datenleck-Seiten solcher Erpressergruppen auf – 39 Prozent mehr als im Vorjahreszeitraum.

Für Kanzleien ist diese Entwicklung brisant: In ihren Akten finden sich häufig Informationen, deren Bekanntwerden für Mandanten erhebliche wirtschaftliche oder rechtliche Folgen haben könnte. Dazu zählen etwa vertrauliche Kommunikation, Informationen zu Unternehmenstransaktionen, geistiges Eigentum, staatliche Angelegenheiten und Finanzunterlagen. Weil sie der Verschwiegenheitspflicht unterliegen, stehen sie bei Angriffen unter erheblichem Druck, etwa Lösegelder schnell zu zahlen. Damit sind sie wertvolle Ziele für Akteure, die auf finanziellen Gewinn aus sind. Doch auch für langfristige strategische Erkenntnisse, etwa für die Wirtschaftsspionage, sind Kanzleien interessant. Die Täter können durch die Veröffentlichung oder den Weiterverkauf der Daten dann ebenfalls erheblichen Schaden verursachen.

Eine besonders aktive Gruppierung ist nach Einschätzung von CrowdStrike „Chatty Spider“. Ihre Aktivitäten nahmen in den ersten acht Monaten des Jahres 2026 um 129 % im Vergleich zum gesamten Jahr 2024 zu – dabei richteten sich 90 % ihrer Angriffe gegen Anwaltskanzleien. Die Täter geben sich beispielsweise am Telefon als Mitarbeitende der kanzleiinternen IT aus und verleiten Beschäftigte dazu, ihnen Fernzugriff auf ihre Rechner zu ermöglichen. Anschließend können sie vertrauliche Informationen kopieren, ohne dass dies sofort auffällt. In den USA versuchten Angreifer zudem, sich unter falscher Identität persönlich Zutritt zu Kanzleiräumen zu verschaffen, um direkt auf dortige Rechner zuzugreifen.

Auch weitere Gruppen setzen auf ähnliche Methoden. Sie täuschen Beschäftigte mit gefälschten IT-Anfragen oder manipulieren Anmeldeseiten, um Zugangsdaten abzugreifen. Der Bericht zeigt damit, dass Angriffe nicht zwangsläufig mit einer technisch hochkomplexen Attacke beginnen müssen: Häufig reicht es, das Vertrauen von Mitarbeitenden auszunutzen und so Zugang zu den Systemen einer Kanzlei zu erhalten.

Spionage: Kanzleien als Zugang zu sensiblen Informationen

Neben finanziell motivierten Tätern beobachtet der Report (mit immerhin 18 % der registrierten Angriffe) verstärkte Spionageaktivitäten von Gruppen mit Bezug zu China. Solche Attacken haben sich seit 2023 fast verdoppelt. Die Kriminellen versuchten, gezielt in die IT-Systeme von Organisationen einzudringen, um an vertrauliche Informationen zu gelangen. Im Fokus stehen dabei zunehmend auch Kanzleien, deren Mandate Einblicke in wirtschaftliche Vorgänge, Unternehmensentscheidungen oder sogar staatliche Angelegenheiten ermöglichen. Denn teilweise dienen Kanzleien den Hackern auch als Ausgangspunkt, um in die Netzwerke von Regierungsorganisationen oder großen Unternehmen einzudringen. 

Die Angreifer nutzen unterschiedliche Wege, um sich Zugang zu verschaffen. Sie griffen Sicherheitslücken in verbreiteter Unternehmenssoftware an, versuchten, Cloud-Systeme zu kompromittieren, oder nahmen gezielt Programme ins Visier, die in Kanzleien eingesetzt werden. So wurde im April 2026 eine Schwachstelle in der Zeiterfassungs- und Abrechnungssoftware „Intapp Time Server“ ausgenutzt. Somit kann auch spezielle Kanzleisoftware zum Einfallstor für Angriffe werden. Andere Gruppen versuchen, durch zahlreiche Anmeldeversuche Zugang zu Benutzerkonten zu erhalten. Bei einer Kanzlei wurden innerhalb von 30 Tagen nahezu 500 fehlgeschlagene Anmeldeversuche registriert. Solche Aktivitäten können darauf hindeuten, dass Angreifer systematisch versuchen, Konten zu übernehmen. Besonders gefährlich ist dies, wenn sie anschließend auf E-Mails, Mandatsunterlagen oder weitere verbundene Anwendungen zugreifen können.

Im September und Oktober 2025 nahm etwa die Gruppierung OVERCAST PANDA Führungskräfte einer in Großbritannien ansässigen Anwaltskanzlei ins Visier. Entsprechend der Prioritäten chinesischer Nachrichtendienste hatten sie es gezielt auf zentrale Personen mit Zugang zu sensiblen Informationen und Entscheidungsbefugnissen abgesehen.

Für die Praxis bedeutet das: Der Schutz vertraulicher Informationen sollte nicht allein auf technische Systeme beschränkt bleiben. Wichtig sind auch sichere Anmeldeverfahren mit Mehr-Faktor-Authentifizierung, eine strenge Kontrolle von Fernzugriffen und regelmäßige Sicherheitsupdates. Ebenso sollten Mitarbeitende darin geschult werden, ungewöhnliche IT-Anfragen kritisch zu prüfen und deren Echtheit über bekannte Kontaktwege zu verifizieren. Gerade bei vertraulichen Mandaten kann ein einziger unbedachter Zugriff weitreichende Folgen haben.