Cyberangriffe auf Kanzleien: Attacken fast verdoppelt

Cyberkriminelle greifen Kanzleien zunehmend an

Cyberkriminelle und staatlich gelenkte Spionagegruppen nehmen Anwaltskanzleien und Rechtsabteilungen zunehmend ins Visier. Die Zahl der Attacken auf Organisationen im Rechtssektor hat sich gegenüber 2023 beinahe verdoppelt, wie aus dem am Mittwoch vorgelegten „Legal Threat Landscape Report 2026“ des IT-Sicherheitsunternehmens CrowdStrike hervorgeht.

Vertrauliche Mandantendaten im Fokus

Angreifer suchen vor allem nach Fusions- und Übernahmeplänen, geistigem Eigentum, Finanzdaten und Strategien für Gerichtsverfahren. Deutschland gehört laut dem Bericht neben den USA, Großbritannien, Kanada, Australien und Israel zu den weltweit am häufigsten attackierten Ländern.

Im Zeitraum von September 2025 bis August 2026 nannten auf Großziele spezialisierte Erpressergruppen insgesamt 455 Organisationen aus dem Rechtssektor auf ihren Datenleak-Websites. Das waren 39 Prozent mehr als im Vorjahreszeitraum.

Erpressung bleibt wichtigstes Motiv

82 Prozent der beobachteten Angriffe gingen von finanziell motivierten Cyberkriminellen aus. Die Täter setzen darauf, dass Kanzleien wegen ihrer Verschwiegenheitspflichten und möglicher Reputations- oder Regulierungsschäden unter erheblichem Druck stehen, Lösegeld zu zahlen.

Chatty Spider nutzt Täuschung

Als aggressivste Einzelbedrohung identifizierten die Sicherheitsexperten die Gruppierung Chatty Spider. Ihre Angriffsaktivitäten nahmen binnen eines Jahres um 129 Prozent zu.

Die Gruppe ruft Anwälte oder Kanzleipersonal an, gibt sich als interne IT-Abteilung aus und bringt Betroffene dazu, Fernwartungssoftware freizugeben. In einem dokumentierten Fall versuchten die Hacker vier Minuten nach dem Eindringen, sensible Daten abzuziehen. In den USA verschafften sich Hintermänner zudem in mehreren Fällen über angeworbene Personen Zutritt zu Kanzleiräumen, um Arbeitsstationen direkt anzuschließen.

Spionagegruppen greifen Kanzleisoftware an

Rund 18 Prozent der registrierten Angriffe wurden mutmaßlich staatlichen Akteuren zugerechnet. Gruppierungen mit Verbindungen zu China stellten dabei den größten Anteil dieser Spionageaktivitäten; ihre Zahl hat sich laut CrowdStrike seit 2023 beinahe verdoppelt.

Die Gruppe Titan Panda nutzte erstmals Schwachstellen in der Kanzleisoftware Intapp Time Server aus, um Fernzugriff auf Systeme zu erlangen. Murky Panda attackierte Kanzleien mit breit angelegten Anmeldeversuchen auf Microsoft-365-Konten. Zudem wurden Aktivitäten aus Nordkorea registriert, die unter anderem auf Dokumente zur Gesetzgebung gegen Geldwäsche zielten.

Kanzleien als Sprungbrett in weitere Netze

CrowdStrike zufolge sind Kanzleien längst nicht mehr nur Endziele. Angreifer könnten sie auch als Sprungbrett in die Netzwerke von Großkonzernen, Regierungsorganisationen oder Technologieunternehmen nutzen.

Als Gegenmaßnahmen empfehlen die Sicherheitsexperten eine stärkere Mehrfaktor-Authentifizierung, eine strengere Kontrolle von Fernwartungsprogrammen und die konsequente Absicherung spezialisierter Branchensoftware.

Rechtsanwaltskanzleien sind für Angreifer besonders attraktiv, weil sie Informationen aus mehreren besonders schützenswerten Bereichen bündeln. Dazu gehören etwa Fusionspläne, Finanzunterlagen, geistiges Eigentum und Strategien für Gerichtsverfahren. Ein erfolgreicher Zugriff kann deshalb nicht nur die Kanzlei selbst, sondern auch Unternehmen, Behörden und weitere Mandanten gefährden.

Die im Bericht genannten Angriffsmuster zeigen, dass technische Schwachstellen und soziale Manipulation eng zusammenwirken. Ein Anruf bei Beschäftigten, die Freigabe einer Fernwartung oder wiederholte Anmeldeversuche auf Microsoft-365-Konten können genügen, um Schutzmechanismen zu umgehen. Für Kanzleien bedeutet das, dass Sicherheitskonzepte neben der IT auch Schulungen, klare Freigabeprozesse und eine strikte Kontrolle externer Zugriffe umfassen müssen.

Risiko für Mandanten und Lieferketten

Besonders folgenreich ist die Rolle von Kanzleien als Verbindungspunkt zu ihren Mandanten. Über deren Systeme könnten Angreifer Informationen über Unternehmensübernahmen, Forschung, staatliche Vorhaben oder regulatorische Verfahren erlangen. Die Bedrohung reicht damit über einzelne Datenpannen hinaus und betrifft die Sicherheit ganzer Geschäfts- und Verwaltungsbeziehungen.

Für Betroffene sind Mehrfaktor-Authentifizierung, abgesicherte Branchensoftware und vorbereitete Notfallabläufe zentrale Schutzmaßnahmen. Ebenso entscheidend ist, Zugriffe zu protokollieren und verdächtige Anrufe oder Anmeldeversuche schnell an spezialisierte Stellen zu melden. Die wachsende Zahl finanziell motivierter Attacken erhöht zugleich den Druck, Wiederherstellung und Kommunikation vorab zu planen.