Cyberangriffe auf Kanzleien: BRAK-Hinweis 2026

Der Anlass: BRAK-Meldung vom 02.11.2026

Die Bundesrechtsanwaltskammer hat am 02.11.2026 unter der Überschrift „Bericht zeigt wachsende Cybergefahren für Kanzleien“ auf einen Branchenbericht hingewiesen (BRAK-Meldung). Der Bericht stammt vom Sicherheitsunternehmen CrowdStrike und trägt den Titel „2026 Legal Threat Landscape Report“. Er wurde nach den Angaben auf der Herstellerseite am 28.10.2026 veröffentlicht (CrowdStrike-Bericht).

Für kleine Kanzleien ist das aus einem praktischen Grund wichtig. Wer Akten, Fristen und Mandantenkorrespondenz digital führt, hält genau die Daten vor, auf die Erpressergruppen es abgesehen haben. Dieser Beitrag ordnet ein, was die Quellen sagen, was sie offenlassen und welche berufsrechtlichen Pflichten daran anknüpfen.

Was der Bericht zählt

Der Berichtszeitraum reicht vom 01.09.2025 bis zum 31.08.2026 (CrowdStrike-Bericht). Die Herstellerseite nennt folgende Kernzahlen zum Rechtssektor. Die BRAK gibt sie in ihrer Meldung im Wesentlichen wieder (BRAK-Meldung).

Die Zahl der Opfer auf Leck-Seiten ist ein Indikator für Erpressungsfälle, kein Zählwerk aller Angriffe. Ob die Zahlen nach Ländern aufgeschlüsselt sind, geht aus der abgerufenen Herstellerseite nicht hervor (CrowdStrike-Bericht). Eine Aussage zur Lage in Norddeutschland oder zur Größe der betroffenen Kanzleien lässt sich daraus nicht ableiten.

Was die Zahlen für kleine Kanzleien bedeuten

Die Redaktion bewertet den Bericht vorsichtig. Er stammt von einem Anbieter von Sicherheitsprodukten und beschreibt Beobachtungen aus dessen eigenem Kundenumfeld. Das macht die Zahlen nicht falsch, aber sie sind keine amtliche Statistik. Die Richtung ist dennoch eindeutig: Der Rechtssektor ist ein lohnendes Ziel, weil Kanzleien vertrauliche Daten halten und Ausfälle schlecht verkraften.

Dass finanzielle Motive überwiegen, spricht gegen die Annahme, kleine Kanzleien seien uninteressant. Erpressergruppen setzen auf Masse und automatisierte Wege. Die Größe der Kanzlei spielt dabei eine geringere Rolle als eine offene Anmeldeseite oder eine ungepatchte Software. Die Gruppe „Chatty Spider“ richtete sich nach den Angaben des Berichts zu fast 90 Prozent gegen Kanzleien (CrowdStrike-Bericht).

Fast 500 Anmeldeversuche in 30 Tagen

Besonders anschaulich ist ein Fall aus dem Bericht. Bei einer Passwortsprühkampagne verzeichnete eine Kanzlei innerhalb von 30 Tagen fast 500 fehlgeschlagene Anmeldeversuche gegen ebenso viele Konten, ausgehend von etwa 300 IP-Adressen (CrowdStrike-Bericht). Die BRAK nennt denselben Fall mit der Zahl der Fehlversuche (BRAK-Meldung).

Das Muster ist typisch: Wenige gängige Passwörter werden gegen viele Konten probiert, statt viele Passwörter gegen ein Konto. Eine Sperre nach mehreren Fehlversuchen greift dagegen schlecht, weil jedes Konto nur selten angefragt wird. Wirksam sind ein zweiter Faktor bei der Anmeldung und eine Auswertung ungewöhnlicher Anmeldeversuche.

Die BRAK empfiehlt in ihrer Meldung unter anderem die Mehr-Faktor-Authentifizierung für Anmeldungen (BRAK-Meldung). Für eine Kanzlei heißt das: E-Mail-Postfach, Fernzugang, Kanzleisoftware und Cloud-Speicher gehören zuerst auf die Liste, nicht erst das Intranet.

Software der Branche als Einfallstor

Im April 2026 wurde nach dem Bericht erstmals beobachtet, dass eine Gruppe gezielt branchenspezifische Software angreift. Genutzt wurde eine Schwachstelle im Produkt „Intapp Time Server“, einer Anwendung zur Zeiterfassung und Abrechnung (CrowdStrike-Bericht). Auch die BRAK erwähnt den Vorfall (BRAK-Meldung).

Für kleine Kanzleien liegt die Lehre nicht beim genannten Produkt, das hier nicht bewertet wird. Sie liegt in der Frage, welche Programme überhaupt von außen erreichbar sind und wer sie aktuell hält. Wer Software selbst betreibt, trägt die Aktualisierung. Wer sie als Dienst bezieht, trägt die Auswahl und die Kontrolle des Anbieters.

Der rechtliche Rahmen: Verschwiegenheit und Dienstleister

Rechtsanwälte sind zur Verschwiegenheit verpflichtet. Die Pflicht erfasst alles, was ihnen in Ausübung des Berufs bekannt geworden ist (§ 43a Abs. 2 BRAO). Beschäftigte sind in Textform zur Verschwiegenheit zu verpflichten und über die strafrechtlichen Folgen zu belehren (§ 43a Abs. 2 Satz 4 BRAO).

Strafrechtlich stellt § 203 Abs. 1 Nr. 3 StGB die unbefugte Offenbarung fremder Geheimnisse durch Rechtsanwälte unter Strafe. Wer als Anwalt nicht dafür sorgt, dass eine sonstige mitwirkende Person zur Geheimhaltung verpflichtet wird, kann sich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB strafbar machen. Das betrifft den Umgang mit externen Technikern und Dienstleistern.

Für externe Dienstleister regelt § 43e BRAO die Voraussetzungen. Der Anwalt darf ihnen den Zugang zu geschützten Tatsachen eröffnen, soweit das für die Dienstleistung erforderlich ist (§ 43e Abs. 1 BRAO). Er muss den Dienstleister sorgfältig auswählen und die Zusammenarbeit beenden, wenn die Vorgaben nicht eingehalten werden (§ 43e Abs. 2 BRAO).

Der Vertrag bedarf der Textform. Er muss den Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichten, den Kenntnisumfang auf das Erforderliche begrenzen und regeln, ob weitere Personen herangezogen werden dürfen (§ 43e Abs. 3 BRAO). Wird die Leistung im Ausland erbracht, muss der dortige Schutz dem inländischen vergleichbar sein (§ 43e Abs. 4 BRAO). Die Vorschriften zum Schutz personenbezogener Daten bleiben unberührt (§ 43e Abs. 8 BRAO).

Prüfpunkte für die Kanzlei

Aus der BRAK-Meldung und den Normen lässt sich eine kurze Prüfliste ableiten. Sie ersetzt keine IT-Sicherheitsberatung, hilft aber bei der Selbstkontrolle:

• Zweiter Faktor: Alle Zugänge zu E-Mail, Fernzugriff, Kanzleisoftware und Speicher sind mit Mehr-Faktor-Authentifizierung gesichert (BRAK-Empfehlung).
• Fernzugriffe: Es ist dokumentiert, wer von außen auf die Kanzlei zugreifen kann, und nicht benötigte Zugänge sind geschlossen (BRAK-Empfehlung).
• Aktualisierungen: Betriebssystem, Browser und Fachsoftware werden regelmäßig aktualisiert, eigene Server eingeschlossen (BRAK-Empfehlung).
• Rückfrage bei ungewöhnlichen Anfragen: Wer per Telefon oder Mail Zugangsdaten, Überweisungen oder Dateifreigaben verlangt, wird über einen bekannten Kontaktweg zurückgerufen (BRAK-Empfehlung).
• Verpflichtung dokumentieren: Beschäftigte und externe Techniker sind in Textform zur Verschwiegenheit verpflichtet (§ 43a Abs. 2 BRAO, § 203 Abs. 4 StGB).
• Dienstleisterverträge prüfen: Textform, Verschwiegenheit, Kenntnisumfang und Unterbeauftragte sind geregelt (§ 43e Abs. 3 BRAO).
• Notfallplan: Es steht fest, wer bei einem Ausfall entscheidet, wer die Mandanten informiert und wie Fristen ohne IT weiter überwacht werden.

Grenzen dieses Beitrags

Die Meldung der BRAK und der Herstellerbericht sind Warnungen und Empfehlungen, keine Rechtsvorschriften. Ob und wann ein Angriff Meldepflichten nach dem Datenschutzrecht auslöst, wird hier nicht behandelt; die Vorschriften dazu bleiben nach § 43e Abs. 8 BRAO unberührt. Ebenso wenig ist Gegenstand, ob ein erfolgreicher Angriff strafrechtliche oder berufsrechtliche Folgen für die betroffene Kanzlei hat.

Die technischen Anforderungen an den Schutz des Mandatsgeheimnisses konkretisiert die Berufsordnung. Sie wurde für diesen Beitrag nicht ausgewertet. Die Zahlen des Berichts hat die Redaktion der Herstellerseite entnommen; die vollständigen Empfehlungen des Berichts stehen dort nach deren Angaben nur in der Langfassung.

Fazit

Die BRAK-Meldung vom 02.11.2026 bestätigt, was viele Kanzleien ahnen: Angriffe auf den Rechtssektor nehmen zu, und die Motive sind überwiegend finanziell (BRAK-Meldung). Die wirksamsten Maßnahmen sind unspektakulär, nämlich ein zweiter Faktor, kontrollierte Fernzugänge, aktuelle Software und geschulte Mitarbeitende. Wer zusätzlich Beschäftigte und Dienstleister nach § 43a BRAO und § 43e BRAO sauber verpflichtet hat, erfüllt zugleich die berufsrechtliche Seite.

Quellen

• Bericht zeigt wachsende Cybergefahren für Kanzleien (Bundesrechtsanwaltskammer), abgerufen am 03.11.2026
• 2026 Legal Threat Landscape Report (CrowdStrike), abgerufen am 03.11.2026
• § 203 StGB, Verletzung von Privatgeheimnissen (Bundesministerium der Justiz), abgerufen am 03.11.2026
• § 43e BRAO, Inanspruchnahme von Dienstleistungen (Bundesministerium der Justiz), abgerufen am 03.11.2026
• § 43a BRAO, Grundpflichten (Bundesministerium der Justiz), abgerufen am 03.11.2026

Stand: 03.11.2026. Allgemeine Information, keine Rechtsberatung.