Rechtsanwaltskanzleien geraten zunehmend ins Visier von Cyberkriminellen. Sensible Mandantendaten, straffe Fristen und eine Vielzahl externer Kommunikationspartner machen Kanzleien zu einem besonders lohnenden Ziel für Phishing-Angriffe. Gleichzeitig werden die Angriffe selbst immer raffinierter: Bekannte Absenderadressen, professionell wirkende Formulierungen und realistische Bezüge zu laufenden Vorgängen erschweren es zunehmend, einen Betrugsversuch überhaupt zu erkennen. Dieser Beitrag ordnet ein, warum Kanzleien so gefährdet sind, wie Phishing heute funktioniert und welche Maßnahmen sich in der Praxis bewährt haben.
Warum Rechtsanwaltskanzleien ein besonders relevantes Ziel sind
Kanzleien haben es naturgemäß mit sehr sensiblen Informationen zu tun. Hinzu kommt ein hoher Zeit- und Fristendruck: Verhandlungstermine, Einreichfristen für Klagsschriften oder andere zeitkritische Prozesse lassen wenig Spielraum, auf einen IT-Vorfall zu reagieren. Genau das spielt Angreifern in die Hände. Phishing ist meist das erste Glied einer längeren Angriffskette – gelangt darüber ein Verschlüsselungstrojaner ins System, verliert die Kanzlei den Zugriff auf ihr Aktensystem, während etwa am nächsten Tag eine Verhandlung ansteht. Der entstehende Druck erhöht die Wahrscheinlichkeit, dass Lösegeldforderungen schnell bezahlt werden, um wieder handlungsfähig zu sein.
Hinzu kommt: Kanzleien gelten in der Regel als finanzstark, weshalb geforderte Lösegelder deutlich höher ausfallen als bei einem durchschnittlichen Unternehmen. Auch die Vielzahl externer Kommunikationspartner begünstigt Angriffe – bei der Übernahme eines neuen Mandats hat eine Kanzlei oft mit vielen unterschiedlichen Personen und Kanälen gleichzeitig zu tun, was die Angriffsfläche vergrößert.
Was Phishing ist und wie es funktioniert
Phishing bezeichnet eine Betrugsmasche, bei der Angreifer gefälschte E-Mails, Nachrichten, Websites oder andere Kommunikationskanäle wie das Telefon nutzen, um Nutzer:innen zur Preisgabe von Zugangsdaten, Finanzinformationen oder anderen sensiblen Daten zu verleiten – oder um Schadsoftware zu verbreiten. Die Angreifer geben sich dabei als vertrauenswürdige Person oder Organisation aus.
Praktisch läuft das häufig so ab: Ein Klick führt auf eine gefälschte Login-Seite, die einer bekannten Anmeldeseite – etwa eines Microsoft-Kontos – täuschend ähnlich sieht. Wer dort seine Zugangsdaten eingibt, übergibt sie direkt an die Angreifer, die damit Kontrolle über E-Mail-Konten erlangen. Alternativ kann ein Klick den Download von Schadsoftware auslösen, etwa einen Verschlüsselungstrojaner oder Spyware, die Login-Daten auf verschiedenen Plattformen ausliest. Auch Aufforderungen, Geld zu überweisen oder Gutscheine zu kaufen, gehören zum Repertoire. Nicht immer steht dabei ein finanzieller Anreiz im Vordergrund: Manche Angriffe zielen schlicht darauf ab, vertrauliche Informationen abzugreifen – also auf Spionage.
E-Mail bleibt der häufigste Angriffskanal, aber längst nicht der einzige. In einem uns bekannten Fall wurde die Geschäftsführung eines Unternehmens von einer Stimme angerufen, die dem echten Bankbetreuer täuschend ähnlich klang. Die angerufene Person sollte eine Transaktion mit einem Autorisierungscode freigeben und begann bereits, den Code aus einer App zu übermitteln – wurde jedoch nach der zweiten Ziffer misstrauisch, brach ab und rief bei der Bank an. Dort bestätigte sich: Es handelte sich um Betrug. Ein solcher Fall lässt sich technisch auch als Deepfake erklären – also als KI-generierte Stimm- oder Videoimitation einer echten Person, erzeugt aus im Internet verfügbarem Bild- und Tonmaterial. Solche Fälschungen waren früher oft an Details erkennbar, etwa an fehlerhaft dargestellten Fingern oder Ohren. Diese Technik wird jedoch kontinuierlich besser und dürfte in absehbarer Zeit – realistisch innerhalb weniger Monate – kaum noch zu erkennen sein.
Woran man verdächtige Nachrichten erkennt
Während früher holpriges Deutsch, Tippfehler oder eine seltsame Anrede typische Warnsignale waren, sind Phishing-Mails heute meist sauber formuliert und optisch professionell gestaltet. Sie scheinen oft von einem bekannten Absender zu kommen und nehmen teilweise Bezug auf reale Arbeitsabläufe oder bestehende E-Mail-Verläufe.
Ein Beispiel aus der Praxis verdeutlicht, wie weit diese Täuschung reichen kann: Eine Phishing-Mail wurde von der tatsächlichen E-Mail-Adresse einer Kanzlei-Partnerin verschickt, mit der der Empfänger in einem laufenden Geschäftsvorgang stand. Die Nachricht forderte dazu auf, ein Vertragsdokument über einen Link herunterzuladen – inhaltlich passend zu einer erwarteten Bestellung. Der Absender war korrekt, dennoch handelte es sich um Phishing: Der E-Mail-Server der Kanzlei war zuvor gehackt worden, sodass die Nachricht tatsächlich vom echten, aber kompromittierten Postfach aus versendet wurde. Für Empfänger:innen ist ein solcher Vorgang von außen nicht erkennbar. In diesem Fall verhinderte eine aktuelle Antivirus-Software rechtzeitig den Download der Schadsoftware.
Daraus ergibt sich eine wichtige Erkenntnis: Eine bekannte E-Mail-Adresse bedeutet nicht automatisch, dass eine Nachricht sicher ist – das Postfach des Absenders kann kompromittiert sein. Das kann auch mitten in einem bereits bestehenden E-Mail-Verlauf passieren, etwa in der siebten oder siebzehnten Nachricht, weil Angreifer mit Zugriff auf den Verlauf einfach weiterschreiben.
Zusammengefasst lassen sich folgende typische Muster verdächtiger Nachrichten benennen: künstlicher Zeitdruck („Notfall“, dringende Erledigung), die Aufforderung zur Geheimhaltung, Zahlungsaufforderungen oder angebliche Kontodaten-Updates, unerwartete Login-Links für ungewöhnlich genutzte Dienste, generische Anhänge wie „Invoice“, „Document“ oder „Scan“ sowie emotionaler Druck durch angebliche Notfälle.
Handlungsempfehlungen für Rechtsanwaltskanzleien:
- Bei Verdacht nicht klicken und Anhänge nicht öffnen.
- Nicht direkt auf die verdächtige E-Mail antworten – bei einem kompromittierten Postfach landet die Antwort ohnehin bei den Angreifern.
- Rückversicherung über einen anderen Kanal einholen: Bei bekannten Personen anrufen, aber die Nummer aus dem eigenen gespeicherten Kontakt verwenden, nicht aus der E-Mail-Signatur, da auch diese gefälscht sein kann.
- Bei Unternehmenskontakten die Telefonnummer unabhängig recherchieren (z. B. über eine Google-Suche) und verifizieren.
- Im Zweifel IT-Verantwortliche oder Partner im Unternehmen einbeziehen und die Nachricht prüfen lassen.
- Wurde bereits geklickt: sofort melden, ohne es zu verschweigen. Nur so lässt sich das System noch bereinigen, bevor eine Verschlüsselung greift.
- Nach einem Vorfall: IT informieren, Passwort zurücksetzen, aktive Sitzungen beenden, prüfen lassen, ob das Postfach kompromittiert wurde, sofort einen Virenscan durchführen und mögliche Datenschutzfolgen klären.
- Präventiv auf eine Kombination aus technischen Maßnahmen (aktuelle Antivirus-Software, gute E-Mail-Filter), organisatorischen Prozessen (Multi-Faktor-Authentifizierung, individuelle Passwörter pro Dienst, Passwortmanager, definierte interne Freigabeprozesse für Zahlungen) und Sicherheitsbewusstsein der Mitarbeiter:innen (z. B. regelmäßige Security-Awareness-Schulungen) setzen.
- Den Kontext einer Anfrage prüfen statt sich allein auf das Vertrauensverhältnis zu einer Person zu verlassen – insbesondere im Hinblick auf zunehmend überzeugende Deepfakes.
Fazit
Phishing-Angriffe auf Rechtsanwaltskanzleien werden technisch immer ausgefeilter: Bekannte Absenderadressen, professionelle Sprache und Bezüge zu realen Arbeitsabläufen erschweren die Erkennung zunehmend. Selbst erfahrene Fachleute können auf eine gut gemachte Phishing-Mail hereinfallen. Entscheidend ist daher weniger, ob ein Klick passiert – das kann grundsätzlich jedem passieren –, sondern wie schnell und offen darauf reagiert wird. Eine Kombination aus technischen Schutzmaßnahmen, klaren internen Prozessen und kontinuierlicher Sensibilisierung bleibt der wirksamste Weg, um das Risiko spürbar zu reduzieren.
Webinar zum Nachsehen
Die Inhalte dieses Artikels basieren auf einem Webinar von cloudANWALT zum Thema Phishing und IT-Sicherheit in Rechtsanwaltskanzleien.
Das Webinar kann hier heruntergeladen bzw. angesehen werden:
https://www.cloudanwalt.info/webinare/ein-klick-mit-folgen/