Das Wichtigste in Kürze
- Höchstes Zielprofil: Kanzleien verfügen über konzentrierte Insider-Informationen: Übernahmeschlachten (M&A), Strafverfahren, Nachlassregelungen und Scheidungsakten. Für Erpresser und Wirtschaftsspione ein Traumziel.
- Strafrechtliche Haftung: Art. 321 StGB sanktioniert das Offenbaren von Geheimnissen. Wer unverschlüsselte Cloud-Dienste oder ungesicherte E-Mails nutzt, riskiert strafrechtliche Konsequenzen und disziplinarische Massnahmen der Anwaltskammer.
- Schwachstelle Mandanten-Kommunikation: Herkömmliche E-Mails sind wie digitale Postkarten. Ohne erzwungene Transportverschlüsselung (TLS), SPF, DKIM und DMARC drohen Man-in-the-Middle-Angriffe und gefälschte Honorarforderungen (Invoice Fraud).
- Sicherheitsnachweis: Institutionelle Mandanten (Banken, Versicherungen, Konzerne) verlangen von ihren Kanzleien zunehmend geprüfte Sicherheitszertifikate.
1. Warum Hacker gezielt Schweizer Kanzleien ins Visier nehmen
Grosskonzerne investieren Millionen in Cyberabwehrzentren (SOC) und hochkomplexe Sicherheitssysteme. Doch Konzerne teilen ihre vertraulichsten Unterlagen – Gutachten, Verträge, Patentstreitigkeiten – eins zu eins mit ihren Rechtsanwälten. Kriminelle wählen daher den Weg des geringsten Widerstands («Supply Chain Attack»): Sie hacken nicht die Bank, sondern die Anwaltskanzlei, die die Bank vertritt.
Im Darknet existieren spezialisierte Broker, die gezielt nach Zugängen zu Partnern renommierter Kanzleien suchen, um Insider-Handel an der Börse zu betreiben oder das Anwaltshonorar über gefälschte Bankdaten umzuleiten.
2. Die drei häufigsten Sicherheitsfallen in Anwaltspraxen
1. Vertrauliche Akten in unsicher konfigurierten Cloud-Speichern
Viele Kanzleien modernisieren ihre IT und wechseln zu Microsoft 365, SharePoint oder Dropbox. Häufig werden Aktenordner über «Jeder mit dem Link» freigegeben, um Dokumente mit Klienten oder Gegenanwälten auszutauschen. Ein einziger weitergeleiteter Link genügt, und Akten sind weltweit ohne Authentifizierung einsehbar.
2. CEO Fraud & Mandantenbetrug bei Transaktionen
Angreifer kapern das E-Mail-Postfach eines Partners (oft via Phishing). Sie lesen wochenlang still mit («Silent Monitoring») und warten auf den Tag, an dem ein grosser Vergleich, ein Grundstückskauf oder eine Erbteilung fällig wird. Im letzten Moment senden die Betrüger aus dem echten Postfach des Anwalts eine Nachricht: «Bitte überweisen Sie die Vergleichssumme von CHF 850'000 auf unser neues Treuhandkonto bei der Bank X.» Der Mandant überweist – das Geld ist weg.
3. Veraltete VPN-Gateways im Homeoffice
Partner und Substituten arbeiten regelmässig von unterwegs oder zu Hause. Wenn der Zugriff über ein veraltetes VPN-Gateway (wie SonicWall, Fortinet oder Ivanti) ohne aktuelle Sicherheits-Patches erfolgt, können Angreifer Passwörter im Klartext abgreifen oder direkt ins lokale Kanzleinetz einbrechen.
| Anforderung nach Art. 321 StGB & nDSG | Risiko in Kanzleien | Prüfung durch Suisse Guard |
|---|---|---|
| Vertraulichkeit der Mandanten-E-Mails | Ungesicherte E-Mail-Übertragung, Spoofing von Kanzlei-Absendern. | Prüfung von DMARC (p=reject), DKIM, SPF und TLS-Ciphers. |
| Schutz digitaler Datenräume | Anonyme Freigabelinks in SharePoint oder Cloud-Diensten. | Identifikation offener Cloud-Speicher und undokumentierter Portale. |
| Zugangskontrolle Homeoffice / Partner | Einfache Passwörter ohne MFA für Kanzlei-VPN oder Webmail. | Prüfung aller Login-Endpunkte auf Brute-Force und MFA-Zwang. |
3. Leitfaden des Schweizerischen Anwaltsverbands (SAV) und nDSG
Der SAV hat in seinen Richtlinien zur Digitalisierung unmissverständlich klargestellt:
- Verschlüsselungspflicht: Besonders schützenswerte Mandantendaten müssen im Ruhezustand («at rest») und bei der Übertragung («in transit») stark verschlüsselt sein.
- Prüfung von Cloud-Anbietern: Wer Cloud-Dienste beizieht, muss sicherstellen, dass die Datenverarbeitung ausschliesslich in der Schweiz oder in Staaten mit gleichwertigem Datenschutzniveau erfolgt und kein fremder Staat Zugriff auf die Schlüssel hat.
- Regelmässige technische Auditierung: Anwälte müssen die getroffenen technischen Massnahmen regelmässig auf ihre Wirksamkeit überprüfen lassen.
Schützen Sie das Berufsgeheimnis Ihrer Kanzlei
Lassen Sie Ihre Kanzlei-Infrastruktur unabhängig, diskret und pauschal auf Schwachstellen prüfen.
