Hacker des Chaos Computer Clubs decken schwere IT-Lücken bei Kanzleisoftware auf – Anwälte und Klienten gefährdet

Sicherheitsforscher haben kritische Schwachstellen im führenden Programm für Kanzleien entdeckt. Der Anbieter patchte sie, informierte Betroffene aber nicht richtig. Warum das Millionen Deutscher betrifft und was jetzt zu tun ist.

In einer brisanten Entdeckung haben Hacker des Chaos Computer Clubs (CCC) schwere Sicherheitslücken in der Software des Marktführers für Kanzleisoftware aufgedeckt. Die Lücken ermöglichten potenziell den unbefugten Zugriff auf sensible Mandantendaten von Anwälten in ganz Deutschland. Der Anbieter hat die Schwachstellen zwar geschlossen, Betroffene jedoch offenbar nicht ausreichend informiert. Diese Entwicklung sorgt gerade jetzt für Aufregung, da Anwaltskanzleien täglich mit hochvertraulichen Informationen umgehen und Cyberangriffe auf Rechtsberatungsfirmen zunehmen.

Die Recherche des CCC zeigt, wie anfällig selbst etablierte Softwarelösungen für Kanzleien sein können. Betroffen sind Hunderttausende Anwälte und deren Klienten, deren Daten wie Verträge, Strafakten oder Erbschaftsdokumente geschützt werden müssen. In Deutschland gibt es rund 165.000 Anwälte, viele nutzen dieselbe Software. Ein Datenleck könnte zu Erpressungen oder Identitätsdiebstählen führen. Die Enthüllung kommt zu einem Zeitpunkt, an dem Cyberkriminalität auf Rekordhoch ist und Behörden wie das BSI vor verstärkten Angriffen warnen.

Die Schwachstellen wurden in der Cloud-basierten Lösung entdeckt, die für Mandantenverwaltung, Abrechnung und Dokumentenarchivierung genutzt wird. Hacker hätten Passwörter knacken oder Daten abgreifen können. Ob bereits Missbrauch stattfand, ist unklar, doch die mangelnde Information der Nutzer verstärkt das Misstrauen. Experten fordern strengere Pflichten für Softwareanbieter.

Was ist passiert?

Die Sicherheitsforscher des Chaos Computer Clubs, einer der renommiertesten Hacker-Communities weltweit, haben monatelang die Kanzleisoftware getestet. Sie fanden mehrere kritische Lücken, darunter Schwachstellen in der Authentifizierung und im Datenübertragungsprotokoll. Diese erlaubten potenziell Fernzugriffe ohne gültige Zugangsdaten.

Der Anbieter, ein deutsches Unternehmen mit Sitz in Bayern, wurde umgehend informiert. Innerhalb weniger Wochen wurden Patches ausgerollt. Laut CCC-Bericht wurden jedoch nicht alle Kunden zeitnah benachrichtigt, was gegen branchenübliche Standards verstößt. Einige Kanzleien erfuhren erst durch die CCC-Publikation von dem Risiko.

Der CCC, bekannt für Enthüllungen bei Wahlsystemen oder Smart-Metern, handelte verantwortungsvoll: Zuerst Disclosure ans Unternehmen, dann öffentliche Warnung. Solche Findings sind essenziell, da Anwaltssoftware unter der strengen Datenschutz-Grundverordnung (DSGVO) fällt.

Details der entdeckten Lücken

Zu den Schwachstellen zählten SQL-Injection-Möglichkeiten und ungesicherte API-Endpunkte. Ein Angreifer hätte mit gängigen Tools Datenbanken auslesen können. Die Cloud-Architektur verstärkte das Risiko, da Server zentral in Deutschland gehostet werden.

Reaktion des Anbieters

Das Unternehmen bestätigte die Lücken und lobte die CCC-Forscher. Updates wurden automatisch verteilt, doch E-Mail-Benachrichtigungen gingen nur an Premium-Kunden. Kleinere Kanzleien blieben teilweise im Unklaren.

Warum sorgt das gerade jetzt für Aufmerksamkeit?

Die Publikation fällt in eine Phase steigender Cyberbedrohungen für Profis. 2025 gab es einen Anstieg von Ransomware-Angriffen auf Kanzleien um 40 Prozent, nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI). Gerade jetzt, mit laufenden Prozessen zu KI und Datenschutz, sind Anwälte ein lukratives Ziel.

Medienberichte häufen sich: Der SPIEGEL berichtete ausführlich, gefolgt von Fachportalen. Die Debatte um verpflichtende Sicherheitsaudits für Branchensoftware gewinnt an Fahrt. Wirtschaftsministerin Reiche thematisierte kürzlich ähnliche Fälle in der Branche.

Außerdem steht die EU vor neuen Cyber-Resilienz-Anforderungen (CRA), die Softwarehersteller ab 2026 zu regelmäßigen Tests zwingen. Diese Enthüllung beschleunigt die Diskussion in Deutschland.

Aktuelle Cybertrends

Ransomware-Gruppen zielen verstärkt auf Rechtswesen ab, da Daten hochwertig für Erpressung sind. Beispiele aus 2025: Angriffe auf nordrhein-westfälische Kanzleien.

Politischer Kontext

Im Bundestag wird ein Gesetzentwurf zu IT-Sicherheit debattiert. Die CCC-Lücken passen perfekt in diese Agenda.

Was bedeutet das für deutsche Leser?

Für jeden, der einen Anwalt beauftragt – von Privatpersonen bei Scheidungen bis Firmen in Vertragsstreitigkeiten – ist das alarmierend. Datenlecks können zu finanziellen Verlusten oder Rufschäden führen. Deutsche Kanzleien verwalten Milliarden an Vermögen digital.

Privatpersonen sollten ihre Anwälte nach Sicherheitsmaßnahmen fragen. Firmen müssen Lieferantenverträge prüfen. Das BSI rät zu Zwei-Faktor-Authentifizierung und regelmäßigen Backups.

In Zeiten digitaler Gerichtsverfahren (eJustice) wird sichere Software zum Muss. Betroffen sind vor allem kleine und mittlere Kanzleien, die oft einheitliche Tools nutzen.

Tipps für Anwälte

1. Software sofort updaten. 2. Penetrationstests durchführen. 3. Datensicherheitsbeauftragten einsetzen.

Auswirkungen auf Klienten

Klienten haben Anspruch auf Information. Bei Verdacht auf Leck: Melden ans BfDI.

Weiteres zur Kanzleisoftware-Sicherheit auf ad-hoc-news.de. Der BSI warnt vor Cloud-Risiken.

Was als Nächstes wichtig wird

Erwartet werden strengere Vorgaben durch das BSI und die EU. Anbieter müssen Zero-Trust-Modelle einführen. Der CCC plant weitere Tests bei Rechtssoftware.

Kanzleien sollten auf Open-Source-Alternativen umsteigen oder Multi-Factor überall aktivieren. Gesetzgeber diskutiert Haftung für uninformierte Nutzer.

Zukünftige Regulierungen

Die Cyber Resilience Act erzwingt Vulnerability-Disclosure. In Deutschland könnte ein Kanzlei-IT-Gesetz folgen.

Empfehlungen für Nutzer

Regelmäßige Audits und Schulungen sind Pflicht. Tools wie Have I Been Pwned prüfen Leaks.

Die Debatte zeigt: Digitale Sicherheit ist kein Nice-to-have, sondern Überlebensfrage für Kanzleien. Bleibt dran an Updates vom BSI.

Stimmung und Reaktionen

CCC-Thread zur EntdeckungReddit-Diskussion unter AnwältenLinkedIn-Reaktionen von Experten

Weitere Hintergründe finden sich in Heise-Reporting. Und auf ad-hoc-news.de zu Cyberangriffen.

Die Szene bleibt wachsam. Neue Bedrohungen lauern, doch Wissen schützt. Anwälte, die proaktiv handeln, sichern sich und ihre Klienten ab.