Kanzlei-IT · Ransomware · Backup · Datensicherheit
Ransomware in der Kanzlei: Warum mehrere Backups im Ernstfall nicht reichen
Mehrere Backups. Im Ernstfall war nur ein sechs Monate alter Stand nutzbar.
Ein am 28. Juli 2026 im Anwaltsblatt veröffentlichter Tatsachenbericht beschreibt einen Ransomware-Angriff auf eine mittelgroße Rechtsanwalts- und Notarkanzlei. Kanzleisoftware, E-Mail, Kalender und Dateien waren nicht erreichbar. Die Serverdaten wurden verschlüsselt, große Datenmengen flossen an die Angreifer ab und auch die Website war betroffen.
Die Kanzlei verfügte über mehrere Sicherungen. Trotzdem stand zunächst nur ein etwa sechs Monate altes Backup zur Verfügung. Bis alle Systeme wieder uneingeschränkt nutzbar waren, vergingen Wochen. E-Mails und Daten einzelner Nebensysteme ließen sich nicht mit vertretbarem Aufwand wiederherstellen.
Die entscheidende Lehre
Ein erfolgreicher Sicherungslauf belegt nicht, dass alle benötigten Daten vollständig, sauber und innerhalb einer akzeptablen Zeit wiederhergestellt werden können.
Wichtig für Ihre Kanzlei
- Ein Backup-Protokoll ist noch kein Wiederanlauf: Erst ein vollständiger Test zeigt, ob Daten und Systeme wirklich nutzbar sind.
- Sicherungen müssen getrennt sein: Mindestens eine Kopie sollte technisch und administrativ vom Produktivsystem unabhängig sein.
- Der Ernstfall braucht klare Abläufe: Rollen, Kontakte, Prioritäten und Kommunikationswege müssen vorab festgelegt und offline verfügbar sein.
Wenn aus einer IT-Störung eine Kanzleikrise wird
Ein Cyberangriff betrifft in einer Kanzlei selten nur einzelne Dateien. Fallen Kanzleisoftware, Aktenzugriff, E-Mail, Kalender, Website und zentrale Benutzerkonten gleichzeitig aus, fehlen die Grundlagen für die tägliche Arbeit.
Termine und Fristen müssen über Ersatzwege geprüft werden. Die Kommunikation mit Mandantschaft, Gerichten, Versicherern und Behörden muss parallel neu organisiert werden.
Im geschilderten Fall verschlüsselten die Täter die Daten und kopierten sie zuvor aus der Kanzlei. Damit standen Betriebsunterbrechung, Datenverlust und die drohende Veröffentlichung vertraulicher Informationen gleichzeitig im Raum. IT-Forensik, Wiederaufbau, Krisenmanagement und Kommunikation liefen über Wochen nebeneinander.
Ein solcher Vorfall ist keine reine IT-Aufgabe
Er erfordert technische Sofortmaßnahmen und klare Entscheidungen auf Leitungsebene. Ohne vorbereitete Zuständigkeiten gehen gerade in den ersten Stunden wertvolle Zeit und wichtige Informationen verloren.
Warum mehrere Backups trotzdem ausfallen können
Mehrere Kopien erhöhen die Sicherheit nur, wenn sie nicht denselben Ausfallursachen unterliegen. Eine Sicherung auf einem anderen Datenträger oder an einem anderen Standort ist nicht automatisch unabhängig.
Entscheidend sind technische Trennung, getrennte Berechtigungen, nachvollziehbare Überwachung und ein geprüfter Wiederherstellungsweg.
Gemeinsame Zugänge und Berechtigungen
Greifen Produktivsystem, Sicherungssoftware und Administratoren über dieselbe Identitäts- oder Rechteumgebung aufeinander zu, kann ein kompromittiertes Administrationskonto auch die Datensicherung gefährden.
Mindestens eine Sicherung sollte deshalb technisch und administrativ vom Produktivsystem getrennt sein. Dazu gehören eigene Konten, begrenzte Rechte und Mehrfaktor-Authentifizierung.
Unbemerkte Veränderungen in älteren Sicherungen
Angreifer bleiben teilweise längere Zeit unentdeckt. In dieser Phase können manipulierte oder bereits infizierte Daten in neue Sicherungsstände gelangen. Auch fehlerhafte Jobs, beschädigte Speichermedien oder unvollständige Datenbanken fallen ohne Integritätsprüfung oft erst beim Zurückspielen auf.
Eine hohe Zahl an Wiederherstellungspunkten ersetzt daher keine Prüfung auf Sauberkeit und Nutzbarkeit.
Fehlende Abhängigkeiten
Ein Dateibestand allein stellt noch keinen Kanzleibetrieb her. Für den Wiederanlauf werden je nach Umgebung auch Datenbanken, Benutzerverzeichnis, Konfigurationen, Zertifikate, Schlüssel, Lizenzen, Schnittstellen und dokumentierte Installationsschritte benötigt.
Fehlt eine dieser Abhängigkeiten, kann ein formal vorhandenes Backup praktisch wertlos oder nur mit erheblichem Zeitaufwand nutzbar sein.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt für Ransomware-Szenarien getrennte Offline-Sicherungen und betont im IT-Grundschutz-Baustein zur Datensicherung die regelmäßige Prüfung, ob gesicherte Daten wie vorgesehen wiederhergestellt werden können.
Ein Backup ist erst nach dem Wiederherstellungstest belastbar
Ein aussagekräftiger Test bildet einen realistischen Ausfall in einer isolierten Umgebung nach. Er prüft nicht nur, ob sich eine einzelne Datei öffnen lässt.
Der Test muss zeigen, ob die für den Kanzleibetrieb definierte Systemkette wieder funktioniert und ob das Team den Ablauf anhand der vorhandenen Dokumentation wiederholen kann.
Vollständigkeit
Der Test umfasst alle Daten und Abhängigkeiten, die für den festgelegten Notbetrieb notwendig sind. Dazu zählen je nach Kanzlei die Kanzleisoftware, E-Akten, Dokumente, zentrale Datenbanken, Benutzerkonten, E-Mail- und Kalenderdaten sowie relevante Konfigurationen und Schnittstellen.
Integrität und Sauberkeit
Die wiederhergestellten Daten müssen konsistent und frei von bekannten Schadkomponenten sein. Deshalb gehört der Test in eine getrennte Umgebung. Dort lassen sich Datenbanken, Anwendungen und Berechtigungen prüfen, ohne das Produktivnetz erneut zu gefährden.
Akzeptabler Datenverlust
Die Kanzleileitung sollte festlegen, wie alt der jüngste nutzbare Sicherungsstand höchstens sein darf. Dieses Ziel wird häufig als Recovery Point Objective, kurz RPO, bezeichnet.
Die Antwort hängt davon ab, wie schnell sich Akten, Fristen, Termine, Eingänge und Arbeitsergebnisse verändern.
Akzeptable Wiederanlaufzeit
Ebenso wichtig ist die zulässige Dauer bis zur Wiederaufnahme der priorisierten Prozesse. Dieses Zeitziel heißt Recovery Time Objective, kurz RTO.
Ein Backup, dessen Wiederherstellung mehrere Wochen benötigt, erfüllt ein Ziel von wenigen Stunden oder Tagen nicht – selbst wenn die Daten vollständig vorhanden sind.
Dokumentierter und wiederholbarer Ablauf
Der Test endet mit einem Protokoll. Darin stehen verwendeter Sicherungsstand, Dauer, geprüfte Systeme, Abweichungen, fehlende Daten und verantwortliche Personen.
Aus jedem Fehler folgt eine konkrete Maßnahme mit Termin. Die Anleitung und die wichtigsten Kontaktdaten müssen auch offline verfügbar sein.
Was Kanzleien jetzt konkret prüfen sollten
Zeitpunkt und Umfang des letzten Tests
Prüfen Sie, wann zuletzt ein vollständiger Wiederherstellungstest stattgefunden hat und welche Systeme dabei tatsächlich gestartet wurden.
Legen Sie ein risikogerechtes Intervall fest. Wiederholen Sie den Test zusätzlich nach wesentlichen Änderungen, etwa nach einer Servermigration, dem Wechsel der Sicherungslösung oder der Einführung einer neuen Fachanwendung.
Trennung der Sicherungsumgebung
Klären Sie, ob mindestens eine Sicherung weder dauerhaft aus dem Produktivnetz erreichbar noch mit denselben Administrationskonten veränderbar ist.
Prüfen Sie außerdem, wie lange saubere Versionen aufbewahrt werden und wer Sicherungen löschen oder Aufbewahrungsregeln ändern darf.
Schutz von Identitäten und Endgeräten
Mehrfaktor-Authentifizierung, getrennte Administrationskonten, ein zentrales Passwortmanagement, konsequente Updates und Endpoint-Schutz senken die Angriffsfläche.
Monitoring sollte auffällige Anmeldungen, Rechteänderungen, ungewöhnliche Datenbewegungen und Fehler in der Sicherung sichtbar machen.
Offline verfügbarer Notfallplan
Der Notfallplan benennt Leitung, IT, Datenschutz, Kommunikation und Vertretungen. Er enthält erreichbare Kontaktdaten für IT-Forensik, Cyberversicherung, Datenschutzbeauftragte, Behörden und zentrale Dienstleister.
Er beschreibt Entscheidungswege, Ersatzkommunikation und die Reihenfolge der wiederherzustellenden Prozesse.
Regelmäßige Schulung des Teams
Technische Maßnahmen reichen nicht aus. Mitarbeitende benötigen regelmäßige Schulungen zu Phishing, sicheren Kennwörtern, verdächtigen Anhängen und Zugriffsversuchen.
Ebenso wichtig ist eine einfache Meldekette. Wer einen Verdacht früh meldet, hilft dabei, den Vorfall schneller einzugrenzen.
Vorbereitete Kommunikation und externe Hilfe
Legen Sie vorab fest, wer IT-Forensik und Cyberversicherung einschaltet, wer mit Mandantschaft, Gerichten und Kammern kommuniziert und wer datenschutzrechtliche Entscheidungen koordiniert.
Verträge und Versicherungsbedingungen sollten vor dem Vorfall geprüft werden, damit im Ernstfall keine Zeit durch unklare Zuständigkeiten verloren geht.
Die ersten Stunden: vorbereitet handeln statt improvisieren
Im Anwaltsblatt-Fall waren die schnelle Trennung der Netzwerkverbindungen, das Bewahren der vorhandenen Gerätezustände und der Verzicht auf eigenständige Rettungsversuche wichtige Erfolgsfaktoren.
Welche Schritte in der eigenen Umgebung richtig sind, muss der vorbereitete Notfallplan festlegen. Die Umsetzung gehört unmittelbar mit IT-Forensik und dem zuständigen Krisenteam abgestimmt.
Ad-hoc-Maßnahmen können Spuren vernichten, eine weitere Ausbreitung begünstigen oder Versicherungsanforderungen verletzen. Deshalb braucht die Kanzlei eine offline erreichbare Alarmierungskette, eine Person mit Entscheidungsvollmacht und einen vorbereiteten Ersatzkanal für die interne und externe Kommunikation.
Im Ernstfall zuerst die Meldekette aktivieren
Unkoordinierte Rettungsversuche können die forensische Aufklärung und den Wiederaufbau erschweren. Die konkreten Erstmaßnahmen sollten deshalb im Notfallplan festgelegt und mit den zuständigen Fachleuten abgestimmt sein.
DSGVO: Wiederherstellung gehört bereits zur Datensicherheit
Art. 32 Abs. 1 Buchst. c DSGVO nennt die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
Art. 32 Abs. 1 Buchst. d verlangt ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Ein Wiederherstellungstest ist damit nicht nur betriebliche Vorsorge. Er liefert auch einen wichtigen Nachweis für die Wirksamkeit des Datensicherungskonzepts.
Bei einer möglichen Verletzung des Schutzes personenbezogener Daten müssen Prüfung und Dokumentation unverzüglich beginnen. Art. 33 DSGVO verlangt eine Meldung an die zuständige Aufsichtsbehörde, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Meldung muss ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Art. 33 Abs. 5 verlangt zudem die Dokumentation der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.
Besteht voraussichtlich ein hohes Risiko für betroffene Personen, kommt nach Art. 34 DSGVO die unverzügliche Benachrichtigung der Betroffenen hinzu. Die Bewertung richtet sich nach dem konkreten Vorfall. Datenart, Umfang, mögliche Veröffentlichung, Verschlüsselung und Folgen für die Betroffenen spielen dabei eine zentrale Rolle.
Für Kanzleien kommt die anwaltliche Verschwiegenheit hinzu. Sie ist in § 43a Abs. 2 BRAO verankert und wird durch § 203 StGB strafrechtlich flankiert.
Datenschutzbeauftragte, spezialisierter Rechtsbeistand, IT-Forensik und Kanzleileitung sollten deshalb bereits im Notfallplan zusammengedacht werden.
IT-Sicherheit ist kein Einzelprodukt
Hundertprozentige Sicherheit gibt es nicht. Belastbare Vorsorge entsteht im Zusammenspiel von Infrastruktur, Datensicherung, Identitäts- und Zugriffsmanagement, Endpoint-Schutz, Monitoring, Support, Schulung und klaren Prozessen.
Eine Cloud-Struktur kann lokale Server-Abhängigkeiten reduzieren und Zuständigkeiten bündeln. Sie ersetzt aber weder die Prüfung der Sicherungsarchitektur noch einen dokumentierten Notfall- und Wiederanlaufplan.
Wer seine technische Ausgangslage prüfen möchte, kann im kostenlosen Kanzlei-Check gemeinsam mit RA-MICRO Köln die bestehende Infrastruktur, lokale Server-Abhängigkeiten, Datensicherung, Monitoring und mögliche RA-MICRO vCloud-Strukturen betrachten.
Weitere Informationen zur getrennten Sicherung von Kanzleidaten finden Sie auf der Seite Online-Datensicherung.
Auch KI-Anwendungen gehören in kontrollierte Datenwege und klare Zuständigkeiten. Zugriffe, Datenübertragungen, Berechtigungen und Verantwortlichkeiten sollten in das bestehende Sicherheits- und Notfallkonzept eingebunden werden.
Einen Überblick über die integrierten Anwendungen bietet die Seite KI für Kanzleien.
Fazit: Entscheidend ist der Wiederanlauf
Mehrere Backups schaffen noch keine belastbare Ausfallsicherheit. Entscheidend ist, ob die Kanzlei einen aktuellen, vollständigen und sauberen Datenstand in der vorgesehenen Zeit wieder in Betrieb nehmen kann.
Dafür braucht sie getrennte Sicherungen, klare Wiederanlaufziele, regelmäßige Tests und einen geübten Notfallplan.
Prüfen Sie deshalb nicht nur den letzten Sicherungslauf. Prüfen Sie den vollständigen Wiederanlauf.
Wie belastbar ist die Datensicherung Ihrer Kanzlei?
Im kostenlosen Kanzlei-Check betrachten wir gemeinsam Ihre technische Ausgangslage, Server-Abhängigkeiten, Datensicherung, Monitoring und mögliche vCloud-Strukturen.
Häufige Fragen zu Ransomware, Backups und Kanzlei-IT
Warum reicht ein erfolgreiches Backup-Protokoll nicht aus?
Das Protokoll zeigt in erster Linie, dass der Sicherungsprozess keinen erkannten Fehler gemeldet hat. Es beweist nicht automatisch, dass alle Daten enthalten, konsistent, frei von Schadsoftware und innerhalb der benötigten Zeit wiederherstellbar sind. Diesen Nachweis liefert erst ein dokumentierter Wiederherstellungstest.
Wie oft sollte eine Kanzlei die Wiederherstellung testen?
Die DSGVO nennt kein starres Intervall. Der Turnus muss zum Risiko, zur Änderungsgeschwindigkeit der Daten und zu den festgelegten Wiederanlaufzielen passen. Zusätzliche Tests sind nach wesentlichen Änderungen der Infrastruktur, Anwendungen oder Sicherungslösung sinnvoll.
Sind Cloud-Backups automatisch vor Ransomware geschützt?
Nein. Auch Cloud-Sicherungen benötigen getrennte Berechtigungen, geeignete Aufbewahrungsregeln, Schutz vor unbefugter Löschung und einen getesteten Rücksicherungsweg. Die Kanzlei sollte außerdem wissen, welche Leistungen der Anbieter übernimmt und welche Aufgaben bei ihr selbst verbleiben.
Muss ein Ransomware-Angriff immer der Datenschutzbehörde gemeldet werden?
Nicht jeder technische Vorfall führt automatisch zu einer Meldepflicht. Entscheidend ist, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welches Risiko daraus für die betroffenen Personen entsteht. Die Bewertung und Dokumentation müssen sofort anlaufen. Ergibt sich ein meldepflichtiges Risiko, gilt nach Art. 33 DSGVO grundsätzlich die Frist von möglichst 72 Stunden nach Bekanntwerden.
Was gehört in einen Notfallplan für Kanzleien?
Der Plan enthält Rollen, Vertretungen, erreichbare Kontakte, Entscheidungswege, technische Erstmaßnahmen, Ersatzkommunikation, Prioritäten für den Wiederanlauf und Abläufe für Forensik, Versicherung, Datenschutz und externe Kommunikation. Die aktuelle Fassung muss offline verfügbar und dem Krisenteam bekannt sein.
Quellen und weiterführende Hinweise
- Anwaltsblatt: Roland Albes: Cyberangriff auf eine Kanzlei. Ein Tatsachenbericht, 28. Juli 2026
- BSI: Maßnahmenkatalog Ransomware
- BSI: IT-Grundschutz-Baustein CON.3 Datensicherungskonzept
- Europäische Union: Datenschutz-Grundverordnung, insbesondere Art. 32 bis 34
- Bundesministerium der Justiz: § 43a BRAO – Anwaltliche Grundpflichten
- Bundesministerium der Justiz: § 203 StGB – Verletzung von Privatgeheimnissen
Wann wurde Ihre Wiederherstellung zuletzt vollständig getestet?
Ein Sicherungsprotokoll allein beantwortet diese Frage nicht. Im kostenlosen Kanzlei-Check betrachten wir Ihre Infrastruktur, Server-Abhängigkeiten, Datensicherung, Monitoring und mögliche vCloud-Strukturen – damit aus vorhandenen Backups ein belastbarer Wiederanlauf wird.