Goodwin Procter, eine der größten Anwaltskanzleien der USA, zahlte rund 10 Millionen Dollar an die als Luna Moth bekannte Erpressergruppe, nachdem die Kanzlei Anfang des Jahres eine Datenschutzverletzung offengelegt hatte, so mit der Angelegenheit vertraute Personen. Die Zahlung, bei der Berichten zufolge Brit eine führende Rolle in der Reaktion übernommen haben soll, ist eine der höchsten öffentlich bekannten Lösegeldforderungen im Zusammenhang mit einem einzelnen Kanzlei-Vorfall und wirft ein Schlaglicht darauf, wie juristische Institutionen mit Mandantendaten umgehen, wenn Angreifer anklopfen.

Was bei Goodwin Procter geschah

Details sind nach wie vor begrenzt, aber die Kernfakten sind eindeutig: Goodwin Procter erlitt Anfang des Jahres eine Datenschutzverletzung, der Vorfall wurde offengelegt, und die Kanzlei zahlte schließlich rund 10 Millionen Dollar an eine Erpressergruppe, anstatt gestohlene Daten veröffentlichen oder verkaufen zu lassen. Luna Moth, die Gruppe hinter der Erpressung, ist kein bekannter Name wie manche Ransomware-Banden, aber ihre Vorgehensweise folgt einem immer häufigeren Muster: Angreifer verschaffen sich Zugang zu sensiblen Dateien, exfiltrieren sie und fordern dann eine Zahlung, um die Veröffentlichung zu verhindern, statt zwingend die Systeme direkt zu verschlüsseln.

Die Höhe der Zahlung ist bemerkenswert. Lösegeldforderungen in zweistelliger Millionenhöhe waren bisher meist mit großen Krankenhausverbünden, Herstellern oder Finanzinstituten verbunden. Dass eine Anwaltskanzlei diesen Betrag erreicht, zeigt, wie wertvoll juristische Fallakten, Mandantenkommunikation und vertrauliche Unterlagen für Erpresser geworden sind – und wie viel Kanzleien zu zahlen bereit sind, um diese Daten aus der Öffentlichkeit herauszuhalten.

Warum Anwaltskanzleien attraktive Ziele sind

Anwaltskanzleien verfügen über eine ungewöhnliche Konzentration sensibler Informationen. Prozessunterlagen, Fusionsdokumente, personenbezogene Daten aus Familien- und Nachlassangelegenheiten sowie vertrauliche Mandantenkorrespondenz laufen über die Server der Kanzleien. Anders als bei einem Einzelhändler oder Gesundheitsdienstleister berühren die Daten einer Kanzlei oft mehrere Dritte gleichzeitig: Mandanten, gegnerische Anwälte, Gerichte und Aufsichtsbehörden. Dieses Geflecht von Risiken verleiht Erpressergruppen erheblichen Druck, denn ein Datenleck schädigt nicht nur die Kanzlei, sondern kann die Vertraulichkeitsverpflichtungen gegenüber allen Mandanten verletzen, deren Akten betroffen sind.

Diese Dynamik spiegelt wider, was sich kürzlich auch in anderen Branchen abgespielt hat. Der Cushman & Wakefield Vishing-Angriff zeigte, wie Angreifer Social Engineering nutzen können, um tief in die Aufzeichnungen einer Organisation einzudringen, während Vorfälle wie der Napoleon Perdis Datenleck zeigen, wie schnell geleakte Kundendaten öffentlich zirkulieren, sobald ein Bedrohungsakteur beschließt, sie zu Geld zu machen. In beiden Fällen – und nun auch bei Goodwin Procter – ist die grundlegende Kalkulation für die Opfer dieselbe: die Kosten der Zahlung abwägen gegen die Kosten und den Reputationsschaden einer öffentlichen Veröffentlichung.

Was das für Sie bedeutet

Für die breite Öffentlichkeit mag eine Lösegeldzahlung einer Anwaltskanzlei weit entfernt von alltäglichen Datenschutzsorgen erscheinen, aber die Auswirkungen sind real. Wenn Sie aktueller oder ehemaliger Mandant einer von einem solchen Vorfall betroffenen Kanzlei sind, könnten Ihre personenbezogenen Daten, Finanzdetails oder Fallhistorien Teil der entwendeten Daten gewesen sein – unabhängig davon, ob ein Lösegeld gezahlt wurde oder nicht. Eine Zahlung garantiert nicht, dass die Daten vernichtet oder nie anderweitig kopiert wurden.

Dies ist Teil eines breiteren Trends, bei dem sensible persönliche Informationen – seien es juristische Unterlagen, Wählerverzeichnisse oder Kundendatenbanken – von Erpressergruppen als Ware behandelt werden. Die Debatte um den Umgang mit Daten beschränkt sich auch nicht auf Anwaltskanzleien; sie knüpft an Bedenken an, die in Diskussionen über die Weitergabe von Wählerdaten und Datenschutzrechte laut werden, wo Institutionen mit großen Mengen personenbezogener Daten zunehmend unter Beobachtung stehen, wie diese Informationen geschützt und offengelegt werden.

Wenn Sie eine Benachrichtigung über einen Datenschutzvorfall von einer beliebigen Organisation, einschließlich einer Anwaltskanzlei, erhalten, nehmen Sie sie ernst – auch wenn darin steht, es sei ein Lösegeld gezahlt oder die Situation sei bereinigt worden. Die Zahlung an eine Erpressergruppe erkauft kurzfristig Schweigen, aber keine Garantie, dass Ihre Daten niemals kopiert, verkauft oder von einem weiteren Akteur aufbewahrt wurden.

Handlungsempfehlungen für Leser

Das können Sie tun, wenn Sie sich wegen einer möglichen Betroffenheit durch einen solchen Vorfall Sorgen machen:

  • Verfolgen Sie alle Korrespondenz zu Datenschutzvorfällen aufmerksam und gehen Sie nicht davon aus, dass ein abgeschlossener Fall bedeutet, Ihre Daten seien sicher.
  • Nutzen Sie Kreditüberwachungs- oder Identitätsdiebstahl-Schutzdienste, wenn Sie benachrichtigt wurden, dass finanzielle oder personenbezogene Daten betroffen waren.
  • Ändern Sie Passwörter und aktivieren Sie die Multi-Faktor-Authentifizierung für alle Konten, die mit der betroffenen Organisation in Verbindung stehen.
  • Bleiben Sie skeptisch bei nachfolgenden E-Mails oder Anrufen, die sich auf den Vorfall beziehen, da Angreifer manchmal veröffentlichte Details für sekundäre Phishing-Versuche nutzen.

Der Fall Goodwin Procter ist eine Erinnerung daran, dass Lösegeldzahlungen – selbst hohe – das zugrunde liegende Datenschutzrisiko für die Personen, deren Daten entwendet wurden, nicht beseitigen. Während Erpressergruppen weiterhin Organisationen angreifen, die sensible Aufzeichnungen speichern, bleibt es die zuverlässigste Verteidigung für Einzelpersonen, auf Datenschutzbenachrichtigungen zu achten und grundlegende Schutzmaßnahmen zu ergreifen.