Zwei große Anwaltskanzleien haben ihre Mandanten darüber informiert, dass ihre Daten in einen Angriff geraten sind, der sich gegen Menschen und nicht gegen Software richtete. Holland & Knight und Squire Patton Boggs gaben im Oktober 2026 Datenschutzverletzungen bekannt und benachrichtigten 14 Mandanten nach einem Social-Engineering-Angriff. Der Fall ist eine nützliche Erinnerung daran, wie ein Datenschutzverletzungsvorfall durch Social Engineering in einer Anwaltskanzlei abläuft und was die betroffenen Mandanten dagegen tun können.

Die Quellberichterstattung ist knapp, daher beschränkt sich dieser Beitrag auf das, was bestätigt wurde, und erklärt die allgemeine Mechanik dieser Art von Angriff. Es wird nicht spekuliert, welche Daten entwendet wurden oder wer dahinter steckte.

Was Holland & Knight und Squire Patton Boggs offengelegt haben

Laut der Berichterstattung haben beide Kanzleien im Oktober 2026 Sicherheitsvorfälle offengelegt. Insgesamt wurden 14 Mandanten benachrichtigt. Als Ursache wurde ein Social-Engineering-Angriff angegeben.

Die Quelle geht nicht darauf ein, welche Arten von Informationen offengelegt wurden, wie lange Angreifer Zugriff hatten oder wie die Täuschung durchgeführt wurde. Bis die Kanzleien oder Aufsichtsbehörden mehr veröffentlichen, bleiben diese Fragen offen. Wenn Sie Mandant einer der beiden Kanzleien sind, ist die Benachrichtigung, die Sie erhalten, die maßgebliche Quelle für das, was auf Sie zutrifft.

Wie Social Engineering die Abwehrmaßnahmen von Anwaltskanzleien umgeht

Social Engineering bedeutet, eine Person dazu zu bringen, etwas zu tun, das einem Angreifer hilft, wie etwa ein Passwort weiterzugeben, eine Anmeldeaufforderung zu bestätigen, eine Datei zu öffnen oder Informationen herauszugeben. Es muss keine Firewall überwinden oder eine Software-Schwachstelle ausnutzen. Es braucht nur eine überzeugende Nachricht, die einen beschäftigten Mitarbeiter erreicht.

Deshalb haben technische Abwehrmaßnahmen allein Grenzen. Verschlüsselung, Netzwerküberwachung und Zugriffskontrollen gehen alle davon aus, dass die Personen, die die Schlüssel halten, sie korrekt verwenden. Ein Angreifer, der sich als Kollege, Mandant oder IT-Helpdesk ausgibt, kann diese Kontrollen manchmal umgehen, indem er einen legitimen Nutzer bittet, die Tür zu öffnen.

Zu den gängigen Abwehrmaßnahmen, auf die sich Organisationen verlassen, gehören:

  • Phishing-resistente Multi-Faktor-Authentifizierung, wie etwa Hardware-Sicherheitsschlüssel
  • Verifizierungsverfahren für ungewöhnliche Anfragen, wie etwa Rückruf unter einer bekannten Nummer
  • Einschränkung, wer auf welche Mandantendateien zugreifen kann
  • Regelmäßige Schulungen der Mitarbeiter und simulierte Phishing-Übungen

Keine einzelne Maßnahme ist narrensicher, weshalb geschichtete Kontrollen wichtig sind.

Warum Mandantendaten bei professionellen Dienstleistungsunternehmen exponiert sind

Anwaltskanzleien halten eine konzentrierte Mischung von Informationen: Verträge, Finanzunterlagen, persönliche Details und Korrespondenz, die mit ihren Mandanten verbunden ist. Das macht sie zu einem attraktiven Ziel, denn ein erfolgreicher Eindringling kann viele Mandanten auf einmal betreffen.

Aus der Perspektive eines Mandanten gibt es auch eine Vertrauenslücke. Sie wählen eine Kanzlei wegen ihrer Expertise und Diskretion, aber Sie sehen selten ihre internen Sicherheitspraktiken. Ihre Daten sind nur so sicher wie die Gewohnheiten der Personen, die sie handhaben, und Sie haben wenig Kontrolle über diese Gewohnheiten. Die Offenlegungen dieser beiden Kanzleien zeigen, dass selbst große, gut ausgestattete Organisationen betroffen sein können, wenn eine Täuschung funktioniert.

Was das für Sie bedeutet

Wenn Sie einer der 14 benachrichtigten Mandanten sind, lesen Sie Ihre Mitteilung sorgfältig und befolgen Sie alle darin enthaltenen Anweisungen. Wenn nicht, gelten dieselben Grundsätze für jede Kanzlei, Bank oder jeden Anbieter, der Ihre Informationen hält.

Ein paar praktische Schritte:

  • Behandeln Sie Folge-Nachrichten mit Misstrauen. Nach einer Datenschutzverletzung geben sich Angreifer manchmal als die betroffene Organisation aus. Klicken Sie nicht auf Links in unerwarteten E-Mails oder Textnachrichten über den Vorfall. Kontaktieren Sie die Kanzlei über eine Telefonnummer oder Adresse, der Sie bereits vertrauen.
  • Überprüfen Sie Ihre Anmeldedaten-Hygiene. Verwenden Sie ein einzigartiges Passwort für jedes Konto, speichern Sie sie in einem Passwort-Manager und aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird. Wenn Sie irgendwo im Zusammenhang mit dieser Beziehung ein Passwort wiederverwendet haben, ändern Sie es.
  • Fragen Sie, was offengelegt wurde. Mandanten haben jedes Recht, eine Kanzlei zu fragen, welche Daten betroffen waren und was sie tut, um eine Wiederholung zu verhindern.
  • Aktivieren Sie Überwachung von Datenschutzverletzungsbenachrichtigungen. Viele Browser, Passwort-Manager und Kreditdienste können Sie benachrichtigen, wenn Ihre E-Mail-Adresse oder andere Details in einer bekannten Datenschutzverletzung auftauchen.
  • Beobachten Sie Ihre Konten. Behalten Sie in den kommenden Monaten Finanzauszüge und ungewöhnliche Anmeldewarnungen im Auge.

Für einen breiteren Überblick über die Schritte, die zu unternehmen sind, wenn persönliche Daten in einen großen Vorfall geraten, lesen Sie unsere Berichterstattung über den Carnival Corporation Datenschutzverletzung, von der etwa 6 Millionen Menschen betroffen waren.

Das Fazit

Die Offenlegungen von Holland & Knight und Squire Patton Boggs zeigen, dass ein Datenschutzverletzungsangriff durch Social Engineering in einer Anwaltskanzlei keine fortschrittliche Malware benötigt, um an sensible Mandanteninformationen zu gelangen. Er braucht einen überzeugenden Vorwand und eine Person, die bereit ist, ihm zu vertrauen. Kanzleien tragen die Hauptverantwortung für die Schulung ihrer Mitarbeiter und die Integration von Verifizierung in ihre Routinen, aber Mandanten sind nicht machtlos.

Fangen Sie heute an: Überprüfen Sie Ihre Passwörter, aktivieren Sie Multi-Faktor-Authentifizierung, richten Sie Benachrichtigungen über Datenschutzverletzungen ein und seien Sie wachsam gegenüber jeder Nachricht, die sich auf diese Vorfälle bezieht. Diese kleinen Gewohnheiten begrenzen den Schaden, wenn der Mitarbeiter von jemand anderem getäuscht wird.

FAQ: Q1: Welche Anwaltskanzleien haben die Datenschutzverletzungen offengelegt und wann? A1: Holland & Knight und Squire Patton Boggs haben im Oktober 2026 Sicherheitsvorfälle offengelegt. Insgesamt wurden 14 Mandanten benachrichtigt. Q2: Was hat die Datenschutzverletzung bei diesen Anwaltskanzleien verursacht? A2: Als Ursache wurde ein Social-Engineering-Angriff angegeben, der sich gegen Menschen und nicht gegen Software richtet. Q3: Was ist Social Engineering im Kontext einer Datenschutzverletzung bei einer Anwaltskanzlei? A3: Social Engineering bedeutet, eine Person dazu zu bringen, etwas zu tun, das einem Angreifer hilft, wie etwa ein Passwort weiterzugeben, eine Anmeldeaufforderung zu bestätigen, eine Datei zu öffnen oder Informationen herauszugeben. Es erfordert nicht, eine Firewall zu überwinden oder eine Software-Schwachstelle auszunutzen. Q4: Warum sind Anwaltskanzleien attraktive Ziele für Angreifer? A4: Anwaltskanzleien halten eine konzentrierte Mischung von Informationen wie Verträge, Finanzunterlagen, persönliche Details und Korrespondenz, die mit Mandanten verbunden ist, sodass ein erfolgreicher Eindringling viele Mandanten auf einmal betreffen kann. Q5: Was können Mandanten tun, wenn sie von dieser Datenschutzverletzung betroffen sind? A5: Wenn Sie Mandant einer der beiden Kanzleien sind, ist die Benachrichtigung, die Sie erhalten, die maßgebliche Quelle für das, was auf Sie zutrifft. Die Quelle geht nicht darauf ein, welche Arten von Informationen offengelegt wurden oder wie lange Angreifer Zugriff hatten. ---END---