Silent Ransom Group greift Anwaltskanzleien mit IT-Imitation an

Anwaltskanzleien besitzen einige der sensibelsten Informationen, die es außerhalb von Krankenhäusern und Behörden gibt: Fusionsdetails, Prozessstrategien, Mandantenfinanzen sowie personenbezogene Unterlagen zu laufenden Verfahren. Diese Mischung aus hohem Wert und, in vielen Fällen, knappen Budgets für Cybersicherheit hat den Rechtssektor zu einem zunehmend attraktiven Ziel für eine Gruppierung gemacht, die als Silent Ransom Group (SRG) bekannt ist. Diese auch unter den Pseudonymen Luna Moth, Chatty Spider und UNC3753 geführte Gruppe hat ein Erpressungsschema entwickelt, das den Teil, den die meisten mit Ransomware verbinden, komplett auslässt.

Eine andere Art von Erpressung

Herkömmliche Ransomware-Angriffe folgen einem vertrauten Muster: Schadsoftware sperrt die Dateien des Opfers, und die Angreifer verlangen eine Zahlung für den Entschlüsselungsschlüssel. Die SRG geht leiser und in mancher Hinsicht gefährlicher vor. Anstatt Systeme zu verschlüsseln, konzentriert sich die Gruppe darauf, Daten direkt zu stehlen und mit deren Veröffentlichung zu drohen, falls die Kanzlei nicht zahlt. Es gibt keine Ransomware zu erkennen, keine verschlüsselten Dateien, die das IT-Personal alarmieren, dass etwas nicht stimmt. Das erste Anzeichen von Ärger ist oft die Erpressungsforderung selbst.

Der Zugang beginnt typischerweise mit einem ebenso simplen wie effektiven Social-Engineering-Trick: SRG-Mitarbeiter geben sich als IT-Support-Personal aus, rufen Beschäftigte an oder schreiben ihnen E-Mails, um sie zur Herausgabe von Zugangsdaten oder zur Installation von Fernzugriffstools zu bewegen. Sobald sie drin sind, schleust die Gruppe in aller Stille Dateien aus, ohne die Art von Netzwerkstörung zu verursachen, die Alarm auslösen würde. Wenn eine Anwaltskanzlei merkt, dass etwas passiert ist, sind die Daten längst abgeflossen und die Drohung mit öffentlicher Offenlegung steht bereits im Raum.

Dieses Vorgehen spiegelt einen breiteren Wandel darin wider, wie Erpressergruppen Druck auf Opfer ausüben. Einige Ransomware-Betreiber haben sogar begonnen, ihre Drohungen mit erfundener Rechtssprache auszuschmücken, um die Forderungen offizieller und schwerer ignorierbar wirken zu lassen – eine Taktik, die in Ransomware-Gangs fügen Lösegeldforderungen gefälschte KI-Rechtsdrohungen hinzu beschrieben wird. Ob der Druck von gefälschten juristischen Memos oder der schlichten Drohung stammt, Mandantenakten zu veröffentlichen, das Ziel ist dasselbe: Bezahlen soll wie die einzig vernünftige Option erscheinen.

Warum Anwaltskanzleien besonders verwundbar sind

Anwaltskanzleien nehmen in der Cybersecurity-Welt eine ungewöhnliche Stellung ein. Sie sind Verwalter extrem sensibler Drittdaten, oft für mehrere Unternehmensmandanten gleichzeitig, arbeiten aber vielfach mit kleineren IT-Teams und weniger formellen Sicherheitsschulungen als die Branchen, die sie betreuen. Anwälte und Support-Mitarbeiter stehen häufig unter Zeitdruck, jonglieren mit Anrufen von Dienstleistern, Gerichten und Mandanten, was es leichter macht, dass ein überzeugender IT-Impersonierungsanruf durch die Wachsamkeit einer Person rutscht.

Es gibt außerdem ein strukturelles Anreizproblem. Ein Datenleck in einer Anwaltskanzlei legt nicht nur die eigenen Daten der Kanzlei offen, sondern auch vertrauliche Informationen aller Mandanten, deren Angelegenheiten dieses System berührt haben. Das vervielfacht die Reputations- und Rechtsrisiken einer jeden Veröffentlichung, und genau auf diesen Hebel setzen Gruppen wie SRG, wenn sie mit Veröffentlichung statt mit Verschlüsselung drohen.

Was das für Sie bedeutet

Wenn Sie in einer Anwaltskanzlei arbeiten oder Mandant sind, dessen sensible Unterlagen durch eine solche Kanzlei laufen, ist diese Entwicklung auch dann relevant, wenn Sie selbst nie eine Erpressernachricht sehen. Datendiebstahl durch Imitation erfordert keinen hochentwickelten technischen Exploit. Er setzt lediglich voraus, dass ein Mitarbeiter dem falschen Anruf oder der falschen E-Mail vertraut. Das bedeutet, dass Kanzleien jeder Größe – nicht nur große Wirtschaftskanzleien – potenzielle Ziele sind.

Für Mandanten lohnt es sich, bei der Kanzlei, die Ihren Fall oder Ihre Transaktion bearbeitet, nachzufragen, welche Verifizierungsschritte sie verlangt, bevor sie Fernzugriff gewährt oder Zugangsdaten zurücksetzt. Eine Kanzlei mit klaren, erprobten Verfahren zur Bestätigung von IT-Anfragen fällt weniger leicht auf die Art von Imitation herein, auf die SRG setzt.

Praktische Schritte, die sich jetzt lohnen

Die gute Nachricht ist, dass diese spezielle Angriffsmethode eine recht schmale Schwachstelle hat: die menschliche Verifizierung. Einige konkrete Schritte können das Risiko spürbar senken.

• Führen Sie eine strikte Rückrufrichtlinie für alle IT-Anfragen ein, die Zugangsdaten, Fernzugriff oder Software-Installationen betreffen. Mitarbeiter sollten Anfragen eigenständig über eine bekannte interne Rufnummer verifizieren und sich nicht auf die Identitätsbehauptung des Anrufers verlassen.
• Schulen Sie Ihr Personal darin, unaufgeforderte IT-Kontaktaufnahmen, insbesondere dringend klingende Aufforderungen, als Warnsignal und nicht als Routineaufgabe zu betrachten.
• Beschränken und überwachen Sie Fernzugriffstools, sodass ungewöhnliche Installationen oder Anmeldungen Alarme auslösen, anstatt unbemerkt zu bleiben.
• Erstellen Sie einen Notfallplan, der von Datendiebstahl und nicht nur von Verschlüsselung ausgeht, denn Erkennungsmethoden, die auf Ransomware-Symptome ausgerichtet sind, werden solche Eindringversuche übersehen.

Der Erfolg der Silent Ransom Group hängt von Geschwindigkeit und Vertrauen ab: Jemanden dazu zu bringen, schnell zu handeln, bevor er inne hält und überprüft. Anwaltskanzleien, die Reibung in diesen Prozess einbauen – selbst etwas so Einfaches wie eine Rückrufrichtlinie –, nehmen der Gruppe einen großen Teil ihres Vorteils. Cybersicherheit im Rechtssektor erfordert keine massive Umwälzung über Nacht, aber sie erfordert, dass Social Engineering genauso ernst genommen wird wie jede technische Schwachstelle. Kanzleien, die diesen Wandel jetzt vollziehen, werden deutlich besser aufgestellt sein als jene, die darauf warten, dass eine Erpressungsforderung das Gespräch erzwingt.