WilmerHale Data Breach: Keine Einigung Stand August 2026

Eine Kanzlei-Panne ohne einen einzigen gehackten Server

WilmerHale, eine der bekanntesten Anwaltskanzleien des Landes, hat eine Datenschutzverletzung offengelegt, die auf den 8. Mai 2026 zurückgeht. Laut dem offiziellen Benachrichtigungsschreiben der Kanzlei handelte es sich nicht um einen technischen Einbruch. Stattdessen hat ein Mitarbeiter „versehentlich Informationen weitergegeben" an einen Hochstapler, der sich falsch ausgewiesen hatte. Die offengelegten Daten umfassten Namen und Sozialversicherungsnummern – die Art von Informationen, die Identitätsdiebstahl jahrelang nach einem einzigen Fehler befeuern kann.

Stand August 2026 gibt es keine Einigung, kein Anspruchsverfahren und keinen Entschädigungsfonds für Personen, die von diesem Vorfall betroffen sind. Eine Klage, Perry v. WilmerHale, wurde beim US-Bezirksgericht für den District of Columbia eingereicht, ist aber weiterhin ein laufendes Verfahren und keine abgeschlossene Sammelklage. Wer nach einer Anspruchsfrist oder einem Auszahlungsbetrag sucht, wird noch keinen finden, denn derzeit existiert keiner.

Social Engineering, kein Server-Hack

Es lohnt sich, einen Moment innezuhalten und zu betrachten, was hier tatsächlich passiert ist, denn der Unterschied ist wichtig. Bei vielen prominenten Sicherheitsvorfällen nutzen Angreifer eine Software-Sicherheitslücke aus oder durchbrechen eine Firewall. Das war hier nicht der Fall. Social Engineering beruht darauf, eine Person zu manipulieren, nicht ein System. Ein Hochstapler überzeugte einen WilmerHale-Mitarbeiter, vertrauliche Informationen herauszugeben, indem er vorgab, jemand zu sein, der er nicht war.

Diese Art von Angriff ist oft schwerer zu verhindern als ein technischer Exploit, weil er das menschliche Urteilsvermögen angreift und nicht den Code. Kein Patch behebt einen gut inszenierten Identitätstäuschungsversuch. Das ist einer der Gründe, warum Kanzleien in allen Branchen – einschließlich Anwaltskanzleien, die große Mengen an Mandanten- und Mitarbeiterdaten verwahren – trotz Investitionen in die Cybersicherheitsinfrastruktur weiterhin mit solchen Vorfällen konfrontiert sind.

Bemerkenswerterweise ist dies nicht WilmerHales einziger jüngster Sicherheitsvorfall. Die Kanzlei wurde zuvor in Berichterstattung über Luna Moths 13-Millionen-Dollar-Lösegeldforderung gegen Jones Day und WilmerHale genannt, einem separaten Erpressungsangriff. WilmerHale gehörte zudem zu den Kanzleien, die mit gemeldeten Cyber-Erpressungszahlungen in Höhe von 50 Millionen Dollar neben Weil und Goodwin in Verbindung gebracht wurden. In diesen Fällen waren unterschiedliche Angreifer und Methoden beteiligt, aber zusammen zeigen sie ein Muster: Große Anwaltskanzleien mit sensiblen Mandanten- und Personaldaten sind zu attraktiven, wiederholten Zielen geworden – sei es durch Ransomware, Erpressung oder schlichte Täuschung.

Wo der Rechtsstreit Perry v. WilmerHale steht

Der Fall Perry v. WilmerHale, eingereicht beim Bundesgericht in Washington, D.C., stellt die erste formelle rechtliche Reaktion auf die Mai-Panne dar. Er wurde noch nicht als Sammelklage zertifiziert, und keine Vergleichsverhandlungen haben zu einer öffentlichen Vereinbarung geführt. Das bedeutet, dass es derzeit keinen Anspruchsverwalter, keine Einreichungsfrist und keine festgelegte Entschädigung für betroffene Personen gibt.

Datenschutzklagen benötigen häufig Monate oder Jahre, um von einer ersten Einreichung zu einem endgültigen Vergleich zu gelangen. Leser sollten vorsichtig sein bei Websites oder E-Mails, die etwas anderes behaupten, da Betrüger manchmal echte Sicherheitsvorfalls-Nachrichten ausnutzen, um gefälschte „Fordern Sie Ihre Entschädigung"-Systeme zu betreiben, bevor eine legitime Auszahlungsstruktur existiert.

Was das für Sie bedeutet

Wenn Sie ein Benachrichtigungsschreiben von WilmerHale zu diesem Vorfall erhalten haben oder glauben, dass Ihre Informationen betroffen sein könnten, liegt die praktische Sorge derzeit darin, sich selbst zu schützen – nicht darin, einem Vergleichsscheck hinterherzujagen. Da Namen und Sozialversicherungsnummern offengelegt wurden, ist das Hauptrisiko Identitätsdiebstahl und betrügerische Kontoeröffnungen, nicht Finanzbetrug im Zusammenhang mit einer bestimmten Zahlungskarte.

Erwägen Sie, einen Betrugsalarm oder eine Kreditsperre bei den großen Kreditauskunfteien einzurichten, falls Sie das noch nicht getan haben. Überwachen Sie Ihre Kreditberichte auf unbekannte Konten oder Anfragen. Falls das Benachrichtigungsschreiben von WilmerHale kostenloses Kreditmonitoring anbot, lohnt sich die Anmeldung, da diese Dienste nach einer derartigen Panne in der Regel kostenlos angeboten werden.

Es ist auch sinnvoll, unaufgeforderte Anrufe, E-Mails oder SMS, die sich auf diese Panne beziehen, mit Skepsis zu behandeln. Ironischerweise ist genau dieselbe Social-Engineering-Taktik, die den ursprünglichen Vorfall verursacht hat, die Art von Vorgehen, die ein Betrüger nutzen könnte, um Opfer der Panne ein zweites Mal ins Visier zu nehmen – diesmal als Vertreter der Kanzlei, als Kreditüberwachungsdienst oder als Anspruchsverwalter getarnt.

Wichtige Erkenntnisse

• Die WilmerHale-Panne im Mai 2026 war auf Social Engineering zurückzuführen, nicht auf einen Netzwerk-Hack; ein Mitarbeiter wurde getäuscht, Informationen mit einem Hochstapler zu teilen.
• Offengelegte Daten umfassten Namen und Sozialversicherungsnummern – Informationen, die ein langfristiges Identitätsdiebstahlrisiko bergen.
• Perry v. WilmerHale ist derzeit die einzige eingereichte Klage, und sie hat Stand August 2026 zu keiner Einigung, keinem Anspruchsverfahren und keiner Entschädigung geführt.
• Seien Sie vorsichtig bei Personen, die Sie kontaktieren und behaupten, eine Vergleichsforderung oder Auszahlung im Zusammenhang mit dieser Panne anzubieten, da ein solcher Prozess offiziell noch nicht existiert.
• Wenn Sie betroffen sind, priorisieren Sie Kreditüberwachung und Betrugsalarme, anstatt darauf zu warten, dass sich der Rechtsstreit auflöst.

Während der Fall Perry v. WilmerHale fortschreitet, werden etwaige Vergleichsentwicklungen wahrscheinlich ein formelles Anspruchsverfahren mit überprüften Fristen und einem offiziellen Verwalter mit sich bringen. Bis dahin ist der sinnvollste Schritt, Ihre eigenen Informationen zu schützen, anstatt auf eine Auszahlung zu warten, die noch nicht materialisiert ist.