Rechtsanwaltskanzleien und Steuerbüros im Visier: Warum Cyberkriminelle jetzt gezielt Steuerberater, Anwälte und Kreative angreifen
In den letzten Wochen sind mehrere deutsche Steuer- und Anwaltskanzleien erstmals auf den Erpressungsseiten organisierter Ransomware-Gruppen aufgetaucht – darunter eine süddeutsche Steuerkanzlei und eine Wirtschaftskanzlei mit Münchner Bezug. Das ist kein Einzelfall, sondern Teil eines klaren Trends: Angreifer haben den deutschen Mittelstand und insbesondere die reglementierten Berufe als lohnende Ziele entdeckt.
Für unsere Kunden – Steuerberater, Rechtsanwälte, Architekten und Kreative im grafischen Gewerbe – ist das mehr als eine abstrakte Bedrohung. Wer hochsensible Mandanten- und Kundendaten verwaltet, ist für Kriminelle ein attraktives Ziel, und wer ohne eigene IT-Abteilung arbeitet, ist oft schlechter geschützt, als er denkt.
Warum gerade diese Berufsgruppen betroffen sind
Drei Faktoren machen Kanzleien und freiberufliche Büros besonders verwundbar: Ausfallzeiten sind kaum zu verkraften, weil Steuerberater gegen feste Fristen arbeiten. Lange Aufbewahrungspflichten bedeuten, dass über Jahre gewachsene Datenbestände geschützt werden müssen. Und vielen Büros fehlt eine eigene IT-Abteilung – Technik wird informell betrieben statt systematisch abgesichert.
Hinzu kommt die rechtliche Seite: Bei einem Vorfall mit personenbezogenen Daten besteht nach DSGVO eine Meldepflicht an die Aufsichtsbehörde innerhalb von 72 Stunden. Für Rechtsanwälte und Steuerberater gilt zusätzlich die strafbewehrte Verschwiegenheitspflicht nach § 203 StGB. Ein Datenabfluss ist damit nicht nur ein IT-Problem, sondern auch ein berufsrechtliches und haftungsrelevantes Risiko.
Was die aktuellen Zahlen zeigen
Der aktuelle „State of Ransomware 2026“-Report von Sophos (Befragung von 2.158 IT- und Sicherheitsverantwortlichen in 17 Ländern, darunter Deutschland) liefert einige Zahlen, die aufhorchen lassen:
● 79 % der Ransomware-Angriffe begannen mit kompromittierten Identitäten (gestohlenen oder erratenen Zugangsdaten).
● 56 % der Angriffe führten erfolgreich zur Verschlüsselung von Daten – ein Anstieg gegenüber 50 % im Vorjahr.
● Die durchschnittlichen Wiederherstellungskosten liegen bei rund 1,7 Mio. US-Dollar – ohne ein eventuell gezahltes Lösegeld.
● Bemerkenswert: In 97 % der Fälle, in denen gestohlene Zugangsdaten zum Einbruch führten, war bereits eine Multi-Faktor-Authentifizierung im Einsatz. MFA allein reicht also nicht aus.
Parallel dazu warnt das BSI weiterhin, dass Ransomware die größte Einzelbedrohung für Unternehmen und Behörden in Deutschland bleibt; laut Black-Kite-Report entfielen in den ersten vier Monaten 2026 rund 18 % aller europäischen Ransomware-Vorfälle auf Deutschland.
Ein aktuelles Beispiel: Lücken in AirDrop und Quick Share
Wie schnell neue Risiken entstehen, zeigt ein Fund von Forschenden des CISPA Helmholtz-Zentrums für Informationssicherheit vom 4. Juli 2026: Sie identifizierten sechs Sicherheitslücken in den drahtlosen Freigabeprotokollen AirDrop (Apple) und Quick Share (Android/Windows). Ein Angreifer in Funkreichweite (ca. 10–30 Meter) kann diese ohne vorherige Kopplung oder Bestätigung ausnutzen – betroffen sind schätzungsweise fünf Milliarden Geräte weltweit. Apple hat eine der drei AirDrop-Lücken mit dem Update auf iOS/macOS 26.5.2 (29. Juni 2026) bereits geschlossen, zwei weitere sind noch nicht öffentlich behoben.
Praktischer Sofort-Tipp für alle mit Mac, iPhone oder iPad im Büro: Stellen Sie die AirDrop-Sichtbarkeit auf „Nur Kontakte“ oder schalten Sie AirDrop aus, wenn Sie es gerade nicht aktiv nutzen – besonders unterwegs oder in Kanzleiräumen mit Publikumsverkehr.
Was ich meinen Kunden konkret empfehle
Da MFA allein nachweislich nicht ausreicht, braucht es mehrere ineinandergreifende Schutzebenen:
● Endpoint- und Identitätsschutz: Eine moderne Sicherheitslösung wie Sophos erkennt verdächtige Anmeldeversuche und Verschlüsselungsaktivität frühzeitig, statt nur auf bekannte Schadsoftware zu reagieren.
● Getestetes Backup-Konzept: Ein Synology NAS mit versionierten, vom Produktivsystem getrennten Sicherungen (idealerweise unveränderlich bzw. „immutable“) ist die Grundlage jeder Wiederherstellung. Entscheidend ist, dass die Rücksicherung regelmäßig geprobt wird – ein Backup, das im Ernstfall nicht einspielbar ist, schützt nicht.
● Geräteverwaltung (MDM): Mit Jamf lassen sich Mac- und iPhone-Flotten zentral absichern, Verschlüsselung und Updates erzwingen und verlorene Geräte aus der Ferne sperren.
● Telefonie und Kommunikation absichern: Auch Cloud-Telefonanlagen wie Placetel sollten mit starken Zugangsdaten und, wo verfügbar, Zwei-Faktor-Schutz konfiguriert sein.
● Updates zeitnah einspielen: Die jüngsten Apple-Sicherheitsupdates (iOS/iPadOS/macOS 26.5.2) schließen über 25 teils kritische Lücken, größtenteils im Web-Rendering-Modul WebKit – zügiges Einspielen ist Pflicht, nicht Kür.
Die Bedrohungslage wird nicht kleiner – aber sie ist beherrschbar, wenn Backup, Endpoint-Schutz und Geräteverwaltung ineinandergreifen und regelmäßig überprüft werden. Wenn Sie unsicher sind, wie gut Ihre Kanzlei oder Ihr Büro aktuell aufgestellt ist, sprechen Sie mich gerne an – ich schaue mir Ihre Situation vor Ort in der Region Aachen bis Dortmund an.
Quellen
• The State of Ransomware 2026: Payments Drop as Encryption Climbs – Sophos
• 79% of Ransomware Attacks Now Originate from Compromised Identities – Sophos Press Release
• Cyber-Risiken: BSI warnt vor KI-gestützten Angriffen und Ransomware – Börse Express
• Sicherheitslücken in AirDrop und Quick Share entdeckt – it-daily.net
• iOS 26.5.2 Patches More Than 25 Security Vulnerabilities – MacRumors
• Zero Day Initiative — The June 2026 Apple Security Update Review