10 wichtige Praxistipps, um Ihre Anwaltskanzlei vor Cyberangriffen zu schützen

1. Erstellen Sie sichere Passwörter

Verwenden Sie für verschiedene Websites sowie Konten nie dasselbe Passwort und ändern Sie Ihre Passwörter regelmäßig.

Passwörter sollten komplex sein, also aus einer Kombination von mindestens 10 Buchstaben, Ziffern und Sonderzeichen bestehen.

Erstellen Sie eine Passwortrichtline, die die Anforderungen an Passwörter regelt. 

7. Verbessern Sie Ihren Schutz im WLAN

Nutzen Sie virtuelle private Netzwerke (VPN), z.B. über eine Handy-App, wenn Sie in fremden Netzwerken surfen wollen.

Fremde Netzwerke sind z.B. WLAN-Netze in der Deutschen Bank, WifionICE, in Hotels, Starbucks-Cafés oder an Flughäfen. Sobald Sie sich einwählen, kann die gesamte Kommunikation, die nicht z.B. transportverschlüsselt übermittelt wird, von anderen Personen im selben Netzwerk mitgelesen werden. So können die Täter an Passwörter gelangen und die Kontrolle übernehmen.

Für Anwaltskanzleien empfiehlt es sich, beim WLAN-Router einzustellen, welche Geräte mit welchem MAC-Adressen sich einwählen dürfen, um per Whitelisting für Sicherheit zu sorgen.

In jedem Fall sollte ein Gästezugang vorhanden sein, der spätestens mit Ende des Kalendertags abläuft.

8. Prüfen Sie die IT-Sicherheit in Ihrer Anwaltskanzlei 

Führen Sie eine Schutzbedarfsanalyse durch:
Welche Daten und Assets rund um Ihre Mandanten sind besonders gefährdet? Wie sieht die Gefährdungslage aus, welche Angriffe sind wahrscheinlich, was wären mögliche Folgen eines Angriffs?

Prüfen Sie auch, welchen Compliance-Anforderungen Ihre Kanzlei unterliegt und welche Pflichten eingehalten werden müssen.

Für Rechtsanwälte gilt z.B., dass Handakten gem. § 50 Abs. 1 S. 2 BRAO für die Dauer von 6 Jahren aufbewahrt werden müssen. Sollten nun z.B. nur elektronisch geführte Akten durch einen Ransomware-Angriff vollständig verschlüsselt werden, wäre das ein Verstoß gegen das Berufsrecht und gegen die Datenschutzgrundverordnung.

Gemäß § 2 Abs. 1 BORA müssen zudem risikoadäquate technische und organisatorische Maßnahmen zum Schutz der Mandatsgeheimnisse getroffen werden. Das Tatbestandsmerkmal „risikoadäquat“ setzt eine Risikobewertung voraus, aus der konkrete Empfehlungen abgeleitet wurden.

9. Lassen Sie einen Penetration-Test durchführen

Lassen Sie Penetration Tests und Phishing Wellen durchführen, um Ihren Status quo der IT-Sicherheit zu ermitteln und zu bewerten.

Beim Pentest (Penetration Testing) geht es um die manuelle Überprüfung von IT-Systemen auf Sicherheitslücken oder Schwachstellen durch einen „bezahlten Hacker“.
Im Unterschied zu IT-Sicherheitsaudits werden Sicherheitslücken (bspw. Pufferüberläufe oder sog. Format String Vulnerabilities) so weit wie möglich ausgenutzt. Ein Cybersecurity-Spezialist sieht sich dazu im Netzwerk einer Anwaltskanzlei um oder versucht unter einer Legende in den Serverraum zu gelangen. Auf dieser Weise kann ein realistisches Bild der IT-Sicherheit einer Kanzlei gezeichnet werden. 

Bei größeren Kanzleien macht es Sinn, neben der technisch-organisatorischen IT-Sicherheit die physische IT-Sicherheit von Gebäuden zu testen, kopierte RFID-Chips oder Zutrittskarten für Türen oder Sicherheitsschleusen oder das Abfangen von Reinigungspersonal, um sich testweise Zutritt zur Kanzlei zu verschaffen. Hier spielt Social Engineering eine besonders große Rolle. 

Um nicht nur die technische Sicherheit, sondern auch die Mitarbeiter-Awareness zu überprüfen, macht es Sinn, ggf. zeitlich versetzte Phishing-Wellen durchzuführen. Hierbei erhält eine bestimmte Empfängergruppen vordefinierte Phishing-Emails in unterschiedlich guter Qualität, um zu evaluieren, ob weiterer Schulungsbedarf besteht. Die Auswertung der Phishing-Wellen erfolgt meist in Form von Statistiken.

Passend zum Thema empfehlen wir Ihnen: