Kurz gesagt: Bei der IT-Sicherheit einer Kanzlei zählt jedes System, über das Mandanten Dokumente schicken oder abrufen. Ermitteln Sie, welche davon auf PHP laufen, lassen Sie Patchstand und Neustart bestätigen und behandeln Sie jeden Verdachtsfall so, dass Beweise und Vertraulichkeit erhalten bleiben.
Wo Kanzleien PHP einsetzen, oft ohne es zu wissen
Die Kanzleisoftware selbst steht meist im Büro oder in einem spezialisierten Rechenzentrum. PHP findet sich an anderen Stellen: auf der Kanzlei-Website mit Formular für die Erstanfrage, in Upload-Strecken für Unterlagen, in Online-Terminbuchungen und in selbst betriebenen Datenräumen. Viele Kanzleien nutzen für den sicheren Dokumentenaustausch eine eigene Nextcloud, die ein Systemhaus eingerichtet hat.
Gerade diese Datenräume enthalten das Sensibelste, was eine Kanzlei hat: Schriftsätze, Vollmachten, Verträge im Entwurf, Gutachten, Beweisfotos, in Strafsachen auch Ermittlungsakten. PHP2Shell erlaubt Angreifern die Ausführung von Code ohne Anmeldung. Ein starkes Passwort am Portal hilft dagegen nicht.
Kanzleien mit Schwerpunkten wie Familien-, Arbeits- oder Medizinrecht verarbeiten zusätzlich Gesundheitsangaben, Gutachten und Details aus dem Privatleben. In Wirtschaftskanzleien liegen Unterlagen zu Transaktionen, die vor ihrer Veröffentlichung kursrelevant sein können. Welches Material in Ihren Portalen liegt, bestimmt, wie schwer ein Vorfall wiegt.
Berufsgeheimnis und Datenschutz: was ein Abfluss bedeutet
Für Rechtsanwältinnen und Rechtsanwälte gilt eine berufsrechtliche Verschwiegenheitspflicht. Die unbefugte Offenbarung von Mandantengeheimnissen kann nach § 203 StGB strafbar sein. Daneben stehen die Pflichten aus der DSGVO, zu denen bei Gesundheits- oder Strafverfahrensbezug besondere Datenkategorien gehören.
Ein Datenabfluss trifft Kanzleien deshalb doppelt. Er gefährdet laufende Mandate, wenn etwa Verhandlungspositionen oder Vergleichsentwürfe in falsche Hände geraten. Und er beschädigt das Vertrauen, auf dem das Mandatsverhältnis beruht. Ob und wie Sie Mandanten und Aufsicht informieren müssen, bewerten Sie mit Ihrem Datenschutzbeauftragten und berufsrechtlicher Beratung.
Die Kanzlei-Website als Werkzeug für Betrug
Ein kompromittierter Kanzleiserver dient Angreifern nicht nur als Datenquelle. Mit Briefkopf, Aktenzeichen und echten Namen aus einem Mandantenportal lassen sich Schreiben fälschen, die kaum von echten zu unterscheiden sind. Besonders heikel sind Zahlungsaufforderungen, etwa für Vergleichsbeträge oder Gebühren, mit einer geänderten Kontoverbindung.
Auch das Formular für die Erstanfrage kann missbraucht werden: Ein Angreifer leitet Anfragen auf eine eigene Adresse um und meldet sich bei Interessenten im Namen der Kanzlei. Nach einem Vorfall sollten Sie deshalb nicht nur den Server prüfen lassen, sondern Mandanten aktiv darauf hinweisen, dass Sie Kontoverbindungen nie per Mail ändern.
Das besondere elektronische Anwaltspostfach und die Kanzleisoftware laufen nicht auf Ihrem Webserver. Gefährlich wird es dort, wo auf dem Webserver Zugangsdaten zu Mailkonten oder anderen Kanzleisystemen hinterlegt sind.
Kanzlei-IT-Sicherheit: wer ist wofür zuständig?
In Kanzleien ohne eigene IT-Abteilung verteilen sich die Aufgaben meist so:
| System | Wer es betreut | Offene Frage bei PHP2Shell |
|---|---|---|
| Kanzleisoftware, Arbeitsplätze | Systemhaus | meist nicht betroffen |
| Nextcloud oder Datenraum | Systemhaus oder Hoster | Wer patcht PHP und startet neu? |
| Website mit Formularen | Webagentur | Läuft sie beim Hoster auf aktuellem PHP? |
| Online-Terminbuchung | externer Anbieter oder Plugin | Wo liegen die Anliegen der Mandanten? |
Die Lücke entsteht dort, wo das Systemhaus die Website für Sache der Agentur hält und die Agentur den Server für Sache des Hosters. Halten Sie für jedes System schriftlich fest, wer PHP aktualisiert und die Prozesse neu startet.
Bereinigen Sie einen verdächtigen Server nicht vorschnell. Wer ihn neu aufsetzt, bevor Spuren gesichert sind, kann später nicht mehr nachweisen, ob und welche Mandantendaten abgeflossen sind.
Die ersten Stunden: vertraulich und nachvollziehbar handeln
- Betroffene Portale und Datenräume für Mandanten sperren, interne Arbeit über die Kanzleisoftware weiterführen.
- Logs ab dem 20.10.2026 sichern und den Zustand des Servers erhalten, bevor jemand Dateien löscht.
- Patchstand und Neustart beim Betreiber schriftlich abfragen. Eine angezeigte Versionsnummer allein genügt nicht, weil Backports sie unverändert lassen können.
- Einen kleinen Kreis festlegen, der über den Vorfall spricht, und die Kommunikation nach außen vorbereiten.
- Datenschutzbeauftragten einbinden und die Meldefrist nach DSGVO im Blick behalten.
Wie hilft PHP SOS konkret?
- Vor dem ersten Zugriff regeln wir die schriftliche Verschwiegenheit und begrenzen den Zugang auf das Nötige.
- Wir prüfen Patchstand, Betriebsart und Neustart aller PHP-Systeme der Kanzlei, die aus dem Internet erreichbar sind.
- Bei Verdacht sichern wir Spuren forensisch, damit sich später belegen lässt, worauf zugegriffen wurde. Details dazu auf unserer Seite zur IT-Forensik.
- Wir bereinigen und härten die Systeme und dokumentieren jeden Schritt für Kanzleileitung, Datenschutzbeauftragten und Versicherer.
- Auf Wunsch übernehmen wir die laufende Pflege der Portale, damit die nächste PHP-Lücke nicht wieder zwischen Systemhaus und Agentur liegen bleibt.
Häufige Fragen
Ist unsere Kanzleisoftware von PHP2Shell betroffen?
Die eigentliche Kanzleisoftware läuft meist nicht auf einem PHP-Webserver. Betroffen sein können die Website, Upload-Formulare, selbst betriebene Datenräume wie Nextcloud und Portale, die auf PHP aufbauen. Eine Bestandsaufnahme aller über das Internet erreichbaren Systeme schafft Klarheit.
Darf ein externer IT-Dienstleister im Vorfall auf Mandantendaten zugreifen?
Das Berufsrecht und § 203 StGB erlauben die Einbindung mitwirkender Dienstleister unter bestimmten Voraussetzungen, insbesondere einer Verpflichtung zur Verschwiegenheit. Welche Anforderungen für Ihre Kanzlei im Einzelnen gelten, prüfen Sie berufsrechtlich. Wir regeln die Verschwiegenheit vor dem ersten Zugriff schriftlich.
Müssen wir Mandanten über einen Angriff informieren?
Bei einem Risiko für die Rechte der Betroffenen kann die DSGVO eine Benachrichtigung verlangen, daneben stehen berufsrechtliche Überlegungen. Die Entscheidung gehört in die Hände der Kanzleileitung und des Datenschutzbeauftragten. Eine abgestimmte Kommunikation verhindert widersprüchliche Aussagen.