# IT-turvalisus advokaadibüroodele: ametisaladus veebiserveris

> Klientide portaal, üleslaadimine, andmeruum: kuidas advokaadibürood PHP süsteeme PHP2Shelli vastu kaitsevad ja ametisaladust ka intsidendi korral hoiavad.

Allikas: https://phpsos.de/et/branchen/kanzleien/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** Advokaadibüroo IT-turvalisuses loeb iga süsteem, mille kaudu kliendid dokumente saadavad või kätte saavad. Selgitage välja, millised neist töötavad PHP peal, laske paigatud seis ja taaskäivitus kinnitada ning käsitlege iga kahtlusjuhtu nii, et tõendid ja konfidentsiaalsus säiliksid.

## Kus advokaadibürood PHP-d kasutavad, sageli seda teadmata

Büroo tarkvara ise asub enamasti kontoris või spetsialiseerunud andmekeskuses. PHP-d leidub mujal: büroo veebisaidil esmapäringu vormiga, dokumentide üleslaadimisteedel, veebipõhistes aja broneerimistes ja ise hallatavates andmeruumides. Paljud bürood kasutavad turvaliseks dokumendivahetuseks oma [Nextcloudi](https://phpsos.de/et/plattformen/nextcloud/), mille on seadistanud süsteemimaja.

Just need andmeruumid sisaldavad kõige tundlikumat, mis büroos on: kirjalikud seisukohad, volitused, lepingute kavandid, ekspertiisid, tõendusfotod, kriminaalasjades ka uurimistoimikud. PHP2Shell võimaldab ründajatel koodi käivitada ilma sisselogimata. Tugev parool portaalis selle vastu ei aita.

Bürood, mille tööpõld on näiteks perekonna-, töö- või meditsiiniõigus, töötlevad lisaks terviseandmeid, ekspertiise ja üksikasju eraelust. Majandusõiguse büroodes asuvad tehingute dokumendid, mis võivad enne avaldamist olla börsikursi seisukohast olulised. Millist materjali teie portaalid sisaldavad, määrab, kui raske on intsident.

## Ametisaladus ja andmekaitse: mida tähendab andmeleke

Advokaatidele kehtib kutseõiguslik vaikimiskohustus. Klientide saladuste loata avaldamine võib olla karistatav § 203 StGB (Saksa karistusseadustik) järgi. Lisaks tulevad IKÜM-i kohustused, millele kuuluvad terviseandmete või kriminaalmenetluse seose korral andmete eriliigid.

Andmeleke tabab bürood seetõttu topelt. See seab ohtu käimasolevad mandaadid, kui näiteks läbirääkimispositsioonid või kokkuleppekavandid satuvad valedesse kätesse. Ja see kahjustab usaldust, millel mandaadisuhe põhineb. Kas ja kuidas peate kliente ning järelevalvet teavitama, hindate oma andmekaitsespetsialisti ja kutseõigusliku nõustamisega.

## Büroo veebisait pettuse tööriistana

Kompromiteeritud büroo server ei ole ründajatele ainult andmeallikas. Kirjapea, toimikunumbri ja kliendiportaali päris nimedega saab võltsida kirju, mida pole ehtsatest peaaegu võimalik eristada. Eriti ohtlikud on maksenõuded, näiteks kokkuleppesummade või tasude eest, muudetud pangaühendusega.

Ka esmapäringu vormi saab kuritarvitada: ründaja suunab päringud oma aadressile ja pöördub huviliste poole büroo nimel. Pärast intsidenti ei tohiks te seetõttu lasta kontrollida ainult serverit, vaid peaksite kliente aktiivselt teavitama, et te ei muuda pangaühendusi kunagi e-posti teel.

Advokatuuri erapostkast ja büroo tarkvara ei tööta teie veebiserveris. Ohtlikuks muutub see seal, kus veebiserveris on salvestatud meilikontode või muude büroo süsteemide ligipääsuandmed.

## Advokaadibüroo IT-turvalisus: kes mille eest vastutab?

Büroodes ilma oma IT-osakonnata jagunevad ülesanded tavaliselt nii:

| Süsteem | Kes seda hooldab | Avatud küsimus PHP2Shelli korral |
|---|---|---|
| Büroo tarkvara, töökohad | Süsteemimaja | enamasti ei ole mõjutatud |
| Nextcloud või andmeruum | Süsteemimaja või veebimajutaja | Kes paikab PHP ja käivitab uuesti? |
| Veebisait vormidega | Veebiagentuur | Kas see töötab veebimajutaja juures ajakohasel PHP-l? |
| Veebipõhine aja broneerimine | väline pakkuja või plugin | Kus asuvad klientide pöördumised? |

Lünk tekib seal, kus süsteemimaja peab veebisaiti agentuuri asjaks ja agentuur serverit veebimajutaja asjaks. Fikseerige iga süsteemi kohta kirjalikult, kes PHP-d uuendab ja protsessid uuesti käivitab.

> **Oluline:**
> Ärge puhastage kahtlast serverit enneaegselt. Kes selle uuesti seadistab enne, kui jäljed on kindlustatud, ei saa hiljem enam tõendada, kas ja millised klientide andmed on lekkinud.

## Esimesed tunnid: tegutsege konfidentsiaalselt ja jälgitavalt

1. Blokeerige mõjutatud portaalid ja andmeruumid klientidele, jätkake sisemist tööd büroo tarkvaraga.
2. Kindlustage logid alates 20.10.2026 ja säilitage serveri seisund, enne kui keegi faile kustutab.
3. Küsige paigatud seisu ja taaskäivitust haldajalt kirjalikult. Kuvatud versiooninumbrist üksi ei piisa, sest backportid võivad selle muutmata jätta.
4. Määrake väike ring, kes intsidendist räägib, ja valmistage ette [väline kommunikatsioon](https://phpsos.de/et/compliance/krisenkommunikation/).
5. Kaasake andmekaitsespetsialist ja hoidke silma peal [IKÜM-i teavitamistähtajal](https://phpsos.de/et/compliance/dsgvo-meldepflicht-72-stunden/).

## Kuidas PHP SOS konkreetselt aitab?

- Enne esimest ligipääsu reguleerime kirjaliku vaikimiskohustuse ja piirame ligipääsu vajalikuga.
- Kontrollime paigatud seisu, töörežiimi ja taaskäivitust kõigis büroo internetist kättesaadavates PHP süsteemides.
- Kahtluse korral kindlustame jäljed forensiliselt, et hiljem oleks võimalik tõendada, millele ligi pääseti. Üksikasjad meie lehel [IT-forensika](https://phpsos.de/et/leistungen/it-forensik/) kohta.
- Puhastame ja karastame süsteemid ning dokumenteerime iga sammu büroo juhtkonnale, andmekaitsespetsialistile ja kindlustajale.
- Soovi korral võtame üle portaalide pideva hoolduse, et järgmine PHP turvaauk ei jääks jälle süsteemimaja ja agentuuri vahele.


## Korduma kippuvad küsimused

**Kas meie büroo tarkvara on PHP2Shellist mõjutatud?**  
Büroo tegelik tarkvara ei tööta enamasti PHP veebiserveris. Mõjutatud võivad olla veebisait, üleslaadimisvormid, ise hallatavad andmeruumid nagu Nextcloud ning PHP-le tuginevad portaalid. Selguse annab kõigi internetis kättesaadavate süsteemide inventuur.

**Kas väline IT-teenusepakkuja tohib intsidendi korral klientide andmetele ligi pääseda?**  
Kutseõigus ja § 203 StGB (Saksa karistusseadustik) lubavad kaasata kaasaaitavaid teenusepakkujaid teatud tingimustel, eelkõige vaikimiskohustuse võtmisel. Millised nõuded teie büroole täpsemalt kehtivad, kontrollige kutseõiguse seisukohast. Meie reguleerime vaikimiskohustuse kirjalikult enne esimest ligipääsu.

**Kas peame kliente rünnakust teavitama?**  
Kui andmesubjektide õigustele on risk, võib IKÜM nõuda teavitamist, lisaks tulevad kutseõiguslikud kaalutlused. Otsus kuulub büroo juhtkonnale ja andmekaitsespetsialistile. Kooskõlastatud kommunikatsioon takistab vastuolulisi väiteid.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [BSI: hoiatused ja soovitused](https://www.bsi.bund.de/)
- [IKÜM art 33: teavitamine järelevalveasutusele](https://dsgvo-gesetz.de/art-33-dsgvo/)