Kort gezegd: Bij de IT-beveiliging van een advocatenkantoor telt elk systeem waarlangs cliënten documenten sturen of opvragen. Stel vast welke daarvan op PHP draaien, laat patchstatus en herstart bevestigen en behandel elke verdenking zo dat bewijs en vertrouwelijkheid behouden blijven.
Waar advocatenkantoren PHP gebruiken, vaak zonder het te weten
De kantoorsoftware zelf staat meestal op kantoor of in een gespecialiseerd rekencentrum. PHP vindt u op andere plaatsen: op de kantoorwebsite met formulier voor de eerste aanvraag, in uploadroutes voor stukken, in online afsprakensystemen en in zelf beheerde datarooms. Veel kantoren gebruiken voor veilige documentuitwisseling een eigen Nextcloud, die een systeemhuis heeft ingericht.
Juist deze datarooms bevatten het gevoeligste wat een kantoor heeft: processtukken, volmachten, conceptcontracten, deskundigenrapporten, bewijsfoto's, in strafzaken ook onderzoeksdossiers. PHP2Shell laat aanvallers code uitvoeren zonder in te loggen. Een sterk wachtwoord op het portaal helpt daar niet tegen.
Kantoren met zwaartepunten zoals familie-, arbeids- of medisch recht verwerken bovendien gezondheidsgegevens, rapporten en details uit het privéleven. In zakelijke kantoren liggen stukken over transacties die vóór publicatie koersgevoelig kunnen zijn. Welk materiaal in uw portalen staat, bepaalt hoe zwaar een incident weegt.
Beroepsgeheim en gegevensbescherming: wat een lek betekent
Voor advocaten geldt een beroepsrechtelijke geheimhoudingsplicht. Het onbevoegd openbaren van cliëntgeheimen kan in Duitsland volgens § 203 StGB (het Duitse wetboek van strafrecht) strafbaar zijn. Daarnaast staan de verplichtingen uit de AVG, waartoe bij een verband met gezondheid of strafprocedures bijzondere gegevenscategorieën behoren.
Een gegevenslek treft kantoren daarom dubbel. Het brengt lopende zaken in gevaar, bijvoorbeeld wanneer onderhandelingsposities of schikkingsontwerpen in verkeerde handen komen. En het beschadigt het vertrouwen waarop de cliëntrelatie berust. Of en hoe u cliënten en toezicht moet informeren, beoordeelt u met uw functionaris voor gegevensbescherming en beroepsrechtelijk advies.
De kantoorwebsite als instrument voor fraude
Een gecompromitteerde kantoorserver dient aanvallers niet alleen als gegevensbron. Met briefhoofd, dossiernummer en echte namen uit een cliëntenportaal zijn brieven te vervalsen die nauwelijks van echte te onderscheiden zijn. Bijzonder delicaat zijn betalingsverzoeken, bijvoorbeeld voor schikkingsbedragen of kosten, met een gewijzigd rekeningnummer.
Ook het formulier voor de eerste aanvraag kan worden misbruikt: een aanvaller leidt aanvragen om naar een eigen adres en neemt namens het kantoor contact op met belangstellenden. Na een incident moet u daarom niet alleen de server laten controleren, maar cliënten ook actief wijzen op het feit dat u rekeningnummers nooit per mail wijzigt.
Het bijzondere elektronische advocatenpostvak (beA, in Duitsland) en de kantoorsoftware draaien niet op uw webserver. Gevaarlijk wordt het daar waar op de webserver inloggegevens voor mailaccounts of andere kantoorsystemen staan.
IT-beveiliging van het kantoor: wie is waarvoor verantwoordelijk?
In kantoren zonder eigen IT-afdeling zijn de taken meestal zo verdeeld:
| Systeem | Wie het beheert | Open vraag bij PHP2Shell |
|---|---|---|
| Kantoorsoftware, werkplekken | Systeemhuis | meestal niet getroffen |
| Nextcloud of dataroom | Systeemhuis of hostingprovider | Wie patcht PHP en herstart? |
| Website met formulieren | Webbureau | Draait hij bij de hostingprovider op actuele PHP? |
| Online afsprakensysteem | externe aanbieder of plug-in | Waar staan de zaken van cliënten? |
Het lek ontstaat waar het systeemhuis de website voor een zaak van het bureau houdt en het bureau de server voor een zaak van de hostingprovider. Leg voor elk systeem schriftelijk vast wie PHP bijwerkt en de processen herstart.
Saneer een verdachte server niet overhaast. Wie hem opnieuw opzet voordat sporen zijn veiliggesteld, kan later niet meer aantonen of en welke cliëntgegevens zijn weggelekt.
De eerste uren: vertrouwelijk en navolgbaar handelen
- Blokkeer getroffen portalen en datarooms voor cliënten, werk intern door via de kantoorsoftware.
- Zet logs vanaf 20 oktober 2026 veilig en behoud de toestand van de server voordat iemand bestanden verwijdert.
- Vraag patchstatus en herstart bij de beheerder schriftelijk op. Een getoond versienummer alleen volstaat niet, omdat backports het ongewijzigd kunnen laten.
- Leg een kleine kring vast die over het incident spreekt en bereid de communicatie naar buiten voor.
- Betrek de functionaris voor gegevensbescherming en houd de meldtermijn volgens de AVG in het oog.
Hoe helpt PHP SOS concreet?
- Vóór de eerste toegang regelen wij de schriftelijke geheimhouding en beperken wij de toegang tot het noodzakelijke.
- Wij controleren patchstatus, uitvoeringsmodus en herstart van alle PHP-systemen van het kantoor die vanaf internet bereikbaar zijn.
- Bij verdenking zetten wij sporen forensisch veilig, zodat later is aan te tonen waartoe toegang is verkregen. Details daarover op onze pagina over IT-forensisch onderzoek.
- Wij saneren en beveiligen de systemen en documenteren elke stap voor kantoorleiding, functionaris voor gegevensbescherming en verzekeraar.
- Op verzoek nemen wij het doorlopende onderhoud van de portalen over, zodat het volgende PHP-lek niet weer tussen systeemhuis en bureau blijft liggen.
Veelgestelde vragen
Wordt onze kantoorsoftware getroffen door PHP2Shell?
De eigenlijke kantoorsoftware draait meestal niet op een PHP-webserver. Getroffen kunnen zijn de website, uploadformulieren, zelf beheerde dataroomoplossingen zoals Nextcloud en portalen die op PHP zijn gebouwd. Een inventarisatie van alle via internet bereikbare systemen schept duidelijkheid.
Mag een externe IT-dienstverlener bij een incident bij cliëntgegevens?
Het beroepsrecht en § 203 StGB (het Duitse wetboek van strafrecht) staan het inschakelen van meewerkende dienstverleners onder bepaalde voorwaarden toe, met name een geheimhoudingsverplichting. Welke eisen voor uw kantoor in detail gelden, toetst u beroepsrechtelijk. Wij regelen de geheimhouding vóór de eerste toegang schriftelijk.
Moeten wij cliënten over een aanval informeren?
Bij een risico voor de rechten van de betrokkenen kan de AVG een kennisgeving eisen, daarnaast spelen beroepsrechtelijke overwegingen. De beslissing hoort bij de kantoorleiding en de functionaris voor gegevensbescherming. Een afgestemde communicatie voorkomt tegenstrijdige uitspraken.