Rechtsanwaltskanzleien verarbeiten täglich hochsensible Mandantendaten – von Finanzinformationen über Gesundheitsdaten bis hin zu strafrechtlichen Akten. Genau das macht sie zu bevorzugten Zielen für Cyberkriminelle. Die Frage ist nicht mehr, ob eine Kanzlei angegriffen wird, sondern wann.
Die Zahlen sprechen eine deutliche Sprache: In britischen Kanzleien stiegen erfolgreiche Cyberangriffe in den letzten Jahren um 77 Prozent auf 954 Fälle an. In Deutschland beträgt die durchschnittliche Kostenbelastung durch Cyberangriffe etwa 5,08 Millionen Dollar pro Jahr für betroffene Kanzleien. Dabei haben 70 Prozent der deutschen Kanzleien keinen schriftlich festgelegten Notfallplan gemäß DSGVO und ebenfalls 70 Prozent lehnen eine Cyberversicherung ab.
Diese Sorglosigkeit kann existenzbedrohend sein. Rechtsanwälte unterliegen nicht nur datenschutzrechtlichen Pflichten nach der DSGVO, sondern auch berufsrechtlichen Verschwiegenheitsverpflichtungen nach BRAO und BORA, die strafrechtlich abgesichert sind. Ein Datenvorfall kann daher nicht nur zu Bußgeldern und Schadensersatzforderungen führen, sondern auch berufsrechtliche Sanktionen bis hin zum Verlust der Zulassung nach sich ziehen.
Warum sind Rechtsanwälte besonders von Cyberrisiken gefährdet?
Anwaltskanzleien sind attraktive Ziele für Cyberkriminelle, weil sie hochsensible Daten von Mandanten speichern – persönliche Informationen, Finanz- und Geschäftsdaten sowie Verträge und Dokumente von strategischer Bedeutung. Die Daten sind oft unmittelbar verwertbar oder für Erpressungen einsetzbar.
Die gesetzliche Verpflichtung zur Geheimhaltung nach der DSGVO und berufsrechtlichen Bestimmungen macht Datensicherheit zu einer existenziellen Frage für die Kanzleibetriebsfähigkeit.
Das Mandatsgeheimnis nach §§ 43a Abs. 2 BRAO und § 2 BORA geht der DSGVO sogar vor. Rechtsanwälte haben damit nicht nur datenschutzrechtliche Pflichten, sondern auch berufsrechtliche Verschwiegenheitsverpflichtungen, die strafrechtlich nach § 203 StGB abgesichert sind. Diese Doppelverpflichtung erhöht das Haftungsrisiko erheblich.
Rechtsanwälte sind Hochwertziele für Cyberkriminelle, weil ihre Daten unmittelbar verwertbar sind – entweder für Erpressungen durch Ransomware mit Datenexfiltration, für Wirtschaftsspionage bei Beratung zu Fusionen und Übernahmen oder Patentstreitigkeiten, oder für gezielte Angriffe auf Mandanten über kompromittierte Anwaltskommunikation.
Welche Daten sind bei Anwälten besonders gefährdet?
Anwaltskanzleien verarbeiten eine außergewöhnlich breite und sensible Palette personenbezogener Daten, die sie zu besonders attraktiven Zielen für Cyberkriminelle machen.
Identitätsdaten und Kontaktinformationen umfassen Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen und weitere Kontaktdaten von Mandanten, Gegnern und Zeugen. Finanz- und Vermögensdaten beinhalten Bankkontodaten, Einkommensnachweise, Vermögensaufstellungen, Steuerdokumente und Geschäftsbilanzen – insbesondere bei wirtschaftsrechtlicher Beratung, Insolvenzverfahren oder Vermögensauseinandersetzungen.
Besonders sensible Daten gemäß Artikel 9 DSGVO genießen einen besonderen Schutz:
- Gesundheitsdaten (etwa in Personenschadenfällen, Arzthaftungssachen)
- Genetische Daten (in Abstammungssachen)
- Biometrische Daten
- Daten zur sexuellen Orientierung
- Religiöse oder weltanschauliche Überzeugungen
- Politische Meinungen
- Informationen über die rassische und ethnische Herkunft
Geschäftsgeheimnisse und vertrauliche Unternehmensinformationen fallen bei der Beratung von Unternehmen an: strategische Geschäftspläne, Fusionspläne, Vertragsverhandlungen, Patentanmeldungen und andere hochsensible Geschäftsinformationen.
Strafrechtliche und familienrechtliche Interna umfassen Informationen über laufende Strafverfahren, Ermittlungsakten, familienrechtliche Auseinandersetzungen und Sorgerechtsstreitigkeiten mit hochpersönlichen Details über Familienverhältnisse.
Kommunikationsinhalte wie E-Mails, Schriftsätze, Notizen aus Mandantengesprächen und Telefonprotokolle fallen vollständig unter die anwaltliche Verschwiegenheitspflicht.
Arten von Cyber-Risiken in Kanzleien
Die Risiken für Anwaltskanzleien sind vielfältig und entwickeln sich ständig weiter.
- Ransomware-Attacken verschlüsseln Systeme und unterbrechen den Betrieb, manchmal kombiniert mit Datenexfiltration und Erpressungsdelikten. Moderne Ransomware-Angriffe wenden die sogenannte „Doppel-Erpressung“ an: Verschlüsselung der Systeme und gleichzeitig Diebstahl sensibler Daten mit Drohung der Veröffentlichung. Anwälte müssen strenge Fristen einhalten. Ein Ransomware-Angriff, der den Zugriff auf Akten und Fristenlisten blockiert, kann zur Fristversäumnis führen – mit der Folge von Schadensersatzansprüchen wegen anwaltlichen Verschuldens.
- Business Email Compromise (BEC) und Social-Engineering-Angriffe führen zu unberechtigten Geldtransfers aus Kanzleikonten, besonders durch manipulative Phishing-Mails, die junge Anwälte als falsche Vorlagen adressieren. Diese Angriffe sind besonders perfide, da sie das Vertrauen in die Geschäftskommunikation ausnutzen.
- Datenlecks und Sicherheitsverletzungen gefährden Mandantenrechte, rufen Bußgelder der Datenschutzbehörden hervor und beschädigen den Ruf der Kanzlei nachhaltig. Bei einem Datenvorfall müssen Kanzleien innerhalb von 72 Stunden die Datenschutzbehörde informieren (Artikel 33 DSGVO) und betroffene Mandanten benachrichtigen (Artikel 34 DSGVO).
- Betriebsunterbrechungen entstehen durch gesperrte Systeme, fehlende Zugriffe auf Akten und die Unmöglichkeit, Fristen einzuhalten, was zu Schadensersatzforderungen führt. Die wirtschaftlichen Folgen können existenzbedrohend sein, wenn die Kanzlei für Tage oder Wochen arbeitsunfähig ist.
- Supply-Chain-Angriffe über externe Dienstleister stellen ein zunehmendes Risiko dar. Auch vertrauenswürdige externe Dienstleister wie Cloud-Anbieter oder File-Transfer-Plattformen können Schwachstellen darstellen und zum Einfallstor für Angreifer werden.
Rechtliche Verpflichtungen zur Cybersicherheit in Kanzleien
Anwaltskanzleien benötigen Cybersicherheit nicht nur aus praktischen Gründen, sondern auch aufgrund umfangreicher rechtlicher Verpflichtungen. Auch wenn es in Deutschland kein spezielles „Cybersicherheitsgesetz für Anwälte“ gibt, ergeben sich aus verschiedenen Gesetzen und berufsrechtlichen Vorschriften klare Pflichten zur IT-Sicherheit.
Datenschutz-Grundverordnung (DSGVO)
Die DSGVO gilt grundsätzlich auch für Rechtsanwaltskanzleien. Artikel 32 DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, zur Vornahme von technischen und organisatorischen Maßnahmen (TOM), die ein dem Risiko angemessenes Schutzniveau gewährleisten.
Diese Pflicht ist keine bloße Empfehlung, sondern eine zwingende gesetzliche Anforderung. Bei Verstößen drohen empfindliche Bußgelder – die Datenschutzbehörden halten sich für verpflichtet, diese auch zu verhängen. Die Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen.
Berufsordnung für Rechtsanwälte (BORA)
§ 2 Abs. 2 BORA regelt, dass zur Gewährleistung der Verschwiegenheitspflicht geeignete organisatorische und technische Maßnahmen zu ergreifen sind. Diese müssen angemessen für den Schutz personenbezogener Daten und außerdem für die Umsetzung des Anwaltsberufs zumutbar sein. Die Berufsordnung verlangt ausdrücklich, dass Kanzleien risikoadäquate und für den Anwaltsberuf zumutbare Maßnahmen schaffen.
Bundesrechtsanwaltsordnung (BRAO)
Die Verschwiegenheitspflicht nach § 43a Abs. 2 BRAO ist eine der Grundpflichten des Rechtsanwalts. Diese Pflicht bezieht sich auf alles, was dem Rechtsanwalt in Ausübung seines Berufes bekanntgeworden ist und gilt zeitlich unbegrenzt. Rechtsanwälte müssen zudem alle beschäftigten Personen in Textform zur Verschwiegenheit verpflichten und sie über die strafrechtlichen Folgen einer Pflichtverletzung belehren.
Strafrechtliche Absicherung
Die Verschwiegenheitspflicht ist durch § 203 StGB strafrechtlich abgesichert. Ein Verstoß gegen die Verschwiegenheitspflicht durch unzureichende IT-Sicherheit kann somit nicht nur berufsrechtliche Konsequenzen haben, sondern auch strafrechtlich relevant sein.
Allgemeine Sorgfaltspflichten
Über die spezifischen Datenschutzvorschriften hinaus gelten für Rechtsanwälte als Geschäftsführer oder Gesellschafter auch die allgemeinen Sorgfaltspflichten aus dem Gesellschaftsrecht (§ 43 GmbHG, § 93 AktG). Diese verlangen die Einführung eines Überwachungssystems für „den Fortbestand der Gesellschaft gefährdende Entwicklungen“ – wozu fehlende oder unzureichende Cybersicherheit eindeutig zählt.
Welche Leistungen deckt eine Cyberversicherung für Rechtsanwälte ab?
Eine professionelle Cyberversicherung für Kanzleien ist typischerweise in drei Leistungsbereiche strukturiert, die umfassenden Schutz vor den finanziellen Folgen von Cyberangriffen bieten.
Eigenschäden (First-Party Coverage)
Diese Komponente deckt direkte finanzielle Verluste der Kanzlei ab:
- Betriebsunterbrechungskosten werden bei lahmgelegten Systemen erstattet. Wenn die Kanzlei für Tage oder Wochen nicht arbeiten kann, ersetzt die Versicherung die entgangenen Einnahmen und laufenden Kosten.
- IT-Forensik und forensische Gutachten dienen der Aufklärung von Angriffen. IT-Forensiker ermitteln, wie die Angreifer eingedrungen sind, welche Systeme betroffen sind und ob noch Backdoors existieren. Diese Analysen kosten oft zwischen 10.000 und 50.000 Euro.
- IT-Wiederherstellungskosten für beschädigte oder gesperrte Systeme und Datenwiederherstellung werden übernommen. Nach einem Ransomware-Angriff kann die professionelle Wiederherstellung mehrere Zehntausend Euro kosten.
- Ransomware- und Erpressungskosten sind in vielen Policen gedeckt. Viele Versicherer übernehmen Lösegeldverhandlungen mit Limits und teilweise auch die Lösegeldzahlungen selbst.
- Benachrichtigungskosten gemäß DSGVO zur Mitteilung betroffener Mandanten werden erstattet. Nach einem Datenleck müssen alle betroffenen Personen informiert werden. Bei tausenden Mandanten summieren sich Brief- und Portokosten schnell auf mehrere Tausend Euro.
- Kosten für externe IT-Spezialisten und Krisenmanagement im Schadensfall sowie PR-Kosten für Reputationsschutz werden übernommen. Nach einem Datenleck muss die Kanzlei möglicherweise eine Pressemitteilung herausgeben und ihren Ruf wiederherstellen.
Drittschäden (Third-Party Liability)
Diese Deckung greift bei Haftpflichtansprüchen Dritter:
- Schadenersatzforderungen von Mandanten bei Datenlecks oder Verstößen gegen die Geheimhaltungspflicht werden abgedeckt. Wenn Mandantendaten gestohlen werden und Mandanten dadurch Schäden erleiden, haften Kanzleien dafür. Die Versicherung übernimmt diese Schadensersatzforderungen.
- Haftung für Verstöße gegen DSGVO und andere Datenschutzbestimmungen, wenn die Kanzlei fahrlässig handelte, ist gedeckt. Die Datenschutzbehörden können bei DSGVO-Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen.
Service-Leistungen (Assistanceleistungen)
Die meisten Cyberversicherungen bieten Zugang zu spezialisierten Hilfe-Netzwerken:
- Soforthilfe durch IT-Experten und Krisenmanager im Notfall, oft über eine 24/7-Krisenhotline
- Spezialisierte Rechtsanwälte für Cyber- und Datenschutzfragen
- Medienberater für PR-Management nach Vorfällen
- In manchen Fällen auch präventive Sicherheitsscans und Schulungsprogramme
Was kostet eine Cyberversicherung für Rechtsanwälte?
Die Kosten für eine Cyberversicherung variieren erheblich und hängen von mehreren Faktoren ab.
Versicherungsprämien
In den USA zahlen Anwälte im Durchschnitt etwa 175 Dollar pro Monat oder 2.101 Dollar jährlich für Cyberversicherungen. In Deutschland liegen die Kosten in ähnlichen Größenordnungen, wobei die Prämie von mehreren Faktoren abhängt:
- Höhe der Versicherungssumme: Je höher die gewünschte Deckungssumme, desto höher die Prämien
- Selbstbeteiligung: Eine höhere Selbstbeteiligung führt zu niedrigeren Beiträgen
- Kanzleiumsatz: Größere Kanzleien zahlen höhere Beiträge
- Umfang der versicherten Leistungen: Umfassendere Deckung kostet mehr
- Vorhandene Maßnahmen zu Datenschutz und Datensicherung: Kanzleien mit robusten Sicherheitsmaßnahmen zahlen niedrigere Beiträge
Erforderliche Deckungssummen
Für kleine Einzelkanzleien werden mindestens 100.000 Euro Deckungssumme empfohlen. Experten und Versicherungsmakler raten generell zu Deckungssummen zwischen 100.000 und 1 Million Euro, abhängig von der Kanzleigröße, der Anzahl der Mandanten und der Menge der verwalteten sensiblen Daten.
Anforderungen von Versicherern
Um eine Cyberversicherung zu erhalten und die Prämien niedrig zu halten, stellen Versicherer üblicherweise Anforderungen an die IT-Sicherheit:
- Multi-Faktor-Authentifizierung (MFA)
- Aktuelle Antivirus- und Malware-Software
- Regelmäßige und getestete Backups der Daten
- Schriftlich festgelegter Incident-Response-Plan für Notfälle
- Business Continuity Plan zur Aufrechterhaltung der Operationen
- Remote-Access-Protokolle mit Firewall-Schutz
- Sichere Passwort-Verwaltungssysteme
- Externe IT-Sicherheitsscans und Schwachstellen-Analysen
Diese Anforderungen helfen Kanzleien zugleich, ihre rechtlichen Pflichten aus Artikel 32 DSGVO und § 2 BORA zu erfüllen – ein doppelter Nutzen.
Konkrete Fälle von Cyberrisiken bei Rechtsanwaltskanzleien
Die folgenden Fälle dokumentieren reale Cyberangriffe auf Anwaltskanzleien weltweit und zeigen die verheerenden Auswirkungen solcher Vorfälle auf die Anwaltspraxis.
DLA Piper (Juni 2017): NotPetya-Ransomware
Einer der bekanntesten und schwerwiegendsten Cyberangriffe auf eine Anwaltskanzlei traf DLA Piper, eine der weltweit größten Kanzleien mit über 3.600 Anwälten, am 27. Juni 2017. Der Angriff legte die gesamte globale IT-Infrastruktur der Kanzlei innerhalb von 20 Minuten lahm.
| Art des Angriffs | Ransomware (NotPetya) |
| Angriffsvektor | Administrator klickte auf gefälschtes „Update“ für ukrainische Buchhaltungssoftware |
| Erkennungszeit | 20 Minuten (Frühwarnsystem) |
| Ausbreitung | Blitzschnell über das gesamte weltweite Netzwerk |
| Ausfallzeit | Mehrere Tage komplett arbeitsunfähig |
| Betroffene Systeme | Computer, E-Mail-Server, Telefonsystem |
| IT-Wiederherstellung | 15.000 Überstunden allein für IT |
| Vergleichsschäden | Andere NotPetya-Opfer: 374–378 Mio. $ |
Das Frühwarnsystem der Kanzlei erkannte zwar die Schadsoftware innerhalb von 20 Minuten, konnte aber die blitzschnelle Ausbreitung nicht verhindern. Die Kanzlei musste alle Systeme herunterfahren. In den Büros hingen handgeschriebene Schilder: „Alle Netzwerke sind ausgefallen – Computer NICHT einschalten! Laptops von Dockingstationen entfernen und ausgeschaltet lassen. Keine Ausnahmen.“ Mitarbeiter konnten nur noch über Mobiltelefone und SMS kommunizieren.
DLA Piper berichtete, dass keine Mandantendaten kompromittiert wurden, da die Kanzlei über gute Backups verfügte. Dennoch war der Reputationsschaden und die Betriebsunterbrechung erheblich.
Grubman Shire Meiselas & Sacks (Mai 2020): REvil-Ransomware
Die prominente New Yorker Entertainment-Anwaltskanzlei wurde im Mai 2020 Opfer eines verheerenden Ransomware-Angriffs durch die Hackergruppe REvil.
| Art des Angriffs | Ransomware 2.0 (Verschlüsselung + Datenexfiltration) |
| Datenvolumen gestohlen | 756 Gigabyte (49 Mio. Seiten Word-Dokumente) |
| Betroffene Mandanten | Lady Gaga, Madonna, Elton John, Bruce Springsteen, Drake u.v.m. |
| Erste Lösegeldforderung | 21 Millionen $ |
| Erhöhte Forderung | 42 Millionen $ (nach Trump-Akten-Fund) |
| Reaktion der Kanzlei | Weigerte sich zu zahlen (FBI-Empfehlung) |
| Veröffentlichung | Screenshots im Dark Web, Daten zum Kauf verfügbar |
Die Hacker wendeten die neue „Doppel-Erpressung“ an: Verschlüsselung der Systeme und Diebstahl sensibler Daten mit Drohung der Veröffentlichung. Um Druck aufzubauen, veröffentlichten sie einen Screenshot eines angeblichen Madonna-Vertrags im Dark Web. Die Kanzlei wies darauf hin, dass „Verhandlungen mit oder Zahlungen an Terroristen eine Verletzung des Bundesstrafrechts darstellen“ und dass „selbst wenn enorme Lösegelder gezahlt wurden, die Kriminellen die Dokumente oft trotzdem veröffentlichen“.
Schultze & Braun (Februar 2022): Conti-Ransomware
In der Nacht vom 15. auf den 16. Februar 2022 wurde die deutsche Kanzlei für Insolvenzrecht Schultze & Braun mit 40 Standorten deutschlandweit Opfer einer Ransomware-Attacke.
| Art des Angriffs | Ransomware durch russische Hackergruppe „Conti“ |
| Ziel | Sensible Kundendaten der bundesweit tätigen Kanzlei |
| Behauptete Veröffentlichung | 10% der zugänglich gewordenen Daten |
| Lösegeldforderung | Keine (ungewöhnlich für Ransomware) |
| Reaktion | Umgehend und vorbildlich, größere Schäden vermieden |
| Hintergrund | Conti unterstützte Putins Politik, griff Costa Rica an |
Die Hackergruppe Conti verschlüsselte die Systeme und behauptete auf ihrer Website, 10 Prozent der bei dem Angriff zugänglich gewordenen Daten veröffentlicht zu haben. Allerdings blieb dies bisher nur eine Behauptung – es wurde kein nachweisbarer Identitätsdiebstahl mit Kundendaten festgestellt. Nach Angaben der Kanzlei wurde keine Lösegeldsumme gefordert, was für Ransomware-Angriffe ungewöhnlich ist.
Allen & Overy (November 2023): LockBit-Ransomware
Die britische „Magic Circle“-Kanzlei Allen & Overy, eine der renommiertesten Großkanzleien weltweit, bestätigte im November 2023 einen Ransomware-Angriff, der eine „kleine Anzahl“ ihrer Speicherserver betraf.
| Art des Angriffs | Ransomware durch LockBit (ALPHV/BlackCat) |
| Angriffsvektor | Phishing-Kampagne auf Mitarbeiter |
| Bedrohung | Veröffentlichung gestohlener Daten |
| Betroffene Behörden | 65 Regierungsbehörden und Abteilungen |
| Reaktion | Schnelle Untersuchung mit externen Cyber-Experten |
Die Hackergruppe LockBit verschaffte sich Zugang durch eine ausgeklügelte Phishing-Kampagne, die auf Mitarbeiter abzielte. Phishing-E-Mails manipulierten Mitarbeiter dazu, kompromittierte Anmeldedaten preiszugeben. Obwohl zunächst keine Beweise für Datenexfiltration vorlagen, behauptete LockBit, für den Angriff verantwortlich zu sein und drohte mit der Veröffentlichung gestohlener Daten. Der Vorfall zeigte, dass selbst globale Organisationen mit starken Reputationen und beträchtlichen Ressourcen nicht vor hochentwickelten Cyber-Bedrohungen gefeit sind.
DPP Law Ltd (Juni 2022): Brute-Force-Angriff
Die auf Strafrecht und Klagen gegen die Polizei spezialisierte Kanzlei DPP Law Ltd in Merseyside, UK, erlitt im Juni 2022 einen Cyberangriff.
| Art des Angriffs | Brute-Force-Attacke mit Datenexfiltration |
| Angriffsweg | Administrator-Konto für veraltetes Fallverwaltungssystem |
| Gestohlene Datenmenge | 32 Gigabyte |
| Datenarten | Gerichtsbündel, PDFs, Bodycam-Aufnahmen der Polizei |
| Veröffentlichung | Dark Web |
| Fehleinschätzung | Zunächst als Ransomware eingestuft, keine Lösegeldforderung |
| Strafe | 60.000 £ Bußgeld durch ICO |
Hacker verschafften sich durch einen Brute-Force-Versuch Zugang zu einem Administrator-Konto, das für den Zugriff auf ein veraltetes Fallverwaltungssystem genutzt wurde. Als der E-Mail-Server der Kanzlei ausfiel, stufte der externe IT-Dienstleister den Vorfall als Ransomware ein. Die Kanzlei kam zu dem Schluss, dass keine Daten extrahiert worden seien. Erst als die britische National Crime Agency (NCA) die Kanzlei später informierte, dass drei Ordner mit DPP-Daten im Dark Web veröffentlicht worden waren, wurde das wahre Ausmaß klar.
Beispielrechnung: Kosten eines Ransomware-Angriffs auf eine Kanzlei
Eine deutsche Untersuchung berechnete die Gesamtkosten eines Ransomware-Angriffs auf eine Kanzlei mit 10 Mitarbeitern:
| Kostenfaktor | Betrag (netto) |
|---|---|
| Betriebsunterbrechung (5 Tage Ausfall) | 10 Mitarbeitende × 600 €/Tag × 5 Tage = 15.000 € |
| IT-Forensik & Wiederherstellung | 8.000 € |
| Weitere Kosten (Krisenmanagement, PR, Rechtsberatung, DSGVO-Benachrichtigungen) | 25.000 – 50.000 € |
| Optional: Lösegeld | 100.000 – 150.000 € |
| Gesamtschaden mit Lösegeld | ca. 168.000 € |
Diese Zahlen sind Durchschnittswerte und variieren je nach Umfang und Art des Angriffs. Kanzleien ohne Backups oder Notfallpläne sind meist stärker betroffen.
Fazit: Die Cyberversicherung ist für Rechtsanwälte existenziell
Eine Cyberversicherung ist für Anwaltskanzleien nicht gesetzlich vorgeschrieben, aber de facto unverzichtbar. Die Kombination aus rechtlichen Verpflichtungen (DSGVO, BRAO, BORA, § 203 StGB), besonders schutzbedürftigen Mandantendaten und der besonderen Attraktivität für Cyberkriminelle macht Kanzleien zu Hochrisikozielen.
Die dokumentierten Fälle zeigen eindrucksvoll: Keine Kanzlei ist zu groß oder zu klein für einen Angriff. Von globalen Megakanzleien wie DLA Piper und Allen & Overy bis zu kleinen regionalen Kanzleien – alle wurden erfolgreich angegriffen. Die durchschnittliche Kostenbelastung von 5,08 Millionen Dollar pro Jahr für betroffene Kanzleien in Deutschland übersteigt die Jahresprämie einer Cyberversicherung um ein Vielfaches.
Die Standard-Berufshaftpflichtversicherung deckt zwar Haftungsansprüche Dritter bei fahrlässiger Offenbarung von Mandantendaten ab, aber nicht die direkten Eigenschäden der Kanzlei wie IT-Wiederherstellung, Ransomware-Zahlungen, Betriebsunterbrechung oder Krisenmanagement. Diese kritische Lücke schließt die Cyberversicherung und bietet zudem wertvolle Assistenzleistungen wie 24/7-Krisenhotlines, IT-Experten und Rechtsberatung bei DSGVO-Meldepflichten.
„Mit 70 Prozent der deutschen Kanzleien ohne Notfallplan und 70 Prozent ohne Cyberversicherung ist die Sorglosigkeit erschreckend. Ein durchschnittlicher Ransomware-Angriff kostet eine Kanzlei mit 10 Mitarbeitern etwa 168.000 Euro – während die Jahresprämie einer Cyberversicherung bei durchschnittlich 2.000 Euro liegt. Die Cyberversicherung ist damit nicht nur finanzieller Schutz, sondern existenzsichernde Notwendigkeit für jede moderne Anwaltskanzlei.“
