11.11.2026

Datenleck bei Kanzleisoftware

Offene Backups in der Cloud: Kanzleisoftware-Anbieter lässt Kunden im Unklaren

Ein IT-Dienstleister hat für Rechtsanwältinnen und Rechtsanwälte eine Software zur Mandatsverwaltung in der Cloud betrieben. Über eine Sicherheitslücke waren die Backup-Daten der Kanzleien aus dem Internet abrufbar. Seine Kunden hat das Unternehmen über das Datenleck nicht ausreichend informiert. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, kurz BlnBDI, schildert den Fall in ihrem Jahresbericht 2025. Er zeigt, warum die Meldepflicht eines Auftragsverarbeiters keine Formalie ist.

Das Unternehmen war für die Kanzleien als Auftragsverarbeiter nach Art. 28 DS-GVO tätig. Es hatte die technische Kontrolle über die Software. Für die Daten blieben aber die Kanzleien verantwortlich. Ein Auftragsverarbeiter muss dem Verantwortlichen eine Datenschutzverletzung nach Art. 33 Abs. 2 DS-GVO unverzüglich melden. Diese Pflicht hat das Unternehmen nicht erfüllt.

Den Anstoß gaben Sicherheitsforschende. Ihr Hinweis zeigte, dass bei der Umsetzung der Cloud-Version mehrere Fehler passiert waren. Die Software legte regelmäßig Backups an. Diese landeten als eindeutig benannte Dateien in einem festen Unterverzeichnis der jeweiligen Instanz. Der Pfad dorthin war ohne Zugriffsbeschränkung aus dem Internet erreichbar.

Das Unternehmen sah darin kein Sicherheitsrisiko. Die Domainnamen der produktiven Instanzen seien schließlich nicht bekannt. Die BlnBDI teilte diese Einschätzung nicht. Die virtuellen Server hatten zusätzliche Domainnamen, die fortlaufend durchnummeriert waren. Man konnte sie also systematisch durchprobieren. Außerdem tauchten sie in einer einschlägigen Suchmaschine auf.

Auch die Verschlüsselung der Backups reichte nicht aus. Das Unternehmen nutzte ein veraltetes Standardverfahren mit bekannten Schwachstellen. Angriffe darauf gelingen vor allem dann, wenn ein Angreifer Teile des Klartexts schon kennt. Genau das war hier der Fall. Über die frei nutzbare Demoversion ließ sich herausfinden, dass jede Instanz identische Beispieldateien enthielt. Diese steckten damit auch in jedem Backup.

Was in den Backups lag, wiegt schwer. Sie enthielten umfangreichen Schriftverkehr der Anwältinnen und Anwälte mit Mandanten, mit gegnerischen Anwälten, mit anderen Gegenparteien und mit Gerichten. Dazu kamen Zugangsdaten zu E-Mail-Konten und zum besonderen elektronischen Anwaltspostfach, dem beA. Über das beA läuft der elektronische Rechtsverkehr mit den Gerichten. Mit diesen Zugangsdaten hätte man die Postfächer potenziell übernehmen können.

Kurz nachdem das Unternehmen von dem Vorfall erfahren hatte, schloss es die Lücke. Später fanden die Sicherheitsforschenden weitere Angriffsmöglichkeiten, die ebenfalls geschlossen werden mussten. Erst danach ließ das Unternehmen die Software von einem spezialisierten Dienstleister auf Sicherheit prüfen.

Die Kunden informierte das Unternehmen trotz mehrfacher Aufforderung durch die BlnBDI bis zum Ende des Berichtsjahres nicht ausreichend. Die betroffenen Kanzleien konnten deshalb ihre eigenen Melde- und Benachrichtigungspflichten nach Art. 33 DS-GVO und Art. 34 DS-GVO nicht erfüllen.

Das Unternehmen hielt dagegen. Es habe die Lücke untersucht und als nicht kritisch eingestuft. Außer den Sicherheitsforschenden habe niemand auf die Daten zugegriffen. Für einen Großteil des Zeitraums ließ sich das aber gar nicht mehr prüfen, denn die Protokolldaten waren nicht mehr vorhanden. Und selbst wenn niemand zugegriffen hätte: Über lange Zeit bestand ein hohes Risiko, dass sensible Daten unter anwaltlicher Schweigepflicht in falsche Hände geraten. Die BlnBDI prüft eine Abgabe an ihre Sanktionsstelle.

Die Behörde zieht daraus eine klare Lehre. In der Praxis haben Auftragsverarbeiter meist die volle technische Kontrolle über die Verarbeitung. Die Verantwortlichen müssen trotzdem von jedem Datenschutzvorfall erfahren. Nur so können sie die Risiken selbst einschätzen und angemessen reagieren.

Unsere Empfehlungen

Der Fall betrifft Kanzleien direkt. Die Lehren gelten aber für alle, die Daten von einem Dienstleister verarbeiten lassen, und für alle Anbieter, die das übernehmen.

Kanzleien und Freiberufler

Wer einen IT-Dienstleister mit Mandantendaten betraut, muss ihn nach § 43e BRAO sorgfältig auswählen und zur Verschwiegenheit verpflichten. Für Steuerberater gilt mit § 62a StBerG eine vergleichbare Regel.

Im Auftragsverarbeitungsvertrag eine konkrete Meldefrist für Datenschutzvorfälle festlegen, zum Beispiel 24 Stunden. Ein bloßes „unverzüglich“ hilft im Ernstfall wenig.
Nachweise zur Sicherheit verlangen, etwa aktuelle Penetrationstests, das eingesetzte Verschlüsselungsverfahren und die Dauer der Protokollierung.
Bei Hinweisen auf einen Vorfall nicht auf den Dienstleister warten. Schriftlich nachfragen, eine Frist setzen und alles dokumentieren. Die 72-Stunden-Frist nach Art. 33 Abs. 1 DS-GVO läuft ab der eigenen Kenntnis der Kanzlei.
Nach einem Vorfall die Zugangsdaten zu E-Mail und beA sofort ändern, wenn sie beim Dienstleister gespeichert waren.
Mandanten benachrichtigen, wenn ein hohes Risiko nicht auszuschließen ist. Fehlende Informationen des Dienstleisters entbinden die Kanzlei nicht von dieser Pflicht.

Unternehmen und KMU als Softwareanbieter

Die Pflicht zur Sicherheit der Verarbeitung nach Art. 32 DS-GVO trifft Auftragsverarbeiter genauso wie Verantwortliche. Wer Software für Kunden betreibt, sollte diese Punkte umsetzen.

Jeden Datenschutzvorfall unverzüglich an die Kunden melden. Ob ein Risiko besteht, entscheidet der Verantwortliche und nicht der Auftragsverarbeiter.
Backups nie in öffentlich erreichbaren Verzeichnissen ablegen und mit aktuellen Verfahren und eigenen Schlüsseln pro Kunde verschlüsseln.
Sich nicht auf unbekannte Adressen verlassen. Durchnummerierte Hostnamen und Einträge in Suchmaschinen machen jede Instanz auffindbar.
Protokolldaten so lange aufbewahren, dass sich Zugriffe im Nachhinein prüfen lassen.
Software vor dem Start extern prüfen lassen und einen festen Meldeweg für Sicherheitsforschende einrichten.

Gesundheitseinrichtungen

Arztpraxen, Kliniken und Therapeuten unterliegen wie Anwälte einer Schweigepflicht nach § 203 StGB. Sie verarbeiten außerdem Gesundheitsdaten nach Art. 9 DS-GVO. Wer Praxis- oder Kliniksoftware in der Cloud nutzt, sollte dem Anbieter deshalb dieselben Fragen stellen.

Wo liegen die Backups, und wer kann sie abrufen?
Wie schnell meldet der Anbieter einen Vorfall, und an wen?
Wie lange werden Zugriffe protokolliert?
Darf die Einrichtung den Anbieter kontrollieren oder Prüfberichte anfordern?

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Jahresbericht 2025

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks