Eine vermeintliche Mandantin schickt Unterlagen zu einem neuen Fall. Eine Bewerbung mit Lebenslauf landet im Postfach. Eine E-Mail scheint von einem Gericht zu stammen und fordert dazu auf, ein Dokument zu öffnen. Oder die Kanzleileitung bittet angeblich kurzfristig um eine Überweisung.
Was wie normale Kanzleikorrespondenz aussieht, kann Teil eines Cyberangriffs sein.
Technische Schutzmaßnahmen wie Spamfilter, Firewall und Multi-Faktor-Authentifizierung sind wichtig, können aber nicht jede betrügerische Nachricht erkennen. Security Awareness Trainings helfen Mitarbeiter:innen dabei, typische Angriffsmuster zu erkennen und im Verdachtsfall richtig zu reagieren.
Warum Security Awareness für Kanzleien wichtig ist
Rechtsanwalts- und Steuerberatungskanzleien arbeiten täglich mit vertraulichen Mandanten-, Unternehmens-, Personal- und Finanzdaten. Gleichzeitig erhalten sie zahlreiche externe Nachrichten und Dokumente.
Genau das nutzen Angreifer aus: Eine unbekannte Absenderadresse kann tatsächlich zu einem neuen Mandat gehören, ein unerwarteter Anhang eine legitime Bewerbung sein und eine dringende Nachricht von einem Mandanten stammen.
Security Awareness bedeutet daher nicht, jede Nachricht grundsätzlich als verdächtig einzustufen. Mitarbeiter:innen sollten vielmehr erkennen, wann zusätzliche Vorsicht oder eine kurze Überprüfung erforderlich ist.
Typische Angriffsszenarien im Kanzleialltag
Typische Angriffe wirken oft wie ganz normale Kommunikation im Kanzleialltag. Besonders gefährlich sind Nachrichten und Anfragen, die vertraute Abläufe nachahmen und dadurch auf den ersten Blick glaubwürdig erscheinen.
Gefälschte Mandantenmails
Eine vermeintliche Mandatsanfrage enthält einen Vertrag, Rechnungen oder andere Unterlagen im Anhang. Gerade weil Kanzleien regelmäßig Dokumente von unbekannten Personen erhalten, wirken solche Nachrichten oft plausibel.
Warnsignale können ungewöhnliche Dateiformate, externe Downloadlinks, auffällige Absenderdomains oder künstlicher Zeitdruck sein.
Bewerbungen mit Schadsoftware
Auch Bewerbungen können als Einfallstor dienen. Lebenslauf und Bewerbungsschreiben im Anhang sind völlig normal – und genau das macht dieses Szenario glaubwürdig.
Besondere Vorsicht ist bei ungewöhnlichen Dateiformaten, komprimierten Archiven oder Links zu externen Downloadseiten sinnvoll.
Angebliche Gerichts- oder Behördennachrichten
Nachrichten wie „Neue Zustellung verfügbar“, „Frist beachten“ oder „Dokument abrufen“ können gezielt Zeitdruck erzeugen.
Mitarbeiter sollten prüfen:
- Passt die Nachricht zum erwarteten Vorgang?
- Stimmt die Absenderdomain?
- Wohin führt der Link tatsächlich?
- Kann die Information direkt über das bekannte Portal überprüft werden?
Bei unerwarteten Anmeldeaufforderungen sollte das bekannte Portal besser direkt aufgerufen werden, statt einem Link aus der E-Mail zu folgen.
Zahlungsbetrug
Ein Mandant oder Geschäftspartner teilt angeblich eine neue Bankverbindung mit. Oder eine vermeintliche Nachricht der Kanzleileitung fordert eine dringende Überweisung.
Solche Angriffe funktionieren häufig ganz ohne Schadsoftware.
Eine einfache Sicherheitsregel kann viel bewirken:
Geänderte Bankverbindungen und ungewöhnliche Zahlungsanweisungen sollten immer über einen zweiten, bereits bekannten Kommunikationsweg bestätigt werden.
Social Engineering per Telefon
Auch telefonisch können Angreifer versuchen, an Zugangsdaten oder interne Informationen zu gelangen.
Sie geben sich beispielsweise als IT-Dienstleister, Softwareanbieter, Mandant oder Bank aus.
Passwörter und MFA-Bestätigungscodes sollten niemals aufgrund eines unerwarteten Anrufs weitergegeben werden.
Microsoft-365-Phishing erkennen
Besonders häufig zielen Phishing-Angriffe auf E-Mail- und Microsoft-365-Zugänge.
Gefälschte Microsoft-, OneDrive- oder SharePoint-Seiten können täuschend echt aussehen. Mitarbeiter:innen gelangen beispielsweise über eine angebliche Dokumentfreigabe auf eine gefälschte Login-Seite und geben dort ihre Zugangsdaten ein.
Wird ein echtes E-Mail-Konto übernommen, können Angreifer anschließend Nachrichten von einer tatsächlich existierenden Kanzlei-Adresse versenden.
Deshalb gehören persönliche Benutzerkonten, sichere Passwörter und Multi-Faktor-Authentifizierung ebenso zum Sicherheitskonzept wie geschulte Mitarbeiter:innen.
Was sollte ein Security Awareness Training vermitteln?
Eine gute Schulung sollte sich möglichst eng am tatsächlichen Kanzleialltag orientieren.
Mitarbeiter:innen sollten insbesondere lernen:
- verdächtige Absender und Domains zu erkennen
- Links vor dem Öffnen zu prüfen
- unerwartete Anhänge kritisch zu beurteilen
- ungewöhnliche Login-Aufforderungen zu hinterfragen
- Zahlungsänderungen über einen zweiten Kanal zu bestätigen
- Passwörter und MFA-Codes niemals weiterzugeben
- verdächtige Vorfälle richtig zu melden
Auch typische Social-Engineering-Methoden sollten bekannt sein. Angreifer arbeiten häufig mit Zeitdruck, Autorität, Angst oder Hilfsbereitschaft, um Personen zu schnellen Handlungen zu bewegen.
IT-Sicherheit beginnt bei Technik und Mitarbeiter:innen
Firewalls, Backup, Multi-Faktor-Authentifizierung und sichere Benutzerkonten bilden die technische Grundlage. Genauso wichtig sind jedoch klare Prozesse und Mitarbeiter:innen, die verdächtige Situationen erkennen und richtig darauf reagieren können.
Datenschutz und vertrauliche Informationen
Security Awareness betrifft nicht nur Phishing.
Auch im täglichen Umgang mit vertraulichen Daten sollten Mitarbeiter:innen wissen:
- Darf dieses Dokument an diese Person gesendet werden?
- Ist der richtige Empfänger ausgewählt?
- Darf die Datei auf einem privaten Gerät gespeichert werden?
- Welche Informationen dürfen telefonisch weitergegeben werden?
- Was ist bei einer falsch versendeten E-Mail zu tun?
- Wer muss bei einem möglichen Datenschutzvorfall informiert werden?
Klare interne Regeln helfen dabei, Fehler zu vermeiden und im Ernstfall schnell zu reagieren.
Passwörter und Zugangsdaten richtig verwalten
Auch Passwortsicherheit gehört zu einer Awareness-Schulung.
Mitarbeiter:innen sollten wissen, warum Passwörter nicht mehrfach verwendet werden sollten, weshalb persönliche Benutzerkonten wichtig sind und warum Zugangsdaten nicht einfach innerhalb des Teams weitergegeben werden dürfen.
Ein zentral eingesetzter Passwortmanager für Kanzleien kann helfen, persönliche und gemeinsam benötigte Zugangsdaten sicher und strukturiert zu verwalten.
Was tun bei einer verdächtigen E-Mail?
Eine der wichtigsten Regeln lautet: Im Zweifel melden statt ignorieren.
Mitarbeiter:innen sollten wissen, wie sie konkret vorgehen:
- Nicht auf verdächtige Links klicken.
- Anhänge nicht öffnen.
- Keine Zugangsdaten oder MFA-Codes eingeben.
- Zahlungsaufforderungen über einen zweiten Kanal überprüfen.
- Die Nachricht an die zuständige interne Person oder den IT-Dienstleister melden.
- Falls bereits geklickt oder Daten eingegeben wurden: sofort Bescheid geben.
Je früher ein möglicher Vorfall gemeldet wird, desto schneller können Passwörter geändert, Konten gesperrt oder Geräte überprüft werden.
Security Awareness beginnt beim Onboarding
Neue Mitarbeiter:innen sollten bereits beim Eintritt in die Kanzlei mit den wichtigsten Sicherheitsregeln vertraut gemacht werden.
Dazu gehören:
- persönliche Benutzerkonten
- Multi-Faktor-Authentifizierung
- Passwortmanager
- Umgang mit externen Dateien
- sichere Nutzung von E-Mail und Cloud-Diensten
- Meldewege bei Sicherheitsvorfällen
- Umgang mit vertraulichen Mandantendaten
Damit wird Security Awareness Teil eines strukturierten IT-Onboardings für neue Kanzleimitarbeiter:innen.
Regelmäßige Auffrischung statt einmaliger Schulung
Eine einmalige Schulung reicht langfristig meist nicht aus.
Sinnvoll sind kurze, regelmäßige Auffrischungen mit konkreten Beispielen aus dem Kanzleialltag. Ergänzend können interne Sicherheitshinweise oder Phishing-Simulationen eingesetzt werden.
Das Ziel sollte dabei nicht sein, einzelne Mitarbeiter:innen „hereinzulegen“, sondern Unsicherheiten zu erkennen und die internen Abläufe zu verbessern.
Fazit: Mitarbeiter:innen sind Teil der IT-Sicherheit
Gefälschte Mandantenmails, manipulierte Bewerbungen, angebliche Behördennachrichten oder betrügerische Zahlungsaufforderungen können auf den ersten Blick vollkommen plausibel wirken.
Security Awareness Trainings helfen Mitarbeiter:innen, Warnsignale zu erkennen und in ungewöhnlichen Situationen richtig zu reagieren.
Entscheidend ist dabei nicht möglichst viel technisches Fachwissen, sondern eine einfache Frage: Was soll ich tun, wenn mir etwas ungewöhnlich vorkommt?
Wenn diese Abläufe klar geregelt sind und technische Schutzmaßnahmen gleichzeitig zuverlässig funktionieren, wird Security Awareness zu einem wichtigen Bestandteil der gesamten Kanzlei-IT.
Häufige Fragen zu Security Awareness in Kanzleien
Was bedeutet Security Awareness?
Security Awareness bezeichnet das Bewusstsein von Mitarbeiter:innen für IT-Sicherheitsrisiken und den sicheren Umgang mit digitalen Systemen.
Wer sollte an Security Awareness Trainings teilnehmen?
Grundsätzlich alle Personen, die mit E-Mail, Dokumenten oder anderen IT-Systemen arbeiten. Besonders relevant ist das Thema für Mitarbeiter, die regelmäßig externe Nachrichten, Bewerbungen, Rechnungen oder Zahlungsinformationen bearbeiten.
Welche Phishing-Angriffe sind für Kanzleien besonders relevant?
Typische Beispiele sind gefälschte Mandatsanfragen, manipulierte Bewerbungen, angebliche Nachrichten von Gerichten oder Behörden, gefälschte Microsoft-365-Anmeldeseiten und betrügerische Zahlungsaufforderungen.
Wie oft sollten Security Awareness Trainings stattfinden?
Neben einer Basisschulung beim Eintritt sind regelmäßige kurze Auffrischungen sinnvoll, damit Sicherheitsregeln im Arbeitsalltag präsent bleiben.
Was sollte man tun, wenn bereits auf einen Phishing-Link geklickt wurde?
Der Vorfall sollte möglichst sofort intern oder an den IT-Dienstleister gemeldet werden. Wurden Zugangsdaten eingegeben oder eine MFA-Anfrage bestätigt, sollte dies ausdrücklich angegeben werden.
