Anwaltskanzleien und Treuhandbüros gehören zu den attraktivsten Angriffszielen in der Schweiz — und zu den am stärksten unterschätzten. Sie sitzen auf einem Schatz: Mandatsakten enthalten M&A-Transaktionsdaten, die Milliarden wert sein können, bevor sie publik werden. Strafakten liefern politisch brisante Informationen. Nachlassdossiers verraten Familienvermögen und Erbstreitigkeiten. Treuhandmandate dokumentieren Unternehmensstrukturen, Steueroptimierungen und Gesellschafterverträge.

Laut einer Erhebung des Schweizerischen Anwaltsverbands (SAV) aus dem Jahr 2025 hatten 47% der befragten Schweizer Anwaltskanzleien in den letzten drei Jahren mindestens einen Cybersicherheitsvorfall — von Phishing-Angriffen bis hin zu vollständigen Ransomware-Attacken. Die durchschnittlichen Kosten eines Vorfalls lagen bei CHF 280’000, ohne Reputationsschaden und Mandatsverluste. Dennoch verfügen laut derselben Studie 62% der Kanzleien mit weniger als 20 Anwälten über keine dedizierte IT-Sicherheitsstrategie.

Dieser Leitfaden richtet sich an Kanzleiinhaber, Managing Partner, Anwalts-Treuhänder und IT-Verantwortliche von Schweizer Kanzleien und Treuhandbüros, die ihre Sicherheit auf den Stand der Bedrohungslage bringen wollen.

Warum sind Anwaltskanzleien besonders attraktive Ziele?

Die Antwort liegt in der Natur des Rechtsberufs: Anwälte und Treuhänder wissen Dinge, die andere nicht wissen dürfen — und genau diese Daten wollen Angreifer haben.

M&A-Transaktionsdaten: Bei Unternehmensübernahmen und Fusionen sind die Anwaltskanzleien der Parteien oft der einzige Ort, wo alle vertraulichen Informationen zusammenfliessen: Bewertungen, Due-Diligence-Berichte, Verhandlungsstrategien, Preisvorstellungen. Insider-Trading basierend auf gestohlenen M&A-Daten ist ein Milliardenmarkt. Staatlich gesteuerte Nachrichtendienste sammeln Transaktionsdaten für strategische Wirtschaftsinteressen.

Geistiges Eigentum: Kanzleien, die im Bereich Patentrecht, Markenrecht und IP-Litigation tätig sind, verwalten Unterlagen zu wertvollen Erfindungen, noch unveröffentlichten Patentanmeldungen und Produktentwicklungen ihrer Mandanten. Für Konkurrenten aus Ländern mit weniger striktem Rechtsschutz sind diese Informationen bares Gold.

Regulatorische Verfahren: Kanzleien, die in Behördenverfahren, Steuerprozessen oder Strafverfahren tätig sind, besitzen brisante Dokumente mit hohem Erpressungspotenzial.

Gesellschafts- und Treuhandstrukturen: Treuhandbüros kennen die vollständigen wirtschaftlichen Strukturen ihrer Klienten: Holdinggesellschaften, Stiftungen, Trust-Strukturen, wirtschaftlich Berechtigte. Diese Informationen sind für Steuer- und Strafverfolgungsbehörden anderer Länder, aber auch für Kriminelle hochwertig.

Schwächere IT-Sicherheit als die Mandanten: Während grosse Banken und Konzerne erheblich in ihre Cybersecurity investieren, hinkt der Rechtssektor oft hinterher. Angreifer nutzen gezielt den Weg über die Kanzlei — die einfachste Route zu den Daten des eigentlichen Ziels.

„Anwaltskanzleien sind der blinde Fleck in der Cybersecurity-Strategie vieler Schweizer Unternehmen. Die Mandanten investieren in ihre eigene Sicherheit, aber die sensiblen Daten liegen dann auf dem schlecht gesicherten Kanzleiserver — oder noch schlimmer: im E-Mail-Postfach des Anwalts.” — IT-Sicherheitsberater, spezialisiert auf den Rechtssektor, Genf

Bedrohungsstatistiken für Anwaltskanzleien

Vier Zahlen zeigen, wie ernst die Bedrohungslage ist:

  • 47% der Schweizer Anwaltskanzleien hatten in den letzten drei Jahren mindestens einen Cybersicherheitsvorfall (SAV Studie, 2025).
  • CHF 280’000 betragen die durchschnittlichen Gesamtkosten eines Cybervorfalls für eine Schweizer Anwaltskanzlei (SAV/KPMG, 2025).
  • 73% der Angriffe auf Kanzleien begannen mit einer Phishing-E-Mail — oft so präzise formuliert, dass sie ein laufendes Mandat referenzierten (ICC Cybercrime Unit, 2024).
  • Nur 23% der Schweizer Kanzleien mit weniger als 50 Mitarbeitenden verwenden Ende-zu-Ende-Verschlüsselung für die Kommunikation mit Mandanten (SAV Digitalisierungsstudie, 2025).

Welche spezifischen Bedrohungen treffen Anwaltskanzleien?

Spear-Phishing auf Mandate

Gewöhnliche Phishing-E-Mails sind leicht zu erkennen. Gegen Anwaltskanzleien werden jedoch oft massgeschneiderte Spear-Phishing-Kampagnen eingesetzt: Die Angreifer recherchieren öffentlich zugängliche Informationen über laufende Verfahren, Parteien und Anwälte, und formulieren E-Mails, die täuschend echt wirken.

Beispiele: Eine E-Mail, die angeblich von der Gegenpartei in einem laufenden Verfahren stammt und einen “Vergleichsvorschlag” als Anhang enthält. Ein angebliches Gericht, das dringende Unterlagen anfordert. Ein angeblicher Mandant, der nach seiner Akte fragt und dabei Informationen nennt, die er nur aus einem echten Datenleck kennen kann.

Schützen Sie Ihre Kanzlei mit den Massnahmen aus unserem Leitfaden zum Phishing-Schutz für Unternehmen.

Business E-Mail Compromise (BEC) bei Transaktionen

Bei Immobilientransaktionen, Unternehmensverkäufen und anderen grossen Zahlungsflüssen sitzen Anwälte als Treuhänder über Escrow-Konten. BEC-Angreifer greifen E-Mail-Postfächer ab oder täuschen Absenderadressen vor, um bei der abschliessenden Zahlung die Bankverbindung auf ein betrügerisches Konto zu ändern.

Diese Angriffe sind besonders perfide, weil sie oft erst nach der Transaktion entdeckt werden — wenn das Geld bereits unwiederbringlich transferiert wurde. Schweizer Anwaltskanzleien haben durch BEC in den letzten Jahren nachweislich zweistellige Millionenbeträge verloren.

Ransomware auf Kanzlei-Dokumentenmanagementsysteme

Kanzleien sind bevorzugte Ransomware-Opfer, weil sie nicht auf die Zahlung des Lösegelds verzichten können: Mandatsakten sind der Kern des Geschäfts, Fristen laufen auch bei einem Cyberangriff weiter, und der Verlust von Mandatsdaten kann berufsrechtliche Konsequenzen haben.

Moderne Ransomware-Gruppen setzen auf “Double Extortion”: Sie kopieren die Mandatsakten, bevor sie sie verschlüsseln, und drohen mit der Veröffentlichung vertraulicher Informationen — was für Kanzleien eine existenzielle Bedrohung darstellt, weil die Publikation von Mandatsdaten gegen das Berufsgeheimnis verstossen würde.

Mehr zu Schutzmassnahmen in unserem Leitfaden zum Ransomware-Schutz für KMU.

Insider-Bedrohungen und ausscheidende Mitarbeitende

Anwaltskanzleien haben eine hohe Fluktuation: Anwälte wechseln Kanzleien, bringen Mandate mit und nehmen manchmal Daten mit. Nicht immer böswillig — aber ein Anwalt, der seine gesamte Korrespondenz in seine persönliche Cloud kopiert, um nach dem Stellenwechsel auf Referenzdokumente zugreifen zu können, schafft ein erhebliches Datenleck.

Böswillige Insider sind die zweite Variante: Ein unzufriedener Mitarbeitender, der vertrauliche Informationen an Medien oder die Gegenpartei weitergibt, richtet schweren Schaden an. Technische Kontrollen müssen solche Vorfälle erschweren und erkennbar machen.

Welche rechtlichen Pflichten haben Anwaltskanzleien?

Das Berufsgeheimnis als Sicherheitspflicht

Das anwaltliche Berufsgeheimnis, verankert in Art. 13 BGFA und Art. 321 StGB, verpflichtet Anwälte zur Verschwiegenheit über alles, was ihnen im Rahmen der Mandatsausübung anvertraut wurde. Diese Pflicht gilt nicht nur für bewusste Offenlegungen — auch die fahrlässige Ermöglichung eines unbefugten Zugriffs durch mangelhafte IT-Sicherheit kann eine Verletzung des Berufsgeheimnisses darstellen.

Die Aufsichtsbehörden des Anwaltsberufs (kantonale Anwaltsaufsichten) haben in den letzten Jahren klargestellt, dass Anwälte als Teil ihrer Sorgfaltspflicht angemessene technische und organisatorische Massnahmen zum Schutz von Mandatsdaten treffen müssen. Was “angemessen” ist, orientiert sich dabei am aktuellen Stand der Technik — und dieser hat sich erheblich weiterentwickelt.

nDSG-Pflichten für Kanzleien

Das neue Datenschutzgesetz stellt Anwaltskanzleien vor besondere Herausforderungen, weil Mandatsdaten oft sensible Personendaten enthalten:

Besonders schützenswerte Personendaten: Strafverfahren, Gesundheitsdaten von Mandanten, religiöse oder politische Überzeugungen — all diese Kategorien unterliegen nach nDSG einem erhöhten Schutz und erfordern in der Regel eine ausdrückliche Einwilligung oder eine gesetzliche Grundlage für die Verarbeitung.

Datenschutz-Folgenabschätzung (DSFA): Für Kanzleien, die systematisch umfangreiche Mandatsdaten verarbeiten, ist eine DSFA obligatorisch.

Meldepflicht: Wird eine Kanzlei Opfer eines Cyberangriffs, bei dem Mandantendaten abgeflossen sind, muss der EDÖB unverzüglich informiert werden. Dies gilt auch dann, wenn die Kanzlei selbst das Opfer ist.

Auftragsverarbeitung: Cloud-Dienste für Dokumentenmanagement, E-Mail oder CRM, die Mandantendaten verarbeiten, erfordern einen Auftragsverarbeitungsvertrag.

Die wichtigsten Pflichten auf einen Blick in unserer nDSG-Checkliste für KMU.

FINMA-regulierte Tätigkeiten von Treuhandbüros

Treuhandbüros, die als Finanzintermediäre tätig sind (GwG-Unterstellungspflicht), unterliegen zusätzlichen Anforderungen der FINMA oder von Selbstregulierungsorganisationen (SRO). Dazu gehören Sorgfaltspflichten bei der Kundenidentifikation, die Aufbewahrung von Dokumenten und der Schutz dieser Unterlagen vor unbefugtem Zugriff. Vergleichen Sie dazu auch unsere Seite Cybersecurity im Finanzsektor.

Kantonale Anwaltsregeln

Verschiedene kantonale Anwaltsaufsichten haben spezifische Richtlinien für den Einsatz von Cloud-Diensten, E-Mail-Kommunikation und Datenspeicherung erlassen. Einige Kantone verlangen, dass Mandantendaten auf Servern in der Schweiz gespeichert werden. Anwälte müssen die für ihren Kanton geltenden Regeln kennen.

Wie sichert man eine Anwaltskanzlei?

E-Mail-Sicherheit — die kritischste Komponente

E-Mail ist das Herzstück der Kanzleikommunikation — und die grösste Schwachstelle. Folgende Massnahmen sind unverzichtbar:

Verschlüsselung: S/MIME oder PGP-Verschlüsselung für die Kommunikation mit Mandanten und anderen Kanzleien, die sensible Informationen austauschen. Zumindest Transport-Verschlüsselung (TLS) für alle E-Mail-Verbindungen.

Anti-Phishing: Professionelle E-Mail-Security-Gateways mit KI-gestützter Phishing-Erkennung, die auch Spear-Phishing-Angriffe erkennen können. Sandbox-Analyse für Anhänge.

E-Mail-Authentifizierung: SPF, DKIM und DMARC für alle Kanzlei-Domains konfigurieren, um das Fälschen von Absenderadressen zu verhindern.

MFA für alle Postfächer: Multi-Faktor-Authentifizierung für alle E-Mail-Konten — insbesondere für remote zugängliche Webmail.

BEC-Prävention: Für grosse Transaktionen (ab CHF 50’000) eine telefonische Verifikation jeder Zahlungsanweisung oder Kontoänderung einführen — unabhängig davon, wie authentisch die E-Mail wirkt.

Dokumentenmanagementsystem (DMS) sichern

Ein DMS ist für Kanzleien zentral — und muss entsprechend gesichert sein:

  • Zugriffssteuerung: Jeder Anwalt und Mitarbeitende sieht nur die Mandatsakten, für die er berechtigt ist. Keine globalen Leserechte für alle Akten.
  • Audit-Trail: Vollständige Protokollierung aller Zugriffe auf Mandatsakten — wer hat wann welches Dokument eingesehen oder verändert?
  • Verschlüsselung: DMS-Daten verschlüsselt at Rest und in Transit.
  • Offboarding: Beim Ausscheiden von Mitarbeitenden sofortige Deaktivierung aller Zugriffsrechte und Überprüfung, ob Daten auf persönliche Geräte oder Cloud-Dienste kopiert wurden.

Cloud-Dienste — was erlaubt ist

Anwälte fragen häufig: Darf ich Mandantendaten in der Cloud speichern? Die Antwort hängt von mehreren Faktoren ab:

  • Serverstandort: Für viele kantonale Regelungen und das nDSG ist ein Schweizer oder EU/EWR-Serverstandort bevorzugt.
  • Auftragsverarbeitungsvertrag: Der Cloud-Anbieter muss vertraglich auf Datenschutz verpflichtet werden.
  • Verschlüsselung: Idealerweise Client-seitige Verschlüsselung, so dass der Cloud-Anbieter keine Klardaten einsehen kann.
  • Berufsgeheimnis: Der Cloud-Vertrag muss sicherstellen, dass der Anbieter keine Rechte hat, Daten für eigene Zwecke zu nutzen oder an Dritte weiterzugeben.

Empfehlenswerte Optionen für Schweizer Anwaltskanzleien: Schweizer Cloud-Anbieter (Nine, Exoscale, Swiss Made Software-zertifizierte Dienste), Microsoft 365 Government oder äquivalente, auf Anwaltskanzleien ausgerichtete Konfigurationen.

Physische Sicherheit — oft vernachlässigt

Mandatsakten auf dem Schreibtisch, ungesperrte Bildschirme im Grossraumbüro, Mandantengespräche in halböffentlichen Räumen — physische Sicherheit ist in Kanzleien oft mangelhafter als die digitale:

  • Bildschirmsperre nach maximal 5 Minuten Inaktivität
  • Clean-Desk-Policy für alle sensiblen Unterlagen
  • Besucherabläufe, die verhindern, dass Mandantenakten anderer Klienten einsehbar sind
  • Aktenvernichtung nach BDSG-Standard (DIN 66399, Schutzklasse P-4 oder P-5)

Privileged Access für IT-Systeme

IT-Administratoren, die Zugang zu allen Mandatsakten haben, sind ein erhebliches Risiko — intern wie durch externe Angreifer, die Admin-Konten kompromittieren. Empfehlungen:

  • IT-Administratoren verwenden separate Admin-Konten (getrennt von ihren normalen Arbeitskonten)
  • Privileged Access Management (PAM) für alle Admin-Zugänge
  • Vier-Augen-Prinzip für besonders sensitive Aktionen (z.B. Export grosser Datenmengen)
  • Regelmässige Überprüfung aller Admin-Konten und deren Berechtigungen

Security Awareness in Kanzleien

Kanzleimitarbeitende sind die erste Verteidigungslinie. Ein Awareness-Programm für Anwaltskanzleien muss die besonderen Risiken des Berufs berücksichtigen:

Anwälte als Ziele: Anwälte werden nicht zufällig angegriffen — sie werden gezielt über ihren öffentlichen Lebenslauf, ihre veröffentlichten Mandate und ihre berufliche Aktivität recherchiert. Awareness-Schulungen müssen erklären, welche Informationen Angreifer für Spear-Phishing nutzen können.

Junge Mitarbeitende: Praktikanten und Berufseinsteiger haben oft weniger Sicherheitsbewusstsein und greifen von privaten Geräten auf Kanzleisysteme zu. BYOD-Richtlinien und Onboarding-Schulungen sind essentiell.

Sekretariat und Empfang: Diese Mitarbeitenden empfangen externe Post, Anrufe und Besucher — und sind damit exponiert für Social-Engineering-Angriffe, die auf physischen Zugang abzielen.

Ein gutes Awareness-Programm für Kanzleien umfasst:

  • Jährliche Schulung zu Phishing, BEC und Social Engineering
  • Regelmässige, kanzleispezifische Phishing-Simulationen
  • Klare Richtlinien für den Umgang mit verdächtigen E-Mails und Anrufen
  • Notfallprozess: Was tut ein Mitarbeitender, wenn er auf einen Phishing-Link geklickt hat?

Weitere Massnahmen in unserer Cybersecurity-Checkliste für KMU.

Incident Response für Anwaltskanzleien

Ein Cyberangriff auf eine Anwaltskanzlei hat besondere Konsequenzen, die einen spezifischen Incident-Response-Plan erfordern:

Berufsrechtliche Meldepflicht: Bei einem Datenleck, das Mandantendaten betrifft, muss die zuständige Anwaltsaufsicht informiert werden. Dies gilt zusätzlich zur nDSG-Meldepflicht gegenüber dem EDÖB.

Mandantenbenachrichtigung: Mandanten, deren vertrauliche Daten möglicherweise kompromittiert wurden, müssen informiert werden — eine heikel abzuwägende Kommunikationsaufgabe, die rechtliche und taktische Aspekte berührt.

Forensik unter Berufsgeheimnisschutz: Forensische Untersuchungen nach einem Angriff können das Berufsgeheimnis tangieren, wenn externe Forensiker Zugang zu Mandatsakten erhalten. Der Einsatz externer Forensiker muss mit dem Berufsgeheimnis abgestimmt werden.

Strafanzeige: Anwaltskanzleien sind bei Cyberangriffen oft zögerlich mit Strafanzeigen, weil sie die Polizei nicht mit Mandatsdaten konfrontieren wollen. Es gibt Wege, Anzeige zu erstatten, ohne das Berufsgeheimnis zu verletzen — diese sollten im Vorfeld mit einem strafrechtlichen Berater besprochen werden.

Red Teaming für Anwaltskanzleien — warum es unverzichtbar ist

Die zentrale Frage für jede Anwaltskanzlei lautet: Kann ein Angreifer heute auf unsere Mandatsakten zugreifen, ohne dass wir es merken? Diese Frage lässt sich nur durch einen realistischen Test beantworten — ein Red Teaming.

Ein Red Team Assessment für Anwaltskanzleien testet:

Externe Angriffsfläche: Welche Systeme (Webseite, E-Mail, Dokumentenmanagementsystem, Videokonferenz-Tools) sind von aussen erreichbar, und haben sie bekannte oder ausnutzbare Schwachstellen?

Phishing-Resilienz: Wie reagieren Anwälte und Mitarbeitende auf massgeschneiderte Spear-Phishing-E-Mails, die auf tatsächliche Mandate referenzieren?

Netzwerksegmentierung: Wenn ein Angreifer über einen kompromittierten Rechner ins Netz gelangt — kann er sich lateral bewegen und auf Mandatsakten zugreifen?

Zugriffskontrolle: Kann ein Angreifer mit kompromittierten Credentials auf Mandatsakten zugreifen, für die er nicht berechtigt wäre? Gibt es überhaupt granulare Zugriffskontrollen?

Datexfiltration: Wäre der Abfluss von Mandatsdaten durch ein Monitoring-System erkennbar — oder würde eine grossangelegte Exfiltration unbemerkt bleiben?

Die Ergebnisse eines Red Team Assessments geben Kanzleiinhabern erstmals eine ehrliche Antwort auf diese Fragen. Der Unterschied zu einem einfachen Penetrationstest wird in unserem Vergleich Red Teaming vs. Penetrationstest erklärt. Informationen zu den Kosten für Red Teaming in der Schweiz helfen bei der Budgetplanung.

Für den grundlegenden Einstieg empfehlen wir zunächst unseren Leitfaden Was ist Red Teaming.

Häufig gestellte Fragen (FAQ)

Verletzt ein Penetrationstest oder Red Team Assessment das Berufsgeheimnis?

Nein — wenn er korrekt strukturiert ist. Der Auftragsverarbeitungsvertrag mit dem Red-Team-Anbieter stellt sicher, dass das externe Team verpflichtet ist, alle eingesehenen Daten vertraulich zu behandeln und nach dem Test zu löschen. Die Kanzlei erteilt explizit den Auftrag und definiert, welche Systeme getestet werden dürfen.

Darf ich meine Mandantendaten auf Microsoft 365 oder Google Workspace speichern?

Unter bestimmten Bedingungen: ja. Der Anbieter muss einen Auftragsverarbeitungsvertrag anbieten, der Serverstandort sollte in der Schweiz oder EU/EWR sein, und die Konfiguration muss sicherstellen, dass der Anbieter keine Klardaten einsehen kann. Für besonders sensible Mandate empfiehlt sich Client-seitige Verschlüsselung.

Was kostet ein Cyberangriff auf eine mittelgrosse Anwaltskanzlei?

Laut SAV/KPMG-Studie 2025 betragen die direkten Kosten durchschnittlich CHF 280’000 — bestehend aus IT-Forensik, Systemwiederherstellung, Meldeverfahren und Rechtsberatung. Dazu kommen schwer bezifferbare indirekte Kosten: Mandatsverluste durch Vertrauensverlust, berufsrechtliche Sanktionen und Reputationsschäden, die jahrelang anhalten können.

Welche Sofortmassnahmen kann eine Kanzlei ohne grossen Aufwand umsetzen?

Vier Massnahmen mit grosser Wirkung: (1) Multi-Faktor-Authentifizierung für alle E-Mail-Konten und den VPN-Zugang. (2) Granulare Zugriffsrechte im DMS — jeder sieht nur, was er braucht. (3) Jährliche Phishing-Simulationen für alle Mitarbeitenden. (4) Telefonische Verifikation für alle Zahlungsanweisungen über CHF 10’000, unabhängig von der E-Mail-Herkunft.

Muss ich die Anwaltsaufsicht bei einem Cyberangriff informieren?

Wenn Mandantendaten betroffen sind, ja — das ergibt sich aus der berufsrechtlichen Sorgfaltspflicht. Zusätzlich besteht die Meldepflicht gegenüber dem EDÖB nach nDSG. Die Reihenfolge und Koordination dieser Meldungen sollte im Incident-Response-Plan vordefiniert sein.

Fazit: Mandatsgeheimnis und Cybersecurity sind untrennbar

Das Vertrauen der Mandanten ist das wichtigste Kapital einer Anwaltskanzlei — und dieses Vertrauen fusst auf der Gewissheit, dass ihre vertraulichsten Informationen geschützt sind. Cybersecurity ist damit keine IT-Frage, sondern eine Kernfrage der anwaltlichen Berufsethik.

Die Bedrohungslage für Schweizer Anwaltskanzleien und Treuhandbüros ist real und wächst. Staatlich geförderte Wirtschaftsspionage, organisierte Ransomware-Gruppen und gezielte BEC-Angriffe auf Transaktionszahlungen haben alle Anwaltskanzleien im Visier — unabhängig von ihrer Grösse. Die gute Nachricht: Die wirksamsten Schutzmassnahmen — MFA, granulare Zugriffskontrollen, E-Mail-Sicherheit, Mitarbeitersensibilisierung — sind keine astronomisch teuren Enterprise-Lösungen, sondern für jede Kanzlei umsetzbar.

Was Sie über den Schutzstatus Ihrer Kanzlei heute wirklich wissen müssen, zeigt erst ein objektiver Test.

Können Ihre Mandatsakten heute von einem Angreifer eingesehen werden? Unser Red Teaming für Anwaltskanzleien und Treuhandbüros gibt Ihnen eine klare, vertraulich behandelte Antwort — CREST-zertifiziert, ab CHF 11’900, mit vollständiger Geheimhaltungsvereinbarung auf Mandatsniveau, durchgeführt von unserem Expertenteam in Zürich. Kontaktieren Sie uns für ein vertrauliches Erstgespräch.