Kanzleisoftware in der Cloud:
Wenn sensible Daten plötzlich „regnen"
Ein unterschätztes Risiko mit massiven Folgen – und warum Cloud nicht automatisch sicher bedeutet.
Ein unterschätztes Risiko
Cloud-Lösungen gelten als modern, flexibel und effizient. Doch genau dort, wo eigentlich höchste Sicherheitsstandards erwartet werden – bei Kanzleisoftware – zeigen sich aktuell gravierende Schwächen.
Eine aktuelle Analyse des Chaos Computer Club (CCC) zeigt: Bei der Cloud-Kanzleisoftware RA-MICRO Essentials konnten sensible Mandantendaten durch gravierende Sicherheitslücken unkontrolliert ins Internet gelangen. Die Findings reichen von frei herunterladbaren Backups bis hin zu rekonstruierbaren JWT-Signaturen.
Was ist passiert?
Sicherheitsforschende haben die Cloud-Lösung RA-MICRO Essentials untersucht – eine Software, die von Anwälten und Steuerberatern in ganz Deutschland eingesetzt wird. Was sie fanden, ist ein Paradebeispiel für katastrophale Cloud-Sicherheit:
Vollständige Datenbank-Backups waren frei aus dem Internet herunterladbar. Die Verschlüsselung? Das veraltete ZipCrypto – anfällig für sogenannte Known-Plaintext-Angriffe. Selbst vor der Entschlüsselung verrieten Ordnerstrukturen und Dateinamen bereits Mandantennamen und Aktenzeichen.
👉 In einigen Fällen konnten Daten ohne jede Authentifizierung eingesehen werden – inklusive beA-Zugangsdaten und IMAP-Passwörter.
Der technische Blumenstrauß
Die Schwachstellen wurden in zwei Responsible-Disclosure-Reports an den Hersteller gemeldet. Die Bandbreite der Findings ist erschreckend:
Phase 1 — Mai 2025
Erster Disclosure-Report
Backups frei herunterladbar
Vollständige Datenbank-Backups waren ohne Authentifizierung aus dem Internet abrufbar.
ZipCrypto-Verschlüsselung
Statt moderner AES-Verschlüsselung wurde das veraltete ZipCrypto eingesetzt – anfällig für Known-Plaintext-Angriffe.
Metadaten verraten Mandanten
Ordnerstrukturen und Dateinamen enthielten bereits Mandantennamen und Aktenzeichen – noch vor der Entschlüsselung.
Entschlüsselte Inhalte
Gerichtsakten, Aktenvermerke, Gutachten, Adressdaten sowie Zugangsdaten zu IMAP und beA.
Phase 2 — August 2025
Zweiter Disclosure-Report — noch gravierender
JWT-Signatur rekonstruierbar
Die Signatur konnte aus öffentlich zugänglichen Daten abgeleitet werden – beliebige Tokens für jede Instanz erstellbar.
Passwörter ungehasht
Nutzerpasswörter lagen im Klartext in der Datenbank – ohne jede Form von Hashing.
Admin-Accounts anlegbar
Über einen Test-Account-Mechanismus konnten beliebige Admin-Zugänge erstellt werden.
Subdomain-Übernahme
Die Subdomain ccc.es.ra-micro.de konnte übernommen und auf die CCC-Website umgeleitet werden.
Private TLS-Schlüssel abrufbar
Über eine API konnten die privaten TLS-Zertifikatsschlüssel heruntergeladen werden.
E-Mail-Spoofing möglich
E-Mails konnten im Namen von RA-MICRO versendet werden – perfekt für gezielte Phishing-Angriffe.
Wasacon Einordnung: Jede einzelne dieser Schwachstellen wäre für sich genommen bereits kritisch. In Kombination ermöglichen sie den vollständigen Zugriff auf die gesamte Infrastruktur – inklusive aller Mandantendaten.
Welche Daten sind betroffen?
Die Tragweite ist enorm, denn es handelt sich nicht um irgendwelche Dateien – sondern um alles, was eigentlich zu den sensibelsten Daten überhaupt gehört:
Steuerunterlagen
Komplette Finanzhistorien und Steuererklärungen.
Verträge & Gerichtsakten
Mandantenverträge, Gutachten, Aktenvermerke, Gerichtsakten.
Identitätsdaten
Personalausweise, Geburtsdaten, Adressen.
Finanzinformationen
Kontodaten, Gehälter, Bilanzen.
Interne Kommunikation
E-Mails, Chat-Verläufe, Notizen zwischen Mandant und Kanzlei.
Zugangsdaten
IMAP-Passwörter, beA-Zugangsdaten (elektronisches Anwaltspostfach).
Wie entstehen solche Sicherheitslücken?
Der eigentliche Angriff beginnt oft nicht mit einem Hacker – sondern mit einem grundlegenden Denkfehler:
„Cloud = automatisch sicher"
Fehlkonfigurationen
Cloud-Systeme werden falsch eingerichtet oder nie vollständig abgesichert.
Unsichere Standard-Einstellungen
Viele Systeme sind "out of the box" nicht sicher genug.
Komplexe Infrastruktur
Je mehr Schnittstellen und Integrationen, desto größer die Angriffsfläche.
Fehlendes Monitoring
Unbemerkte Zugriffe bleiben oft über lange Zeit unentdeckt.
Warum das besonders kritisch ist
Kanzleien unterliegen strengen Datenschutzpflichten – insbesondere durch DSGVO, Berufsgeheimnisse und Mandantenschutz.
Massive Bußgelder
DSGVO-Verstöße können Millionen kosten.
Vertrauen zerstört
Mandanten verlieren das Vertrauen – unwiederbringlich.
Rechtliche Konsequenzen
Berufsrechtliche Verfahren bis hin zum Berufsverbot.
👉 Im schlimmsten Fall bedeutet das: Existenzgefährdung der Kanzlei.
Was Unternehmen jetzt tun müssen
Die gute Nachricht: Die meisten dieser Risiken sind vermeidbar – wenn man es richtig macht.
Sofortmaßnahmen
Zugriff strikt einschränken
Nur autorisierte Nutzer auf Cloud-Dienste zugreifen lassen.
Multi-Faktor-Authentifizierung
MFA für alle Zugänge aktivieren – ohne Ausnahme.
APIs & Schnittstellen absichern
Rate-Limiting, Authentifizierung und Verschlüsselung.
Regelmäßige Security Audits
Konfigurationen systematisch prüfen.
Logs aktiv überwachen
Anomalien erkennen, bevor Schaden entsteht.
Strategische Maßnahmen
Zero-Trust-Ansatz
Kein Vertrauen ohne Verifizierung – auch innerhalb der Cloud.
Externe Sicherheitsprüfungen
Unabhängige Pentests und Audits durchführen lassen.
Mitarbeiter sensibilisieren
Schulungen zu Cloud-Sicherheit und Datenschutz.
Anbieter kritisch prüfen
Nicht nur Marketing vertrauen – Sicherheitsnachweise einfordern.
Hackerparagraphen — Sicherheitsforschung braucht Schutz
Ein besonders brisantes Detail des Falls: Die Sicherheitsforschenden, die diese Schwachstellen entdeckt haben, blieben anonym – aus Angst vor strafrechtlicher Verfolgung.
Der Grund: Die sogenannten Hackerparagraphen (§§ 202a–202c StGB) kriminalisieren in Deutschland auch gutartige Sicherheitsforschung. Wer Schwachstellen aufdeckt – selbst wenn er verantwortungsvoll handelt – riskiert Strafverfolgung. Der CCC übernahm daher die Kommunikation mit dem Hersteller RA-MICRO.
Forschende werden kriminalisiert
Statt Dank und Anerkennung drohen Hausdurchsuchungen und Strafverfahren – ein absurdes Signal an die Sicherheitscommunity.
Reform dringend notwendig
Der CCC fordert eine Legalisierung verantwortungsvoller Sicherheitsforschung. Ohne rechtlichen Schutz bleiben Schwachstellen länger unentdeckt – und Angreifer profitieren.
Wasacon Einordnung: Solange Sicherheitsforschung in Deutschland unter Generalverdacht steht, werden kritische Schwachstellen später gemeldet oder gar nicht erst untersucht. Das schadet letztlich allen – außer den Angreifern.
Wasacon Fazit
Cloud ist nicht das Problem.
Falsche Nutzung ist das Problem.
Wer sensible Daten in die Cloud verlagert, übernimmt auch die Verantwortung für deren Schutz. Und genau hier scheitern aktuell viele Unternehmen.
👉 Die Realität ist einfach: Ein einziger Fehler kann reichen – und deine Daten gehören plötzlich allen.
Wasacon in deiner Region
Häufig gestellte Fragen
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Cloud-Sicherheit für dein Unternehmen
Lass deine Cloud-Infrastruktur von Experten prüfen – bevor es jemand anderes tut.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
