Stellen Sie sich vor: Die Kanzlei-Website ist offline, das Mandantenportal nicht erreichbar – und der Hosting-Anbieter schreibt, man habe Server „vorsorglich abgeschaltet“. Genau dieses Szenario ist in den vergangenen Tagen für zahlreiche Unternehmen Realität geworden. Auslöser ist eine kritische Sicherheitslücke in PHP, die in der IT-Community als „php2shell“ bezeichnet wird. Wie die Kanzlei WBS.LEGAL am 23. Oktober 2026 berichtet, haben große Hosting-Anbieter Server mit anfälligen PHP-Anwendungen abgeschaltet, und KRITIS- sowie NIS-2-Unternehmen fordern von ihren Dienstleistern Bestätigungen, dass Patches eingespielt wurden.
Für Rechtsanwälte ist das mehr als ein Technikthema. Wer Mandantendaten verarbeitet, trägt Verantwortung – auch dann, wenn die Technik bei einem Dienstleister liegt.
Das Problem: Verantwortung lässt sich nicht auslagern
PHP läuft auf einem sehr großen Teil aller Webseiten und Webanwendungen. Eine kritische Lücke betrifft deshalb schnell auch Kanzlei-Websites, Online-Formulare, Mandantenportale oder Zusatzanwendungen, die bei einem externen Anbieter gehostet werden. Die rechtlichen Folgen schildert WBS.LEGAL klar:
- Art. 32 DSGVO: Verantwortliche müssen geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik treffen. Bekannte, verfügbare Patches für kritische Lücken sind zeitnah einzuspielen. Ein Dienstleister entlastet den Betreiber im Außenverhältnis nicht.
- Art. 82 DSGVO: Betroffene können immateriellen Schadenersatz verlangen. Als Tendenz deutscher Gerichte nennt der Beitrag Beträge von wenigen hundert bis mehreren tausend Euro pro Person.
- Bußgelder: Möglich sind bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; mittelständische Unternehmen erhalten laut WBS.LEGAL regelmäßig Bußgelder im fünf- bis sechsstelligen Bereich.
- NIS-2: Die Richtlinie wird derzeit in deutsches Recht umgesetzt und verlangt die Prüfung der Sicherheit von Zulieferern. Geschäftsführer können bei grober Vernachlässigung des Risikomanagements persönlich haften.
Hinzu kommt der B2B-Aspekt: Arbeiten Sie für Unternehmen, die unter KRITIS oder NIS-2 fallen, werden diese Mandanten künftig Sicherheitsnachweise sehen wollen. Im Extremfall kann die Verbindung gekappt oder die Zusammenarbeit fristlos beendet werden.
Die Lösung: Klare Regeln für Updates und Dienstleister
Die gute Nachricht: Mit wenigen, klar definierten Maßnahmen lässt sich das Risiko deutlich senken. Die Empfehlungen aus dem Beitrag lassen sich direkt auf den Kanzleialltag übertragen:
- Sicherheitsupdates unverzüglich einspielen – oder einspielen lassen. Legen Sie intern fest, wer dafür zuständig ist und wie schnell kritische Updates erfolgen müssen.
- Verträge prüfen. Auftragsverarbeitungsverträge und Service-Level-Agreements mit Hosting-Anbietern und IT-Dienstleistern sollten kritische Updates ausdrücklich und sofort vorsehen.
- Nachweise bereithalten. Wer mit KRITIS- oder NIS-2-Unternehmen zusammenarbeitet, sollte Sicherheitsnachweise dokumentiert vorlegen können.
- Für den Ernstfall vorbereitet sein. Wissen Sie, wen Sie anrufen, wenn Ihr Hoster Systeme abschaltet? Ein dokumentierter Ablauf spart im Ernstfall wertvolle Stunden.
Was das für Ihre Kanzlei-IT bedeutet
Der Fall zeigt: Aktualität ist keine Nebensache, sondern Teil der anwaltlichen Sorgfalt. Das gilt für die Kanzlei-Website genauso wie für Arbeitsplätze, Server und die eingesetzte Software. Ein Überblick, welche Systeme bei Ihnen laufen, wer sie betreut und wann zuletzt aktualisiert wurde, ist die Grundlage jeder Absicherung.
Hier setzt der RA-MICRO Kanzleicheck an: Er umfasst die Prüfung der technischen Komponenten Ihrer Kanzlei-EDV, der System- und Sicherungssoftware – unkompliziert per Fernwartung. Dazu gehören unter anderem die Prüfung der Aktualität der Software, die Untersuchung von Leistungsfähigkeit und Auslastung der Hardware, Hinweise zur Optimierung der Konfiguration sowie die Beratung zu Backup-Strategien und Notfallplänen. So erhalten Sie schwarz auf weiß, wo Ihre Kanzlei steht, und können gegenüber Mandanten, Versicherern und Aufsicht belegen, dass Sie Ihre Hausaufgaben gemacht haben.
Wer seine Kanzleisoftware in der Cloud betreibt, profitiert zusätzlich: Bei RA-MICRO haben Sie die freie Wahl, ob Sie Ihre Kanzleisoftware in der Cloud oder in Ihrer Kanzlei betreiben. Entscheidend ist in beiden Fällen, dass die Verantwortlichkeiten für Updates und Sicherheit klar geregelt sind – vertraglich und organisatorisch.
Ihre Vorteile mit ius Systemhaus
Als RA-MICRO- und DictaNet-Partner aus Hannover kennen wir die Anforderungen von Anwaltskanzleien aus der täglichen Praxis. Wir helfen Ihnen dabei,
- Ihre Kanzlei-EDV auf einen aktuellen, nachvollziehbar dokumentierten Stand zu bringen,
- Zuständigkeiten für Updates und Sicherheitsmaßnahmen eindeutig festzulegen,
- Backup-Strategie und Notfallplan zu prüfen und zu verbessern,
- und Ihre Systeme so zu organisieren, dass Sie auch bei kritischen Sicherheitsmeldungen handlungsfähig bleiben.
Hinweis: Dieser Beitrag gibt die Berichterstattung von WBS.LEGAL vom 23.10.2026 zusammen und ersetzt keine Rechtsberatung. Technische Details zur Lücke (betroffene Versionen, Patch-Stand) entnehmen Sie bitte den Hinweisen des PHP-Projekts und Ihres Dienstleisters.
Jetzt handeln – bevor die nächste Meldung kommt
Die nächste kritische Sicherheitslücke kommt bestimmt. Die Frage ist, ob Ihre Kanzlei vorbereitet ist. Sprechen Sie uns an: Wir prüfen gemeinsam mit Ihnen, wo Handlungsbedarf besteht, und sorgen für klare Abläufe.
Rufen Sie uns an: 0511/9998840 oder schreiben Sie an frank.pelaccia@ius-systemhaus.de. Wir freuen uns auf Ihre Anfrage.
