Zwischen dem 7. und 12. August 2026 zogen Angreifer Daten aus zwei Berliner Senatsverwaltungen ab. Die Ransomware-Gruppe „Rhysida“ forderte 30 Bitcoin – rund zwei Millionen Euro. Als Berlin nicht zahlte, veröffentlichten die Täter am 4. September 2026 etwa 1,44 Millionen Dateien im Darknet: Personalakten, Disziplinarverfahren, Finanzunterlagen, Angaben zur kritischen Infrastruktur. Der Einstieg erfolgte nach Analyse des BSI nicht über eine exotische Sicherheitslücke, sondern über eine Methode namens „TerminalFix“: Ein Mitarbeiter wurde auf eine manipulierte Webseite gelockt, die ein gefälschtes Cloudflare-Captcha zeigte – und fügte einen Befehl, der unbemerkt in seiner Zwischenablage lag, selbst in die Windows-PowerShell ein.
Für Kanzleien ist daran weniger die Größe des Schadens bemerkenswert als der Ablauf danach. Am 14. August wurden die betroffenen Verwaltungen vom Landesnetz getrennt, am 17. August ging die erste Pressemitteilung heraus, am 21. August konnten 50.000 Berliner Haushalte kein Wohngeld erhalten, weil die Zahlungsabläufe stillstanden. Erst am 24. August waren die Behörden wieder grundsätzlich arbeitsfähig. Zehn Tage, in denen eine Organisation mit geprüftem Notfallplan deutlich schneller zurück im Betrieb gewesen wäre. Ohne Plan beginnt am Tag der Entdeckung das Improvisieren – und Improvisieren kostet in einer Kanzlei nicht nur Nerven, sondern Fristen.
Das eigentliche Problem: Niemand weiß, wer was zuerst tut
Stellen Sie sich einen Montagmorgen vor. RA-MICRO startet nicht, die Datenbank meldet einen Fehler, auf dem Server liegt eine Textdatei mit einer Lösegeldforderung. Jetzt stellen sich innerhalb der ersten Stunde Fragen, die niemand aus dem Stand beantworten kann: Wer trennt den Server vom Netz? Wer darf das entscheiden, wenn der Partner im Termin sitzt? Welche Telefonnummer hat der IT-Dienstleister, wenn das Mailpostfach nicht erreichbar ist? Welche Fristen laufen heute ab, und wo stehen sie, wenn das Fristenbuch in der verschlüsselten Datenbank liegt? Und ab wann läuft eigentlich die 72-Stunden-Meldefrist nach Art. 33 DSGVO?
Dazu kommt eine rechtliche Entwicklung, die viele Kanzleien noch nicht auf dem Schirm haben. Die Rechtsprechung hat die Beweislast verschoben: Nach der Linie des EuGH muss die verantwortliche Stelle beweisen, dass ihre Sicherheitsvorkehrungen dem Stand der Technik entsprachen (EuGH, Urt. v. 14.12.2023 – C-340/21). Der BGH hat ergänzt, dass schon der reine Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellt (BGH, Urt. v. 18.11.2024 – VI ZR 10/24). Übersetzt in den Kanzleialltag heißt das: Nach einem Vorfall müssen Sie belegen können, was Sie vorher getan haben. Ein Notfallplan in der Schublade ist deshalb nicht nur Betriebsorganisation, sondern Dokumentation.
Die Lösung: ein Notfallplan, der auf eine Seite passt
Ein Notfallplan für eine Kanzlei muss kein 40-seitiges Handbuch sein. Wirksam ist, was im Ernstfall auch ausgedruckt neben dem Telefon liegt und von jeder Mitarbeiterin ohne Rückfrage angewendet werden kann. Fünf Bausteine genügen als Gerüst.
Erstens Alarmierung: eine feste Meldekette mit Namen, Mobilnummern und Vertretung – Kanzleileitung, IT-Dienstleister, Datenschutzbeauftragter, Versicherer. Auf Papier, nicht nur im Outlook-Adressbuch.
Zweitens Sofortmaßnahmen: klare Anweisung, welche Systeme in welcher Reihenfolge vom Netz getrennt werden – und welche ausdrücklich nicht abgeschaltet werden, weil sonst forensische Spuren verloren gehen.
Drittens Wiederanlauf-Reihenfolge: Welche Systeme bringen die Kanzlei am schnellsten zurück in den Arbeitsmodus? In der Praxis sind das die RA-MICRO Datenbank, der Dokumentenbestand, die Diktate aus DictaNet und die Telefonie. Diese Reihenfolge gehört vorher festgelegt, nicht im Krisengespräch.
Viertens Ersatzbetrieb: Wie bleibt die Kanzlei erreichbar und handlungsfähig, während der Server wiederhergestellt wird? Eine Cloud-Telefonanlage läuft unabhängig vom Kanzleiserver weiter und lässt Anrufe per Weiterschaltung auf Mobiltelefone auflaufen. Eine aktuelle Papier- oder Offline-Fristenliste sichert die Fristenkontrolle für die ersten Tage.
Fünftens Meldung und Dokumentation: ein vorbereitetes Protokollformular für Zeitpunkt der Entdeckung, betroffene Datenarten, ergriffene Maßnahmen. Damit halten Sie die Frist aus Art. 33 DSGVO ein und haben zugleich den Nachweis, den Versicherer und Aufsichtsbehörde später sehen wollen.
Warum sich der Aufwand rechnet
Eine funktionierende Notfallvorsorge ist in einer RA-MICRO Kanzlei schneller aufgebaut, als viele erwarten, weil die Bausteine meist schon vorhanden sind. Ein geprüftes Backup der SQL-Datenbank ist die technische Grundlage – entscheidend ist der dokumentierte Rückspieltest, nicht die grüne Meldung im Sicherungsprotokoll. Die Benutzer- und Rechteverwaltung in RA-MICRO begrenzt im Angriffsfall den Radius, weil Verschlüsselungssoftware nur erreicht, worauf der angemeldete Benutzer zugreifen darf. DictaNet und Dragon NaturallySpeaking halten den Diktatweg aufrecht, sobald die Arbeitsplätze wieder stehen, weil Diktat und Spracherkennung lokal funktionieren. Und die Cloud-Telefonanlage trennt Ihre Erreichbarkeit von der Hardware in Ihrem Serverraum.
Der eigentliche Gewinn liegt im Zeitverhalten. Kanzleien mit geübtem Notfallplan sind erfahrungsgemäß innerhalb von Stunden teilarbeitsfähig, Kanzleien ohne Plan in Tagen. Dieser Unterschied entscheidet darüber, ob ein Vorfall ein unangenehmer Mittwoch wird oder ein Haftungsfall.
Sprechen wir über Ihren Notfallplan
Wir kennen Ihre Infrastruktur – Server, Netzwerk, Telefonanlage und RA-MICRO aus einer Hand. Genau deshalb können wir einen Notfallplan erstellen, der zu Ihrer Kanzlei passt und im Ernstfall auch funktioniert: Meldekette, Wiederanlauf-Reihenfolge, Rückspieltest Ihrer Datensicherung und ein Notfallblatt für den Empfang. In der Regel genügt dafür ein halber Tag.
Rufen Sie uns an unter 0511 / 999 88 40 oder schreiben Sie an frank.pelaccia@ius-systemhaus.de. Wir sehen uns Ihre IT an und sagen Ihnen offen, wo Ihre Kanzlei heute steht – damit Sie am Tag X nicht improvisieren müssen.