Montagmorgen, 7:45 Uhr in einer Hamburger Mittelstandskanzlei am Neuen Wall. Der Senior-Partner öffnet Outlook — statt Posteingang findet er eine Lösegeldforderung auf Englisch. 380 Mandatsakten sind verschlüsselt. Phishing vor zwei Wochen, Emotet-Dropper, laterale Bewegung, dann Ransomware. Ab jetzt laufen vier Uhren gleichzeitig. Wer welche Frist verpasst, riskiert Bußgeld und berufsrechtliche Konsequenzen.
Kanzleien sind datenschutzrechtlich „Verantwortlicher" im Sinne von Art. 4 Nr. 7 DSGVO — und gleichzeitig Organe der Rechtspflege mit einer eigenen Berufsordnung. Deshalb greifen bei einem Cybervorfall nicht nur die DSGVO, sondern auch berufsrechtliche Pflichten. Laut Anwaltsblatt des Deutschen Anwaltvereins sind Anwaltskanzleien überproportional häufig Ziel gezielter Angriffe — die kompromittierten Mandatsdaten haben auf dem Schwarzmarkt einen hohen Wert.
| Adressat | Rechtsgrundlage | Frist | Formular/Weg |
|---|---|---|---|
| HmbBfDI (Datenschutzbehörde) | Art. 33 DSGVO | 72 h ab Kenntnis | Online-Meldeformular HmbBfDI |
| Mandanten | Art. 34 DSGVO + § 43a Abs. 2 BRAO + § 2 BORA | „unverzüglich" (pragmatisch: < 1 Woche) | Schriftlich, pro Mandat |
| RAK Hamburg | § 56 BRAO, Berufspflichten (§§ 43a ff.) | „zeitnah" | Schriftlich ans Präsidium der Hanseatischen Rechtsanwaltskammer |
| Mandatsgegner (falls Daten kopiert wurden) | Art. 34 DSGVO + Haftungsrecht | je nach Risiko | Schriftlich, Einzelfallprüfung |
Das Mandatsgeheimnis nach § 43a Abs. 2 BRAO geht der DSGVO grundsätzlich vor. Bei einer Datenpanne heißt das: In der Meldung an den HmbBfDI dürfen Sie **keine Mandatsinhalte, Namen oder verfahrensbezogene Details** offenlegen. Die Meldung beschränkt sich auf die Datenkategorien, die Zahl der Betroffenen und die Art des Vorfalls. Das sieht auch Art. 33 Abs. 3 DSGVO so vor — nur Pflichtangaben, nichts darüber hinaus.
Die Information an die Mandanten nach Art. 34 DSGVO ist dagegen berufsrechtlich sogar verschärft: § 2 BORA verpflichtet Sie, Ihre Mandanten aktiv über Umstände zu informieren, die das Mandat betreffen. Ein Cyberangriff auf deren Akte ist ein solcher Umstand. Die Information geht also über die reine DSGVO-Pflicht hinaus — auch bei Pannen ohne „hohes Risiko" empfiehlt sich die Mandanteninfo aus Haftungs- und Vertrauensgründen.
Die 72-Stunden-Frist beginnt mit der **Kenntnis** des Vorfalls durch einen verantwortlichen Mitarbeiter — nicht erst nach Abschluss der forensischen Analyse. Wenn Sie um 7:45 Uhr die Ransomware-Nachricht sehen, läuft die Uhr. Unvollständige Meldungen sind ausdrücklich erlaubt (Art. 33 Abs. 4 DSGVO): Nachreichen ist besser als Verpassen.
1. HmbBfDI-Anzeige (Auszug, ca. 70 Wörter):
Am [Datum, Uhrzeit] stellten wir eine unbefugte Verschlüsselung unserer Kanzlei-IT fest. Betroffen sind schätzungsweise [X] Mandate mit personenbezogenen Daten der Kategorien Identität, Kontakt, Verfahrensdaten. Ein Datenabfluss ist derzeit [nicht / teilweise] nachweisbar. Sofortmaßnahmen: Systeme isoliert, externe Forensik beauftragt, Krisenstab aktiv. Der Bericht erfolgt unter Wahrung des Mandatsgeheimnisses nach § 43a BRAO. Ergänzende Angaben reichen wir gem. Art. 33 Abs. 4 DSGVO nach.
2. Mandanteninformation (Auszug, ca. 80 Wörter):
Sehr geehrte/r Frau/Herr [...], wir müssen Sie heute über einen Sicherheitsvorfall in unserer Kanzlei informieren. Am [Datum] wurden unsere IT-Systeme Ziel eines Cyberangriffs. Ihre Akte war betroffen. Nach derzeitigem Stand [wurden/wurden keine] Daten an Dritte übermittelt. Wir haben sofort externe IT-Forensik und die zuständige Datenschutzbehörde eingeschaltet. Wir stehen Ihnen für Rückfragen persönlich zur Verfügung: [Telefon/E-Mail]. Ihre Rechte nach Art. 15 ff. DSGVO bleiben unberührt.
3. RAK-Information (Auszug, ca. 60 Wörter):
Sehr geehrtes Präsidium, hiermit informieren wir Sie als Mitglied der Hanseatischen Rechtsanwaltskammer Hamburg proaktiv über einen Cyber-Sicherheitsvorfall vom [Datum]. Wir haben alle datenschutzrechtlichen Meldungen fristgerecht abgesetzt und informieren unsere Mandanten gestaffelt nach Risikoklassen. Ein Abschlussbericht folgt nach Abschluss der forensischen Aufarbeitung. Für Rückfragen stehen wir zur Verfügung.
In Deutschland ist es häufig so, dass die Datenschutzbehörden eine beratende Funktion haben. Viele Mandanten haben Angst, eine Datenpanne zu melden – aber es ist nicht wie beim Finanzamt. Der HmbBfDI will verstehen, was passiert ist, und sicherstellen, dass es nicht wieder passiert. Wer früh und ehrlich meldet, hat deutlich bessere Karten als wer versucht, den Vorfall kleinzureden.
Nils OehmichenDatenschutzberater bei frag.hugo
Ein Fallstrick, der in 80 % der Notfallpläne fehlt: Wenn bei einem Cyberangriff Akten aus laufenden Verfahren kopiert wurden, enthalten sie in der Regel auch personenbezogene Daten der Gegenseite — Kläger, Beklagte, Zeugen, Gutachter. Diese Personen sind ebenfalls „betroffene Personen" im Sinne von Art. 4 Nr. 1 DSGVO. Bei hohem Risiko (z. B. sensible Gesundheitsdaten in Arzthaftungsverfahren) ist auch hier Art. 34 DSGVO einschlägig — obwohl zwischen Ihnen und dem Gegner kein Mandatsverhältnis besteht.
Laut Hanseatischer Rechtsanwaltskammer Hamburg ist die berufsrechtliche Kernfrage bei solchen Vorfällen: War die eingesetzte IT-Sicherheit angemessen für die Sensibilität der verarbeiteten Daten? Wer ohne MFA, ohne Offline-Backup und ohne Schulungen arbeitet, muss sich diese Frage berufsrechtlich gefallen lassen.
Notfallplan Kanzlei — in 4 Wochen einsatzbereit.
frag.hugo betreut Hamburger Kanzleien als externer Datenschutzbeauftragter ([Hugo DSB](/hugo-dsb/)) und deckt mit [Hugo Shield](/hugo-shield/) die Lieferketten-/NIS2-Seite ab. 15-Minuten-Erstgespräch mit Nils Oehmichen — ehrlich, ohne Verkaufsdruck.
15-Min-Gespräch buchen →Mehr zur Person hinter diesem Artikel: Nils Oehmichen, TÜV-zertifizierter Datenschutzbeauftragter, betreut über 200 Mandate — darunter mehrere Hamburger Kanzleien. Siehe auch: BSI IT-Grundschutz-Baustein Büroarbeit für die technische Basis.
Die Frist beginnt mit der Kenntnisnahme des Vorfalls durch eine verantwortliche Person in der Kanzlei — in der Regel der Partner oder IT-Verantwortliche, der die Ransomware-Meldung oder auffällige Aktivität als erstes sieht. Nicht erst mit der Bestätigung durch die Forensik. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich unvollständige Meldungen, wenn Details noch fehlen — Nachreichen ist besser als Fristversäumnis.
Art. 34 DSGVO verpflichtet Sie nur bei hohem Risiko zur Einzelinformation. § 2 BORA und die anwaltliche Treuepflicht gehen aber darüber hinaus: Wenn ein Mandat substanziell betroffen ist (Aktenabfluss, Verschlüsselung, Verzögerung), müssen Sie den Mandanten informieren — auch unabhängig von der DSGVO-Schwelle. In der Praxis informieren Hamburger Kanzleien nach Cybervorfällen meist alle betroffenen Mandanten, gestaffelt nach Risikoklasse.
Die Hanseatische Rechtsanwaltskammer ist keine DSGVO-Aufsichtsbehörde, aber sie überwacht Berufspflichten nach § 73 BRAO. Bei einem Cybervorfall kann ein Verstoß gegen § 43a Abs. 2 BRAO (Verschwiegenheit) oder gegen die Sorgfaltspflicht nach § 43 BRAO im Raum stehen. Proaktive Information der Kammer schützt vor späteren berufsrechtlichen Verfahren und signalisiert Selbstreflexion.
Diese sind „betroffene Personen" nach Art. 4 Nr. 1 DSGVO. Bei hohem Risiko (sensible Daten, Strafverfahren, Gesundheit) greift Art. 34 DSGVO auch gegenüber ihnen. Der Mandant muss vor der Information an den Gegner in der Regel einbezogen werden — aus Verschwiegenheitsgründen. In Zweifelsfällen empfiehlt sich eine Abstimmung mit dem HmbBfDI und einem externen Berater.
Das BKA und das BSI raten dringend ab, Lösegeld zu zahlen — auch weil Sie damit gegen Sanktionsrecht verstoßen könnten, falls die Angreifergruppe auf einer EU-Sanktionsliste steht. Eine Zahlung muss der Cyberversicherung und ggf. dem LKA offengelegt werden. Bei börsennotierten Mandanten kann eine Zahlung zusätzlich ad-hoc-pflichtig sein. Holen Sie vor jeder Zahlung externen Rechtsrat ein.
Die drei wirksamsten Maßnahmen sind laut BSI-Lagebericht MFA überall, Offline-Backup und regelmäßige Mitarbeiterschulung gegen Phishing. Ergänzend: Ein dokumentierter IT-Notfallplan, eine Cyberversicherung mit expliziter Anwaltsrecht-Klausel und ein externer DSB, der die DSGVO-Pflichten im Blick hat. Wer das umsetzt, reduziert das Risiko eines erfolgreichen Angriffs um über 90 %.
Inhaltsverzeichnis
Datenpanne melden: DSGVO Art. 33 verlangt eine Meldung in 72 Stunden. So halten Sie die Frist ein – Schritt-für-Schritt-Anleitung.
Weiterlesen: Datenpanne melden – So halten Sie die 72-Stunden-Frist ein
Ransomware-Zahlung: 7 Kriterien, die Sie als Geschäftsführer in den ersten 48 Stunden prüfen müssen — Sanktionsliste, Versicherung, Strafrecht, Backup.
Weiterlesen: Ransomware-Lösegeld zahlen? Die 7-Punkte-Entscheidungsmatrix für GF
Cyberangriff auf Klinik-Dienstleister: 60.000 Patientendaten weg. Was Geschäftsführer aus dem Vorfall lernen — und wie Sie Ihr Unternehmen in 7 Tagen absichern.
Weiterlesen: Uniklinik-Hack Mai 2026: Wenn Ihr Dienstleister gehackt wird — haften Sie mitÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
