TEAM Companies: Datenleck erschüttert Rechtsdienstleister-Branche

Eine Welle von Cyberangriffen auf juristische Dienstleister und Kanzleien hat diese Woche gleich mehrere Sammelklagen ausgelöst – zeitgleich mit einer eindringlichen Warnung britischer Aufsichtsbehörden vor den Folgen nachlässiger IT-Sicherheit.

Am Mittwoch kündigte die Murphy Law Firm eine Untersuchung zu einem schwerwiegenden Datendiebstahl bei The TEAM Companies an. Parallel dazu informierte der Immobilienfinanzdienstleister SitusAMC seine Mandanten über eine Sicherheitsverletzung, bei der Verträge und Unternehmensdaten abgeflossen sind. Am Freitag legte die britische Law Society nach: Kanzleien, die den Datenschutz ihrer Mandanten missachten, müssten mit drastischen Konsequenzen rechnen.

Am 26. November 2025 bestätigte die Murphy Law Firm offiziell ihre Ermittlungen gegen The TEAM Companies (TTC). Das Unternehmen wickelt Gehaltsabrechnungen und Geschäftsprozesse für die Werbe- und Unterhaltungsbranche ab – und ist nun Schauplatz eines massiven Datenlecks.

Laut Mitteilung der Kanzlei entdeckte TTC am 21. Juli 2025 verdächtige Aktivitäten in seinem Netzwerk. Die anschließende forensische Analyse offenbarte: Unbekannte Angreifer hatten zwischen dem 15. und 26. Juli 2025 Zugriff auf die Systeme.

Passend zum Thema Cyberangriffe auf Kanzleien und Dienstleister: Studien zeigen, dass viele Unternehmen IT-Sicherheitsmaßnahmen nur unzureichend umsetzen – mit dem Ergebnis, dass Zehntausende persönliche Datensätze kompromittiert werden. Ein kostenloses E‑Book fasst aktuelle Bedrohungen, praxisnahe Sofortmaßnahmen für kleine IT‑Teams und eine Checkliste für die Incident Response zusammen, speziell zugeschnitten auf Anwaltskanzleien und ihre Dienstleister. Jetzt kostenlosen Cyber-Security-Leitfaden herunterladen

Die Folge? Hochsensible Daten von „Zehntausenden” Menschen liegen jetzt vermutlich in kriminellen Händen:

• Sozialversicherungsnummern
• Finanz- und Kreditkartendaten
• Krankenversicherungsunterlagen und Gesundheitsinformationen
• Führerscheinnummern

„Infolge des Datenlecks könnten diese persönlichen und hochsensiblen Informationen nun in den Händen von Cyberkriminellen sein”, warnte Murphy Law Firm in ihrer Pressemitteilung. Die Anwaltskanzlei prüft derzeit Sammelklagen im Namen der Betroffenen – ein bemerkenswerter Fall, bei dem die Rechtsbranche ihre eigenen Dienstleister ins Visier nimmt.

SitusAMC-Update enthüllt Abfluss juristischer Dokumente

Parallel dazu veröffentlichte SitusAMC, ein führender Technologieanbieter für die Immobilienfinanzierung, am 25. November 2025 eine brisante Aktualisierung zu einem kürzlich entdeckten Sicherheitsvorfall.

Die am 12. November 2025 aufgedeckte Kompromittierung betraf Unternehmensdaten – darunter „Buchhaltungsunterlagen und Verträge”. Zwar bestätigte das Unternehmen, dass die Dienste mittlerweile wieder vollständig laufen und keine Verschlüsselungssoftware (Ransomware) zum Einsatz kam. Doch das Ausmaß des Datenverlusts ist beträchtlich.

Berichte dieser Woche deuten darauf hin, dass der Vorfall Auswirkungen auf große Finanzinstitute haben könnte. Laut Branchenangaben enthielten die kompromittierten Dateien nicht nur SitusAMC-interne Dokumente, sondern auch Daten von Kunden ihrer Kunden. Das Unternehmen begann am 25. November damit, betroffene Mandanten zu informieren – darunter offenbar einige der größten US-Banken. Mittels Stichwortsuchen identifizierte man betroffene Organisationen in den kompromittierten Dateipfaden.

Der Vorfall unterstreicht ein wachsendes Problem: Supply-Chain-Risiken. Für Kanzleien und Finanzdienstleister werden externe Anbieter, die Verträge und Rechtsdokumente verwalten, zunehmend zum schwächsten Glied in der Sicherheitskette.

Britische Law Society warnt vor „vermeidbaren Fehlern”

Passend zu den jüngsten Vorfällen veröffentlichte die Law Society of England and Wales am Freitag, 28. November 2025, einen eindringlichen Blogbeitrag. Die Botschaft: Anwälte sollten aus den Fehlern anderer lernen.

Im Fokus stand der Fall DPP Law Ltd, einer Kanzlei, die im April 2025 vom britischen Information Commissioner’s Office (ICO) mit einer Geldstrafe von 60.000 Pfund belegt wurde. Die Law Society griff den Fall diese Woche als mahnendes Beispiel für die gesamte Branche auf.

Die Analyse zeigte konkrete, vermeidbare Versäumnisse:

• Fehlende Zwei-Faktor-Authentifizierung (MFA): Angreifer erzwangen per Brute-Force den Zugang zu einem ungeschützten Administrator-Konto.
• Lateral Movement: Einmal im System, bewegten sich die Hacker durch das Netzwerk und stahlen über 30 GB Daten – darunter Gerichtsakten und Bodycam-Aufnahmen der Polizei.
• Meldeverzögerung: Die Kanzlei meldete den Vorfall erst nach 43 Tagen – weit über der vorgeschriebenen 72-Stunden-Frist. Grund: Man glaubte zunächst, keine Daten seien gestohlen worden. Die Wahrheit kam erst ans Licht, als die National Crime Agency auf Daten im Darknet stieß.

„Die sensible Natur der Informationen hätte laufende Gerichtsverfahren gefährden können”, betonte die Law Society am Freitag. Oft übersteige der Reputationsschaden die Geldstrafe bei Weitem.

Angriffsziel Rechtsbranche: Cyberkriminelle visieren Dienstleister an

Die Ereignisse der letzten 72 Stunden verdeutlichen eine Verschiebung in der Taktik von Cyberkriminellen. Statt Kanzleien direkt anzugreifen, konzentrieren sich Täter zunehmend auf deren Dienstleister – wie The TEAM Companies und SitusAMC, die juristische Daten verarbeiten.

„Kanzleien und ihre Dienstleister aggregieren die wertvollsten Geheimnisse der Welt”, kommentierte ein Cybersicherheitsanalyst nach Bekanntwerden des SitusAMC-Vorfalls. „Die Kompromittierung eines einzigen Anbieters kann Druckmittel gegen Dutzende Unternehmenskunden liefern.”

Die schnelle Reaktion von Klagen einreichenden Kanzleien wie Murphy Law Firm – und Lynch Carpenter, die am 25. November eine Untersuchung zu einem Datenleck bei Delta Dental of Virginia ankündigten – lässt vermuten: Die Zeit des „stillen Krisenmanagements” ist vorbei. Klagen folgen der Offenlegung mittlerweile fast unmittelbar.

Strengere Fristen ab 2026: Kalifornien macht Ernst

US-Kanzleien und ihre Mandanten müssen sich auf ein verschärftes regulatorisches Umfeld einstellen. Diese Woche diskutierten Rechtsexperten intensiv über die Folgen von California Senate Bill 446, das im Oktober unterzeichnet wurde und am 1. Januar 2026 in Kraft tritt.

Das neue Gesetz streicht die schwammige Formulierung „angemessene Verzögerung” bei der Meldung von Datenpannen. An ihre Stelle tritt eine strikte 30-Tage-Frist ab Entdeckung des Vorfalls.

Für Kanzleien wie DPP Law, deren 43-tägige Meldeverzögerung in Großbritannien bereits zu Sanktionen führte, würde ein solcher Zeitrahmen automatisch als Verstoß gewertet. Mit Blick auf 2026 dürfte die Rechtsbranche ihre Investitionen in schnelle Incident-Response-Kapazitäten hochfahren – denn klar ist: Wer die Fristen nicht einhält, riskiert sowohl Bußgelder als auch Sammelklagen.

PS: Wenn Fristen wie die neue 30‑Tage-Meldepflicht drohen, zählt vor allem schnelle Erkennung und Reaktion. Das kostenlose Cyber‑Security‑E‑Book erklärt praxisnah, wie Kanzleien und ihre Dienstleister Angriffe früher erkennen, effektive Kommunikations- und Incident‑Response‑Pläne aufsetzen und Haftungsrisiken mindern. Inklusive Vorlagen für interne Meldungen und Checklisten zu Lieferketten‑Risiken. Cyber-Security-Leitfaden für Kanzleien jetzt sichern