Finanziell motivierte Angreifer machten 82 Prozent der beobachteten schädlichen Aktivitäten gegen den Rechtssektor aus – im Zwölfmonatszeitraum, den CrowdStrike für seinen am 28. Oktober veröffentlichten Legal Threat Landscape Report 2026 ausgewertet hat. Auf Erpresser-Leak-Seiten nannten Big-Game-Hunting-Gruppen zwischen September 2025 und August 2026 insgesamt 455 juristische Organisationen, 39 Prozent mehr als im Vorjahreszeitraum. Die Ziele werden wegen genau des Merkmals gewählt, das eine Kanzlei zur Kanzlei macht: privilegierte Mandanteninformationen.
"Kanzleien sind der neue Geldautomat für Cyberkriminelle", sagte Adam Meyers, der bei CrowdStrike die Counter Adversary Operations leitet. "Angreifer nutzen den Wert privilegierter Mandanteninformationen aus, und sie sind bereit, dafür über die Tastatur hinauszugehen."
CHATTY SPIDER ist das klarste Beispiel dieser Eskalation. Die Aktivität der Gruppe gegen juristische Ziele wuchs in den ersten acht Monaten 2026 um 129 Prozent gegenüber dem gesamten Jahr 2024; Kanzleien stellten fast 90 Prozent ihrer Ziele. Der erste Zug ist ein Anruf: Ein Angreifer gibt sich als interne IT aus, überredet einen Anwalt oder eine Assistentin, Fernwartungszugriff zu gewähren, und ist drin. In einem dokumentierten Fall versuchte die Gruppe vier Minuten nach dem Eindringen, Daten abzuziehen. In einem anderen ging sie weiter: Sie heuerte eine Person an, die sich als IT-Personal ausgab, das Gebäude betrat und von einer Workstation vor Ort Fernzugriff aufbaute.
Zwei weitere kriminelle Gruppen, SNARKY SPIDER und CORDIAL SPIDER, arbeiteten stattdessen auf der Identitätsebene und missbrauchten vertrauenswürdige Zugänge zu SaaS-Anwendungen. Beide trafen dieselbe Kanzlei im Abstand von einem Monat – für CrowdStrike keine Koinzidenz, sondern eine Konvergenz auf wenige hochwertige Ziele.
Staatlich gesteuerte Spionage machte rund 18 Prozent der beobachteten Aktivität aus, überwiegend mit China-Bezug, und auch dieses Feld hat sich seit 2023 etwa verdoppelt. TITAN PANDA wurde erstmals dabei beobachtet, wie sie branchenspezifische Abrechnungssoftware – den Intapp Time Server – ausnutzte. Das erinnert daran, dass Backoffice-Werkzeuge einer Branche selten die Sicherheitsprüfung bekommen, die clientseitige Systeme durchlaufen. WARP PANDA nutzte eine ESXi-Zero-Day für verdeckten Zugriff. MURKY PANDA führte Password-Spraying gegen fast 500 Konten einer einzigen US-Kanzlei von 300 IP-Adressen über 30 Tage durch.
Die kommerzielle Logik des Sektors erklärt das Volumen. Die Verschwiegenheitspflicht macht ein Leck existenziell statt nur peinlich: Fusionsunterlagen, Patentanmeldungen, Finanzdaten und Prozessstrategien sind für einen Käufer – oder den Rivalen des Mandanten – mehr wert als die Kundendatenbank eines Mittelständlers. Und eine Kanzlei, die privilegiertes Material für eine Bank, einen Chiphersteller oder einen Staatsauftragnehmer hält, ist zugleich ein Weg in deren Netze. Deshalb nehmen staatliche Akteure den Aufwand auf sich.
Der Bericht stammt von einem Anbieter, die Zahlen sind dessen eigene Telemetrie. Die Form der Empfehlungen ist jedoch unspektakulär und billig: phishingresistente Mehrfaktor-Authentifizierung durchsetzen, Fernwartungswerkzeuge als privilegierte Software mit Eigentümer und Allow-List behandeln und jene Abrechnungs- und Kanzleiverwaltungsserver patchen, die niemand für Kronjuwelen hält. Das Vier-Minuten-Fenster bis zur Exfiltration ist das Argument, dieses Geld vor einem Vorfall auszugeben und nicht danach.
