Ein Notar, eine Person, die für die Organisation einer Fortbildung zuständig ist, oder ein Verwaltungsmitarbeiter kann betroffen sein, ohne Anwalt zu sein. Der Cyberangriff auf AVOCATS.BE geht über das Verzeichnis der Anwaltschaft hinaus: Rund 27 500 weitere Kontakte gehören zu den Personen, deren Kontaktdaten offengelegt wurden, heißt es in der Mitteilung, die der Rat der französisch- und deutschsprachigen Anwaltskammern am 6. November veröffentlichte.
Diese Zahl kommt zu den betroffenen Anwälten hinzu. Sie steht daher weder für die Gesamtzahl der Betroffenen noch für die Zahl gestohlener Gerichtsakten. Die Organisation berichtet von einem unbefugten Zugriff auf Kontakt- und Identifizierungsdaten in der Verwaltungssoftware der Kammern, dem LGO. Nach dem derzeitigen Stand ihrer Analysen seien weder Bankdaten noch sensible Daten im Sinne der Erläuterung in ihrer Mitteilung betroffen.
Ein beruflich genutztes Tool, in dem weit mehr als nur Anwälte erfasst waren
Das LGO dient der Arbeit der Räte und Anwaltskammern. Zu den dort gespeicherten Kontaktdaten zählen jene von im Justizwesen tätigen Fachleuten, darunter Notare und Justizbedienstete, aber auch von Mitarbeitern der Anwaltskammern und Fortbildungsveranstaltern. Auch Kontakte von Behörden, Universitäten und Polizeidiensten gehören zum genannten Kreis.
Diese Vielfalt erklärt, warum auch Personen außerhalb der Anwaltschaft eine Warnung erhalten oder wachsam bleiben müssen. Entscheidend ist, ob ihre Kontaktdaten in der Anwendung hinterlegt waren, weil sie berufliche Beziehungen zu diesen Institutionen unterhalten.
AVOCATS.BE vertritt die französisch- und deutschsprachigen Anwaltskammern Belgiens. Die Mitteilung beschreibt somit den Vorfall bei einer bestimmten Organisation und ihrer Verwaltungssoftware. Daraus lässt sich nicht schließen, dass alle belgischen Justizsysteme angegriffen wurden.
Was über die offengelegten Daten bekannt ist
Zu den betroffenen Informationen können der Name, die E-Mail-Adresse, die Telefonnummer und in manchen Fällen die Postanschrift gehören. Welche Daten erfasst waren, hängt davon ab, was in der Anwendung eingetragen worden war. Daher waren nicht bei allen Betroffenen zwangsläufig dieselben Felder ausgefüllt.
Die Organisation präzisiert, dass die in ihrer Mitteilung genannten Zahlen und Kategorien dem Kenntnisstand vom 3. November entsprechen und sich noch ändern können. Die Mitteilung vom 6. November ist unter diesem Vorbehalt zu lesen: Die Analyse dauert an, auch wenn die Sicherheitslücke geschlossen wurde.
Der Ausschluss von Bankdaten und sensiblen Daten wird AVOCATS.BE zugeschrieben. Das macht die beruflichen Kontaktdaten nicht wertlos. Umgekehrt lässt sich anhand der veröffentlichten Angaben nicht behaupten, dass Verfahrensunterlagen, vertrauliche Kommunikation zwischen Anwälten und Mandanten oder Verteidigungsakten gestohlen wurden. Diese Unterscheidung verhindert, dass der bestätigte Datenabfluss um einen nicht bestätigten Umfang erweitert wird.
Angriff am 29. Oktober gemeldet
AVOCATS.BE zufolge wurde die Organisation am 29. Oktober über den Angriff informiert. Nach Angaben der Organisation wurde der Vorfall noch am selben Tag, in den Stunden nach der Meldung, erkannt und gestoppt. Die unrechtmäßig zugänglichen Daten wurden anschließend von Personen, deren Identität zum Zeitpunkt der Mitteilung nicht bekannt war, im Darknet zum Verkauf angeboten.
Die Absicherung der Software und das Löschen der Kopien sind zwei verschiedene Fragen. Den von den Eindringlingen genutzten Zugang zu schließen, verhindert, dass er offen bleibt; es beweist nicht, dass bereits entwendete Daten gelöscht wurden.
Der Rat kündigt an, Beweise zu sichern, gemeinsam mit einem spezialisierten Dienstleister eine Analyse durchzuführen, Zugänge zurückzusetzen, Passwörter zu ändern und die Authentifizierung zu verstärken. Er hat den Vorfall der Datenschutzbehörde und dem Zentrum für Cybersicherheit Belgien gemeldet und kündigt an, Anzeige zu erstatten. Auch die Überwachung der Verbreitung der Daten im Internet gehört zu den genannten Maßnahmen.
Warum öffentliche Kontaktdaten trotzdem für Betrug genutzt werden können
AVOCATS.BE weist darauf hin, dass ein großer Teil dieser Kontaktdaten bereits in Verzeichnissen zugänglich war. Das schränkt den Neuigkeitswert mancher Informationen ein, nicht aber alle möglichen missbräuchlichen Verwendungen. Die Organisation nennt selbst das Risiko, Daten mit anderen Quellen abzugleichen, unerlaubter Werbung, von Phishing und Identitätsdiebstahl.
Eine Nachricht, die einen Namen, eine Funktion oder eine Verbindung zu einer Anwaltskammer kennt, kann glaubwürdiger wirken als eine unpersönliche E-Mail. Sie könnte sich zum Beispiel auf eine Fortbildung oder eine behördliche Überprüfung berufen, um eine Zahlung oder Zugangsdaten zu verlangen. Das ist hier ein Risikoszenario und keine Kampagne, deren Existenz im Zusammenhang mit diesem Vorfall nachgewiesen wäre.
Bei der Überprüfung kommt es daher auf die Aufforderung und den verwendeten Kommunikationskanal an, nicht nur darauf, ob die Angaben korrekt sind. In seinen Tipps zum Schutz vor Phishing erinnert Safeonweb daran, dass eine scheinbar legitime Absenderadresse allein die Echtheit einer Nachricht nicht garantiert.
Sinnvolle Schritte für Betroffene
Bei einer ungewöhnlichen oder dringenden Aufforderung sollte man die Organisation am besten über die gewohnten Kontaktdaten oder die Angaben auf ihrer offiziellen Website kontaktieren. Für diese Überprüfung sollte man nicht die Telefonnummer oder den Link in der verdächtigen Nachricht verwenden. Unter dem Druck einer solchen Aufforderung sollte man weder Zugangsdaten noch Passwörter oder Bankangaben weitergeben.
Verdächtige Nachrichten können an suspect@safeonweb.be weitergeleitet werden. Wurde ein Passwort tatsächlich auf einer gefälschten Website eingegeben, empfiehlt Safeonweb, es sofort zu ändern – ebenso bei Diensten, bei denen es wiederverwendet wurde. Dieser Schritt ist angezeigt, wenn Zugangsdaten konkret kompromittiert wurden; er bedeutet nicht, dass die Passwörter aller Kontakte zu den angekündigt offengelegten Daten gehören.
Bei Fragen zu den eigenen Daten ist laut AVOCATS.BE die Datenschutzbeauftragte unter dpo@obfg.be die Ansprechpartnerin. Die Organisation erklärt, dass sie nicht jede betroffene Person einzeln kontaktieren kann, und informiert sie deshalb mit dieser öffentlichen Mitteilung. Betroffene können sich außerdem an die Datenschutzbehörde wenden.
Archivfoto: Der Justizpalast in Brüssel veranschaulicht den belgischen Justizkontext; er ist nicht der Ort des Eindringens. Bildnachweis: Romainberth, Wikimedia Commons, CC BY-SA 3.0.
