SRA Cybersicherheit im Jahr 2026: Die IT-Checkliste, die jede Londoner Anwaltskanzlei braucht

Die Solicitors Regulation Authority hat in den letzten Jahren eines unmissverständlich klargestellt: „Wir haben nicht das nötige Budget“ ist keine akzeptable Antwort mehr auf Fragen zur Cybersicherheit. Die Standards und Vorschriften der SRA erlegen jeder Kanzlei verbindliche Verpflichtungen hinsichtlich des Schutzes von Mandantendaten, der Überwachung von Systemen und des Umgangs mit Vorfällen auf. Werden diese nicht eingehalten, müssen Sie mit behördlichen Maßnahmen rechnen – und nicht nur mit einem höflichen Schreiben.

Dieser Leitfaden legt genau dar, was die SRA im Jahr 2026 von Ihrer IT-Infrastruktur erwartet, bietet Ihnen eine praktische Checkliste, die Sie bereits heute nutzen können, und erläutert, welche Aufgaben ein spezialisierter Anbieter von IT-Lösungen für die Rechtsbranche übernehmen sollte, die ein Generalist schlichtweg nicht erfüllen kann.

Was die SRA tatsächlich von Ihren IT-Systemen verlangt

Die SRA veröffentlicht keinen einheitlichen, verbindlichen IT-Standard. Stattdessen sind ihre Vorgaben auf mehrere Dokumente verteilt – und die meisten Anwaltskanzleien kennen nur einen Teil davon.

SRA-Verhaltenskodex – Absatz 6.3

Rechtsanwälte sind verpflichtet, die Angelegenheiten ihrer derzeitigen und ehemaligen Mandanten vertraulich zu behandeln. In der Praxis bedeutet dies, dass jedes System, in dem Mandantendaten gespeichert sind – Ihre Fallverwaltungssoftware, Ihr E-Mail-System, Ihr Dateispeicher – über verschlüsselte Speicherung, sichere Kommunikationswege und ordnungsgemäß konfigurierte Zugriffskontrollen verfügen muss. Dies ist keine Empfehlung. Es handelt sich um eine Verhaltenspflicht.

SRA-Rechnungslegungsvorschriften 2019

Unternehmen müssen genaue und sichere Aufzeichnungen über alle Transaktionen mit Kundengeldern führen. Ihre IT-Systeme müssen eine den gesetzlichen Vorschriften entsprechende Buchhaltungssoftware unterstützen, die über zuverlässige Datensicherungen, Prüfpfade und Zugriffsprotokolle verfügt. Sollte ein Kundenkonto kompromittiert werden, weil Ihre Software nicht auf den neuesten Stand gebracht wurde, stellt dies sowohl einen Verstoß gegen die Buchhaltungsvorschriften als auch einen Sicherheitsverstoß dar.

SRA-Verhaltenskodex – Abschnitt 2.5

Unternehmen müssen alle wesentlichen Risiken für ihr Geschäft identifizieren, überwachen und steuern – wobei Cyberrisiken ausdrücklich genannt werden. Dies erfordert dokumentierte Risikobewertungen Ihrer Technologiesysteme, einschließlich regelmäßiger Penetrationstests und Schwachstellenscans. Nicht nur einmalig bei der Einrichtung, sondern regelmäßig im Rahmen eines fortlaufenden Programms.

Die SRA-Checkliste zur IT-Compliance 2026

Nutzen Sie dies als Ausgangspunkt für Ihre eigene Überprüfung. Wenn Sie nicht bei jedem Punkt mit „Ja, und dies ist dokumentiert“ antworten können, liegt eine Compliance-Lücke vor.

• ✓
  Multi-Faktor-Authentifizierung (MFA) für jedes Konto – E-Mail, Fallmanagement, Cloud-Anwendungen, Fernzugriff. Auch für Seniorpartner gelten keine Ausnahmen. Die SRA hat ausdrücklich darauf hingewiesen, dass das Fehlen einer MFA ein wiederkehrender Faktor bei erfolgreichen Angriffen auf Anwaltskanzleien ist.
• ✓
  E-Mail-Authentifizierung konfiguriert – SPF, DKIM und DMARC sind auf die Durchsetzungsrichtlinie „p=reject“ eingestellt. Die meisten britischen Anwaltskanzleien verwenden „p=none“, was praktisch keinen Schutz vor E-Mail-Spoofing bietet, das bei Betrugsfällen im Zusammenhang mit Grundstücksübertragungen zum Einsatz kommt.
• ✓
  Verschlüsselte Speicherung aller Kundendaten – sowohl im Ruhezustand (auf Servern und Geräten) als auch während der Übertragung (beim Senden oder Weitergeben). Unverschlüsselte Kundendateien auf einem nicht verwalteten Laptop stellen ein offensichtliches Sicherheitsrisiko dar.
• ✓
  Rollenbasierte Zugriffskontrollen – Mitarbeiter haben nur Zugriff auf Mandantendateien, die für ihre jeweiligen Mandate relevant sind. Rechtsassistenten sollten keinen Zugriff auf alle Mandantenkonten haben. Bei Ausscheiden eines Mitarbeiters sollten dessen Zugriffsrechte noch am selben Tag entzogen werden.
• ✓
  Dokumentiertes und getestetes Sicherungsverfahren – einschließlich externer oder unveränderlicher Cloud-Sicherungen. Sicherungen, die noch nie getestet wurden, sind keine Sicherungen. Die SRA erwartet, dass die Pläne zur Aufrechterhaltung des Geschäftsbetriebs realistisch und auf dem neuesten Stand sind.
• ✓
  Patch-Management-Programm – Alle Betriebssysteme und Softwareprogramme werden innerhalb von 14 Tagen nach Veröffentlichung kritischer Patches aktualisiert. Nicht gepatchte Systeme stellen im Rechtsbereich den häufigsten Einstiegspunkt für Ransomware dar.
• ✓
  Dokumentierter Plan zur Reaktion auf Vorfälle – wer übernimmt welche Aufgaben in den ersten 24 Stunden nach einem Sicherheitsvorfall. Umfasst die Benachrichtigung des COLP, des SRA, des ICO (innerhalb von 72 Stunden), des PI-Versicherers sowie der betroffenen Kunden, sofern erforderlich.
• ✓
  Jährliche Bewertung der Cybersicherheitsrisiken – dokumentiert, vom COLP geprüft und mit entsprechenden Maßnahmen umgesetzt. Keine allgemeine Vorlage – eine echte Bewertung Ihrer spezifischen Systeme, Lieferanten und Personalpraktiken.
• ✓
  Schulungen zur Sensibilisierung der Mitarbeiter für Cybersicherheit – mindestens einmal jährlich, idealerweise mit vierteljährlichen Phishing-Simulationen. Die SRA betrachtet Mitarbeiterschulungen als grundlegende Anforderung und nicht als optionale Zusatzmaßnahme.
• ✓
  Sichere Regelungen für die Remote-Arbeit – VPN oder Zero-Trust-Zugriff für alle Formen der Remote-Arbeit. Ohne MDM-Registrierung und Geräteverschlüsselung ist kein Zugriff auf Client-Dateien über private Geräte möglich.
• ✓
  Sicherheitsüberprüfungen von Lieferanten – Ihr IT-Anbieter, Anbieter von Cloud-Software sowie alle Dritten, die Zugriff auf Kundendaten haben, sollten in der Lage sein, ihre eigenen Sicherheitsstandards nachzuweisen (mindestens nach ISO 27001 oder Cyber Essentials).
• ✓
  Die Zertifizierung nach „Cyber Essentials“ oder „Cyber Essentials Plus“ – derzeit zwar nicht verpflichtend, wird jedoch im Rahmen von Lexcel erwähnt, von Berufshaftpflichtversicherern zunehmend verlangt und von der SRA als praktischer Mindeststandard für den Nachweis guter Cyber-Hygiene angesehen.

Die Bedrohungen, die im Jahr 2026 speziell auf Anwaltskanzleien abzielen

Allgemeine Leitfäden zur Cybersicherheit befassen sich mit Phishing und Ransomware. Die Bedrohungen für die Rechtsbranche sind jedoch gezielter und ausgefeilter als diese.

Betrug bei Grundstücksübertragungen

Kriminelle überwachen Grundstücksübertragungsgeschäfte und versenden gefälschte E-Mails – die scheinbar von Ihrer Kanzlei stammen –, um die Abschlussgelder Ihrer Mandanten auf betrügerische Konten umzuleiten. Bei diesen Angriffen kommen zunehmend KI-generierte E-Mails und sogar mit Deepfake-Technik gefälschte Videoanrufe zum Einsatz, um sich als Partner auszugeben. Die Durchsetzung von DMARC und die Schulung Ihrer Mitarbeiter sind Ihre wichtigsten Abwehrmaßnahmen.

Business Email Compromise (BEC)

Angreifer verschaffen sich Zugriff auf das E-Mail-Konto eines Partners oder eines Mitarbeiters – häufig durch die Ausnutzung wiederverwendeter Passwörter – und überwachen die Korrespondenz über Wochen hinweg, bevor sie aktiv werden. Anschließend nutzen sie das legitime Konto, um Zahlungen umzuleiten oder vertrauliche Fallinformationen zu entwenden. MFA und Richtlinien für den bedingten Zugriff verhindern den Großteil dieser Angriffe.

Ransomware, die auf „Matter“-Dateien abzielt

Ransomware-Gruppen recherchieren gezielt Anwaltskanzleien, bevor sie angreifen – sie wissen, dass laufende Rechtsstreitigkeiten, gerichtliche Fristen und der Druck seitens der Mandanten die Wahrscheinlichkeit einer Zahlung erheblich erhöhen. Unveränderliche, externe Backups und erprobte Wiederherstellungsverfahren sind der einzige wirksame Schutz vor der Zahlung eines Lösegelds.

Interne Bedrohungen – ausscheidende Mitarbeiter

Die meisten britischen Kanzleien überwachen mittlerweile ungewöhnliche Dokumenten-Downloads in den 60 Tagen vor einem bekannten Ausscheiden. Rollenbasierter Zugriff, Protokollierung von Zugriffsvorgängen und die sofortige Aufhebung der Zugriffsrechte am Tag des Ausscheidens sind wesentliche Kontrollmaßnahmen, deren Vorhandensein die SRA erwartet.

Was ein IT-Spezialist für den Rechtsbereich leistet, was ein Generalist nicht tut

Der Unterschied zwischen einem allgemeinen IT-Anbieter und einem Spezialisten für die Rechtsbranche ist nicht technischer Natur – er ist kontextbezogen. Ein allgemeiner Anbieter kann MFA installieren. Ein Spezialist weiß, warum die Durchsetzung von DMARC gerade für Immobilienkanzleien von Bedeutung ist, integriert die Lösung in Ihre Kanzleimanagement-Software, ohne die Compliance-Workflows zu beeinträchtigen, und erstellt Unterlagen in dem Format, das Ihr COLP für eine SRA-Prüfung benötigt.

Konkret übernimmt ein IT-Spezialist für den Rechtsbereich folgende Aufgaben:

• Konfigurieren Sie Ihren Microsoft 365-Mandanten mit Informationsbarrieren zwischen den Abteilungen, um Datenlecks aufgrund von Interessenkonflikten zu verhindern
• Richten Sie das Microsoft Purview Compliance Center für Funktionen zur Aufbewahrungspflicht und eDiscovery ein
• Integrieren Sie die Lösung sicher in Clio, LEAP, Actionstep, SOS oder Proclaim, ohne dass dabei „Shadow-IT“ entsteht
• Erstellen Sie SRA-konforme Unterlagen für Ihre jährliche Compliance-Prüfung
• Legen Sie die Vereinbarung zur Datenverarbeitung sowie die Unterlagen zu den Prüfungszugriffsrechten für Ihren COLP vor
• Unterstützung bei der Vorbereitung auf „Cyber Essentials Plus“ und bei der Koordination der Prüfer

Wie viel sollte eine Londoner Anwaltskanzlei für IT-Sicherheit ausgeben?

Für eine Kanzlei mit fünf Partnern und 15 bis 25 Mitarbeitern beläuft sich ein realistisches Budget für das Jahr 2026 zur Gewährleistung einer vollständig konformen IT-Sicherheitslage – einschließlich Microsoft 365 Business Premium, Managed Detection and Response, „Cyber Essentials Plus“ sowie jährliche Sensibilisierungsschulungen – beläuft sich auf etwa 20.000 bis 28.000 £ pro Jahr. Diese Zahl erscheint zunächst beträchtlich, bis man sie mit den durchschnittlichen Kosten einer Ransomware-Wiederherstellung vergleicht (in der Regel 100.000–500.000 £ für eine mittelständische Kanzlei, wenn Ausfallzeiten, Wiederherstellungskosten und behördliche Auflagen einbezogen werden) oder mit den Reputations- und regulatorischen Folgen einer Verletzung des Datenschutzes bei Kundendaten.

Die sinnvollere Frage lautet nicht, was IT-Sicherheit kostet, sondern was das Fehlen derselben kostet.

Die nächsten Schritte für Ihre Kanzlei

Wenn Sie diese Checkliste gelesen und Lücken festgestellt haben, ist der nächste praktische Schritt eine strukturierte Überprüfung der IT-Sicherheit. Dabei handelt es sich nicht um ein Verkaufsgespräch, sondern um eine echte Prüfung Ihrer aktuellen Infrastruktur im Hinblick auf die Erwartungen der SRA, die zu einem schriftlichen Bericht führt, auf dessen Grundlage Sie Maßnahmen ergreifen und den Sie Ihrem COLP vorlegen können.

Foxcomm bietet seit über 16 Jahren spezialisierten IT-Support für Londoner Anwaltskanzleien an. Unser Team für den Rechtssektor kennt sich mit den SRA-Standards bestens aus, sorgt für die Integration in die von Ihrer Kanzlei bereits genutzte Kanzleiverwaltungssoftware und erstellt Compliance-Unterlagen in dem Format, das Ihr COLP benötigt.