Ransomware in der Branche — wie wir eine Steuerberatungskanzlei in 5 Tagen abgesichert haben

Eine Wettbewerbskanzlei in derselben Stadt wurde von Ransomware verschlüsselt. Mandanten hatten drei Wochen lang keinen Zugriff auf ihre Unterlagen. Unser Kunde rief am nächsten Tag an. Innerhalb von fünf Arbeitstagen hatte seine Kanzlei ein 3-2-1-Backup, ein segmentiertes Netzwerk, MFA überall und die erste Phishing-Schulung hinter sich.

Kontext: eine Branche, in der Daten alles sind

Der Kunde führt seit vierzehn Jahren eine Steuerberatungskanzlei. Ein zwölfköpfiges Team betreut rund 180 Mandanten — überwiegend kleine Unternehmen, Einzelunternehmer und einige größere Mandanten. Täglich gehen tausende Rechnungen, dutzende Erklärungen und personenbezogene Daten der Mitarbeitenden der Mandanten durch die Kanzlei. Daten, deren Verlust nicht nur das Geschäft lahmlegt, sondern auch eine DSGVO-Verletzung, Sanktionen der Aufsichtsbehörde und — für eine Steuerberatungskanzlei am schlimmsten — den Verlust des Mandantenvertrauens bedeutet, das man über Jahre aufbaut.

Wir kamen unter ungewöhnlichen Umständen ins Spiel. Eine Wettbewerbskanzlei in derselben Region wurde von Ransomware angegriffen. Die Angreifer haben alle Dateien auf dem Server und auf den Mitarbeiter-PCs verschlüsselt, einschließlich der lokalen Backups. Sie forderten Lösegeld in Bitcoin. Die Kanzlei zahlte nicht und versuchte, die Daten aus Microsoft 365 wiederherzustellen — und stellte fest, dass sie keine Aufbewahrungsregeln konfiguriert hatte, sodass selbst OneDrive die verschlüsselten Versionen synchronisiert hatte. Drei Wochen Stillstand, dutzende Mandanten mit verspäteten Erklärungen, erste Klagen.

Unser Kunde sah das, rief uns an und sagte: „Was muss ich tun, damit mir das nicht passiert?"

Ausgangspunkt: alles auf einer Festplatte

Das Audit haben wir an einem Tag gemacht und die Realität in Einzelteile zerlegt. Der Ist-Zustand war typisch für ein KMU ohne bisherigen Vorfall:

• Backup: einer, lokal, auf einer externen Festplatte unter dem Schreibtisch der Buchhalterin. Gemacht „wenn jemand dran denkt", der letzte aus dem Vorquartal.
• Passwörter: typisch, in einem Excel ausgetauscht, ein Teil auf Klebezetteln unter den Monitoren.
• MFA: nirgends. Zugriff auf M365 — nur Login + Passwort.
• Netzwerk: ein einziges flaches Büronetz, alle Geräte in einem VLAN, einschließlich eines Druckers, dessen Firmware seit drei Jahren nicht mehr aktualisiert worden war.
• Endpoint Protection: standardmäßiger Windows Defender, ohne zentrale Verwaltung und ohne Logs.
• Awareness: null — niemand hatte je eine Phishing-Schulung absolviert, jeder Anhang aus „Mandanten"-Rechnungen wurde geöffnet.

Anders gesagt: Hätte derselbe Angriff wie beim Wettbewerb diese Kanzlei getroffen, wäre die Folge identisch gewesen. Vielleicht schlimmer.

Priorisierung: was zuerst

Eine vollständige Cybersecurity-Implementierung für eine Kanzlei dieser Größe ist ein Mehrmonatsprojekt — mit Sicherheitsrichtlinie, regelmäßigen Pentests, SIEM, 24/7-Monitoring. Der Kunde hatte keine Monate. Der Kunde war (zu Recht) in Panik. Wir haben deshalb einen Fünf-Tage-Notfallplan festgelegt, der 80 % des realen Risikos abdeckt und den Rest auf spätere Phasen verschiebt.

Auswahlprinzip: Wir starten mit dem, dessen Fehlen bedeutet, dass bei einem Angriff morgen die Kanzlei vom Datenzugriff abgeschnitten wäre. Der Rest — wichtig, aber kann warten.

Lösung: 5 Tage, 5 Bereiche

Tag 1 — 3-2-1-Backup

Wir haben die 3-2-1-Strategie umgesetzt: drei Kopien der Daten, auf zwei verschiedenen Medien, eine off-site. In der Praxis: Veeam Backup for Microsoft 365 mit 90 Tagen Retention (Kopie in der Veeam-Cloud), Synology NAS in der Kanzlei (lokale Kopie mit Immutable Snapshots — selbst Ransomware kann sie nicht löschen) und tägliche Replikation des NAS an einen zweiten Standort des Kunden. RPO 24 h, RTO 4 h für die wichtigsten Daten.

Tag 2 — Netzwerksegmentierung

Das flache Netz haben wir in vier VLANs aufgeteilt: Workstations der Buchhaltungsmitarbeiter, Administration (Kanzleileitung), Gäste (WLAN für Mandanten), IoT (Drucker, Kameras). Kommunikation zwischen den VLANs nur über die Firewall, mit expliziten Regeln. Der Drucker, der bei 60 % der Vorfälle als Einstiegsvektor genutzt wird, sitzt in einem isolierten VLAN ohne Internetzugang.

Tag 3 — MFA + Passwort-Manager

MFA wurde auf allen Konten aktiviert: Microsoft 365, Bankzugang, Buchhaltungssoftware, Mandantenportal. Wir haben einen Passwort-Manager (1Password Business) eingeführt — Schluss mit Klebezetteln und passwoerter.txt-Excels. Jedes Passwort neu generiert, lang, eindeutig.

Tag 4 — Endpoint Protection + Monitoring

Den Standard-Defender haben wir gegen eine zentral verwaltete Endpoint-Security mit Konsole getauscht, in der der Admin in Echtzeit sieht: wer angemeldet ist, welche Updates installiert sind, ob etwas Verdächtiges erkannt wurde. Wir haben Basis-Monitoring aktiviert (Logins, Zugriffsversuche aus dem Ausland, Software-Installationen) mit Alerts an die Admin-Adresse.

Tag 5 — Phishing-Schulung

Der letzte Tag war die Team-Schulung. Keine langweilige Präsentation, sondern praktische Übungen: echte Phishing-Mails der letzten Wochen, die Erkennungsmerkmale, eine Simulation — wir haben dem Team eine gefälschte Mail mit einer „neuen Rechnung" geschickt. Drei Personen klickten. Nach der Schulung — bei der nächsten Simulation — klickte eine. Das ist ein echter Unterschied.

Ergebnis nach 12 Monaten Live-Betrieb

Eine kleine Pointe: Ein halbes Jahr nach dem Rollout kam eine gefälschte Rechnungs-Mail mit Makro-Malware in der Kanzlei an. Die Endpoint-Security hat sie gestoppt, der Alert ging an den Admin, der Fall war in 15 Minuten geschlossen. Ohne Backup und Segmentierung hätte dieselbe Mail enden können wie beim Wettbewerb ein Jahr zuvor. Sie endete als zwei Logzeilen in der Konsole.

Man kann nicht garantieren, dass ein Angriff nie kommt. Man kann garantieren, dass er das Unternehmen nicht für drei Wochen lahmlegt, wenn er kommt.

Wie es weitergeht

Nach dem initialen Rollout sind wir in den Wartungsmodus übergegangen: quartalsweise Restore-Tests (alle drei Monate eine Datei aus der Cloud zurückholen, prüfen ob es klappt), monatliche Reports aus der Endpoint-Security-Konsole, zweimal jährlich Phishing-Simulationen für das Team. Für 2026 planen wir die Einführung einer BYOD-Richtlinie (der Kunde stellt vermehrt remote ein) und ein vollständiges DLP für die personenbezogenen Daten der Mandanten.

Cybersecurity ist kein Projekt mit Enddatum. Es ist ein Rhythmus — kleine, regelmäßige Tätigkeiten, die zusammen echte Resilienz ergeben. Aber dieser Rhythmus beginnt mit diesen ersten fünf Tagen, an denen man aufhört, ein leichtes Ziel zu sein.

← Alle Case Studies