Kategorie: Allgemein

Veröffentlicht am

Sicherheitslücken in RA-MICRO Essentials: Was Kanzleien jetzt wissen müssen – und warum exlega nicht betroffen ist

Der Chaos Computer Club (CCC) hat 2025 zwei Responsible-Disclosure-Berichte zu RA-MICRO Essentials veröffentlicht: einer der meistgenutzten Kanzleisoftwares in Deutschland. Die Ergebnisse sind gravierend: Über 150 Kanzleien waren mit öffentlich erreichbaren Instanzen im Internet exponiert. Mandatsdaten, beA-Zertifikate und Zugangsdaten lagen für jeden Angreifer offen.

Wir haben beide Berichte vollständig analysiert und exlega systematisch gegen jeden einzelnen Befund geprüft. Das Ergebnis: Keines der festgestellten Kernprobleme betrifft exlega. Sicherheit ist für uns kein einmaliger Zustand, sondern ein fortlaufender Prozess.

Was der CCC konkret gefunden hat

Report 1 (Mai 2025): Ungeschützte Backups im Web-Verzeichnis

Das schwerwiegendste Problem: RA-MICRO Essentials speicherte täglich automatische Backups als ZIP-Dateien direkt im Web-Verzeichnis: ohne Zugriffsschutz. Die Dateien enthielten sämtliche Mandatsdaten, darunter Gerichtsakten, beA-Nachrichten und E-Mail-Zugangsdaten.

Die URLs folgten einem vorhersagbaren Muster (monthly-backup-YYYY-MM.zip). Jeder konnte sie ohne Anmeldung herunterladen. Die verwendete ZipCrypto-Verschlüsselung ist seit 2005 als gebrochen bekannt: Dateinamen wie Urteil_nach_211_StGB.pdf waren selbst ohne Entschlüsselung im Klartext lesbar. Durch einen Known-Plaintext-Angriff ließ sich das Archiv in wenigen Minuten vollständig entschlüsseln.

Report 2 (August 2025): Strukturelle Schwachstellen in der Architektur

  • OAuth-Credentials und Verschlüsselungsschlüssel waren in öffentlichen JavaScript-Dateien eingebettet
  • Passwörter wurden reversibel (AES mit statischem Schlüssel) statt als Einweg-Hash gespeichert
  • Demo-Accounts konnten auf produktiven Instanzen angelegt werden: inklusive Administrator-Rechten
  • Private TLS-Zertifikate waren über einen ungeschützten API-Endpoint abrufbar
  • JWT-Tokens waren für beliebige Nutzer fälschbar, da das Signiergeheimnis aus öffentlich bekannten Bestandteilen bestand
  • Backup-Server-Zugangsdaten lagen in öffentlich zugänglichen Skripten

Wie exlega im Vergleich abschneidet

Jede dieser Schwachstellen haben wir gegen unsere Architektur geprüft.

SchwachstelleRA-MICRO Essentialsexlega
Backups im Web-Verzeichnis✗ Ohne Authentifizierung abrufbar✓ Backups nicht über HTTP erreichbar
ZIP-Verschlüsselung✗ ZipCrypto: seit 2005 gebrochen✓ Kein webbasierter Backup-Download
Passwort-Speicherung✗ Reversible AES-Verschlüsselung✓ Passwörter nicht zurückrechenbar
JWT-Token-Sicherheit✗ Fälschbar durch statisches Geheimnis✓ Sitzungen servergestützt, kein JWT für Authentifizierung
Öffentliche Registrierung✗ Admin-Konto auf fremder Instanz möglich✓ Nutzeranlage ausschließlich durch Administratoren
Credentials im Frontend✗ API-Keys in JavaScript eingebettet✓ Alle Zugangsdaten ausschließlich serverseitig
beA-Zertifikate✗ Über API-Endpoint abrufbar✓ Kein Zugriff über HTTP möglich
TLS-Zertifikate✗ Private Schlüssel über API abrufbar✓ Kein entsprechender Endpoint vorhanden

Welche Maßnahmen wir nach den Berichten ergriffen haben

Auch wenn exlega von den RA-MICRO-Lücken nicht direkt betroffen ist, haben wir die Gelegenheit für einen erneuten vollständigen Security-Audit genutzt:

  • Dateiberechtigungen für beA-Zertifikate auf allen Umgebungen geprüft und restriktiv gesetzt
  • Web-Server-Konfiguration auf allen Instanzen verifiziert und als korrekt bestätigt
  • Alle Zugangspunkte, Authentifizierungsmechanismen, Verschlüsselungsverfahren und Dateiberechtigungen systematisch überprüft

Was Kanzleien beim Thema Softwaresicherheit grundsätzlich prüfen sollten

Die CCC-Berichte machen deutlich: Kanzleisoftware trägt besondere Verantwortung. Das Bestehen eines Mandatsverhältnisses ist bereits von der anwaltlichen Schweigepflicht geschützt. Wer Software für Rechtsanwälte entwickelt, muss folgende Grundsätze konsequent umsetzen:

  1. Keine kryptographischen Schlüssel oder Credentials im Frontend: Was im Browser landet, ist öffentlich.
  2. Passwörter ausschließlich als Einweg-Hash: ARGON2ID oder bcrypt, niemals reversible Verschlüsselung.
  3. Authentifizierung vor jedem Datenzugriff: Kein Endpoint darf ohne Anmeldung sensible Daten ausliefern.
  4. AES statt ZipCrypto: ZipCrypto ist seit 2005 als gebrochen bekannt.
  5. Instanz-individuelle Secrets: Was auf einer Instanz kompromittiert wird, darf keine andere gefährden.
  6. Defense in Depth: Mehrere unabhängige Schutzschichten, nicht nur eine.

Häufig gestellte Fragen

Ist exlega von den RA-MICRO-Sicherheitslücken betroffen?

Nein. Wir haben alle im CCC-Report dokumentierten Schwachstellen gegen die exlega-Architektur geprüft. Keines der festgestellten Kernprobleme betrifft exlega. Darüber hinaus haben wir die Berichte zum Anlass genommen, einen vollständigen internen Security-Audit durchzuführen.

Was ist ZipCrypto und warum ist es unsicher?

ZipCrypto ist ein veraltetes Verschlüsselungsverfahren für ZIP-Archive, das seit 2005 als gebrochen gilt. Angreifer können es mit einem Known-Plaintext-Angriff in Minuten überwinden, wenn eine bekannte Referenzdatei im Archiv enthalten ist.

Was bedeuten die CCC-Befunde für Kanzleien, die RA-MICRO Essentials nutzen?

Kanzleien sollten umgehend prüfen, ob ihre Instanz öffentlich erreichbar ist, und Kontakt mit RA-MICRO aufnehmen. Die vollständigen Berichte sind unter ccc.de einsehbar.

Quellen: CCC Responsible Disclosure Report 1 (Mai 2025) und Report 2 (August 2025) zu RA-MICRO Essentials, verfügbar unter ccc.de.

Veröffentlicht am

Verbraucherwarnung: Unerlaubte Rechtsdienstleistungen durch Walentin Konrad

Die KEHL Rechtsanwaltsgesellschaft mbH warnt Verbraucher und Unternehmen vor der Inanspruchnahme rechtlicher Beratungsleistungen durch Walentin Konrad, Betreiber der „Premium-Beratungsagentur Kon-Rat“, ansässig in Nienburg (Weser).

Das Landgericht Verden hat mit Urteil zum Aktenzeichen 10 O 35/25 rechtskräftig entschieden, dass es Walentin Konrad untersagt ist, ohne entsprechende Erlaubnis oder gesetzliche Befugnis geschäftsmäßig Rechtsdienstleistungen zu erbringen oder Dritte rechtlich zu vertreten. Das Oberlandesgericht Celle hat die Entscheidung bestätigt.

Nach den gerichtlichen Feststellungen ist Walentin Konrad weder als Rechtsanwalt zugelassen noch im Rechtsdienstleistungsregister eingetragen Damit fehlt ihm die gesetzlich erforderliche Befugnis zur Erbringung rechtlicher Beratung und Vertretung.

Das Gericht hat für jeden Fall der Zuwiderhandlung Ordnungsgelder von bis zu 250.000 Euro oder ersatzweise Ordnungshaft angedroht Dies verdeutlicht die erhebliche rechtliche Tragweite der untersagten Tätigkeit.

„Verbraucherwarnung: Unerlaubte Rechtsdienstleistungen durch Walentin Konrad“ weiterlesen
Veröffentlicht am

Warnung vor Amazon Business

Warum Unternehmen bei Amazon Business genau hinschauen sollten

Unternehmen sollten die Nutzung von Amazon Business keinesfalls als rechtlich unproblematischen Standard-Einkaufskanal betrachten. Die in den AGB verankerten Regelungen zu luxemburgischem Recht und dem ausschließlichen Gerichtsstand in Luxemburg können im Streitfall erhebliche praktische und finanzielle Nachteile mit sich bringen.

Zwar ist derzeit noch nicht abschließend geklärt, ob diese Klauseln in jedem Einzelfall wirksam sind und einer gerichtlichen Überprüfung standhalten würden. Solange jedoch keine eindeutige höchstrichterliche Klärung vorliegt, besteht für Unternehmen ein ganz reales Risiko, sich im Konfliktfall mit einer Rechtsdurchsetzung im Ausland konfrontiert zu sehen. Allein diese Unsicherheit verdient ernsthafte Beachtung.

Wer Amazon Business nutzt, akzeptiert möglicherweise Vertragsbedingungen, die die eigene Rechtsposition deutlich schwächen und die Durchsetzung berechtigter Ansprüche massiv erschweren. Gerade für kleine und mittlere Unternehmen kann ein Gerichtsstand im Ausland faktisch bedeuten, dass Rechte zwar formal bestehen, wirtschaftlich aber kaum durchsetzbar sind.

Wir empfehlen daher, die Nutzung von Amazon Business kritisch zu hinterfragen und die rechtlichen Risiken bewusst in die Entscheidung einzubeziehen. Unternehmen sollten sich nicht darauf verlassen, dass problematische AGB-Klauseln im Ernstfall schon irgendwie unwirksam sein werden. Bequemlichkeit im Einkauf darf niemals zu rechtlicher Blindheit führen.

Veröffentlicht am

Warnung vor Scam: Angebliches „Schiedsgericht gemäß den Genfer Abkommen von 1949“

Derzeit kursieren vermehrt Schreiben, Webseiten und Angebote rund um ein angebliches „Schiedsgericht gemäß den Genfer Abkommen von 1949“. Dabei wird der Eindruck erweckt, es handele sich um eine internationale, überstaatliche Rechtsinstanz. Wir möchten ausdrücklich warnen: Es handelt sich nicht um ein anerkanntes Gericht.

Die Scharlatane nutzen die aktuelle allgemeine hohe Unzufriedenheit mit den staatlichen Institutionen aus.

Die Betreiber stellen ihr angebliches „Schiedsgericht“ als internationale, überstaatliche Institution dar. Es wird behauptet, dort könnten Beschwerden gegen Behörden und Staaten eingereicht, völkerrechtlich bindende Entscheidungen erwirkt oder außerhalb staatlicher Gerichte Recht durchgesetzt werden. Zudem werden kostenpflichtige Seminare und Schulungen angeboten, in denen Teilnehmer zu „Schiedsrichtern“ ausgebildet werden sollen.

Diese Darstellung ist rechtlich nicht haltbar und kann Betroffene in die Irre führen.

„Warnung vor Scam: Angebliches „Schiedsgericht gemäß den Genfer Abkommen von 1949““ weiterlesen
Veröffentlicht am

Commercial Courts in Deutschland. Wie die ostdeutschen Länder den Anschluss verpassen

Mit dem Inkrafttreten des Justizstandort Stärkungsgesetzes im Frühjahr 2025 hat der Gesetzgeber die Möglichkeit geschaffen, spezialisierte Commercial Courts an Oberlandesgerichten einzurichten. Diese sollen komplexe Wirtschaftsstreitigkeiten effizienter lösen und Deutschland im internationalen Wettbewerb der Streitbeilegungsstandorte stärken. § 119 b GVG gibt den Ländern erstmals die Befugnis, erstinstanzliche Senate an Oberlandesgerichten für große Wirtschaftssachen zu schaffen und damit einen wesentlichen strukturellen Schritt in Richtung Professionalisierung gerichtlicher Wirtschaftsverfahren zu gehen.

Bislang haben neun Bundesländer diese Chance ergriffen. Dazu gehören Baden-Württemberg, Bayern, Bremen, Berlin, Hamburg, Hessen, Niedersachsen, Sachsen und Nordrhein-Westfalen. Die Commercial Courts dieser Länder haben ihre Arbeit aufgenommen und setzen neue Maßstäbe in der wirtschaftsrechtlichen Spruchpraxis.

Auffällig ist jedoch, was nicht geschehen ist. Keines der ostdeutschen Bundesländer mit Ausnahme von Sachsen hat einen Commercial Court eingerichtet. Besonders bemerkenswert ist, dass Sachsen-Anhalt trotz wirtschaftlicher Entwicklung und zentraler Lage vollständig auf die Errichtung eines Commercial Courts verzichtet hat.

Das Justizstandort Stärkungsgesetz verfolgt die klare Absicht, staatliche Gerichte im Bereich komplexer internationaler Wirtschaftsverfahren zu stärken und Schiedsgerichten wieder ernsthaft Konkurrenz zu machen. Unternehmen sollen künftig eine spezialiserte staatliche Alternative erhalten, die international anschlussfähig ist. Kernpunkte der Reform sind die Möglichkeit der englischen Verfahrenssprache, die fakultative Einreichung direkt beim Oberlandesgericht als Eingangsinstanz und ein beschleunigtes, eng strukturiertes Verfahren.

Diese besondere Kompetenzverlagerung ist ein Paradigmenwechsel. Die staatliche Justiz soll sich nicht mehr allein auf ihre hoheitliche Rolle zurückziehen, sondern im Wettbewerb mit internationalen Streitbeilegungsforen aktiv bestehen.

Der Commercial Court entscheidet in Dreierbesetzung. Verfahren können vollständig auf Englisch geführt werden. Die Parteien können eine Tatsacheninstanz überspringen und unmittelbar vor einem spezialisierten OLG Senat klagen. Zudem besteht immer eine zulassungsfreie Revision zum Bundesgerichtshof. Dieses Gesamtpaket bietet eine Qualität und Effizienz, die mit internationalen Standards vergleichbar ist.

Dass außer Sachsen kein ostdeutsches Bundesland die Einrichtung eines Commercial Courts vorgenommen hat, ist ein schlechtes politisches Signal. Es zeigt, dass der Aufbau eines modernen und international anschlussfähigen Streitbeilegungsstandortes nicht als prioritäre Aufgabe erkannt wurde. Sachsen-Anhalt hätte mit geringer gesetzgeberischer Initiative ein starkes Zeichen setzen können. Der Verzicht bedeutet jedoch, dass Unternehmen in Ostdeutschland weiterhin keine spezialisierte gerichtliche Infrastruktur für komplexe wirtschaftsrechtliche Verfahren erhalten.

Für die Attraktivität eines Wirtschaftsstandortes spielt die Qualität der Rechtspflege eine zentrale Rolle. Die Einrichtung eines Commercial Courts kann Investoren die Sicherheit geben, auch in komplexen Situationen effizienten gerichtlichen Rechtsschutz in Anspruch nehmen zu können. Wer diese Option nicht bietet, nimmt sich selbst aus dem Wettbewerb. Die Folge kann sein, dass große wirtschaftsrechtliche Streitigkeiten in andere Bundesländer verlagert werden und dass Unternehmen langfristig ihre Standortentscheidungen anders treffen.

Die ostdeutschen Länder haben diese Chance fast vollständig ungenutzt gelassen. Nur Sachsen hat gehandelt. Sachsen Anhalt und alle übrigen ostdeutschen Länder stehen ohne Commercial Court da und verlieren damit einen potenziellen Wettbewerbsvorteil als moderner Justizstandort.

Wer komplexe Wirtschaftsverfahren in Deutschland zukunftsfähig führen will, wird die leistungsfähigen Commercial Courts in den westdeutschen Bundesländern nutzen. Solange kein flächendeckendes Engagement im Osten erfolgt, wird sich dieser Trend weiter verstärken.

Veröffentlicht am

BVerwG: Beitragspflicht hängt von Programmvielfalt ab

Das Bundesverwaltungsgericht hat klargestellt, dass die Vielfalt und Ausgewogenheit des öffentlich-rechtlichen Rundfunks ein zentrales verfassungsrechtliches Kriterium für die Rechtfertigung des Rundfunkbeitrags ist (BVerwG Urt. v. 15.10.2025, Az. 6 C 5.24).

Fehlt es über längere Zeit grob an dieser Vielfalt, kann die Beitragspflicht nach § 2 Abs. 1 RBStV verfassungswidrig werden.

Das Bundesverfassungsgericht hatte noch 2018 entschieden, dass der Rundfunkbeitrag für das damalige Programmangebot sachlich gerechtfertigt ist, und damit eine Äquivalenz zwischen Beitragspflicht und Programmqualität bejaht. Ob dies weiterhin gilt, ist nun Aufgabe der Tatsachengerichte.

Das Bundesverwaltungsgericht hat das Berufungsurteil aufgehoben und den Rechtsstreit zur erneuten Verhandlung und Entscheidung an den Bayerischen Verwaltungsgerichtshof zurückverwiesen. Das Berufungsurteil verstieß gegen Bundesrecht, weil es die Bindungswirkung des Urteils des Bundesverfassungsgerichts vom 18. Juli 2018 – 1 BvR 1675/16 u.a. – verkannt hatte.

Der Bayerische Verwaltungsgerichtshof muss nun den Sachverhalt aufklären und prüfen, ob das Gesamtprogramm der öffentlich-rechtlichen Rundfunkanstalten in einem längeren Zeitraum den Anforderungen an Vielfalt und Ausgewogenheit genügt. Wenn sich gravierende Defizite bestätigen, kommt eine Vorlage an das Bundesverfassungsgericht nach Art. 100 GG in Betracht.

Veröffentlicht am

Allianz Klage gegen Vertreter wegen Datenexport – was steckt dahinter?

Die Allianz Beratungs- und Vertriebs-AG (ABV) geht derzeit gegen einzelne (ehemalige) Versicherungsvertreter vor, denen vorgeworfen wird, Kundendaten aus dem Agentur-Management- und Informationssystem (AMIS) „unbefugt“ exportiert zu haben. Betroffene Vertreter erhalten Abmahnungen und in einigen Fällen sogar Klagen vor den Landgerichten.

Da viele Allianz-Vertreter regelmäßig mit AMIS arbeiten und die Exportfunktion nutzen, ist diese Entwicklung für die gesamte Vertriebsorganisation von erheblicher Bedeutung.

„Allianz Klage gegen Vertreter wegen Datenexport – was steckt dahinter?“ weiterlesen
Veröffentlicht am

Verification of Payee (VoP) Pflicht zur Empfängerüberprüfung ab Oktober 2025

Mit der EU Verordnung 2024/886 wird eine weitere tiefgreifende Änderung im europäischen Zahlungsverkehr eingeführt. Kernstück ist die sogenannte Verification of Payee, auf Deutsch Empfängerüberprüfung. Ab Oktober 2025 sind alle Banken im SEPA Raum verpflichtet, bei jeder Überweisung zu prüfen, ob der angegebene Empfängername mit der IBAN übereinstimmt.

Offiziell soll die neue Pflicht den Zahlungsverkehr sicherer machen. Die Banken gleichen automatisch Empfängername und IBAN ab und melden zurück, ob die Daten vollständig passen, nahezu passen oder nicht passen.

„Verification of Payee (VoP) Pflicht zur Empfängerüberprüfung ab Oktober 2025“ weiterlesen
Veröffentlicht am

Landgericht Halle weist Antrag eines Abmahnanwalts auf Unterlassung wegen RDG Verstoßes zurück

Im einstweiligen Verfügungsverfahren vor dem Landgericht Halle (Az. 8 O 8/25) haben wir die Verfügungsbeklagte – eine Kfz-Werkstattbetreiberin und Gebrauchtwagenhändlerin aus Halle – erfolgreich gegen eine Abmahnung und einen Unterlassungsantrag des Rechtsanwalts Michael Winter aus Kornwestheim verteidigt. Das Gericht wies den Antrag in vollem Umfang zurück. Die Kosten des Verfahrens trägt der Kläger.

Hintergrund: Vorwurf angeblich unerlaubter Rechtsdienstleistungen

Rechtsanwalt Michael Winter, vertreten durch den Kollegen Rechtsanwalt Weber aus Asbach-Bäumenheim, sah in der Werbung unserer Mandantin für einen „kompletten Versicherungs- und Unfallservice“ einen angeblichen Verstoß gegen das Rechtsdienstleistungsgesetz (RDG). Die Mandantin hatte auf ihrer Website Leistungen wie „Ermittlung der Schadenshöhe“, „Gutachtenerstellung“ und „Versicherungsabwicklung“ beworben. Laut Winter handele es sich hierbei um unzulässige Rechtsberatung durch Nichtjuristen.

„Landgericht Halle weist Antrag eines Abmahnanwalts auf Unterlassung wegen RDG Verstoßes zurück“ weiterlesen
Veröffentlicht am

Barrierefreiheitspflicht für Online-Shops ab 28.06.2025 – Was jetzt zu tun ist

Mit Wirkung zum 28.06.2025 treten neue gesetzliche Anforderungen für den digitalen Geschäftsverkehr in Kraft: Private Wirtschaftsakteure, die über Webseiten oder Apps Dienstleistungen an Verbraucher anbieten, müssen künftig sicherstellen, dass diese Angebote barrierefrei gestaltet sind. Grundlage ist das Barrierefreiheitsstärkungsgesetz (BFSG), das die europäische Barrierefreiheits-Richtlinie (RL 2019/882) in nationales Recht umsetzt.

Wer ist betroffen?

Das Gesetz gilt für alle Anbieter digitaler Dienstleistungen, insbesondere auch für Betreiber von Online-Shops und Online-Plattformen, die Verträge mit Verbrauchern abschließen. Auch kleinere Unternehmen sind grundsätzlich erfasst. Nur „Kleinstunternehmen“ mit weniger als 10 Mitarbeitern und unter 2 Mio. Euro Jahresumsatz bzw. Bilanzsumme sind ausgenommen (§ 3 Abs. 3 BFSG).

Gemäß § 16 BFSG entfällt die Pflicht zur Einhaltung der Barrierefreiheitsanforderungen, wenn deren Umsetzung eine grundlegende Veränderung des Produkts oder der Dienstleistung zur Folge hätte und das Produkt seinen bestimmungsgemäßen Zweck nicht mehr erfüllen kann. Dies gilt entsprechend auch für digitale Dienstleistungen. So wäre beispielsweise denkbar, dass eine Dienstleistung infolge der notwendigen Anpassungen nicht mehr praktikabel ist oder wesentliche Merkmale verliert, die für Nutzer den eigentlichen Mehrwert darstellen. Für klassische Online-Shops wird dies selten der Fall sein, da hier der Produktverkauf im Vordergrund steht, welcher durch barrierefreie Gestaltung in der Regel nicht entwertet wird.

Ergänzend sieht § 17 BFSG vor, dass einzelne Anforderungen dann nicht umgesetzt werden müssen, wenn dies für das Unternehmen mit einer unverhältnismäßigen Belastung verbunden wäre. Die Beurteilung richtet sich insbesondere nach dem Verhältnis der zu erwartenden Kosten zur wirtschaftlichen Leistungsfähigkeit des Unternehmens sowie nach der Relevanz der betroffenen Dienstleistung für Behinderte. Die Hürden für eine solche Ausnahme sind aber recht hoch, da die Unverhältnismäßigkeit im konkreten Einzelfall schlüssig zu begründen und gegenüber der zuständigen Aufsichtsbehörde zu dokumentieren wäre.

„Barrierefreiheitspflicht für Online-Shops ab 28.06.2025 – Was jetzt zu tun ist“ weiterlesen