Datenpannen bei Quinn Emanuel und McDermott: Was bekannt ist – und was offen bleibt

Zwei große US-Wirtschaftskanzleien, Quinn Emanuel und McDermott, haben getrennte Cybervorfälle mit Zugriff auf sensible Daten offengelegt. Öffentlich bekannt ist jeweils ein begrenzter Zugriff auf gespeicherte Dateien – nicht aber eine eindeutig benannte Ransomware- oder Erpressungskampagne. Gerade weil Kanzleien vertrauliche Prozessakten sowie besonders schützenswerte persönliche Angaben verwalten, sind die Fälle dennoch erheblich. Beide Kanzleien erklärten, Strafverfolgungsbehörden informiert zu haben. 3

Quinn Emanuel: Zugriff nach Social Engineering

Quinn Emanuel teilte in einem Schreiben vom 25. August an den Anwalt des aktivistischen Leerverkäufers Muddy Waters mit, dass eine unbefugte dritte Partei am 14. August durch Social Engineering Zugriff erhalten habe. Dabei wurden einige Dateien mit Bezug zu Muddy Waters eingesehen. Diese Unterlagen hatte Quinn Emanuel in einem anderen Verfahren in Florida erhalten. 3

Nach Angaben der Kanzlei betraf der Vorfall gespeicherte Dateien in einer Softwareanwendung und lief über ein vorübergehend kompromittiertes Nutzerkonto. Die Zahl der betroffenen Mandantendokumente sei begrenzt gewesen; Betroffene seien informiert worden. Eine Gesamtzahl der eingesehenen Dateien oder möglicherweise betroffenen Personen wurde öffentlich nicht genannt. 3

McDermott: Sozialversicherungsnummern und Gesundheitsdaten betroffen

McDermott meldete ebenfalls einen unbefugten Zugriff auf gespeicherte Dateien in einer Softwareanwendung über ein vorübergehend kompromittiertes Nutzerkonto. Einer regulatorischen Meldung zufolge waren 15 Personen betroffen. Zu den offengelegten Daten gehörten Sozialversicherungsnummern sowie Gesundheitsdaten. 3

Neben der Information der Strafverfolgungsbehörden reichte McDermott Meldungen bei US-Bundesstaaten ein. In einer separat veröffentlichten Mitteilung zu einem Sicherheitsvorfall erklärte die Kanzlei, externe Spezialisten mit Untersuchung und Analyse der betroffenen Dateien beauftragt zu haben. Zudem seien administrative und technische Schutzmaßnahmen verstärkt und zusätzliche Cybersicherheitsschulungen durchgeführt worden. 3

Was weiterhin ungeklärt ist

Die öffentlichen Angaben nennen weder eine Person noch eine Gruppe als Verantwortliche. Sie belegen auch nicht, dass die beiden Vorfälle zusammenhängen, dass eine Ransomware- oder Erpressungsgruppe beteiligt war oder dass Daten über die in den Mitteilungen beschriebenen Zugriffe hinaus abgezogen wurden.

Die belastbare gemeinsame Erkenntnis ist daher begrenzt: Beide Vorfälle zeigen, wie weitreichend die Folgen eines kompromittierten Kontos in einer Kanzlei sein können. Sie sind aber kein Nachweis für einen gemeinsamen Angreifer. 3

Warum die Muddy-Waters-Unterlagen besonders sensibel sind

Der Vorfall bei Quinn Emanuel erhielt besondere Aufmerksamkeit, weil die eingesehenen Materialien Muddy Waters betrafen – einen früheren Mandanten der Kanzlei. Später vertrat Quinn Emanuel den Elektrowerkzeughersteller Techtronic Industries in einem Rechtsstreit gegen Muddy Waters. Muddy Waters beantragte deshalb den Ausschluss der Kanzlei aus dem Verfahren und argumentierte, die frühere Mandatsbeziehung begründe einen Interessenkonflikt. 6

Ein Bundesrichter in Austin im US-Bundesstaat Texas schloss Quinn Emanuel anschließend aus dem Techtronic-Verfahren aus. Das Gericht sah wegen der früheren Vertretung von Muddy Waters einen Interessenkonflikt. Quinn Emanuel kündigte an, dagegen vorzugehen, und bestreitet einen Konflikt. 5

Diese Entscheidung betrifft anwaltliche Berufspflichten und die Loyalität gegenüber Mandanten. Sie belegt nicht, dass Quinn Emanuel den Cybervorfall verursacht hätte oder dass ein Eindringling im Auftrag von Techtronic oder einer anderen Partei des Rechtsstreits handelte. 5

Teil eines größeren Problems im Rechtssektor – aber keine nachgewiesene Einheitskampagne

Die Meldungen von Quinn Emanuel und McDermott folgten auf weitere Offenlegungen von Sicherheitsvorfällen in US-Kanzleien im Jahr 2026. Herbert Smith Freehills Kramer erklärte, nach einem Ende Mai bekannt gewordenen Vorfall hätten Unbefugte auf einen begrenzten Teil seiner Systeme zugegriffen. Auch Goodwin Procter und Taft Stettinius & Hollister meldeten im ähnlichen Zeitraum Datenpannen an staatliche Aufsichtsstellen.

Gegen WilmerHale wurde nach einem Cyberangriff, bei dem sensible persönliche Daten wie Namen und Sozialversicherungsnummern betroffen gewesen sein sollen, eine geplante Sammelklage vor einem US-Bundesgericht eingereicht. Die Kanzlei erklärte, eine unbefugte dritte Partei, die Kanzleien in der Rechtsbranche ins Visier genommen habe, habe einen begrenzten Datensatz erlangt.

In der Summe verdeutlichen die Fälle, weshalb Kanzleien attraktive Ziele sind: Ein einzelnes Konto oder eine einzelne Anwendung kann den Zugang zu privilegierten Verfahrensunterlagen und Identitätsdaten eröffnen. Daraus folgt jedoch nicht, dass jeder Vorfall bei einer Kanzlei Teil einer bestätigten gemeinsamen Kampagne ist. Urheberschaft, Umfang und möglicher Datenabfluss müssen für jeden Fall gesondert geprüft werden. 3