# Ügyvédi irodák IT-biztonsága: a titoktartás a webszerveren

> Ügyfélportál, feltöltés, adatszoba: így védik az ügyvédi irodák PHP-rendszereiket a PHP2Shell ellen, és őrzik meg a titoktartást incidens esetén is.

Forrás: https://phpsos.de/hu/branchen/kanzleien/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Egy ügyvédi iroda IT-biztonságánál minden rendszer számít, amelyen keresztül az ügyfelek dokumentumokat küldenek vagy kérnek le. Állapítsa meg, melyek futnak PHP-n, igazoltassa a javítási állapotot és az újraindítást, és minden gyanús esetet úgy kezeljen, hogy a bizonyítékok és a bizalmasság megmaradjanak.

## Hol használnak PHP-t az ügyvédi irodák, gyakran anélkül, hogy tudnának róla

Az irodai szoftver maga többnyire az irodában vagy egy szakosodott adatközpontban áll. A PHP máshol fordul elő: az iroda weboldalán az első megkeresés űrlapjával, a dokumentumok feltöltési útvonalain, az online időpontfoglalásokban és az önállóan üzemeltetett adatszobákban. Sok iroda a biztonságos dokumentumcseréhez saját [Nextcloudot](https://phpsos.de/hu/plattformen/nextcloud/) használ, amelyet egy rendszerház állított be.

Éppen ezek az adatszobák tartalmazzák az iroda legérzékenyebb anyagait: beadványokat, meghatalmazásokat, szerződéstervezeteket, szakértői véleményeket, bizonyító fényképeket, büntetőügyekben nyomozati iratokat is. A PHP2Shell lehetővé teszi a támadóknak a kódfuttatást bejelentkezés nélkül. A portál erős jelszava ez ellen nem segít.

A családjog, munkajog vagy orvosi jog súlypontú irodák emellett egészségügyi adatokat, szakvéleményeket és magánéleti részleteket is kezelnek. A gazdasági ügyekkel foglalkozó irodákban olyan tranzakciók iratai vannak, amelyek a nyilvánosságra hozataluk előtt árfolyamérzékenyek lehetnek. Hogy milyen anyag van a portáljaiban, az határozza meg, mennyire súlyos egy incidens.

## Hivatásbeli titoktartás és adatvédelem: mit jelent egy adatszivárgás

Az ügyvédekre szakmai titoktartási kötelezettség vonatkozik. Az ügyféltitkok jogosulatlan felfedése a német Btk. (StGB) 203. §-a (német jogszabály) szerint büntetendő lehet. Emellett ott vannak a GDPR szerinti kötelezettségek, amelyekhez egészségügyi vagy büntetőeljárási vonatkozás esetén különleges adatkategóriák is tartoznak.

Az adatszivárgás ezért az irodákat kétszeresen érinti. Veszélyezteti a folyamatban lévő megbízásokat, ha például tárgyalási álláspontok vagy egyezségi tervezetek rossz kezekbe kerülnek. És megrendíti a bizalmat, amelyen a megbízási jogviszony alapul. Hogy és hogyan kell értesítenie az ügyfeleket és a felügyeletet, azt az adatvédelmi felelősével és szakmai jogi tanácsadással értékelje.

## Az iroda weboldala mint eszköz a csaláshoz

Egy feltört irodai szerver a támadóknak nemcsak adatforrásként szolgál. Fejléces papírral, ügyszámokkal és egy ügyfélportálból származó valódi nevekkel olyan levelek hamisíthatók, amelyeket alig lehet megkülönböztetni a valódiaktól. Különösen kényesek a fizetési felszólítások, például egyezségi összegekre vagy díjakra, megváltoztatott bankszámlaszámmal.

Az első megkeresés űrlapjával is vissza lehet élni: a támadó átirányítja a megkereséseket a saját címére, és az iroda nevében jelentkezik az érdeklődőknél. Egy incidens után ezért nemcsak a szervert kell megvizsgáltatni, hanem az ügyfeleket aktívan figyelmeztetni is kell arra, hogy a bankszámlaszámot e-mailben soha nem változtatja meg.

A különleges elektronikus ügyvédi postafiók és az irodai szoftver nem az Ön webszerverén fut. Veszélyes ott lesz a helyzet, ahol a webszerveren levelezési fiókokhoz vagy más irodai rendszerekhez tartozó hozzáférési adatok vannak elmentve.

## Ügyvédi iroda IT-biztonsága: ki miért felel?

Saját IT-osztály nélküli irodákban a feladatok többnyire így oszlanak meg:

| Rendszer | Ki gondozza | Nyitott kérdés a PHP2Shell kapcsán |
|---|---|---|
| Irodai szoftver, munkaállomások | rendszerház | többnyire nem érintett |
| Nextcloud vagy adatszoba | rendszerház vagy tárhelyszolgáltató | Ki javítja a PHP-t és indítja újra? |
| Weboldal űrlapokkal | webügynökség | Naprakész PHP-n fut a tárhelyszolgáltatónál? |
| Online időpontfoglalás | külső szolgáltató vagy bővítmény | Hol vannak az ügyfelek ügyei? |

A rés ott keletkezik, ahol a rendszerház a weboldalt az ügynökség ügyének tartja, az ügynökség pedig a szervert a tárhelyszolgáltatóénak. Minden rendszerhez rögzítse írásban, ki frissíti a PHP-t és indítja újra a folyamatokat.

> **Fontos:**
> Ne tisztítson meg elhamarkodottan egy gyanús szervert. Aki a nyomok mentése előtt újratelepíti, az később nem tudja bizonyítani, hogy történt-e adatszivárgás, és mely ügyféladatok érintettek.

## Az első órák: bizalmasan és követhetően eljárni

1. Zárja le az érintett portálokat és adatszobákat az ügyfelek elől, a belső munkát az irodai szoftveren folytassa.
2. Mentse a naplókat 2026. 10. 20-tól, és őrizze meg a szerver állapotát, mielőtt bárki fájlokat törölne.
3. Kérdezze meg írásban az üzemeltetőtől a javítási állapotot és az újraindítást. A kijelzett verziószám önmagában nem elég, mert a backportok változatlanul hagyhatják.
4. Jelöljön ki egy szűk kört, amely az incidensről beszél, és készítse elő a [külső kommunikációt](https://phpsos.de/hu/compliance/krisenkommunikation/).
5. Vonja be az adatvédelmi felelőst, és tartsa szem előtt a [GDPR szerinti bejelentési határidőt](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/).

## Hogyan segít konkrétan a PHP SOS?

- Az első hozzáférés előtt írásban szabályozzuk a titoktartást, és a szükséges mértékre korlátozzuk a hozzáférést.
- Ellenőrizzük az iroda minden, az internetről elérhető PHP-rendszerének javítási állapotát, üzemmódját és újraindítását.
- Gyanú esetén igazságügyi informatikai módszerekkel mentünk nyomokat, hogy később bizonyítható legyen, mihez fértek hozzá. Részletek az [IT-forenzikáról](https://phpsos.de/hu/leistungen/it-forensik/) szóló oldalunkon.
- Megtisztítjuk és megerősítjük a rendszereket, és minden lépést dokumentálunk az iroda vezetése, az adatvédelmi felelős és a biztosító számára.
- Kívánságra átvesszük a portálok folyamatos gondozását, hogy a következő PHP-rés ne ragadjon megint a rendszerház és az ügynökség közé.


## Gyakori kérdések

**Érinti a PHP2Shell az ügyvédi irodai szoftverünket?**  
Maga az irodai szoftver többnyire nem PHP-webszerveren fut. Érintett lehet a weboldal, a feltöltési űrlapok, az önállóan üzemeltetett adatszobák, például a Nextcloud, valamint a PHP-ra épülő portálok. Az összes interneten át elérhető rendszer számbavétele teremt tisztánlátást.

**Hozzáférhet külső IT-szolgáltató ügyféladatokhoz egy incidensnél?**  
A szakmai szabályok és a német Btk. (StGB) 203. §-a (német jogszabály) bizonyos feltételekkel megengedik közreműködő szolgáltatók bevonását, különösen titoktartási kötelezettség vállalása mellett. Hogy az Ön irodájára pontosan milyen követelmények vonatkoznak, azt a hivatásrendi szabályok alapján ellenőrizze. A titoktartást az első hozzáférés előtt írásban rögzítjük.

**Tájékoztatnunk kell az ügyfeleket egy támadásról?**  
Az érintettek jogait érő kockázat esetén a GDPR értesítést kívánhat meg, emellett szakmai jogi megfontolások is felmerülnek. A döntés az iroda vezetésére és az adatvédelmi felelősre tartozik. Az összehangolt kommunikáció megakadályozza az egymásnak ellentmondó közléseket.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)