Das US-Gericht weist die Anwaltskanzlei Covington an, einige Mandanten für die SEC-Untersuchung zu benennen

Beschilderung ist außerhalb der Anwaltskanzlei Covington & Burling LLP in Washington, DC, USA, 30. August 2020 zu sehen. REUTERS/Andrew Kelly

24. Juli (Reuters) – Covington & Burling muss einige Mandanten identifizieren, die in einen Hackerangriff auf die Anwaltskanzlei im Jahr 2020 verwickelt waren, und zwar an die US-Börsenaufsichtsbehörde (Securities and Exchange Commission). Dies entschied ein Bundesrichter in Washington am Montag in einem Fall, der sich auf zukünftige Untersuchungen zu Cyberangriffen auswirken könnte.

Der US-Bezirksrichter Amit Mehta wies Covington an, der SEC die Namen von sieben Kunden börsennotierter Unternehmen zu nennen, bei denen möglicherweise für Investoren relevante Informationen abgerufen oder gestohlen wurden, was der Finanzaufsichtsbehörde bei ihrer Untersuchung des Angriffs einen Teilsieg bescherte.

Ein Sprecher von Covington sagte, das Unternehmen werde „die Entscheidung sorgfältig prüfen und alle nächsten Schritte in Absprache mit unseren betroffenen Kunden erwägen“.

Ein SEC-Sprecher reagierte nicht sofort auf eine Bitte um Stellungnahme.

Das Urteil, gegen das wahrscheinlich Berufung beim US-Berufungsgericht DC Circuit eingelegt wird, stellt einen Mittelweg in einem Streit dar, der von der US-Rechtsbranche genau beobachtet wird.

Jedes endgültige Ergebnis könnte es der Regierung in Zukunft erleichtern, Informationen über Mandanten von Anwaltskanzleien zu erhalten, und Anwaltskanzleien warnen, dass dies die Zusammenarbeit zwischen dem Privatsektor und den Behörden, die Cyberangriffe untersuchen, beeinträchtigen könnte.

Die SEC hatte die Namen aller fast 300 betroffenen Unternehmen eingeholt, aber Covington weigerte sich, irgendwelche Kunden zu nennen. Bei einer internen Überprüfung durch das Unternehmen wurden laut Gerichtsakten sieben Unternehmen identifiziert, bei denen durch den Hack möglicherweise marktrelevante Informationen abgerufen wurden.

Mehta schrieb, dass die Vorladung der SEC „zu weit gefasst“ sei, dass es jedoch nichts Unangemessenes daran sei, dass die Aufsichtsbehörde für eine Untersuchung Zugriff auf einige Kundennamen erlangt habe.

Die SEC verklagte Covington im Januar, um das bekannte Unternehmen mit Sitz in Washington zu zwingen, börsennotierte Kunden zu identifizieren, deren Informationen bei dem Verstoß der mit China verbundenen Hafnium-Cyberspionagegruppe abgerufen oder gestohlen wurden, wie aus Akten hervorgeht.

Die Behörde sagte, sie benötige die Namen, um Verstöße gegen das Wertpapierrecht im Zusammenhang mit dem Angriff zu untersuchen, und argumentierte, dass Covingtons Status als Anwaltskanzlei sie nicht von einer Zusammenarbeit abhalte.

Covington teilte dem Gericht mit, dass die Mandanten einer Anwaltskanzlei Teil einer „Zone der Privatsphäre“ seien, die durch die US-Verfassung und die Regeln der Rechtsethik geschützt sei. Es wurde außerdem argumentiert, dass die Vorladung das Unternehmen dazu zwingen würde, Kunden einer staatlichen Kontrolle auszusetzen, ohne dass Beweise für ein Fehlverhalten vorliegen.

Unsere Standards: Die Thomson Reuters Trust Principles.