IT-Sicherheit für Steuerberater und Kanzleien

Berufsrecht, StBVV und DSGVO im Kanzleialltag

Steuerberaterinnen und Steuerberater unterliegen dem Mandantengeheimnis und den Pflichten der Steuerberaterverordnung (StBVV). Parallel ist jede Kanzlei als Verantwortlicher nach DSGVO für die Verarbeitung personenbezogener Daten verantwortlich — in Kanzleisoftware, E-Mail, Cloud-Speicher und bei der Kommunikation mit Mandanten. TOM müssen dem Risiko angemessen sein und in der Praxis gelebt werden: Wer darf welche Mandantenakte öffnen? Wie werden Lohnabrechnungen versendet? Wer administriert Microsoft 365 oder DATEV-Cloud?

Die Wirtschaftsprüferkammer und Datenschutzaufsicht erwarten bei Prüfungen nachvollziehbare Sorgfalt — nicht Perfektion, aber dokumentierte Schritte. Wer nur auf mündliche Absprachen setzt, hat in Streitfällen wenig Beleg.

Bei Betriebsprüfungen, Datenschutz-Audits oder nach einem Vorfall zählen Nachweise: Schulungsprotokolle, Verarbeitungsverzeichnis, AV-Verträge mit Dienstleistern, Incident-Prozesse und Restore-Tests der Backups. Externe IT-Betreuung sollte diese Dokumente technisch mitpflegen — nicht nur Firewalls konfigurieren und Drucker einrichten.

Ein häufiger Fehler: Datenschutzerklärung auf der Website aktualisieren, während Mandantenbelege unverschlüsselt per privatem Smartphone-Foto austauschen werden. IT-Sicherheit für Kanzleien beginnt bei den realen Datenflüssen, nicht bei Vorlagen.

Die StBVV verlangt zudem, dass nur befugte Personen Zugang zu mandantenbezogenen Daten erhalten — technisch heißt das: persönliche Konten, keine geteilten Logins und nachvollziehbare Protokolle in der Kanzleisoftware.

Mandantendaten: Speicherorte, Datenflüsse und Verantwortlichkeiten

Mandantendaten in Kanzleien sind breit gestreut: DATEV-Klassik oder -Cloud, Dokumentenmanagement, Netzwerkfreigaben, OneDrive und SharePoint, E-Mail-Postfächer, Scan-Workflows und gelegentlich noch physische Akten. Jeder Speicherort braucht einen Eintrag im Verarbeitungsverzeichnis mit Zweck, Kategorie betroffener Personen, Löschfrist und technischen Schutzmaßnahmen. Neue Tools — etwa ein Chat-Dienst mit Mandanten — dürfen erst nach Bewertung live gehen.

Besonders sensibel: Lohn- und Gehaltsdaten, Umsatzsteuer-Voranmeldungen, Einkommensteuererklärungen mit Gesundheits- oder Religionshinweisen, interne Notizen zur steuerlichen Gestaltung. Zugriff nur für Rolle und Mandat — nicht für das gesamte Büro. Geteilte Windows-Konten oder ein einziges Team-Passwort in der Kanzleisoftware zerstören Nachvollziehbarkeit und verletzen Least-Privilege.

Mandantenkommunikation braucht klare Kanäle: Wie dürfen Belege eingereicht werden? Welche Portale sind zugelassen? Sind E-Mail-Anhänge verschlüsselt oder zumindest durch Richtlinien eingeschränkt? IT und Kanzleileitung sollten gemeinsam festlegen, was verboten ist — zum Beispiel WhatsApp-Gruppen mit vollständigen Steuerunterlagen.

Einmal jährlich sollte die Kanzlei die Datenflüsse durchgehen: Neue Mandate, neue Software, neue Mitarbeitende — jedes Ereignis kann neue Speicherorte eröffnen, die ins Verarbeitungsverzeichnis gehören.

DATEV-Umfeld und Arbeitsplatz absichern

DATEV und browserbasierte Ergänzungen setzen voraus, dass Windows- oder macOS-Arbeitsplätze aktuell gepatcht sind, Virenschutz läuft und unnötige Dienste deaktiviert sind. ELSTER-Zertifikate und Smartcards gehören zum Schutzumfang: Verlust melden, PIN nicht auf dem Stick notieren, nur auf verschlüsselten Geräten nutzen. Remote-Arbeit aus dem Homeoffice erfordert VPN oder andere abgesicherte Verbindung — nicht offenes RDP aus dem Internet.

Ein einziges schwaches Passwort in Microsoft 365 kann Zugriff auf alle OneDrive-Akten öffnen, die der Nutzer synchronisiert. Deshalb: BitLocker auf Windows, FileVault auf Mac, zentraler Passwort-Manager, getrennte Admin-Konten für IT-Aufgaben und MFA für jeden Nutzer — auch für Partner und Geschäftsführung. Kanzleien ohne Passwort-Manager nutzen oft Wiederverwendung und Post-it-Lösungen — ein Einfallstor.

Drucker und Multifunktionsgeräte speichern intern gescannte Dokumente. Festplatten vor Entsorgung oder Weitergabe sicher löschen. Scan-to-E-Mail nur mit autorisierten Zielen. Diese Details fallen in Audits häufig durch.

Homeoffice-Arbeitsplätze der Kanzlei brauchen dieselben Mindeststandards wie Büro-PCs: Bildschirmsperre, Verschlüsselung, keine Familienmitglieder auf dem Kanzlei-Login.

Cloud, Auftragsverarbeitung und AV-Verträge

Microsoft 365 in EU-Rechenzentren ist für viele Kanzleien Alltag. Trotzdem müssen Konfiguration dokumentiert werden: externe Freigaben, anonyme Links, Gastzugänge, Teams-Kanäle mit Mandantendaten. Subunternehmerkette und Standardvertragsklauseln gehören in die Akte. US-Anbieter ohne tragfähige Transfergrundlage sind kritisch zu prüfen — Rechtsberatung einholen, nicht nur IT-Meinung.

DATEV-Cloud, Backup-Anbieter, Signaturdienste, Videokonferenz-Tools und branchenspezifische SaaS-Lösungen sind Auftragsverarbeiter oder eigenständige Verantwortliche — je nach Ausgestaltung. AV-Vertrag vor Start, nicht nachträglich. IT-Betreuung kann technische Fragen beantworten: Speicherort, Verschlüsselung, Export, Löschung, Protokollierung.

Schatten-IT ist in Kanzleien verbreitet: private Dropbox-Links, nicht freigegebene KI-Tools mit Mandantentext, externe Übersetzungsdienste mit E-Mail-Anhängen. Klare Policy und erreichbarer Ansprechpartner reduzieren diese Kanäle — Mitarbeitende brauchen sichere Alternativen, nicht nur Verbote.

Vor jedem neuen Cloud-Dienst drei Fragen: Wo werden Daten gespeichert? Wer hat Administratorzugriff? Wie werden Mandate gelöscht, wenn der Mandant die Kanzlei verlässt?

Zugriffsrechte, MFA und Admin-Trennung

Entra ID (früher Azure AD) verwaltet Nutzer, Gruppen und Zugriff auf Microsoft-Dienste. Kanzleien sollten Security-Gruppen für Rollen nutzen: Steuerfachangestellte, Lohn, Sekretariat, Partner, externe Berater mit Gastzugang und Ablaufdatum. Keine dauerhaften Global Admins für Alltags-IT. Admin-Konten nur für Administration, mit starker MFA, separaten Passwörtern und ohne tägliche E-Mail-Nutzung.

Conditional Access kann Anmeldungen von unmanaged Geräten blockieren oder zusätzliche Faktoren verlangen — sinnvoll für Zugriff auf besonders sensible Bibliotheken. Legacy-Authentifizierung deaktivieren, damit gestohlene Passwörter allein nicht reichen. Protokollierung in Microsoft 365 aktivieren, wo Lizenzen es erlauben — für Forensik nach Vorfall.

Jährliche Berechtigungsprüfung: Welche Mandantenordner sieht wer noch? Partnerwechsel und Mandatsende müssen technisch nachgezogen werden. Automatisierte Onboarding-Vorlagen für neue Mitarbeitende sparen Zeit und verhindern Überprivilegierung.

Steuerberater mit mehreren Gesellschaftern sollten klären, wer Global Admin ist — idealerweise niemand im Tagesgeschäft, sondern ein dediziertes Admin-Konto mit dokumentiertem Break-glass-Verfahren.

Backup, Notfall und Datenpanne

Backups müssen regelmäßig getestet werden — ein Backup, das sich nicht restoren lässt, ist wertlos. 3-2-1-Regel: drei Kopien, zwei Medien, eine offline oder unveränderbar. Ransomware kann auch Cloud-Sync-Ordner verschlüsseln — deshalb unveränderliche oder getrennte Backup-Ziele. Recovery Time Objective und Recovery Point Objective sollten die Kanzleileitung verstehen, nicht nur IT.

Bei Verlust eines Laptops, Ransomware oder Verdacht auf unbefugten Zugriff auf Mandantendaten: Incident-Prozess starten. Innerhalb von 72 Stunden Meldung an die Aufsichtsbehörde prüfen, wenn personenbezogene Daten betroffen sein könnten. Kommunikationsvorlagen für Mandanten vorbereiten. Ansprechpartner benennen — Partner, Datenschutz, IT. Ohne Plan verlieren Kanzleien im Stress wertvolle Zeit und handeln widersprüchlich.

Übung einmal jährlich: fiktiver Laptop-Verlust mit Mandantenakten — wer ruft wen an, welche Logs sind verfügbar, wie lange dauert Restore? Aus der Übung entsteht die realistische Notfall-Checkliste.

Der DSGVO-Risiko-Check zeigt typische Lücken in Kanzleien — Verarbeitungsverzeichnis, TOM, AV-Verträge, Verschlüsselung, MFA — bevor ein Vorfall passiert. Er ersetzt keine Rechtsberatung, aber priorisiert IT-Maßnahmen nach Risiko.

Kanzleien, die den Check nutzen, berichten oft, dass die größten Überraschungen nicht in der Technik liegen, sondern in undokumentierten Nebenprozessen — privater Messenger, alte Freigaben, vergessene Testmandate in der Cloud.

Mitarbeitende schulen ohne Schulungsfolien von 2010

Steuerfachangestellte und Lohnbuchhalter arbeiten unter Termindruck — lange Security-Schulungen werden ausgedruckt und abgeheftet, ohne Verhalten zu ändern. Besser: drei klare Regeln an der Kaffeemaschine und im Intranet. Keine Mandantendaten auf privaten Geräten. Verdächtige Mail sofort melden. Keine Passwörter weitergeben — auch nicht an „IT vom Steuerberaterverband“ am Telefon.

Partner und Geschäftsführung müssen dieselben Regeln befolgen — sonst wirkt jede Schulung unglaubwürdig. Phishing-Ziele sind häufig Führungskräfte mit weitreichenden Freigaben.

Kurze quartalsweise Beispiele aus der Praxis — anonymisiert — halten das Thema präsent. IT oder externer Partner liefert das technische Update zu neuen Betrugsmustern.

Schulungsnachweise gehören in die Compliance-Akte neben Verarbeitungsverzeichnis und TOM — auch das ist Teil der nachweisbaren Sorgfalt nach StBVV und DSGVO.

Externe Betreuung: was Kanzleien beim MSP prüfen sollten

Fragen Sie Referenzen aus Kanzleien ähnlicher Größe. Wie läuft Onboarding neuer Mitarbeitender? Wer prüft Microsoft-365-Freigaben? Wie schnell reagiert der Partner bei Verdacht auf Datenpanne? Wird DATEV-Umfeld berücksichtigt oder nur Office installiert?

AV-Vertrag mit dem MSP selbst ist Pflicht, wenn der Partner Zugriff auf Systeme mit Mandantendaten hat. Remote-Zugriff nur über gesicherte Kanäle, keine geteilten Admin-Passwörter.

Monatliche oder quartalsweise Kurz-Reviews: Secure Score, offene Freigaben, Backup-Status, offene End-of-Life-Geräte. Kanzleileitung versteht die Zusammenfassung — nicht nur Technikjargon.

Wenn intern niemand die IT-Seite der DSGVO trägt, kann ein guter MSP Lücken schließen — ersetzt aber nicht die datenschutzrechtliche Verantwortung der Kanzlei.

Praxisliste: erste 30 Tage für Steuerkanzleien

Woche eins: Inventar Mandantendaten und Verarbeitungsverzeichnis mit IT abgleichen. MFA für alle Konten aktivieren, geteilte Logins identifizieren und abschaffen. Woche zwei: AV-Verträge für Microsoft 365, DATEV-Cloud und Backup-Anbieter prüfen oder nachfassen.

Woche drei: BitLocker/FileVault auf allen Laptops, Admin-Konten trennen, Passwort-Manager einführen. Woche vier: Backup-Restore testen, Incident-Runbook eine Seite, DSGVO-Risiko-Check für Lückenliste.

Partner oder interne Verantwortliche dokumentieren Fortschritt — sichtbar für Partnerschaft. Nicht alles grün in 30 Tagen, aber die größten Risiken adressiert.

Vertiefung danach über Cluster-Artikel zu DSGVO, Zugriffsrechten und Betreuungsvertrag — Schritt für Schritt statt Sticker-Sammlung.

Kanzleien mit wachsender Mandantenzahl sollten die 30-Tage-Liste jährlich wiederholen — neue Software und neue Mitarbeitende ändern das Risikobild ständig.

Der DSGVO-Risiko-Check am Ende der ersten Wochen liefert eine messbare Ausgangsbasis — Fortschritt bei TOM wird so für Partner und Datenschutz sichtbar.

StBVV und DSGVO bleiben dabei der Kompass — IT-Maßnahmen dienen der beruflichen Sorgfalt, nicht umgekehrt.

Starten Sie den DSGVO-Risiko-Check, wenn Sie die Ausgangslage dokumentieren wollen.

StBVV-Dokumentation: Nachweise für Partner und Prüfer

Die StBVV verlangt, dass Steuerberater angemessene organisatorische und technische Vorkehrungen treffen, um Mandantengeheimnis und Daten zu schützen. In der Praxis bedeutet das: TOM-Liste, die zur realen IT passt; Schulungsnachweise; Protokolle von Berechtigungsänderungen; AV-Verträge mit Cloud-Anbietern; Restore-Tests der Backups. Wer diese Unterlagen nur vor dem Jahresabschluss sucht, verliert unter Stress.

Partner sollten verstehen, was MFA, Conditional Access und BitLocker für Mandantendaten bedeuten — ohne jedes Mal den Admin zu rufen. Ein quartalsweises Kurzbriefing durch IT oder MSP („diese drei Lücken, diese drei Erledigungen“) hält die Partnerschaft handlungsfähig. Bei Mandantenanfragen zur Datensicherheit können Sie so sachlich antworten, statt pauschal zu versichern, dass „alles sicher“ sei.

Der DSGVO-Risiko-Check deckt typische Kanzlei-Lücken auf — von fehlenden AV-Verträgen bis zu unverschlüsselten Laptops. Nutzen Sie das Ergebnis als Backlog für Partner und Datenschutz, nicht als einmalige Checkbox.

Wer ELSTER-Zertifikate und Smartcards zentral verwaltet — mit dokumentiertem Verantwortlichen und Widerrufsprozess bei Austritt — reduziert ein Risiko, das in vielen Kanzleien noch über Einzellösungen auf Schreibtischen liegt.

Mandatsende ist oft vergessen: technische Freigaben und Gastzugänge zum Mandanten sollten mit Vertragsende gekoppelt werden — nicht erst bei der nächsten Betriebsprüfung.