---
title: "IT-Sicherheit für Steuerberater und Kanzleien"
description_de: "Mandantengeheimnis, DSGVO und DATEV-Umfeld: pragmatische IT-Sicherheit für Steuerkanzleien ohne eigene IT-Abteilung."
description_en: "Client confidentiality, GDPR, and tax software: pragmatic IT security for accounting firms."
url: /wissen/branchen/steuerberater
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Welche IT-Sicherheitsmaßnahmen brauchen Steuerberater?"
---
# IT-Sicherheit für Steuerberater und Kanzleien
Steuerkanzleien müssen Mandantendaten nach StBVV und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) schützen — von der Festplatte über DATEV bis zum AV-Vertrag mit jedem Cloud-Dienst.
## Berufsrecht, StBVV und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) im Kanzleialltag
Vertraulichkeit und Integrität sind berufspflichtig — die IT muss das abbilden und belegen können.
Steuerberaterinnen und Steuerberater unterliegen dem Mandantengeheimnis und den Pflichten der Steuerberaterverordnung (StBVV). Parallel ist jede Kanzlei als Verantwortlicher nach [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) für die Verarbeitung personenbezogener Daten verantwortlich — in Kanzleisoftware, E-Mail, Cloud-Speicher und bei der Kommunikation mit Mandanten. [TOM](/wissen/glossar/tom) müssen dem Risiko angemessen sein und in der Praxis gelebt werden: Wer darf welche Mandantenakte öffnen? Wie werden Lohnabrechnungen versendet? Wer administriert [Microsoft 365](/wissen/microsoft-365) oder DATEV-Cloud?
Die Wirtschaftsprüferkammer und Datenschutzaufsicht erwarten bei Prüfungen nachvollziehbare Sorgfalt — nicht Perfektion, aber dokumentierte Schritte. Wer nur auf mündliche Absprachen setzt, hat in Streitfällen wenig Beleg.
Bei Betriebsprüfungen, Datenschutz-Audits oder nach einem Vorfall zählen Nachweise: Schulungsprotokolle, Verarbeitungsverzeichnis, AV-Verträge mit Dienstleistern, Incident-Prozesse und Restore-Tests der [Backups](/wissen/glossar/backup). [Externe IT-Betreuung](/externe-it-betreuung) sollte diese Dokumente technisch mitpflegen — nicht nur Firewalls konfigurieren und Drucker einrichten.
Ein häufiger Fehler: Datenschutzerklärung auf der Website aktualisieren, während Mandantenbelege unverschlüsselt per privatem Smartphone-Foto austauschen werden. IT-Sicherheit für Kanzleien beginnt bei den realen Datenflüssen, nicht bei Vorlagen.
Die StBVV verlangt zudem, dass nur befugte Personen Zugang zu mandantenbezogenen Daten erhalten — technisch heißt das: persönliche Konten, keine geteilten Logins und nachvollziehbare Protokolle in der Kanzleisoftware.
## Mandantendaten: Speicherorte, Datenflüsse und Verantwortlichkeiten
Wer nicht weiß, wo Mandantendaten liegen, kann sie nicht schützen — Inventar ist der erste Schritt.
Mandantendaten in Kanzleien sind breit gestreut: DATEV-Klassik oder -Cloud, Dokumentenmanagement, Netzwerkfreigaben, [OneDrive](/wissen/glossar/onedrive) und [SharePoint](/wissen/glossar/sharepoint), E-Mail-Postfächer, Scan-Workflows und gelegentlich noch physische Akten. Jeder Speicherort braucht einen Eintrag im Verarbeitungsverzeichnis mit Zweck, Kategorie betroffener Personen, Löschfrist und technischen Schutzmaßnahmen. Neue Tools — etwa ein Chat-Dienst mit Mandanten — dürfen erst nach Bewertung live gehen.
Besonders sensibel: Lohn- und Gehaltsdaten, Umsatzsteuer-Voranmeldungen, Einkommensteuererklärungen mit Gesundheits- oder Religionshinweisen, interne Notizen zur steuerlichen Gestaltung. Zugriff nur für Rolle und Mandat — nicht für das gesamte Büro. Geteilte Windows-Konten oder ein einziges Team-Passwort in der Kanzleisoftware zerstören Nachvollziehbarkeit und verletzen [Least-Privilege](/wissen/glossar/least-privilege).
Mandantenkommunikation braucht klare Kanäle: Wie dürfen Belege eingereicht werden? Welche Portale sind zugelassen? Sind E-Mail-Anhänge verschlüsselt oder zumindest durch Richtlinien eingeschränkt? IT und Kanzleileitung sollten gemeinsam festlegen, was verboten ist — zum Beispiel WhatsApp-Gruppen mit vollständigen Steuerunterlagen.
Einmal jährlich sollte die Kanzlei die Datenflüsse durchgehen: Neue Mandate, neue Software, neue Mitarbeitende — jedes Ereignis kann neue Speicherorte eröffnen, die ins Verarbeitungsverzeichnis gehören.
## DATEV-Umfeld und Arbeitsplatz absichern
Kanzleisoftware ist geschäftskritisch — ein kompromittierter Arbeitsplatz gefährdet alle sichtbaren Mandate.
DATEV und browserbasierte Ergänzungen setzen voraus, dass Windows- oder macOS-Arbeitsplätze aktuell gepatcht sind, Virenschutz läuft und unnötige Dienste deaktiviert sind. ELSTER-Zertifikate und Smartcards gehören zum Schutzumfang: Verlust melden, PIN nicht auf dem Stick notieren, nur auf verschlüsselten Geräten nutzen. [Remote-Arbeit](/wissen/glossar/remote-arbeit) aus dem [Homeoffice](/wissen/glossar/remote-arbeit) erfordert [VPN](/wissen/glossar/vpn) oder andere abgesicherte Verbindung — nicht offenes RDP aus dem Internet.
Ein einziges schwaches Passwort in [Microsoft 365](/wissen/microsoft-365) kann Zugriff auf alle OneDrive-Akten öffnen, die der Nutzer synchronisiert. Deshalb: BitLocker auf Windows, FileVault auf Mac, zentraler [Passwort-Manager](/wissen/glossar/passwort-manager), getrennte Admin-Konten für IT-Aufgaben und [MFA](/wissen/glossar/mfa) für jeden Nutzer — auch für Partner und Geschäftsführung. Kanzleien ohne [Passwort-Manager](/wissen/glossar/passwort-manager) nutzen oft Wiederverwendung und Post-it-Lösungen — ein Einfallstor.
Drucker und Multifunktionsgeräte speichern intern gescannte Dokumente. Festplatten vor Entsorgung oder Weitergabe sicher löschen. Scan-to-E-Mail nur mit autorisierten Zielen. Diese Details fallen in Audits häufig durch.
Homeoffice-Arbeitsplätze der Kanzlei brauchen dieselben Mindeststandards wie Büro-PCs: Bildschirmsperre, Verschlüsselung, keine Familienmitglieder auf dem Kanzlei-Login.
## Cloud, Auftragsverarbeitung und AV-Verträge
Jeder Dienst, der Mandantendaten speichert, braucht Vertrag und technische Bewertung — vor der Nutzung.
[Microsoft 365](/wissen/microsoft-365) in EU-Rechenzentren ist für viele Kanzleien Alltag. Trotzdem müssen Konfiguration dokumentiert werden: externe Freigaben, anonyme Links, Gastzugänge, Teams-Kanäle mit Mandantendaten. Subunternehmerkette und Standardvertragsklauseln gehören in die Akte. US-Anbieter ohne tragfähige Transfergrundlage sind kritisch zu prüfen — Rechtsberatung einholen, nicht nur IT-Meinung.
DATEV-Cloud, Backup-Anbieter, Signaturdienste, Videokonferenz-Tools und branchenspezifische SaaS-Lösungen sind Auftragsverarbeiter oder eigenständige Verantwortliche — je nach Ausgestaltung. AV-Vertrag vor Start, nicht nachträglich. IT-Betreuung kann technische Fragen beantworten: Speicherort, Verschlüsselung, Export, Löschung, Protokollierung.
[Schatten-IT](/wissen/glossar/schatten-it) ist in Kanzleien verbreitet: private Dropbox-Links, nicht freigegebene KI-Tools mit Mandantentext, externe Übersetzungsdienste mit E-Mail-Anhängen. Klare Policy und erreichbarer Ansprechpartner reduzieren diese Kanäle — Mitarbeitende brauchen sichere Alternativen, nicht nur Verbote.
Vor jedem neuen Cloud-Dienst drei Fragen: Wo werden Daten gespeichert? Wer hat Administratorzugriff? Wie werden Mandate gelöscht, wenn der Mandant die Kanzlei verlässt?
## Zugriffsrechte, [MFA](/wissen/glossar/mfa) und Admin-Trennung
Identität ist die neue Perimeter-Grenze — besonders in cloudverbundenen Kanzleien.
Entra ID (früher Azure AD) verwaltet Nutzer, Gruppen und Zugriff auf Microsoft-Dienste. Kanzleien sollten Security-Gruppen für Rollen nutzen: Steuerfachangestellte, Lohn, Sekretariat, Partner, externe Berater mit Gastzugang und Ablaufdatum. Keine dauerhaften Global Admins für Alltags-IT. Admin-Konten nur für Administration, mit starker [MFA](/wissen/glossar/mfa), separaten Passwörtern und ohne tägliche E-Mail-Nutzung.
[Conditional Access](/wissen/glossar/conditional-access) kann Anmeldungen von unmanaged Geräten blockieren oder zusätzliche Faktoren verlangen — sinnvoll für Zugriff auf besonders sensible Bibliotheken. Legacy-Authentifizierung deaktivieren, damit gestohlene Passwörter allein nicht reichen. Protokollierung in [Microsoft 365](/wissen/microsoft-365) aktivieren, wo Lizenzen es erlauben — für Forensik nach Vorfall.
Jährliche Berechtigungsprüfung: Welche Mandantenordner sieht wer noch? Partnerwechsel und Mandatsende müssen technisch nachgezogen werden. Automatisierte Onboarding-Vorlagen für neue Mitarbeitende sparen Zeit und verhindern Überprivilegierung.
Steuerberater mit mehreren Gesellschaftern sollten klären, wer Global Admin ist — idealerweise niemand im Tagesgeschäft, sondern ein dediziertes Admin-Konto mit dokumentiertem Break-glass-Verfahren.
## [Backup](/wissen/glossar/backup), Notfall und [Datenpanne](/wissen/glossar/datenpanne)
[Ransomware](/wissen/glossar/ransomware), Geräteverlust oder Fehlversand können Meldepflichten auslösen — Vorbereitung spart Tage.
[Backups](/wissen/glossar/backup) müssen regelmäßig getestet werden — ein [Backup](/wissen/glossar/backup), das sich nicht restoren lässt, ist wertlos. [3-2-1-Regel](/wissen/glossar/321-regel): drei Kopien, zwei Medien, eine offline oder unveränderbar. [Ransomware](/wissen/glossar/ransomware) kann auch Cloud-Sync-Ordner verschlüsseln — deshalb unveränderliche oder getrennte Backup-Ziele. [Recovery Time Objective](/wissen/glossar/rto) und [Recovery Point Objective](/wissen/glossar/rpo) sollten die Kanzleileitung verstehen, nicht nur IT.
Bei Verlust eines Laptops, [Ransomware](/wissen/glossar/ransomware) oder Verdacht auf unbefugten Zugriff auf Mandantendaten: Incident-Prozess starten. Innerhalb von 72 Stunden Meldung an die Aufsichtsbehörde prüfen, wenn personenbezogene Daten betroffen sein könnten. Kommunikationsvorlagen für Mandanten vorbereiten. Ansprechpartner benennen — Partner, Datenschutz, IT. Ohne Plan verlieren Kanzleien im Stress wertvolle Zeit und handeln widersprüchlich.
Übung einmal jährlich: fiktiver Laptop-Verlust mit Mandantenakten — wer ruft wen an, welche Logs sind verfügbar, wie lange dauert Restore? Aus der Übung entsteht die realistische Notfall-Checkliste.
Der DSGVO-Risiko-Check zeigt typische Lücken in Kanzleien — Verarbeitungsverzeichnis, [TOM](/wissen/glossar/tom), AV-Verträge, Verschlüsselung, [MFA](/wissen/glossar/mfa) — bevor ein Vorfall passiert. Er ersetzt keine Rechtsberatung, aber priorisiert IT-Maßnahmen nach Risiko.
Kanzleien, die den Check nutzen, berichten oft, dass die größten Überraschungen nicht in der Technik liegen, sondern in undokumentierten Nebenprozessen — privater Messenger, alte Freigaben, vergessene Testmandate in der Cloud.
## Mitarbeitende schulen ohne Schulungsfolien von 2010
Sicherheitskultur in der Kanzlei: verständliche Regeln und schnelle Meldewege statt einmaliger Pflichtschulung.
Steuerfachangestellte und Lohnbuchhalter arbeiten unter Termindruck — lange Security-Schulungen werden ausgedruckt und abgeheftet, ohne Verhalten zu ändern. Besser: drei klare Regeln an der Kaffeemaschine und im Intranet. Keine Mandantendaten auf privaten Geräten. Verdächtige Mail sofort melden. Keine Passwörter weitergeben — auch nicht an „IT vom Steuerberaterverband“ am Telefon.
Partner und Geschäftsführung müssen dieselben Regeln befolgen — sonst wirkt jede Schulung unglaubwürdig. Phishing-Ziele sind häufig Führungskräfte mit weitreichenden Freigaben.
Kurze quartalsweise Beispiele aus der Praxis — anonymisiert — halten das Thema präsent. IT oder externer Partner liefert das technische Update zu neuen Betrugsmustern.
Schulungsnachweise gehören in die Compliance-Akte neben Verarbeitungsverzeichnis und [TOM](/wissen/glossar/tom) — auch das ist Teil der nachweisbaren Sorgfalt nach StBVV und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu).
## Externe Betreuung: was Kanzleien beim [MSP](/wissen/glossar/msp) prüfen sollten
Der IT-Partner muss Mandantendaten-Verständnis mitbringen — nicht nur Ticketstatistik.
Fragen Sie Referenzen aus Kanzleien ähnlicher Größe. Wie läuft Onboarding neuer Mitarbeitender? Wer prüft Microsoft-365-Freigaben? Wie schnell reagiert der Partner bei Verdacht auf [Datenpanne](/wissen/glossar/datenpanne)? Wird DATEV-Umfeld berücksichtigt oder nur Office installiert?
AV-Vertrag mit dem [MSP](/wissen/glossar/msp) selbst ist Pflicht, wenn der Partner Zugriff auf Systeme mit Mandantendaten hat. Remote-Zugriff nur über gesicherte Kanäle, keine geteilten Admin-Passwörter.
Monatliche oder quartalsweise Kurz-Reviews: Secure Score, offene Freigaben, Backup-Status, offene End-of-Life-Geräte. Kanzleileitung versteht die Zusammenfassung — nicht nur Technikjargon.
Wenn intern niemand die IT-Seite der [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) trägt, kann ein guter [MSP](/wissen/glossar/msp) Lücken schließen — ersetzt aber nicht die datenschutzrechtliche Verantwortung der Kanzlei.
## Praxisliste: erste 30 Tage für Steuerkanzleien
Vier Wochen, vier Schwerpunkte — ohne Big-Bang-Projekt.
Woche eins: Inventar Mandantendaten und Verarbeitungsverzeichnis mit IT abgleichen. [MFA](/wissen/glossar/mfa) für alle Konten aktivieren, geteilte Logins identifizieren und abschaffen. Woche zwei: AV-Verträge für [Microsoft 365](/wissen/microsoft-365), DATEV-Cloud und Backup-Anbieter prüfen oder nachfassen.
Woche drei: BitLocker/FileVault auf allen Laptops, Admin-Konten trennen, [Passwort-Manager](/wissen/glossar/passwort-manager) einführen. Woche vier: Backup-Restore testen, Incident-Runbook eine Seite, DSGVO-Risiko-Check für Lückenliste.
Partner oder interne Verantwortliche dokumentieren Fortschritt — sichtbar für Partnerschaft. Nicht alles grün in 30 Tagen, aber die größten Risiken adressiert.
Vertiefung danach über Cluster-Artikel zu [DSGVO](/wissen/it-sicherheit/dsgvo-kmu), Zugriffsrechten und [Betreuungsvertrag](/wissen/glossar/it-betreuungsvertrag) — Schritt für Schritt statt Sticker-Sammlung.
Kanzleien mit wachsender Mandantenzahl sollten die 30-Tage-Liste jährlich wiederholen — neue Software und neue Mitarbeitende ändern das Risikobild ständig.
Der DSGVO-Risiko-Check am Ende der ersten Wochen liefert eine messbare Ausgangsbasis — Fortschritt bei [TOM](/wissen/glossar/tom) wird so für Partner und Datenschutz sichtbar.
StBVV und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) bleiben dabei der Kompass — IT-Maßnahmen dienen der beruflichen Sorgfalt, nicht umgekehrt.
Starten Sie den DSGVO-Risiko-Check, wenn Sie die Ausgangslage dokumentieren wollen.
## StBVV-Dokumentation: Nachweise für Partner und Prüfer
Technische Maßnahmen müssen in der Kanzleialltagssprache erklärbar sein — nicht nur in Admin-Konsolen.
Die StBVV verlangt, dass Steuerberater angemessene organisatorische und technische Vorkehrungen treffen, um Mandantengeheimnis und Daten zu schützen. In der Praxis bedeutet das: TOM-Liste, die zur realen IT passt; Schulungsnachweise; Protokolle von Berechtigungsänderungen; AV-Verträge mit Cloud-Anbietern; Restore-Tests der [Backups](/wissen/glossar/backup). Wer diese Unterlagen nur vor dem Jahresabschluss sucht, verliert unter Stress.
Partner sollten verstehen, was [MFA](/wissen/glossar/mfa), [Conditional Access](/wissen/glossar/conditional-access) und BitLocker für Mandantendaten bedeuten — ohne jedes Mal den Admin zu rufen. Ein quartalsweises Kurzbriefing durch IT oder [MSP](/wissen/glossar/msp) („diese drei Lücken, diese drei Erledigungen“) hält die Partnerschaft handlungsfähig. Bei Mandantenanfragen zur Datensicherheit können Sie so sachlich antworten, statt pauschal zu versichern, dass „alles sicher“ sei.
Der DSGVO-Risiko-Check deckt typische Kanzlei-Lücken auf — von fehlenden AV-Verträgen bis zu unverschlüsselten Laptops. Nutzen Sie das Ergebnis als Backlog für Partner und Datenschutz, nicht als einmalige Checkbox.
Wer ELSTER-Zertifikate und Smartcards zentral verwaltet — mit dokumentiertem Verantwortlichen und Widerrufsprozess bei Austritt — reduziert ein Risiko, das in vielen Kanzleien noch über Einzellösungen auf Schreibtischen liegt.
Mandatsende ist oft vergessen: technische Freigaben und Gastzugänge zum Mandanten sollten mit Vertragsende gekoppelt werden — nicht erst bei der nächsten Betriebsprüfung.
## FAQ
### Reicht die DSGVO-Checkliste vom Steuerberaterverband für die IT?
Checklisten helfen als Gerüst — [TOM](/wissen/glossar/tom) müssen zur tatsächlichen IT-Landschaft passen und technisch nachweisbar umgesetzt sein, nicht nur abgehakt.
### Muss jede Kanzlei einen Datenschutzbeauftragten haben?
Das hängt von Größe und Verarbeitung ab; unabhängig davon braucht jede Kanzlei dokumentierte Prozesse und jemanden, der IT und Datenschutz zusammenführt.