Warum Datensicherheit in Steuerkanzleien besonders kritisch ist
Sensible Mandantendaten als bevorzugtes Angriffsziel
Steuerkanzleien gehören zu den attraktivsten Zielen für Cyberkriminelle in Deutschland. Der Grund ist offensichtlich: Nirgendwo sonst sind so viele vertrauliche Finanzdaten, Einkommensnachweise, Bilanzen und persönliche Informationen natürlicher Personen gebündelt wie in einer Steuerberatungskanzlei. Wer Zugriff auf diese Daten erlangt, kann Identitätsdiebstahl betreiben, Erpressungsszenarien aufbauen oder Informationen im Darknet verkaufen. Für Kriminelle ist eine schlecht gesicherte Kanzlei-IT daher ein lohnendes Ziel — mit überschaubarem Aufwand und hohem Ertrag.
Laut aktuellen Lageberichten des Bundesamts für Sicherheit in der Informationstechnik (BSI) sind kleine und mittelgroße Kanzleien im Bereich Steuer und Recht überproportional häufig von Ransomware-Angriffen betroffen — oft weil die IT-Schutzmaßnahmen im Vergleich zu Großkanzleien deutlich schwächer ausgeprägt sind. Gleichzeitig sind die Konsequenzen eines erfolgreichen Angriffs für kleine Kanzleien existenzbedrohend.
Rechtliche Haftung bei Datenpannen
Eine unzureichend gesicherte IT bedeutet für Steuerberaterinnen und Steuerberater nicht nur einen Reputationsschaden, sondern auch erhebliche rechtliche Konsequenzen. Die DSGVO sieht bei nachgewiesenen Datenschutzverstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ausfällt. Hinzu kommt die Meldepflicht: Jede Datenpanne mit wahrscheinlichem Risiko für Betroffene muss innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
Neben den aufsichtsbehördlichen Sanktionen drohen zivilrechtliche Schadensersatzansprüche betroffener Mandanten sowie berufsrechtliche Konsequenzen. Die Kombination aus Reputationsverlust, Bußgeldern und möglichen Schadensersatzklagen kann eine Kanzlei in ihrer Existenz gefährden — Datensicherheit ist daher keine optionale Zusatzleistung, sondern ein betriebliches Muss.
DSGVO-Pflichten für Steuerkanzleien im Detail
Verarbeitungsverzeichnis und Datenschutzbeauftragter
Steuerkanzleien verarbeiten personenbezogene Daten in großem Umfang — das verpflichtet sie zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO. Dieses Dokument listet auf, welche Daten zu welchem Zweck, von wem und wie lange verarbeitet werden. Es ist keine einmalige Aufgabe, sondern muss kontinuierlich aktuell gehalten und bei Prüfungen durch die Aufsichtsbehörde vorgelegt werden können.
Ob ein Datenschutzbeauftragter (DSB) benannt werden muss, hängt von Kanzleigröße und Art der Datenverarbeitung ab. Sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist die Benennung Pflicht. Für kleinere Kanzleien empfiehlt sich häufig ein externer Datenschutzbeauftragter, der flexibel und kosteneffizient beratend tätig ist, ohne dauerhaft in der Kanzlei präsent zu sein.
Technische und organisatorische Maßnahmen (TOMs)
Art. 32 DSGVO verlangt, dass Verantwortliche geeignete technische und organisatorische Maßnahmen implementieren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für Steuerkanzleien bedeutet das konkret:
- Verschlüsselung aller gespeicherten und übertragenen Mandantendaten
- Zugriffskontrollen mit dokumentierten Rollen- und Berechtigungskonzepten
- Regelmäßige Datensicherungen mit nachweislich getesteter Wiederherstellbarkeit
- Pseudonymisierung personenbezogener Daten, wo technisch möglich und sinnvoll
- Dokumentierte Verfahren zur Erkennung und Meldung von Datenschutzverletzungen
- Regelmäßige Schulungen aller Mitarbeitenden zu Datenschutz und IT-Sicherheit
Wichtig: TOMs müssen nicht nur vorhanden, sondern auch nachweisbar gelebt werden. Im Fall einer Prüfung oder eines Datenschutzvorfalls zählt allein die Dokumentation — mündliche Versicherungen genügen nicht.
IT-Sicherheitsmaßnahmen in der Praxis
Zugriffsschutz und sicheres Passwortmanagement
Schwache oder mehrfach verwendete Passwörter sind die häufigste Ursache für erfolgreiche Angriffe auf Kanzlei-IT. Empfehlenswert ist der Einsatz eines zentralen Passwortmanagers, der starke, einzigartige Passwörter für jede Anwendung generiert und sicher speichert. Ergänzend sollte eine Zwei-Faktor-Authentifizierung (2FA) für alle kanzleirelevanten Systeme aktiviert werden — insbesondere für DATEV, E-Mail-Postfächer und Cloud-Dienste.
Das Prinzip der minimalen Rechtevergabe (Least Privilege) stellt sicher, dass Mitarbeitende nur auf die Daten zugreifen können, die sie für ihre Tätigkeit tatsächlich benötigen. Ein kompromittiertes Mitarbeiterkonto richtet dadurch deutlich weniger Schaden an. Alle Zugriffe auf sensible Mandantendaten sollten protokolliert werden, um im Ernstfall eine lückenlose Nachvollziehbarkeit zu gewährleisten.
Verschlüsselung und sichere Mandantenkommunikation
E-Mails, über die Bilanzen, Steuerbescheide oder Lohnabrechnungen übermittelt werden, sollten grundsätzlich Ende-zu-Ende-verschlüsselt versendet werden. Standards wie S/MIME oder PGP schützen den Inhalt vor unbefugtem Mitlesen — setzen aber voraus, dass beide Kommunikationspartner die Technologie beherrschen. Praktischer und sicherer ist der Wechsel auf ein Mandantenportal: Es ersetzt unsichere E-Mail-Kommunikation durch eine verschlüsselte, revisionssichere Plattform und verbessert gleichzeitig die Mandantenbindung. Alles Wissenswerte zur Digitalisierung Ihrer Kanzlei finden Sie in unserem Überblick zur Digitalisierung der Steuerkanzlei.
Backup-Strategien für Steuerkanzleien im Vergleich
Die 3-2-1-Regel als Goldstandard
Professionelles Daten-Backup folgt dem bewährten 3-2-1-Prinzip: mindestens drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine Kopie extern oder offline. Für Steuerkanzleien bedeutet das typischerweise: lokales NAS im Kanzleinetz, tägliches Cloud-Backup bei einem DSGVO-konformen Anbieter und mindestens wöchentliches Offsite-Backup auf einem externen Medium, das physisch vom Standort getrennt gelagert wird.
Ebenso wichtig wie das Erstellen von Backups ist deren regelmäßige Überprüfung. Ein Backup, das sich nicht wiederherstellen lässt, ist im Ernstfall wertlos. Testen Sie die vollständige Wiederherstellung mindestens einmal pro Quartal und dokumentieren Sie das Ergebnis — das ist nicht nur IT-Best-Practice, sondern auch eine Anforderung der DSGVO im Sinne der Verfügbarkeit personenbezogener Daten.
| Backup-Strategie | Kosten pro Monat | Wiederherstellungszeit (RTO) | DSGVO-Konformität | Empfehlung |
|---|---|---|---|---|
| Nur lokales NAS | ca. 10–30 € | 1–4 Stunden | Möglich, aber riskant bei Brand/Einbruch | Nicht ausreichend als alleinige Lösung |
| Cloud-Backup (z. B. DATEV-Cloud, Acronis) | 30–80 € | 2–6 Stunden | Ja, mit EU-Standardvertragsklauseln | Gut für Einzelkanzleien und kleine Teams |
| Hybrides Backup (Lokal + Cloud) | 50–120 € | unter 2 Stunden | Ja, empfohlen | Goldstandard für alle Kanzleigrößen |
| Managed Backup (IT-Dienstleister) | 80–250 € | unter 1 Stunde | Ja, mit Auftragsverarbeitungsvertrag (AVV) | Ideal für mittlere und größere Kanzleien |
Schutz vor Cyberangriffen: Phishing und Ransomware
Phishing-Attacken erkennen und abwehren
Die häufigste Angriffsmethode auf Kanzleien ist nach wie vor Phishing per E-Mail. Angreifer versenden täuschend echte Nachrichten, die scheinbar von Behörden, DATEV, Mandanten oder bekannten Softwareanbietern stammen. Ziel ist es, Mitarbeitende dazu zu bringen, Zugangsdaten einzugeben oder schädliche Anhänge zu öffnen. Oft sind diese E-Mails mit persönlichen Details aus sozialen Netzwerken angereichert und wirken dadurch sehr glaubwürdig.
Gegenmaßnahmen umfassen technische Filter (SPF, DKIM und DMARC auf dem E-Mail-Server), aber vor allem regelmäßige Schulungen der Mitarbeitenden. Studien zeigen, dass eine strukturierte Phishing-Awareness-Schulung die Klickrate auf manipulierte Links um bis zu 70 Prozent senken kann. Simulierte Phishing-Tests, bei denen Mitarbeitende kontrolliert auf echte Angriffsmuster trainiert werden, sind eine besonders wirksame Methode.
Ransomware-Prävention und Notfallplanung
Ransomware verschlüsselt alle erreichbaren Daten und fordert Lösegeld für die Entschlüsselung. Für Steuerkanzleien kann ein solcher Angriff den gesamten Betrieb für Tage oder Wochen lahmlegen — mit fatalen Folgen für laufende Fristen und das Mandantenvertrauen. Neben aktuellen Backups sind folgende Maßnahmen entscheidend:
- Aktuelle Antivirensoftware und Endpoint-Detection-Lösungen auf allen Geräten und im Homeoffice
- Regelmäßige Updates von Betriebssystemen und Anwendungen (Patch-Management)
- Netzwerksegmentierung: DATEV-Systeme und allgemein internetfähige Geräte in getrennten Netzbereichen
- Abschaltung nicht benötigter Dienste und offener Ports am Router
- Dokumentierter Notfallplan mit klaren Zuständigkeiten, Eskalationswegen und Meldepflichten
Das IT-Grundschutz-Kompendium des BSI bietet für kleine Kanzleien eine strukturierte, kostenlose Vorlage für den Aufbau eines Notfallkonzepts und eines Informationssicherheitsmanagementsystems (ISMS).
Digitale Sicherheit als Vertrauenssignal nach außen
Sicherheitsstandards sichtbar kommunizieren
Mandanten vertrauen ihrer Steuerkanzlei mit hochsensiblen Finanzdaten. Eine moderne, professionelle Online-Präsenz, die Datenschutz und IT-Sicherheit aktiv thematisiert, stärkt dieses Vertrauen erheblich. Kanzleien, die auf ihrer Website transparent über ihre Schutzmaßnahmen kommunizieren — den Einsatz verschlüsselter Kommunikationswege, die Nutzung zertifizierter Cloud-Dienste, die DSGVO-konforme Datenverarbeitung oder ein Mandantenportal — werden von potenziellen Mandanten als deutlich vertrauenswürdiger wahrgenommen.
Eine professionelle Kanzlei-Website ist nicht nur ein digitales Aushängeschild, sondern auch Teil der Sicherheitsstrategie: Sie informiert Mandanten über sichere Kommunikationswege, weist auf das Mandantenportal hin und vermeidet den Austausch sensibler Dokumente per unverschlüsselter E-Mail. Wie Sie durch eine starke Außendarstellung gleichzeitig neue Mandanten gewinnen, lesen Sie in unserem Artikel zum Marketing für Steuerkanzleien.
Website, SEO und Datensicherheit als Einheit
IT-Sicherheit, Datenschutz und digitale Sichtbarkeit hängen enger zusammen, als es auf den ersten Blick scheint. Gutes SEO für Steuerberater bringt neue Mandanten auf die Website — aber eine veraltete, technisch unsichere Website schadet dem Vertrauen und der Compliance gleichermaßen. Kanzleien, die in beides investieren, profitieren langfristig von stabilen Mandantenbeziehungen, rechtssicherer Kommunikation und einer starken Marktposition.
Wenn Sie Ihre Steuerkanzlei sicher und sichtbar im Internet aufstellen möchten, steht Ihnen das Team von webentwickler.io zur Seite. Nina Benfer und ihr Team begleiten Steuerkanzleien von der datenschutzkonformen Website über sichere Kommunikationslösungen bis zur digitalen Positionierung — individuell, praxisnah und mit ausgewiesenem Fokus auf die Bedürfnisse steuerberatender Berufe. Nehmen Sie Kontakt auf: info@webentwickler.io
Häufige Fragen
Welche IT-Sicherheitsmaßnahmen sind für Steuerkanzleien gesetzlich vorgeschrieben?
Die DSGVO (Art. 32) verpflichtet Steuerkanzleien zu technischen und organisatorischen Maßnahmen (TOMs), die dem Risiko angemessen sind. Konkret bedeutet das: Verschlüsselung von Mandantendaten, Zugriffskontrollen, regelmäßige Datensicherungen mit getesteter Wiederherstellung, Schulungen für Mitarbeitende sowie dokumentierte Prozesse für den Umgang mit Datenpannen.
Muss eine Steuerkanzlei einen Datenschutzbeauftragten benennen?
Die Pflicht zur Benennung eines Datenschutzbeauftragten gilt ab 20 Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind. Kleineren Kanzleien wird dennoch empfohlen, einen externen DSB zu beauftragen — er berät kostengünstig, ohne dauerhaft angestellt zu sein, und schützt bei Prüfungen durch Aufsichtsbehörden.
Wie lange muss eine Steuerkanzlei nach einem Datenschutzvorfall warten, bevor sie ihn meldet?
Datenpannen mit wahrscheinlichem Risiko für Betroffene müssen innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Stellt sich später heraus, dass kein hohes Risiko besteht, kann die Meldung zurückgezogen oder ergänzt werden. Im Zweifel gilt: lieber früh und unvollständig melden als zu spät.
Was ist die 3-2-1-Backup-Regel und wie setze ich sie in meiner Kanzlei um?
Die 3-2-1-Regel bedeutet: mindestens drei Datenkopien, auf zwei verschiedenen Medientypen, davon eine außerhalb des Kanzleigebäudes. Praktisch: lokales NAS + tägliches Cloud-Backup bei einem DSGVO-konformen Anbieter + wöchentliches externes Backup auf einem verschlüsselten Datenträger. Wichtig: Die Wiederherstellbarkeit muss regelmäßig getestet werden.
Wie schütze ich meine Kanzlei konkret vor Phishing-Angriffen?
Technisch helfen E-Mail-Sicherheitsstandards wie SPF, DKIM und DMARC sowie aktuelle Antivirensoftware. Den größten Schutz bieten jedoch regelmäßige Schulungen und simulierte Phishing-Tests für alle Mitarbeitenden. Ergänzend sollte für alle kanzleirelevanten Systeme eine Zwei-Faktor-Authentifizierung (2FA) aktiviert werden.