IT-Sicherheit in der Kanzlei: DATEV, Mandantendaten und die fünf typischen Lücken

Eine Kanzlei hat ein Problem, das ein Handwerksbetrieb nicht hat: Wenn dort etwas passiert, geht es nicht nur um die eigenen Daten. Es geht um die Bilanzen, Verträge, Scheidungsakten und Steuerbescheide von ein paar hundert Mandanten, die darauf vertraut haben, dass all das hinter einer verschlossenen Tür liegt. Das Berufsgeheimnis macht aus einem IT-Vorfall einen Vorfall gegen die Kanzlei als Institution.

Und trotzdem sieht die IT in vielen Kanzleien so aus wie überall: gewachsen, von jemandem betreut, der nebenbei auch Steuerberater ist, und mit DATEV als beruhigendem Gefühl, dass sich die Großen schon kümmern. DATEV kümmert sich auch – um DATEV. Der Rest ist Ihr Terrain, und dort liegen fast immer dieselben fünf Lücken.

Lücke 1: Der Kanzleiserver, den seit Jahren niemand angefasst hat

Er steht im Nebenraum, auf ihm laufen DATEV-Komponenten, das Dokumentenmanagement und die Freigaben, und er läuft. Genau das ist das Problem. Updates werden verschoben, weil ein Neustart den Betrieb stört. Das Betriebssystem ist manchmal älter als die jüngste Mitarbeiterin. Und das Backup davon läuft auf eine Festplatte im selben Raum, die noch nie zurückgespielt wurde.

Ein Kanzleiserver braucht drei Dinge: Updates, die tatsächlich eingespielt werden, mit einem festen Wartungsfenster am Abend. Ein Backup, das außer Haus liegt und das jemand vierteljährlich testet. Und einen Plan, was passiert, wenn er morgen früh nicht mehr startet – mit einer Zahl, wie lange die Wiederherstellung dauert. Warum das Backup der wichtigste Punkt ist, steht in Backup ist kein Sync.

Lücke 2: Mandantenunterlagen per E-Mail-Anhang

Die Bilanz als PDF an die Privatadresse des Mandanten. Der Vertragsentwurf an den Gegenanwalt. Die Lohnabrechnungen an die Buchhaltung des Kunden. Alles per E-Mail, unverschlüsselt, an Adressen, die niemand geprüft hat. E-Mail ist eine Postkarte, und Kanzleien verschicken damit täglich Dinge, die in einen versiegelten Umschlag gehören.

Die Werkzeuge gibt es: Mandantenportale, das beA für Anwälte, DATEV-Freigaben, verschlüsselte Übermittlung. Sie werden nur nicht benutzt, weil der Anhang schneller ist. Hier hilft weniger Technik als eine klare Regel in der Kanzlei: Was Mandantendaten enthält, geht nicht als Anhang raus. Ohne Ausnahme, auch nicht, wenn der Mandant es ausdrücklich so möchte.

Lücke 3: Das eine Passwort, das alle kennen

Das Kanzlei-Postfach, in das alle schauen. Der DATEV-Zugang, der auf einem Zettel im Sekretariat klebt. Das WLAN-Passwort, das seit dem Einzug gilt. Gemeinsame Zugänge sind in Kanzleien verbreitet, weil Vertretung ständig nötig ist – wer krank ist, dessen Post muss trotzdem gelesen werden.

Vertretung geht auch mit persönlichen Konten: Postfächer lassen sich freigeben, DATEV kennt Stellvertreterregelungen, Passwort-Manager teilen Zugänge nachvollziehbar. Der Unterschied ist, dass Sie hinterher wissen, wer wann auf was zugegriffen hat. Bei einem gemeinsamen Konto wissen Sie es nie – und das ist, wenn ein Mandant fragt, die schlechteste Antwort, die eine Kanzlei geben kann.

Lücke 4: Der Fernzugang aus dem Homeoffice

Seit 2020 arbeiten auch Kanzleimitarbeiter von zu Hause. Der Weg dorthin wurde damals schnell gebaut: eine Remote-Desktop-Verbindung, ein VPN mit einem Passwort für alle, TeamViewer auf dem Kanzleirechner. Vieles davon läuft heute noch so.

Ein offener Fernzugang ohne zweiten Faktor ist der Einstieg, den Ransomware-Gruppen am liebsten nehmen, weil er so bequem ist wie für den Mitarbeiter. Was es braucht: ein VPN mit persönlichen Zugängen und Zwei-Faktor-Anmeldung, keine direkt aus dem Internet erreichbaren Remote-Desktops, und Laptops, die verschlüsselt sind, falls einer im Zug bleibt. Wie das sauber geht, beschreibt Homeoffice und Standortvernetzung.

Lücke 5: Wer alles noch Zugriff hat

Die Auszubildende von vor drei Jahren. Der Kollege, der zur Konkurrenz gewechselt ist. Der alte IT-Dienstleister. Der Steuerberater, der die Kanzlei verkauft hat und noch ein Admin-Konto besitzt. Bei Bestandsaufnahmen in Kanzleien finden wir fast immer Zugänge von Menschen, die längst nicht mehr da sein sollten – und niemand kann sagen, ob sie benutzt wurden.

Die Lösung ist keine Technik, sondern eine Liste und ein Ablauf: Welche Zugänge hat jede Person, und wer sperrt sie am letzten Arbeitstag? Bei einem Berufsgeheimnisträger ist das kein Ordnungsthema. Es ist die Frage, ob die Kanzlei noch die Kontrolle darüber hat, wer Mandantenakten lesen kann.

Was das nicht ist

Keine dieser fünf Lücken erfordert ein Projekt, ein Zertifikat oder ein Sicherheitsprodukt mit langem Namen. Es sind fünf Nachmittage Arbeit, verteilt über ein paar Wochen, und danach Pflege. Was es erfordert, ist jemand, der es tut und der die Verschwiegenheit, die Sie Ihren Mandanten schulden, vertraglich mitträgt. Die rechtliche Bewertung, was in Ihrer Kanzlei verpflichtend ist, bleibt bei Ihnen als Berufsträger. Die technische Umsetzung nicht.

Wenn Sie wissen wollen, welche der fünf Lücken bei Ihnen offen sind, ist der 15-Punkte-Selbstcheck ein Anfang für den Abend. Für den Rest gibt es das Erstgespräch, gern mit Blick auf Ihre konkrete DATEV-Umgebung.

Häufige Fragen

DATEV läuft doch in der Cloud. Sind wir damit nicht sicher?

DATEV sichert DATEV. Was auf Ihrem Kanzleiserver, in Ihren Postfächern, auf den Laptops im Homeoffice und im Scanner-Ordner liegt, sichert niemand außer Ihnen. Die meisten Vorfälle in Kanzleien passieren nicht bei DATEV, sondern drumherum.

Dürfen wir überhaupt einen externen IT-Dienstleister an Mandantendaten lassen?

Ja, wenn er schriftlich zur Verschwiegenheit verpflichtet ist und Sie ihn sorgfältig ausgewählt haben – für Anwälte regelt das die Bundesrechtsanwaltsordnung ausdrücklich, für Steuerberater gilt Entsprechendes. Die Verpflichtungserklärung ist bei uns Teil des Vertrags. Ob alles Weitere in Ihrem Fall passt, beurteilen Sie als Berufsträger, nicht wir.

Wir sind eine kleine Kanzlei mit vier Leuten. Gilt das auch für uns?

Gerade dann. Die Angreifer unterscheiden nicht nach Größe, und das Berufsgeheimnis auch nicht. Der Unterschied ist, dass eine kleine Kanzlei die fünf Punkte in wenigen Tagen erledigt hat.

Was ist mit dem beA und den Mandantenportalen?

Die sind der richtige Weg für vertrauliche Unterlagen und ersetzen den E-Mail-Anhang. Sie helfen nur, wenn die Kanzlei sie konsequent nutzt – und wenn das Konto dahinter mit zweitem Faktor geschützt ist, weil sonst das Portal die Schwachstelle wird.