Wenn ein Mitarbeiter im Homeoffice eine Finanzbuchhaltung bearbeitet, darf daraus kein unkontrollierter Datenabfluss entstehen. Remote Access für Steuerkanzlei-Teams muss den Zugriff auf DATEV, Dokumentenmanagement, Fachanwendungen und Mandantenakten ermöglichen, ohne sensible Daten auf private Geräte oder in fremde Cloud-Speicher zu verlagern. Genau darin liegt die Herausforderung: Die Arbeit soll flexibel bleiben, die Kanzlei aber jederzeit die Kontrolle behalten.
Steuerkanzleien verarbeiten besonders schutzwürdige Informationen. Lohnabrechnungen, Jahresabschlüsse, Steuererklärungen, Kontoauszüge und Personaldaten sind für Cyberkriminelle attraktiv und unterliegen hohen Anforderungen an Vertraulichkeit und Datenschutz. Ein sicherer Fernzugriff ist deshalb keine Komfortfunktion. Er ist ein zentraler Baustein der Cybersicherheit, Datensouveränität und Betriebsfähigkeit.
Warum Remote Access in Kanzleien besondere Anforderungen stellt
In vielen Kanzleien ist mobiles Arbeiten längst Teil des Alltags. Mitarbeitende arbeiten tageweise von zu Hause, Partner greifen unterwegs auf Unterlagen zu oder externe IT-Dienstleister benötigen kontrollierten Supportzugang. Problematisch wird es, wenn dafür private PCs, ungesicherte VPN-Zugänge oder lokale Kopien von Mandantendaten genutzt werden.
Ein klassisches VPN kann sinnvoll sein, ist aber nicht automatisch die beste Lösung für jeden Arbeitsplatz. Es verbindet ein Endgerät häufig weitreichend mit dem Kanzleinetz. Ist dieses Gerät kompromittiert oder schlecht abgesichert, kann der Angreifer unter Umständen weitere Systeme erreichen. Auch die Administration wird anspruchsvoll, wenn Zugänge, Berechtigungen und Endgeräte nicht konsequent verwaltet werden.
Für eine Steuerkanzlei zählt nicht nur, ob sich jemand anmelden kann. Entscheidend ist, worauf diese Person zugreifen darf, von welchem Gerät aus der Zugriff erfolgt, wie stark die Anmeldung abgesichert ist und ob Aktivitäten nachvollziehbar bleiben. Ein guter Remote-Access-Ansatz folgt deshalb dem Prinzip der minimalen Rechte: Jeder erhält nur den Zugriff, den er für seine Aufgabe tatsächlich benötigt. Kyvion Secure Access ist für diese Anforderugnen bestens geeignet!
Remote Access für die Steuerkanzlei: Die Sicherheitsziele
Eine sichere Lösung muss mehrere Ziele gleichzeitig erfüllen. Sie soll den Arbeitsalltag vereinfachen, darf aber keine Abkürzungen bei Schutz und Kontrolle schaffen. In der Praxis sind fünf Punkte besonders relevant:
- Mandantendaten verbleiben möglichst in der kontrollierten Kanzlei-IT oder in klar definierten, datenschutzkonformen Systemen.
- Der Zugriff ist durch Mehrfaktor-Authentifizierung abgesichert und nicht allein vom Passwort abhängig.
- Berechtigungen sind rollenbasiert eingerichtet, etwa für Lohn, Finanzbuchhaltung, Jahresabschluss oder Kanzleileitung.
- Die Netzwerkumgebung ist segmentiert, damit ein kompromittierter Zugang nicht automatisch alle Systeme erreicht.
- Zugriffe, Änderungen und sicherheitsrelevante Ereignisse lassen sich nachvollziehen und regelmäßig prüfen.
Diese Punkte ergänzen sich. Eine starke Anmeldung schützt nicht ausreichend, wenn ein Benutzer danach uneingeschränkt auf den gesamten Serverbestand zugreifen kann. Umgekehrt hilft eine strenge Rechtevergabe wenig, wenn Mandantendaten als lokale Kopien auf einem privaten Rechner liegen bleiben.
Der sichere Weg: Anwendungen nutzen, ohne Daten zu verteilen
Für viele Kanzleien ist ein browserbasierter Secure Remote Access ein passender Ansatz. Mitarbeitende öffnen dabei nicht das gesamte interne Netzwerk, sondern erhalten einen gezielten Zugang zu ihrem Windows-Arbeitsplatz oder zu bestimmten Anwendungen. Die Verarbeitung bleibt in der geschützten IT-Umgebung der Kanzlei. Auf dem Endgerät des Mitarbeiters werden im Idealfall keine vollständigen Mandantenakten oder Auswertungen dauerhaft gespeichert.
Kyvion Secure Access powered by SparkView ist auf dieses Szenario ausgerichtet. Die Lösung ermöglicht den Zugriff auf zentral bereitgestellte Anwendungen und Arbeitsplätze über einen kontrollierten Zugang. Damit lässt sich die Angriffsfläche im Vergleich zu breit angelegten Netzwerkzugängen deutlich reduzieren. Gleichzeitig können Kanzleien festlegen, ob Funktionen wie Dateiübertragung, Zwischenablage, Drucken oder lokale Laufwerke erlaubt, eingeschränkt oder vollständig deaktiviert werden.
Diese Einschränkungen sind kein Selbstzweck. Für einen Lohnsachbearbeiter im Homeoffice kann es beispielsweise sinnvoll sein, den Zugriff auf seinen Kanzlei-PC zu erlauben, den Download von Dateien auf das private Endgerät jedoch zu unterbinden. Für eine Führungskraft mit einem zentral verwalteten Firmenlaptop können andere Regeln gelten. Sicherheit muss zur jeweiligen Tätigkeit und zum eingesetzten Gerät passen.
Die Infrastruktur entscheidet über die tatsächliche Sicherheit
Remote Access ist nur so sicher wie die Umgebung dahinter. Wer den Fernzugriff sauber umsetzt, betrachtet deshalb nicht nur die Anmeldeseite, sondern die gesamte Zugriffskette: Identität, Endgerät, Netzwerk, Server, Daten und Wiederherstellung.
Eine Firewall der Fortinet-Familie kann dabei den Zugriff absichern, Netze trennen und verdächtige Verbindungen erkennen oder blockieren. Sinnvoll ist eine klare Segmentierung: Remote-Access-Systeme, Arbeitsplatznetze, Server, Backup-Speicher und Verwaltungszugänge sollten nicht unnötig direkt miteinander verbunden sein. So begrenzt eine Kompromittierung den möglichen Schaden.
Ebenso wichtig ist die Mehrfaktor-Authentifizierung. Ein gestohlenes Passwort genügt dann nicht für den Zugang. Besonders bei extern erreichbaren Diensten sollte die zweite Sicherheitsstufe verbindlich sein. Sie schützt nicht gegen jeden Angriff, senkt aber das Risiko durch Phishing, Passwortwiederverwendung und erratene Kennwörter erheblich.
Auch das Endgerät muss in die Planung einbezogen werden. Ein aktueller Browser auf einem privaten PC ist nicht mit einem zentral verwalteten Firmenlaptop gleichzusetzen. Bei privaten Geräten sollten die Zugriffsrechte enger sein. Lokale Datenspeicherung, Dateiübertragungen und Druckfunktionen lassen sich dann häufig begrenzen. Wenn Mitarbeitende regelmäßig mobil arbeiten, sind verwaltete Kanzlei-Geräte meist die langfristig kontrollierbarere Lösung.
So führen Kanzleien sicheren Fernzugriff schrittweise ein
Der erste Schritt ist keine Produktauswahl, sondern eine Bestandsaufnahme. Welche Anwendungen müssen außerhalb der Kanzlei erreichbar sein? Welche Mitarbeitenden benötigen Zugriff? Welche Daten dürfen weder lokal gespeichert noch ausgedruckt werden? Und welche bestehenden Zugänge gibt es bereits, etwa VPN-Konten, Fernwartungstools oder gemeinsame Benutzerkonten?
Gemeinsame Konten sollten konsequent abgelöst werden. Jeder Zugriff braucht eine eindeutige Personenzuordnung. Das verbessert nicht nur die Sicherheit, sondern auch die Nachvollziehbarkeit bei Rückfragen oder Prüfungen. Rechte sollten nach Rollen vergeben und bei Aufgabenwechseln oder Austritten zeitnah angepasst werden.
Danach empfiehlt sich ein Pilot mit einer kleinen Nutzergruppe. In diesem Pilot lassen sich Zugriffsregeln, die Performance der Fachanwendungen und die praktische Bedienung prüfen. Gerade bei DATEV-nahen Arbeitsprozessen sollte getestet werden, ob Drucken, Scannen, Belegbearbeitung und die Nutzung weiterer Kanzleisoftware unter den vorgesehenen Sicherheitsrichtlinien zuverlässig funktionieren.
Im nächsten Schritt werden die technischen Schutzmaßnahmen verbindlich umgesetzt: Mehrfaktor-Authentifizierung, aktuelle Sicherheitsupdates, segmentierte Netzwerke, Protokollierung und klare Regeln für Dateiübertragungen. Auch ein geregelter Supportzugang für den IT-Dienstleister gehört in dieses Konzept. Er sollte zeitlich begrenzt, personengebunden und nachvollziehbar sein, statt dauerhaft offen zu stehen.
Schließlich brauchen Mitarbeitende verständliche Leitlinien. Sie müssen wissen, wie sie verdächtige Anmeldeaufforderungen erkennen, warum private Cloud-Speicher keine Ablage für Mandantendaten sind und an wen sie sich bei Verlust eines Geräts wenden. Eine kurze, konkrete Unterweisung ist wirksamer als ein umfangreiches Regelwerk, das im Alltag niemand liest.
Daten-Resilienz: Was passiert bei einem Ausfall?
Sicherer Zugriff allein hält eine Kanzlei nicht arbeitsfähig, wenn Server verschlüsselt werden, ein Hardwaredefekt auftritt oder eine fehlerhafte Änderung Daten beschädigt. Deshalb gehört Backup & Recovery zwingend zum Remote-Access-Konzept. Besonders wichtig sind unveränderbare oder logisch getrennte Sicherungen, regelmäßige Wiederherstellungstests und klare Verantwortlichkeiten für den Ernstfall.
Ein Backup, das nie getestet wurde, ist keine verlässliche Grundlage für die Notfallplanung. Kanzleien sollten regelmäßig prüfen, wie schnell zentrale Systeme, Datenbanken und Dateien wiederhergestellt werden können. Dabei zählt nicht nur die technische Rücksicherung. Es muss auch klar sein, welche Anwendungen zuerst benötigt werden, damit Fristen, Lohnläufe und Mandantenkommunikation weitergeführt werden können.
Woran Kanzleileitungen eine passende Lösung erkennen
Die passende Lösung ist nicht zwangsläufig die mit den meisten Funktionen. Sie passt zu Arbeitsweise, Schutzbedarf und IT-Struktur der Kanzlei. Kleine Teams mit wenigen mobilen Arbeitsplätzen benötigen oft einen anderen Ansatz als eine Kanzlei mit mehreren Standorten oder regelmäßigem externem Support.
Entscheider sollten insbesondere nachfragen, wo Daten verarbeitet werden, welche Zugriffe auf private Endgeräte möglich sind, wie Mehrfaktor-Authentifizierung umgesetzt wird und ob die Lösung ohne weitreichenden Netzwerkzugang auskommt. Ebenso relevant sind ein nachvollziehbares Berechtigungskonzept, Protokollierung sowie ein getesteter Wiederanlaufplan.
Der sinnvollste erste Schritt ist oft ein kurzer Sicherheitscheck der bestehenden Zugänge. Er macht sichtbar, welche Konten, Geräte und Dienste bereits von außen erreichbar sind. Auf dieser Basis lässt sich Remote Access so gestalten, dass flexible Kanzleiarbeit möglich bleibt, ohne die Verantwortung für Mandantendaten aus der Hand zu geben.
