Ein ausgeschiedener Mitarbeiter hat noch Zugriff auf einen Mandantenordner. Eine Fachanwendung läuft nur über einen privaten Cloud-Speicher. Oder ein verschlüsselter Server legt die Fristbearbeitung lahm. Solche Situationen zeigen, was es konkret heißt, die Datensouveränität für Steuerkanzleien zu verbessern: Die Kanzlei muss jederzeit wissen, wo ihre Daten liegen, wer sie nutzen darf und wie sie nach einem Ausfall wieder arbeitsfähig wird.
Für Steuerkanzleien geht es dabei nicht allein um Datenschutz. Mandantendaten, Steuererklärungen, Jahresabschlüsse, Lohnunterlagen und Kommunikationsdaten sind Grundlage der täglichen Arbeit. Wer die Kontrolle über diese Informationen verliert, riskiert nicht nur Datenschutzverstöße. Auch Fristen, Mandantenbeziehungen und die Betriebsfähigkeit der Kanzlei stehen auf dem Spiel.
Was Datensouveränität in der Kanzlei wirklich bedeutet
Datensouveränität bedeutet: Die Kanzlei entscheidet selbst über Speicherung, Verarbeitung, Zugriffe und Wiederherstellung ihrer Daten. Sie ist nicht davon abhängig, ob ein einzelner Mitarbeiter ein Passwort kennt, ein Dienstleister erreichbar ist oder ein Cloud-Anbieter Daten nur eingeschränkt herausgibt.
Das umfasst vier Fragen, die jede Kanzleileitung klar beantworten können sollte: Wo befinden sich produktive Daten und Sicherungskopien? Wer hat auf welche Daten Zugriff? Unter welchen vertraglichen und technischen Bedingungen verarbeitet ein Dienstleister die Daten? Und wie schnell lassen sich Anwendungen und Daten nach einem Sicherheitsvorfall wiederherstellen?
Datenschutz nach DSGVO ist dabei ein wesentlicher Teil, aber nicht das gesamte Ziel. Eine technisch und vertraglich datenschutzkonforme Lösung hilft wenig, wenn die Kanzlei ihre Daten nicht exportieren kann oder ein Ausfall die Arbeit über Tage verhindert. Datensouveränität verbindet Datenschutz mit Kontrolle und Daten-Resilienz.
Die Datenflüsse zuerst transparent machen
Viele Risiken entstehen nicht durch eine einzelne große Fehlentscheidung, sondern durch gewachsene Abläufe. Dateien werden per E-Mail versendet, im Homeoffice lokal gespeichert oder über unterschiedliche Plattformen geteilt. Hinzu kommen Fachanwendungen, Dokumentenmanagement, E-Mail-Archiv, Lohnsysteme und digitale Belegablagen.
Der erste Schritt ist deshalb keine neue Software, sondern eine Bestandsaufnahme. Erfassen Sie nicht jedes einzelne Dokument, sondern die relevanten Datenbereiche und Systeme. Dazu gehören insbesondere Mandantenakten, Buchhaltungs- und Lohndaten, E-Mails, digitale Belege, Datenbanken der Fachanwendungen sowie Sicherungen.
Für jeden Bereich sollten Verantwortliche festhalten, wo die Daten gespeichert werden, welche Personen und Dienstleister Zugriff erhalten und ob eine Wiederherstellung geprüft wurde. Besonders aufschlussreich sind Schatten-IT und Ausnahmen: private Cloud-Konten, lokale USB-Datenträger, persönliche E-Mail-Postfächer oder gemeinsam verwendete Zugangsdaten. Gerade sie entziehen sich meist der zentralen Kontrolle.
Eine solche Übersicht schafft keine Sicherheit von selbst. Sie liefert aber die Grundlage, um Prioritäten richtig zu setzen. Eine nicht dokumentierte Ablage mit sensiblen Mandantendaten ist dringlicher als eine später geplante Optimierung eines internen Workflows.
Datensouveränität für Steuerkanzleien verbessern: Zugriffe konsequent steuern
In Kanzleien ist Zusammenarbeit notwendig. Nicht jede Person benötigt jedoch Zugriff auf alle Mandate, alle Systeme und alle Einstellungen. Das Prinzip der minimalen Berechtigung ist hier praktisch: Mitarbeitende erhalten nur die Zugriffe, die sie für ihre Aufgabe tatsächlich brauchen.
Das beginnt mit eindeutigen Benutzerkonten. Gemeinsame Logins sparen kurzfristig Aufwand, machen aber nachvollziehbare Berechtigungen und eine saubere Protokollierung unmöglich. Wenn mehrere Personen dasselbe Konto nutzen, lässt sich im Zweifel nicht feststellen, wer Daten geändert, exportiert oder gelöscht hat.
Mehrfaktor-Authentifizierung sollte mindestens für E-Mail, Fernzugriffe, Cloud-Dienste und administrative Konten verpflichtend sein. Ein gestohlenes Passwort allein reicht dann nicht mehr aus, um Zugriff zu erhalten. Für besonders sensible Funktionen, etwa die Verwaltung von Sicherungen oder Firewall-Regeln, sind getrennte Administratorkonten sinnvoll.
Ebenso wichtig ist ein verlässlicher Prozess für Personalwechsel. Bei Eintritt müssen Berechtigungen passend zur Rolle eingerichtet werden. Bei Rollenwechseln sind sie anzupassen. Beim Austritt müssen Konten, Fernzugriffe, Token und Weiterleitungen zeitnah deaktiviert werden. Diese Aufgabe darf nicht nur an einer einzelnen Person hängen oder in einer Checkliste vergessen werden.
Sicherer Remote Access statt offener Fernzugänge
Homeoffice, Außentermine und Zusammenarbeit an mehreren Standorten gehören in vielen Steuerkanzleien zum Alltag. Der Zugriff von außerhalb darf jedoch nicht bedeuten, dass der Kanzleiserver direkt aus dem Internet erreichbar ist oder sich Daten unkontrolliert auf privaten Geräten verteilen.
Ein sicherer Remote Access stellt Anwendungen und Arbeitsumgebungen kontrolliert bereit. Die Mitarbeitenden arbeiten dabei auf den Systemen der Kanzlei oder greifen über eine abgesicherte Verbindung darauf zu. Mandantendaten bleiben zentral, statt in lokalen Downloads, privaten Synchronisationsordnern oder E-Mail-Anhängen zu verstreuen.
Eine Lösung wie Kyvion Secure Access powered by SparkView kann hier sinnvoll sein, wenn die Kanzlei Anwendungen sicher bereitstellen möchte, ohne klassische Fernzugänge unnötig breit zu öffnen. Entscheidend sind jedoch immer das Berechtigungskonzept, die Mehrfaktor-Authentifizierung und die Absicherung des Endgeräts. Secure Remote Access ist kein einzelnes Produkt, sondern ein kontrollierter Zugriffspfad.
Es gibt dabei einen nachvollziehbaren Zielkonflikt: Sehr restriktive Regeln können Arbeitsabläufe erschweren. Zu großzügige Freigaben erhöhen dagegen die Angriffsfläche. Gute Konzepte orientieren sich deshalb an Rollen, konkreten Anwendungen und Mandatsprozessen – nicht an pauschalen Verboten.
Netzwerk und Firewall als kontrollierte Grenze
Die Firewall ist nicht nur ein Internetanschluss mit Sicherheitsfunktion. Sie entscheidet, welche Verbindungen in die Kanzlei hinein- und aus ihr herausgehen dürfen. Eine professionell konfigurierte Firewall, etwa auf Basis von Fortinet, segmentiert wichtige Bereiche und erkennt auffällige Kommunikationsversuche früher.
In einer Steuerkanzlei sollten insbesondere Server, Arbeitsplätze, WLAN für Gäste, Drucker und Sicherungssysteme nicht unkontrolliert miteinander kommunizieren. Wenn etwa ein Arbeitsplatz durch einen Schadcode betroffen ist, darf dieser nicht automatisch alle Systeme erreichen können. Netzwerksegmentierung begrenzt mögliche Schäden und unterstützt die Wiederherstellung.
Regelmäßige Updates, überprüfte Regeln und aktive Sicherheitsmeldungen sind dabei unverzichtbar. Eine Firewall, die einmal eingerichtet und danach nicht mehr betrachtet wird, passt oft nicht mehr zu den tatsächlichen Anwendungen und Zugriffswegen der Kanzlei. Neue Dienste, ausgeschiedene Mitarbeitende und geänderte Prozesse hinterlassen sonst unnötige Freigaben.
Backups beweisen Daten-Resilienz erst bei der Wiederherstellung
Ein Backup ist keine Versicherung, wenn es nicht vollständig, geschützt und wiederherstellbar ist. Gerade bei Ransomware-Angriffen versuchen Täter häufig, auch Sicherungen zu verschlüsseln oder zu löschen. Die Kanzlei benötigt daher voneinander getrennte Sicherungskopien, die nicht mit denselben Zugangsdaten wie die produktiven Systeme erreichbar sind.
Für wichtige Daten und Anwendungen empfiehlt sich das 3-2-1-Prinzip: mindestens drei Kopien, auf zwei unterschiedlichen Speichermedien und eine Kopie außerhalb des Hauptstandorts oder unveränderbar gespeichert. Welche technische Umsetzung passt, hängt von Datenmenge, eingesetzten Fachanwendungen, Wiederanlaufzeiten und rechtlichen Vorgaben ab.
Entscheidend ist der Wiederherstellungstest. Lassen sich einzelne Dateien zurückholen? Kann eine Datenbank konsistent wiederhergestellt werden? Wie lange dauert es, bis Mitarbeitende nach einem Serverausfall wieder arbeiten können? Diese Fragen sollten nicht erst im Ernstfall beantwortet werden.
Dokumentieren Sie außerdem die Reihenfolge des Wiederanlaufs. E-Mail, Identitätsverwaltung, Fachanwendungen, Datenbanken und Dateiablagen haben unterschiedliche Abhängigkeiten. Ein klarer Notfallplan mit Ansprechpartnern und realistischen Prioritäten verhindert, dass die Kanzlei trotz vorhandener Sicherungen im Chaos startet.
Cloud-Dienste nach Kontrolle statt Bequemlichkeit bewerten
Cloud-Dienste können sinnvoll sein, etwa für Zusammenarbeit, Archivierung oder externe Sicherungen. Datensouveränität verlangt aber, den Dienst vor der Einführung genau zu prüfen. Maßgeblich sind nicht nur der Speicherort, sondern auch Auftragsverarbeitung, Rechteverwaltung, Verschlüsselung, Protokollierung, Exportmöglichkeiten und die Regelung bei Vertragsende.
Eine zentrale Frage lautet: Kann die Kanzlei ihre Daten in einem nutzbaren Format vollständig zurückerhalten, wenn sie den Anbieter wechselt oder ein Dienst ausfällt? Ebenfalls relevant ist, ob Unterauftragnehmer eingebunden sind und wie administrative Zugriffe des Anbieters abgesichert werden.
Nicht jede Public-Cloud-Lösung passt zu jeder Kanzlei. Für besonders sensible oder geschäftskritische Daten kann eine datenschutzkonforme, stärker kontrollierbare Alternative die bessere Wahl sein. Das ist nicht zwangsläufig teurer. Kosten entstehen auch dann, wenn Daten verstreut liegen, Berechtigungen unklar sind oder ein Anbieterwechsel später kaum möglich ist.
Mit einem umsetzbaren 90-Tage-Plan beginnen
Wer mehrere Schwachstellen erkennt, sollte nicht alles parallel umbauen. Starten Sie mit den Punkten, die den größten Schaden verhindern oder die Kontrolle unmittelbar erhöhen. In den ersten 30 Tagen stehen Datenübersicht, Prüfung externer Zugänge, Abschaltung ungenutzter Konten und Mehrfaktor-Authentifizierung im Vordergrund.
In den folgenden 30 Tagen sollten Berechtigungen nach Rollen bereinigt, Firewall-Regeln überprüft und der sichere Fernzugriff vereinheitlicht werden. Danach folgen Wiederherstellungstests, ein dokumentierter Notfallablauf und die Bewertung kritischer Cloud- und Dienstleisterverträge.
Ein Cybersecurity Assessment kann helfen, diesen Plan auf die reale IT-Landschaft der Kanzlei abzustimmen. Es ersetzt keine Maßnahmen, verhindert aber, dass Zeit und Budget in die falschen Themen fließen. Besonders bei Fachanwendungen und bestehenden Dienstleisterstrukturen ist eine unabhängige Priorisierung wertvoll.
Datensouveränität zeigt sich nicht in einer Richtlinie im Ordner, sondern in einem ruhigen Arbeitstag nach einem Zwischenfall: Zugriffe sind nachvollziehbar, Systeme lassen sich kontrolliert abschotten und die wichtigsten Daten stehen wieder zur Verfügung. Genau diese Handlungsfähigkeit sollten Steuerkanzleien planbar aufbauen.
