Montag, 7:30 Uhr: Eine Steuerberaterin möchte vor dem ersten Mandantentermin noch Unterlagen prüfen. Der Arbeitsplatz im Büro ist frei, die benötigte DATEV-Anwendung läuft jedoch im internen Netzwerk. Bisher verbindet sie sich dafür per VPN. Genau hier beginnt das Risiko. Dieses Sicherer Kanzleizugriff Praxisbeispiel zeigt, wie eine mittelgroße Kanzlei den Zugang neu organisiert hat – ohne den Arbeitsalltag unnötig kompliziert zu machen.
Die Ausgangslage ist typisch: Mitarbeitende arbeiten gelegentlich mobil, Partner greifen von außerhalb auf Mandatsdaten zu und ein externer IT-Dienstleister benötigt Wartungszugänge. Gleichzeitig verarbeitet die Kanzlei besonders schützenswerte Daten. Ein Passwort allein darf deshalb nicht entscheiden, wer auf welche Anwendung zugreifen kann.
Ausgangslage: VPN-Zugang für zu viele Zwecke
Die beispielhafte Kanzlei beschäftigt 28 Mitarbeitende an zwei Standorten. Sie nutzt DATEV, ein Dokumentenmanagementsystem, einen Terminalserver und mehrere interne Fachanwendungen. Der Fernzugriff war über ein klassisches VPN geregelt. Wer sich erfolgreich anmeldete, erhielt damit weitreichenden Zugang zum Kanzleinetz.
Das war praktisch, aber nicht präzise genug. Ein VPN erweitert das interne Netzwerk auf ein externes Endgerät. Ist dieses Gerät nicht aktuell geschützt, kompromittiert oder wird ein Zugang missbraucht, kann sich ein Angreifer unter Umständen im Netz weiterbewegen. Auch für die Administration war die Lösung unübersichtlich: Wer hatte noch einen aktiven VPN-Zugang? Welche externen Dienstleister benötigten ihn tatsächlich? Und wann waren Berechtigungen zuletzt geprüft worden?
Hinzu kam ein organisatorisches Problem. Nicht jede Person brauchte dieselben Systeme. Einige Mitarbeitende benötigten nur Zugriff auf DATEV, andere zusätzlich auf das DMS. Der IT-Dienstleister brauchte zeitweise administrative Rechte, sollte aber keinen dauerhaften Zugang zu Mandantendaten erhalten. Mit pauschalen Netzwerkzugängen ließ sich das nur mit hohem Verwaltungsaufwand abbilden.
Sicherer Kanzleizugriff im Praxisbeispiel: Das Zielbild
Die Kanzleileitung definierte gemeinsam mit der IT drei klare Ziele. Erstens sollten Mitarbeitende von außerhalb nur die Anwendungen sehen, die sie für ihre Aufgabe benötigen. Zweitens sollte jede Anmeldung zusätzlich abgesichert und nachvollziehbar sein. Drittens sollten externe Zugriffe zeitlich begrenzt, kontrolliert und dokumentiert werden.
Entscheidend war dabei ein Wechsel der Perspektive: Nicht mehr das Netzwerk sollte freigegeben werden, sondern einzelne Anwendungen und konkrete Zugriffe. Dieses Prinzip wird häufig als Zero Trust bezeichnet. Im Kanzleialltag bedeutet es vor allem: Jeder Zugriff wird anhand von Identität, Berechtigung und Situation geprüft. Ein bereits angemeldeter Nutzer erhält nicht automatisch Zugang zu weiteren Systemen.
Die Lösung wurde schrittweise eingeführt. Statt alle bestehenden Arbeitsweisen auf einmal zu ersetzen, startete die Kanzlei mit den mobil genutzten Anwendungen. So konnten Mitarbeitende die neue Arbeitsweise testen, während der bisherige Zugang für Ausnahmefälle kontrolliert bestehen blieb.
Zugriff auf Anwendungen statt auf das ganze Netz
Die Mitarbeitenden melden sich über einen geschützten Zugang an und sehen anschließend nur die freigegebenen Anwendungen. Für die Steuerfachangestellte bedeutet das beispielsweise Zugriff auf DATEV und das DMS. Die Lohnbuchhaltung sieht ihre dafür benötigten Systeme. Ein Partner erhält zusätzlich Zugang zu ausgewählten Verwaltungsfunktionen.
Der technische Unterschied ist für die Sicherheit wesentlich: Die Anwendung wird kontrolliert bereitgestellt, ohne das gesamte interne Netzwerk nach außen zu öffnen. Dadurch sinkt die Angriffsfläche. Gleichzeitig müssen Anwender keine komplizierten Netzwerkverbindungen manuell starten oder verwalten.
Bei webbasierten Anwendungen kann der Zugriff direkt im Browser erfolgen. Für Programme, die einen Windows-Arbeitsplatz oder Terminalserver benötigen, wird eine abgesicherte Sitzung bereitgestellt. Welche Variante sinnvoll ist, hängt von der eingesetzten Fachanwendung, der benötigten Leistung und den Datenschutzanforderungen ab.
Mehrstufige Anmeldung als feste Regel
Neben Benutzername und Passwort führt die Kanzlei eine Mehrfaktor-Authentifizierung ein. Für die Anmeldung wird damit ein zweiter Faktor benötigt, etwa eine Authenticator-App oder ein Hardware-Schlüssel. Ein gestohlenes oder erratenes Passwort reicht nicht mehr aus.
Wichtig ist die Umsetzung im Alltag. Die Kanzlei legt klare Regeln fest: Keine gemeinsamen Benutzerkonten, keine Weitergabe von Zugangsdaten und keine Ausnahme für vermeintlich vertraute Personen. Auch Partner und Führungskräfte nutzen die Mehrfaktor-Authentifizierung. Gerade privilegierte Konten sind besonders schützenswert, weil sie weitreichende Änderungen vornehmen können.
Zusätzlich prüft die IT bei auffälligen Anmeldungen, etwa bei ungewöhnlichen Zeiten, neuen Geräten oder mehreren fehlgeschlagenen Versuchen. Nicht jedes Ereignis ist ein Angriff. Es liefert aber einen Anlass zur kontrollierten Prüfung, bevor aus einem kleinen Hinweis ein größerer Schaden entsteht.
Externe Dienstleister kontrolliert anbinden
Der externe IT-Dienstleister war im Praxisbeispiel einer der wichtigsten Punkte. Bisher hatte er einen dauerhaften VPN-Zugang mit weitreichenden Berechtigungen. Das sollte sich ändern.
Nun erhält der Dienstleister nur dann Zugriff, wenn eine konkrete Wartung oder Störung ansteht. Der Zugang ist einer Person zugeordnet, wird zeitlich begrenzt und auf die benötigten Systeme beschränkt. Administrative Tätigkeiten können protokolliert werden. Nach Abschluss des Auftrags endet die Berechtigung automatisch oder wird aktiv entzogen.
Dieser Ansatz gehört zum Privileged Access Management, kurz PAM. Er ist nicht nur für große Unternehmen relevant. Gerade kleinere Kanzleien profitieren davon, weil externe Partner oft mehrere Aufgaben übernehmen und interne Kontrollmechanismen schlanker sein müssen. Die Kanzlei behält die Hoheit darüber, wer wann auf kritische Systeme zugreifen darf.
Es gibt dabei einen praktischen Zielkonflikt: Je enger Berechtigungen gefasst sind, desto mehr Abstimmung kann im Einzelfall nötig werden. Deshalb sollten Rollen und typische Wartungsszenarien vorab sauber definiert sein. Für wiederkehrende Tätigkeiten lassen sich passende, begrenzte Berechtigungen vorbereiten. Das reduziert Verzögerungen, ohne dauerhaft zu viel Zugriff zu gewähren.
So wurde der Zugriff eingeführt
Die Technik allein löst kein Berechtigungsproblem. Die Kanzlei begann deshalb mit einer Bestandsaufnahme: Welche Anwendungen sind intern erreichbar? Wer benötigt sie mobil? Welche Benutzerkonten sind aktiv? Welche Dienstleisterzugänge bestehen? Schon dabei fielen alte Konten und nicht mehr benötigte VPN-Berechtigungen auf.
Danach wurden Rollen festgelegt, zum Beispiel Steuerfachangestellte, Lohnbuchhaltung, Partner, Kanzleiverwaltung und externer IT-Support. Jede Rolle erhielt nur die Anwendungen, die für ihre Aufgaben erforderlich sind. Sonderrechte wurden nicht pauschal vergeben, sondern mit einem klaren Zweck und einem Prüfdatum versehen.
In einer Pilotphase arbeiteten zunächst sechs Personen mit dem neuen Zugriff. Ihre Rückmeldungen waren wertvoll: Einige benötigten eine bessere Anleitung für den zweiten Faktor, andere wünschten eine klarere Startseite mit ihren Anwendungen. Solche Details entscheiden darüber, ob Sicherheitsmaßnahmen akzeptiert und zuverlässig genutzt werden.
Erst nach der Pilotphase erfolgte die Umstellung weiterer Mitarbeitender. Parallel dokumentierte die Kanzlei Zuständigkeiten für Benutzeranlage, Rechteänderungen, Sperrungen und regelmäßige Überprüfungen. Beim Austritt eines Mitarbeiters oder dem Ende einer Zusammenarbeit mit Dienstleistern muss der Entzug von Zugängen verbindlich Teil des Prozesses sein.
Welche Sicherheitsbausteine dazugehören
Ein sicherer Fernzugriff kann eine unsichere oder ungepflegte IT-Infrastruktur nicht ausgleichen. Im Praxisbeispiel wurden deshalb weitere Maßnahmen einbezogen:
- Die Firewall segmentiert sensible Bereiche und kontrolliert den Datenverkehr zwischen Kanzleinetz, Servern und Internet.
- Endgeräte erhalten zeitnah Sicherheitsupdates, Festplattenverschlüsselung und Schutz vor Schadsoftware.
- Backups werden getrennt vom Produktivsystem aufbewahrt und die Wiederherstellung wird regelmäßig getestet.
- Protokolle zu Anmeldungen und administrativen Zugriffen werden ausgewertet, damit Auffälligkeiten nicht unbemerkt bleiben.
- Berechtigungen werden mindestens in festen Intervallen sowie bei personellen Änderungen überprüft.
Für die Absicherung des Netzwerks kann eine passend konfigurierte Fortinet-Firewall ein zentraler Baustein sein. Für den Zugriff auf interne Anwendungen braucht es zusätzlich ein Rechte- und Identitätskonzept. Die Kombination schafft mehr Sicherheit als ein einzelnes Produkt oder eine einzelne Richtlinie.
Ergebnis: Mehr Kontrolle ohne weniger Beweglichkeit
Nach der Umstellung konnte die Kanzlei den allgemeinen VPN-Zugang für reguläre mobile Arbeit weitgehend ablösen. Mitarbeitende greifen gezielt auf ihre Anwendungen zu. Externe Dienstleister erhalten keinen pauschalen Dauerschlüssel mehr. Und die IT kann Berechtigungen nachvollziehbar vergeben, anpassen und entziehen.
Der wichtigste Gewinn liegt nicht nur in einer geringeren Angriffsfläche. Die Kanzlei weiß besser, wo ihre Daten verarbeitet werden, welche Zugänge bestehen und welche Personen Verantwortung tragen. Das stärkt Datensouveränität und verbessert die Fähigkeit, auf Ausfälle oder Sicherheitsvorfälle geordnet zu reagieren.
Kyvion Secure Access kann solche Anwendungsszenarien unterstützen, wenn Kanzleien interne Anwendungen ohne klassisches VPN sicher bereitstellen möchten. Welche Architektur passt, hängt jedoch immer von vorhandenen Systemen, Arbeitsabläufen und Schutzbedarf ab.
Für Kanzleien lohnt es sich, beim nächsten Rechte-Review nicht nur nach aktiven Benutzerkonten zu fragen. Die entscheidende Frage lautet: Muss diese Person wirklich Zugang zum Netzwerk haben – oder genügt ein klar begrenzter, sicherer Zugriff auf genau die Anwendung, die sie für ihre Arbeit benötigt?
