Kurz gesagt

  • Das größte Risiko liegt oft in Identitäten und Freigabeprozessen, nicht im Serverraum.
  • Mandantenportale sind für sensible Dokumente besser geeignet als offene E-Mail-Anhänge.
  • Berechtigungen müssen Mandate, Teams und Vertretungen nachvollziehbar abbilden.

Steuerberatung verbindet hochsensible Mandantendaten mit vielen Fristen, externen Portalen und intensiver E-Mail-Kommunikation. Ein gutes Sicherheitsmodell muss deshalb Fehlüberweisungen, Kontoübernahmen und unbemerkte Datenabflüsse ebenso behandeln wie klassische Schadsoftware.

Identitäten und Freigaben

MFA gehört auf jedes Cloud-, Portal- und Administratorkonto. Für Administratoren sind phishing-resistente Verfahren sinnvoll. Zahlungsdaten oder neue Bankverbindungen sollten nie allein aufgrund einer E-Mail geändert werden. Ein Rückruf über eine bekannte Nummer ist eine einfache zweite Kontrolle.

Vertretungen dürfen nicht zu geteilten Passwörtern führen. Rollen, Gruppen und dokumentierte Stellvertretungen schaffen Tempo und Nachvollziehbarkeit zugleich.

Dokumente sicher austauschen

Mandantenportale mit persönlicher Anmeldung sind für Steuerunterlagen geeigneter als unverschlüsselte Anhänge. Definieren Sie, wann E-Mail zulässig ist, wie Links ablaufen und wer externe Freigaben kontrolliert.

Prüfen Sie regelmäßig automatische Weiterleitungen, alte Gastkonten und Anwendungen mit Zugriff auf Postfächer. Solche Nebenwege bleiben in vielen Kanzleien länger aktiv als beabsichtigt.

Ausfallvorsorge

Dokumentieren Sie die wichtigsten Fristen, Kontakte und Wiederanlaufreihenfolgen außerhalb des produktiven Systems. Ein Backup derselben Cloud-Identität ist keine unabhängige Sicherung. Testen Sie exemplarisch die Wiederherstellung eines Mandantenakts und eines Postfachs.

Konkrete nächste Schritte

  1. MFA-Abdeckung und privilegierte Konten prüfen.
  2. Externe Freigaben und automatische Weiterleitungen inventarisieren.
  3. Bankdatenänderungen mit einem zweiten Kanal absichern.
  4. Wiederherstellung eines Mandantenakts testen.

Ein Security Audit von vetosec kann Konfigurationen, Zugriffswege und technische Schwachstellen sichtbar machen. Die fachliche Ausgestaltung von Berufsrecht und Datenschutz sollte mit der zuständigen Beratung abgestimmt werden.

Passende Inhalte von vetosec

Primärquellen