Berechtigungsmanagement und Passwortsicherheit in Steuer- und Anwaltskanzleien: So schützen Sie Ihre Mandantendaten vor Kontenübernahmen
Inhaltsverzeichnis
Veröffentlicht: 19. Oktober 2026 · Lesezeit: ca. 14 Minuten
„Bei uns ist noch nie etwas passiert“ – diesen Satz hören wir in Beratungsgesprächen mit Kanzleiinhabern erstaunlich oft. Manchmal folgt dann die Gegenfrage: „Woher wissen Sie das?“ Kurze Pause. Denn die ehrliche Antwort lautet meistens: Man weiß es nicht. Kein Logbuch, keine regelmäßige Auswertung, keine zentrale Übersicht, wer aktuell auf welche Systeme Zugriff hat.
Das ist kein Vorwurf – es ist eine strukturelle Realität in vielen kleineren Kanzleien. Die Mandantenarbeit steht im Vordergrund, die IT läuft im Hintergrund. Solange nichts passiert, fragt niemand nach. Aber genau darin liegt das Risiko: Ein übersehenes Konto einer ehemaligen Mitarbeiterin, ein wiederverwendetes Passwort für DATEV und den privaten E-Mail-Account – das sind keine Einzelfälle, sondern die häufigsten Einstiegspunkte für Angreifer.
Berechtigungsmanagement Passwortsicherheit ist kein IT-Luxus, sondern eine Grundvoraussetzung für den Schutz von Mandantendaten in Steuer- und Anwaltskanzleien. Wer Zugang zu DATEV, RA-MICRO oder dem besonderen elektronischen Anwaltspostfach (beA) hat, kann im Ernstfall auf hochsensible Informationen zugreifen – Bilanzen, Erbschaftssachen, strafrechtlich relevante Unterlagen. Ein einziges übernommenes Konto reicht, um diesen Zugang zu missbrauchen.
Die Zahlen sind eindeutig: Rund 80 Prozent aller gemeldeten Cybervorfälle betreffen kleine und mittlere Unternehmen, wie der BSI-Lagebericht belegt. Gleichzeitig glaubt mehr als die Hälfte der Belegschaft in kleinen Betrieben, das eigene Unternehmen sei für Angreifer uninteressant. Kanzleien mit Mandantendaten, Fristen und Berufsgeheimnis sind jedoch ein attraktives Ziel – gerade weil dort selten systematisch geprüft wird, wer tatsächlich noch Zugriff hat.
Dieser Ratgeber erklärt, warum Zugriffsrechte in Kanzleien häufig unkontrolliert wachsen, welche Fehler besonders gefährlich sind und wie Sie mit überschaubarem Aufwand ein tragfähiges Konzept einführen – ohne IT-Studium, ohne Wochen an Projektaufwand.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Anteil der KMU an gemeldeten Cybervorfällen | ca. 80 % | BSI-Lagebericht 2025 |
| Zugangsdaten-/Passwortdiebstahl: Steigerung gegenüber Vorjahr | +12 % (betrifft 35 % der Fälle) | Bitkom Wirtschaftsschutz 2024 |
| KMU-Beschäftigte, die ihr Unternehmen als uninteressantes Angriffsziel einschätzen | mehr als die Hälfte | G DATA/Statista 2024 |
| Empfohlene Mindestlänge für Passwörter ohne MFA (NIST SP 800-63 Rev. 4) | 15 Zeichen | NIST SP 800-63 Rev. 4, 2025 |
Berechtigungsmanagement Passwortsicherheit: Was passiert, wenn Zugriffsrechte in der Kanzlei niemals geprüft werden?
Stellen Sie sich vor, eine Mitarbeiterin wechselt nach drei Jahren die Kanzlei. Ihr Benutzerkonto in DATEV wird nicht sofort gesperrt – der zuständige Steuerberater ist gerade in der Jahresabschlussprüfung, und der IT-Dienstleister wird „nächste Woche mal informiert“. Drei Monate später existiert das Konto noch immer. Solche verwaisten Zugänge sind keine Seltenheit; sie entstehen nicht durch Böswilligkeit, sondern durch fehlende Prozesse.
Genau hier setzt Berechtigungsmanagement Passwortsicherheit an: Es geht darum, systematisch zu steuern, wer auf welche Systeme zugreifen darf – und diese Rechte aktiv zu entziehen, sobald sie nicht mehr benötigt werden. Ohne dieses Steuerungssystem wächst der Zugang still mit: Wer einmal Rechte bekommt, behält sie häufig dauerhaft. Das gilt für einzelne Mitarbeiter ebenso wie für externe Dienstleister.
Für Kanzleien kommt eine besondere rechtliche Dimension hinzu. § 203 StGB stellt die unbefugte Offenbarung von Geheimnissen unter Strafe – auch dann, wenn der Zugriff durch ein ehemaliges Teammitglied oder einen schlecht abgesicherten externen Zugang erfolgt. Die Verantwortung liegt beim Kanzleiinhaber, nicht beim Angreifer. Das ISO/IEC 27001 zertifizierte IT-Systemhaus TTG GmbH begleitet Kanzleien dabei, diese Verantwortung strukturiert wahrzunehmen.
Konkret empfiehlt sich folgendes Vorgehen:
- Führen Sie eine einfache Liste aller aktiven Benutzerkonten – in DATEV, im E-Mail-System, in Cloud-Diensten und für VPN-Zugänge.
- Markieren Sie jeden Eintrag mit dem aktuellen Beschäftigungsstatus der jeweiligen Person.
- Legen Sie schriftlich fest, wer beim Ausscheiden eines Mitarbeiters welche Konten innerhalb welcher Frist sperrt.
- Prüfen Sie, ob externe Dienstleister über eigene, dedizierte Zugänge verfügen – oder ob sie Ihre Mitarbeiterkonten mitnutzen.
Das klingt aufwändig, ist es aber nicht: Ein erster Durchlauf lässt sich in einem halben Arbeitstag erledigen. Die eigentliche Herausforderung ist nicht die Technik, sondern die Verbindlichkeit – der Prozess muss in den Kanzleialltag eingebettet sein, nicht davon abhängen, dass jemand daran denkt.
Die teuersten Irrtümer rund um Passwörter und Zugriffsrechte
Irrtum Nummer eins: „Wir wechseln Passwörter alle drei Monate – das reicht doch.“ Diese Praxis galt lange als sicher, ist aber heute überholt. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt ausdrücklich, anlasslose Passwortrotation abzuschaffen. Erzwungene regelmäßige Wechsel führen in der Praxis dazu, dass Mitarbeiter vorhersehbare Muster verwenden („Sommer24!“, „Herbst24!“) – und das ist gefährlicher als ein langes, stabiles Passwort, das nie gewechselt wird. Passwörter sollten nur gewechselt werden, wenn ein konkreter Verdacht auf Kompromittierung besteht.
Irrtum Nummer zwei: „Komplizierte Sonderzeichen-Regeln machen Passwörter sicherer.“ Auch das stimmt so nicht. Die aktuelle internationale Norm NIST SP 800-63 Rev. 4 empfiehlt stattdessen: Mindestlänge von 15 Zeichen ohne zusätzliche Multi-Faktor-Absicherung (MFA), keine erzwungenen Zeichenklassen-Kombinationen und den Ausschluss bekannt kompromittierter Passwörter über eine Sperrliste. Länge schlägt Komplexität – das ist der Kerngedanke.
Irrtum Nummer drei: „Unser IT-Dienstleister hat das im Griff.“ Möglicherweise – aber wissen Sie, mit welchem Konto Ihr Dienstleister auf Ihre DATEV-Instanz zugreift? Nutzt er ein eigenes Servicekonto mit dokumentierten Rechten, oder meldet er sich mit dem Konto einer Mitarbeiterin an? Für Kanzleien gilt berufsrechtlich: Externe brauchen eine schriftliche Verschwiegenheitsvereinbarung nach den Anforderungen der jeweiligen Berufsordnung – ein Auftragsverarbeitungsvertrag (AVV) nach DSGVO allein genügt nicht.
Die IT-Sicherheitslösungen der TTG GmbH adressieren genau diese Lücken – von der Überprüfung externer Dienstleisterzugänge bis zur Einrichtung von MFA für alle kritischen Systeme. Konkret sollten Sie diese Punkte überprüfen:
- Stellen Sie sicher, dass kein Mitarbeiter sein Kanzleipasswort für private Dienste wiederverwendet – ein Passwort-Manager schafft hier sofort Abhilfe.
- Prüfen Sie, ob Ihre aktuelle Passwortrichtlinie noch eine 90-Tage-Rotation vorschreibt – falls ja, passen Sie sie an.
- Fordern Sie von jedem externen Dienstleister eine schriftliche Bestätigung, welche Zugänge er nutzt und wie diese gesichert sind.
- Aktivieren Sie Multi-Faktor-Authentifizierung (MFA – ein zweiter Bestätigungsschritt beim Login, z. B. per App) für alle externen Zugänge, insbesondere für E-Mail und VPN.
Schritt für Schritt: So bauen Sie ein tragfähiges Rechtekonzept auf
Der Aufbau eines Berechtigungskonzepts muss nicht mit einem aufwändigen IT-Projekt beginnen. Der erste und wichtigste Schritt ist eine einfache Bestandsaufnahme: Wer hat aktuell Zugriff auf was? Erstellen Sie eine Tabelle – Zeilen für Mitarbeiter und externe Dienstleister, Spalten für die genutzten Systeme (DATEV, RA-MICRO, beA, E-Mail, Cloud-Speicher, VPN). Kreuzen Sie an, wo ein Zugang besteht.
Im zweiten Schritt wenden Sie das sogenannte Least-Privilege-Prinzip (Minimalprivileg-Prinzip) an: Jede Person erhält nur die Rechte, die sie für ihre konkrete Aufgabe tatsächlich braucht. Die Empfangsmitarbeiterin braucht keinen Zugang zur DATEV-Finanzbuchhaltung. Der Auszubildende braucht keine Schreibrechte im Mandantenstamm. Weniger Rechte bedeuten weniger Angriffsfläche.
Der dritte Schritt betrifft das Offboarding: Legen Sie verbindlich fest, dass am letzten Arbeitstag – nicht irgendwann danach – alle Zugänge gesperrt werden. Das gilt für interne Mitarbeiter genauso wie für externe Projektbeteiligte. Die DSGVO, Artikel 32, verlangt Nachvollziehbarkeit bei der Verarbeitung personenbezogener Daten; ein unkontrollierter Zugang widerspricht dem direkt.
Planen Sie zudem halbjährliche Berechtigungsaudits ein – feste Termine im Kalender, bei denen Führungskräfte aktiv bestätigen, dass die Zugriffsrechte ihrer Teammitglieder noch korrekt sind. Gerade nach Abteilungswechseln akkumulieren sich sonst alte Rechte still im Hintergrund.
Die sichere IT-Infrastruktur für KMU der TTG GmbH bietet hierfür strukturierte Vorlagen und unterstützt bei der technischen Umsetzung. Konkret empfehlen sich folgende Schritte:
- Erstellen Sie Ihre Berechtigungsmatrix zunächst als einfache Tabelle – Papier oder Excel genügt für den Einstieg.
- Definieren Sie drei bis fünf Rollen (z. B. Kanzleiinhaber, Fachkraft, Assistent, externer Dienstleister) mit jeweils klar beschriebenen Zugriffsrechten.
- Richten Sie für administrative Aufgaben separate Admin-Konten ein – niemand arbeitet mit einem Administrator-Konto im Tagesgeschäft.
- Legen Sie einen festen Offboarding-Ablauf schriftlich nieder und hinterlegen Sie ihn in Ihren HR-Prozessen.
- Terminieren Sie das nächste Berechtigungsaudit jetzt – zum Beispiel jeweils im Januar und Juli.
Zugriffsschutz verstehen: Was hinter MFA, Passkeys und Passwort-Manager steckt
Drei Begriffe begegnen Ihnen beim Thema Berechtigungsmanagement Passwortsicherheit immer wieder – und es lohnt sich, kurz zu verstehen, was dahintersteckt, bevor Sie entscheiden, was für Ihre Kanzlei sinnvoll ist.
Multi-Faktor-Authentifizierung (MFA) bedeutet: Ein Login erfordert neben dem Passwort einen zweiten Beweis, dass die Person wirklich sie selbst ist – zum Beispiel einen Zahlencode aus einer App auf dem Smartphone. Selbst wenn ein Angreifer Ihr Passwort kennt, kommt er ohne diesen zweiten Faktor nicht hinein. Für alle externen Zugänge – VPN, E-Mail, DATEV-Cloud – ist MFA heute Standard. Ohne MFA empfiehlt NIST SP 800-63 Rev. 4 eine Mindestlänge von 15 Zeichen für Passwörter; mit MFA reichen 8 Zeichen.
Passkeys ersetzen das klassische Passwort vollständig: Statt einer Zeichenfolge wird ein kryptografischer Schlüssel genutzt, der auf dem Gerät gespeichert ist und sich per Fingerabdruck oder Gesichtserkennung entsperrt. Microsoft rollt seit Mitte dieses Jahres „Passwordless by Default“ für Business-Tenants aus – neue Konten werden primär per Passkey eingerichtet. Für Kanzleien mit Microsoft 365 bedeutet das: Wer jetzt neue Mitarbeiterkonten anlegt, sollte diesen Ansatz bereits berücksichtigen.
Passwort-Manager sind zentrale Tresore, die für jedes System ein langes, einzigartiges Passwort generieren und speichern. Kanzleimitarbeiter müssen sich nur noch ein Master-Passwort merken. Gut gewählte Produkte bieten rollenbasierte Freigaben: Der Kanzleiinhaber sieht alle Zugangsdaten, die Assistenz nur die für ihre Aufgaben relevanten.
Die IT-Dienstleistungen der TTG GmbH helfen Ihnen bei der Auswahl und Einrichtung geeigneter Lösungen. Folgende Entscheidungshilfe gibt Orientierung:
| Situation | Empfehlung | Warum |
|---|---|---|
| Externer Zugang (VPN, Cloud, E-Mail) | MFA aktivieren | Schützt auch bei gestohlenem Passwort |
| Kein MFA vorhanden | Passwörter auf min. 15 Zeichen anheben | NIST SP 800-63 Rev. 4 Pflicht ohne zweiten Faktor |
| Team teilt Zugangsdaten mündlich | Passwort-Manager einführen | Schafft Ordnung, verhindert Wiederverwendung |
| Microsoft 365 im Einsatz | Passkey-Migration planen | Microsoft stellt schrittweise auf Passwordless um |
Was ein Sicherheitskonzept kostet – und was ein Verzicht kostet
Ein Berechtigungskonzept einzuführen kostet Zeit und einen überschaubaren Betrag – das stimmt. Ein Passwort-Manager für zehn Personen liegt je nach Anbieter bei 20 bis 60 Euro pro Monat. Die Einrichtung von MFA in Microsoft 365 ist in den meisten Business-Lizenzen bereits enthalten, erfordert aber eine einmalige Konfiguration von wenigen Stunden. Ein halbjährliches Berechtigungsaudit bindet pro Durchlauf etwa zwei bis drei Stunden Arbeitszeit einer verantwortlichen Person.
Auf der anderen Seite steht ein Szenario, das für Kanzleien besonders folgenreich ist: Ein Angreifer übernimmt das E-Mail-Konto eines Mitarbeiters, der noch Zugang zur DATEV-Cloud hat. Er liest wochenlang still mit – Mandantenkommunikation, Steuerdaten, Fristen. Bis der Schaden bemerkt wird, können Mandantendaten abgeflossen sein. Die Folge: meldepflichtige Datenpanne nach DSGVO, mögliche Verletzung des Berufsgeheimnisses nach § 203 StGB, Vertrauensverlust bei Mandanten.
Hinzu kommen direkte Kosten: Forensik, Systemwiederherstellung, Anwalt, ggf. Bußgeld. Laut BSI Lagebericht Cybersicherheit sind die Schäden durch Cyberangriffe für kleine Betriebe oft existenzbedrohend – nicht wegen der Lösegeldforderung allein, sondern wegen des Vertrauensverlusts.
Besonders für Steuer- und Anwaltskanzleien gilt: Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern) und die Aufbewahrungsfristen der Abgabenordnung verlangen, dass Daten über viele Jahre revisionssicher und nachvollziehbar gespeichert bleiben. Ein Datenverlust durch einen Angriff kann also nicht nur aktuelle Mandante, sondern auch archivierte Vorgänge betreffen. Schützen Sie sich daher mit diesen Maßnahmen:
- Fragen Sie Ihren IT-Dienstleister konkret nach den Kosten für MFA-Einrichtung und Passwort-Manager – die Zahlen sind meistens geringer als erwartet.
- Lassen Sie ausrechnen, wie viele aktive Benutzerkonten aktuell existieren und wie viele davon tatsächlich noch benötigt werden.
- Halten Sie die TTG GmbH als regionalen IT-Partner für ein unverbindliches Beratungsgespräch bereit – ein erster Überblick ist meist in 60 Minuten möglich.
- Prüfen Sie, ob Ihre Kanzleiversicherung Cyberrisiken abdeckt – viele Policen setzen grundlegende Sicherheitsmaßnahmen wie MFA inzwischen voraus.
Was gut funktioniert: Erfahrungen aus der Beratungspraxis
Typisch ist folgende Konstellation: Eine Steuerkanzlei mit acht Mitarbeitern in Dingelstädt nutzt DATEV für die Mandantenbuchhaltung und hat über die Jahre verschiedene Zugänge vergeben – an aktuelle Mitarbeiter, an einen ehemaligen Auszubildenden, an den externen DATEV-Servicetechniker und an eine Kanzleiverwaltungssoftware eines Drittanbieters. Beim ersten Berechtigungsaudit stellen sich regelmäßig drei bis fünf Konten heraus, die längst hätten gesperrt sein müssen.
Der Prozess ist in solchen Fällen immer ähnlich: Bestandsaufnahme aller Konten, Abgleich mit dem aktuellen Team, sofortige Sperrung verwaister Zugänge, Einführung eines einfachen Offboarding-Protokolls. Innerhalb eines Tages ist die Ausgangslage bereinigt. Der eigentliche Wert liegt dann in dem, was danach kommt: klare Verantwortlichkeiten und ein fester Rhythmus für künftige Prüfungen.
Berechtigungsmanagement Passwortsicherheit wird in diesem Kontext oft zum Türöffner für weitere sinnvolle Maßnahmen – insbesondere die Einführung von MFA für den DATEV-Zugang und die Überprüfung der Verschwiegenheitsvereinbarungen mit externen Dienstleistern. Denn der externe DATEV-Betreuer braucht einen eigenen, dokumentierten Servicekonto-Zugang, keine Mitarbeiteranmeldedaten – und eine schriftliche Verschwiegenheitserklärung, die über einen AVV nach DSGVO hinausgeht.
Die TTG GmbH begleitet Kanzleien in Nordthüringen bei genau diesen Schritten – mit über 25-jähriger Erfahrung in der IT-Betreuung von Unternehmen mit erhöhten Datenschutzanforderungen. Für eine strukturierte Einschätzung Ihrer aktuellen Zugriffssituation steht ein erstes Gespräch zur Verfügung: Jetzt unverbindlich Kontakt aufnehmen.
Ergänzend lohnt ein Blick auf die Empfehlungen des BSI – IT-Grundschutz für Unternehmen: Das BSI stellt kostenfreie Leitfäden bereit, die speziell auf kleinere Betriebe zugeschnitten sind und als Einstieg für ein erstes Berechtigungskonzept geeignet sind.
Drei konkrete Schritte, die Sie diese Woche angehen können
Berechtigungsmanagement Passwortsicherheit ist kein Projekt, das Monate dauern muss. Die größten Sicherheitsgewinne entstehen durch drei Maßnahmen, die Sie ohne tiefes IT-Wissen anstoßen können – und die in den meisten Kanzleien innerhalb einer Woche umsetzbar sind.
Schritt 1: Bestandsaufnahme heute. Bitten Sie Ihren IT-Verantwortlichen oder -Dienstleister, Ihnen eine Liste aller aktiven Benutzerkonten zu erstellen – in DATEV, E-Mail, Microsoft 365, RA-MICRO oder dem beA. Fragen Sie konkret: Welche Konten wurden in den letzten sechs Monaten nicht genutzt? Welche gehören zu Personen, die nicht mehr im Team sind? Diese Liste ist Ihr Ausgangspunkt.
Schritt 2: MFA aktivieren – überall, wo ein externer Zugang existiert. Für Microsoft 365 ist das ohne Zusatzkosten möglich. Für DATEV-Zugänge über das Rechenzentrum bietet DATEV SmartLogin als zweiten Faktor an. Dieser Schritt allein reduziert das Risiko einer Kontenübernahme erheblich – denn gestohlene Passwörter nützen Angreifern wenig, wenn ein zweiter Bestätigungsschritt fehlt.
Schritt 3: Passwortrichtlinie schriftlich festlegen. Formulieren Sie – gern auf einer einzigen Seite – welche Anforderungen für Kanzleipasswörter gelten: Mindestlänge, kein Wiederverwenden über Systeme hinweg, kein Weitergeben per E-Mail oder Chat. Verteilen Sie dieses Dokument beim nächsten Teambesprechungstermin. Aktuell empfiehlt sich eine Mindestlänge von 15 Zeichen, wenn kein MFA vorhanden ist – das entspricht dem Stand von NIST SP 800-63 Rev. 4.
Wer darüber hinaus plant: Im Oktober wurden allein für Microsoft-Systeme über tausend Sicherheitslücken in einem einzigen Patchzyklus geschlossen, wie heise Security aktuell berichtete. Das zeigt: Zugriffsschutz und regelmäßige Updates gehören zusammen – das eine ersetzt das andere nicht.
- Fordern Sie die Kontoliste von Ihrem IT-Dienstleister an – noch diese Woche.
- Aktivieren Sie MFA für alle externen Zugänge, beginnend mit E-Mail und Microsoft 365.
- Schreiben Sie Ihre Passwortrichtlinie auf einer Seite nieder und kommunizieren Sie sie im Team.
- Legen Sie jetzt den Termin für Ihr erstes Berechtigungsaudit fest – ein halbjährlicher Rhythmus ist ausreichend.
Ihre Checkliste: So starten Sie jetzt
- Fordern Sie von Ihrem IT-Dienstleister eine vollständige Liste aller aktiven Benutzerkonten an – in DATEV, E-Mail, Microsoft 365, RA-MICRO und beA.
- Identifizieren Sie verwaiste Konten (ausgeschiedene Mitarbeiter, ehemalige Dienstleister) und lassen Sie diese unverzüglich sperren.
- Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle externen Zugänge – VPN, E-Mail, Cloud-Dienste und DATEV Rechenzentrum (DATEV SmartLogin).
- Prüfen Sie Ihre aktuelle Passwortrichtlinie: Schreiben Sie eine Mindestlänge von 15 Zeichen vor, und streichen Sie anlasslose 90-Tage-Wechselpflichten.
- Stellen Sie sicher, dass externe Dienstleister eigene, dokumentierte Servicekonten nutzen – und keine Mitarbeiter-Zugangsdaten.
- Holen Sie schriftliche Verschwiegenheitsvereinbarungen von allen IT-Dienstleistern ein, die auf Kanzleidaten zugreifen – über einen AVV hinaus.
- Legen Sie einen festen Termin für das erste Berechtigungsaudit fest – empfohlen: Januar und Juli jeden Jahres.
- Führen Sie einen Passwort-Manager mit rollenbasierten Zugriffsrechten ein, um Passwort-Wiederverwendung und unkontrolliertes Teilen zu beenden.
Häufig gestellte Fragen
Müssen wir das Berechtigungskonzept schriftlich dokumentieren – oder reicht eine mündliche Absprache im Team?
Für Steuer- und Anwaltskanzleien reicht eine mündliche Absprache nicht aus. Die DSGVO (Art. 32) verlangt nachweisbare technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Zudem schreibt die GoBD die Nachvollziehbarkeit von Zugriffen auf buchführungsrelevante Systeme vor. Im Streit- oder Prüfungsfall gilt: Was nicht dokumentiert ist, gilt als nicht vorhanden. Eine einfache, einseitige Richtlinie genügt als Einstieg – sie muss nicht perfekt sein, aber existieren.
Was gilt berufsrechtlich, wenn unser IT-Dienstleister Zugriff auf DATEV oder RA-MICRO hat?
Externer Zugriff auf mandantenbezogene Daten berührt das Berufsgeheimnis nach § 203 StGB. Ein Auftragsverarbeitungsvertrag (AVV) nach DSGVO regelt den datenschutzrechtlichen Rahmen, ersetzt aber nicht die berufsrechtliche Verschwiegenheitspflicht. Steuerberater und Rechtsanwälte benötigen von ihren IT-Dienstleistern zusätzlich eine ausdrückliche Verschwiegenheitsvereinbarung, die auf die jeweilige Berufsordnung Bezug nimmt. Viele Dienstleister stellen dieses Dokument auf Anfrage bereit – fragen Sie konkret danach.
Wie lange dauert die Einführung eines Berechtigungskonzepts in einer Kanzlei mit zehn Mitarbeitern?
Die Bestandsaufnahme und Bereinigung verwaister Konten lässt sich in einem halben Arbeitstag erledigen, wenn ein IT-Dienstleister die technischen Vorarbeiten übernimmt. Die Erstellung einer einfachen Berechtigungsmatrix und einer schriftlichen Passwortrichtlinie dauert weitere zwei bis drei Stunden. MFA zu aktivieren erfordert pro Nutzer etwa zehn Minuten Einrichtungszeit. Gesamtaufwand für den ersten Durchlauf: realistisch ein bis zwei Tage – danach läuft das Konzept weitgehend automatisch, solange der Offboarding-Prozess eingehalten wird.
Wir nutzen DATEV über das Rechenzentrum – ist das automatisch sicher, oder müssen wir selbst aktiv werden?
DATEV sichert seine Rechenzentrum-Infrastruktur auf hohem Niveau ab – das entbindet Sie aber nicht davon, die Zugänge auf Ihrer Seite zu kontrollieren. Wer sich mit den Zugangsdaten einer ausgeschiedenen Mitarbeiterin in DATEV Unternehmen online einloggt, kommt trotzdem hinein. DATEV SmartLogin bietet einen zweiten Faktor für die Authentifizierung an – nutzen Sie ihn. Kombiniert mit einer gepflegten Benutzerverwaltung auf Kanzleiseite schließen Sie die häufigsten Einfallstore.
Sind solche Angriffe auf Kanzleien wirklich realistisch – oder ist das ein Problem für größere Unternehmen?
Zugangsdaten-Diebstahl stieg zuletzt um 12 Prozent gegenüber dem Vorjahr und betraf 35 Prozent aller gemeldeten Sicherheitsvorfälle (Bitkom Wirtschaftsschutz 2024). Kanzleien sind attraktive Ziele, weil sie sensible Daten verwalten, aber oft keine eigene IT-Abteilung haben. Angreifer wählen ihre Opfer nicht nach Größe, sondern nach Erreichbarkeit. Ein ungeschützter externer Zugang oder ein wiederverwendetes Passwort reicht als Einstiegspunkt – unabhängig davon, ob die Kanzlei fünf oder fünfzig Mitarbeiter hat.
Lesetipps – weitere Ratgeber der TTG GmbH
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade, wer in Ihrer Kanzlei Zugriff auf DATEV oder RA-MICRO hat – und wer davon schon längst ausgeschieden ist?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
