Fortinet oder BeyondTrust angegriffen – was tun? Der Notfallplan für Steuer- und Anwaltskanzleien
Inhaltsverzeichnis
Veröffentlicht: 20. Oktober 2026 · Lesezeit: ca. 15 Minuten
Wann haben Sie zuletzt geprüft, ob Ihre Firewall – sei es ein Fortinet-Gerät oder eine vergleichbare Lösung – noch auf dem aktuellen Stand ist? Und falls morgen früh jemand über eine Sicherheitslücke in eben diesem Gerät in Ihr Netzwerk eindringt: Weiß Ihr Team, wen es als Erstes anrufen muss?
Die ehrliche Antwort fällt vielen Kanzleiinhabern schwer – nicht weil sie das Thema ignoriert haben, sondern weil ein schriftlicher Notfallplan schlicht noch nicht auf der Tagesordnung stand. Das ist verständlich. Es ist aber auch ein messbares Risiko: Die US-Behörde CISA warnte im Oktober vor aktiv laufenden Angriffen auf Fortinet- und BeyondTrust-Produkte – Geräte, die in vielen Kanzleinetzen den Außenrand sichern.
Was fehlt, ist kein teures System. Was fehlt, ist ein klarer Plan für den Fall, dass etwas passiert.
Ein Fortinet Incident Response Plan ist kein Luxus für Konzerne mit eigener IT-Abteilung – er ist das Minimum, das eine Steuer- oder Anwaltskanzlei braucht, um im Angriffsfall handlungsfähig zu bleiben. Ohne schriftlichen Plan entscheiden Sie unter Druck, mit unvollständigen Informationen und ohne klare Rollenverteilung. Das ist die Ausgangslage, in der die meisten Fehler passieren.
Kanzleien stehen dabei vor einer besonderen Herausforderung: Mandantendaten sind durch das Berufsgeheimnis nach § 203 StGB geschützt, DATEV-Verbindungen laufen über zertifizierte Rechenzentrumskanäle, und der Fristenkalender duldet keinen ungeplanten Stillstand. Ein Cyberangriff, der anderswo nur Unannehmlichkeiten verursacht, kann hier existenzielle Folgen haben. Die Zahlen aus dem BSI Lagebericht Cybersicherheit belegen: Ransomware bleibt eine der größten Bedrohungen, und fehlende Notfallpläne zählen zu den Hauptursachen erfolgreicher Angriffe.
Dieser Beitrag beantwortet die fünf häufigsten Fragen, die Kanzleiinhaber und Geschäftsführer zum Thema Incident Response stellen – von den Mindestinhalten eines Plans über Kosten und Aufwand bis hin zu berufsrechtlichen Pflichten. Ziel ist, dass Sie danach wissen, wo Sie stehen und welchen nächsten Schritt Sie konkret gehen können.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Deutsche Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen | 81 % (Vorjahr: 72 %) | Bitkom Wirtschaftsschutz 2024 |
| Gesamtschaden durch Cyberkriminalität in Deutschland | 266,6 Mrd. € (Vorjahr: 205,9 Mrd. €) | Bitkom Wirtschaftsschutz 2024 |
| Ransomware-Angriffe, die der Polizei in Deutschland gemeldet wurden | 950 gemeldete Fälle | BSI Lagebericht 2024 |
| KMU ohne eigenes IT-Personal (Anteil an allen Gewerbebetrieben) | 99,4 % aller Betriebe sind KMU – Mikro- und Kleinbetriebe oft ohne interne IT | BSI Lagebericht 2024 – KMU-Gefährdungslage |
Fortinet Incident Response Plan: Warum ein Notfallplan für Firewall-Angriffe so viele Fragen aufwirft
Viele Kanzleien verfügen über eine Fortinet-Firewall oder nutzen BeyondTrust für den gesicherten Fernzugriff externer Dienstleister – darunter häufig der IT-Betreuer oder der DATEV-Support. Diese Geräte sind der Türsteher des Netzwerks. Fällt er aus oder wird er kompromittiert, steht der gesamte Betrieb offen.
Dennoch existiert in den meisten Kanzleien kein schriftlicher Fortinet Incident Response Plan. Die häufigste Begründung: „Das macht unser IT-Dienstleister.“ Das ist ein Missverständnis. Ein Incident Response Plan ist kein technisches Dokument – er ist ein Betriebshandbuch für den Ernstfall, das die Geschäftsführung formal verantworten muss. Kein IT-Dienstleister kann diese Verantwortung übernehmen, und kein externer Partner kennt Ihre Kanzleistruktur, Ihre Mandatsarten und Ihre laufenden Fristen besser als Sie selbst.
Hinzu kommt ein berufsrechtlicher Aspekt, der in allgemeinen IT-Ratgebern meist fehlt: Sobald ein externer Dienstleister Zugriff auf Ihr System bekommt – etwa um einen Sicherheitsvorfall zu untersuchen –, greift § 203 StGB. Dieser Paragraf schützt das Berufsgeheimnis von Rechtsanwälten und Steuerberatern. Jede Offenbarung von Mandantendaten gegenüber Dritten bedarf einer sauberen vertraglichen Grundlage. Ein reiner Auftragsverarbeitungsvertrag (AVV) nach DSGVO reicht dafür allein nicht aus – es braucht eine berufsrechtlich konforme Verschwiegenheitsvereinbarung.
Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH begleiten wir Kanzleien bei genau diesen Fragen: Wer darf im Notfall auf welche Systeme zugreifen, und unter welchen Bedingungen? Die technischen Antworten sind dabei meist einfacher zu finden als die organisatorischen. Konkrete Handlungsempfehlungen für den Einstieg:
- Stellen Sie fest, welche Systeme über Ihre Fortinet-Firewall erreichbar sind – DATEV, RA-MICRO, beA/beSt, Fileserver.
- Klären Sie, wer im Notfall als Erster informiert wird – intern und extern (IT-Dienstleister, Datenschutzbeauftragter, ggf. Kammeraufsicht).
- Prüfen Sie, ob mit Ihrem IT-Dienstleister eine Verschwiegenheitsvereinbarung besteht, die § 203 StGB-konform formuliert ist.
- Dokumentieren Sie, welche Personen Administratorrechte auf Ihrer Firewall haben – und ob diese Zugänge durch Mehr-Faktor-Authentifizierung (eine zweistufige Anmeldeprüfung) gesichert sind.
Ein Nordhausen-weiter Branchenvergleich zeigt dasselbe Bild wie bundesweit: Der Plan fehlt nicht wegen Gleichgültigkeit, sondern weil niemand den ersten Schritt klar benennt. Dieser Artikel tut genau das.
Was muss ein Notfallplan zwingend enthalten – und was ist überflüssig?
Das ist die Frage, die wir am häufigsten hören – und sie verdient eine direkte Antwort statt einer Bibliografie. Ein Fortinet Incident Response Plan muss fünf Dinge enthalten, damit er im Ernstfall tatsächlich funktioniert. Alles andere ist zunächst optional.
Rollen und Verantwortlichkeiten: Wer entscheidet, wann ein Vorfall „ernst“ genug ist? Wer darf das System abschalten? Wer informiert die Mandanten? Diese Fragen müssen namentlich beantwortet sein – nicht mit Titeln, sondern mit Personen und deren Mobilnummern für den Fall, dass E-Mail und interne Telefonie nicht mehr erreichbar sind (sogenannte Out-of-Band-Kontakte).
Schweregrade und Incident-Definitionen: Nicht jede Fehlermeldung ist ein Sicherheitsvorfall. Der Plan muss klar unterscheiden: Wann handelt es sich um eine kritische Kompromittierung (z. B. aktive Angreifer im Netz), wann um eine potenzielle Schwachstelle (z. B. ein ungepatchtes Gerät), wann um einen technischen Ausfall ohne Sicherheitsbezug?
Kommunikationsprozeduren: Wer informiert wen – und wann? Kanzleien haben hier zusätzliche Pflichten: Bei einem Datenschutzverstoß mit Mandantendaten läuft die Meldefrist gegenüber der zuständigen Aufsichtsbehörde. Diese Frist beginnt, sobald der Verantwortliche Kenntnis vom Vorfall hat.
Systemdokumentation: Ohne eine aktuelle Übersicht, welche Geräte im Netz hängen, welche IP-Adressen die Firewall hat und wo die Backup-Kopien liegen, ist jede Wiederherstellung ein Ratespiel. Diese Dokumentation gehört zum Plan – und muss offline verfügbar sein.
Wiederanlaufprioritäten: Welches System muss zuerst wieder laufen? Für eine Steuerkanzlei ist das in Fristenspitzen eindeutig die DATEV-Verbindung – nicht die interne Ablage. Für eine Anwaltskanzlei kann es das beA (besonderes elektronisches Anwaltspostfach) sein. Das muss schriftlich festgehalten sein, bevor der Ernstfall eintritt.
Die IT-Sicherheitslösungen der TTG GmbH orientieren sich an genau diesen Mindestinhalten. Konkrete erste Schritte:
- Legen Sie eine einseitige Rollenliste an – Name, Aufgabe im Notfall, Mobilnummer.
- Definieren Sie drei Schweregrade (z. B. Grün/Gelb/Rot) und beschreiben Sie je ein Beispiel.
- Notieren Sie die Meldefristen: DSGVO-Meldepflicht bei Datenpanne, Kammeraufsicht bei Berufsrechtsverstößen.
- Erstellen Sie eine Systemübersicht (ein einfaches Tabellenblatt reicht) und lagern Sie eine Kopie offline.
- Bestimmen Sie die drei wichtigsten Systeme nach Wiederanlaufpriorität.
Was passiert technisch bei einem Angriff auf Fortinet – und was bedeutet das für meinen Betrieb?
Diese Frage klingt nach Technik, ist aber eine Organisationsfrage. Ein Fortinet Incident Response Plan muss nicht erklären, wie ein Angriff funktioniert – aber er muss beschreiben, was Ihr Betrieb dann konkret erlebt und wie Sie reagieren.
Wenn Angreifer eine Schwachstelle in einer Fortinet-Firewall ausnutzen, verschaffen sie sich typischerweise Zugang zum Netzwerk. Von dort aus können sie sich weiterbewegen: zu Dateiservern, zu DATEV-Verbindungen, zu Kanzleisoftware wie RA-MICRO. In vielen Fällen wird zunächst nichts sichtbar – die Angreifer beobachten und sammeln Zugangsdaten, bevor sie aktiv werden. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt diesen Ablauf im BSI Lagebericht 2024 als typisches Muster bei Ransomware-Vorfällen.
Was das für Ihre Kanzlei bedeutet: Wenn Ransomware (Erpressungssoftware, die Daten verschlüsselt) aktiviert wird, sind häufig alle Geräte im Netz gleichzeitig betroffen – Arbeitsplätze, Server, Backup-Systeme, die ans selbe Netz angeschlossen sind. Mandantenakten, Fristenkalender, steuerliche Unterlagen – alles verschlüsselt und damit nicht mehr zugänglich. Ohne funktionierendes, getrenntes Backup ist eine Wiederherstellung in Tagen oder Wochen unrealistisch.
Für die Praxis entscheidend ist eine einzige Frage: Liegt Ihr Backup-System so, dass Angreifer es vom selben Zugangspunkt aus erreichen können? Wenn ja, ist es kein echtes Backup im Notfall. Eine Sichere IT-Infrastruktur für KMU – TTG GmbH trennt diese Bereiche bewusst.
Konkrete Punkte, die Sie heute prüfen können:
- Fragen Sie Ihren IT-Dienstleister: Ist das Backup-System vom Hauptnetz getrennt (sogenannte Air-Gap- oder Offline-Sicherung)?
- Klären Sie, wie lange eine vollständige Wiederherstellung Ihrer wichtigsten Systeme dauern würde – und ob das mit Ihren laufenden Fristen vereinbar ist.
- Prüfen Sie, ob Ihr Fernzugangs-Tool (z. B. BeyondTrust für Ihren IT-Dienstleister) durch Mehr-Faktor-Authentifizierung geschützt ist.
- Stellen Sie sicher, dass Patches – also Sicherheitsupdates – für Ihre Firewall in einem definierten Zeitfenster eingespielt werden. Kritische Lücken sollten innerhalb von 14 Tagen geschlossen sein.
- Fragen Sie nach „Virtual Patching“ als Übergangslösung: Damit kann eine akute Schwachstelle vorübergehend abgesichert werden, bis das eigentliche Update eingespielt ist.
Was kostet ein Notfallplan – und was kostet es, keinen zu haben?
Diese Frage verdient eine ehrliche Antwort – ohne Marketingrechnung. Ein schriftlicher Fortinet Incident Response Plan für eine Kanzlei mit 5 bis 30 Mitarbeitern lässt sich in zwei bis drei Arbeitstagen erstellen, wenn ein IT-Dienstleister die technische Dokumentation liefert und die Kanzleileitung die organisatorischen Festlegungen trifft. Der Aufwand für die externe Begleitung liegt je nach Umfang und Ausgangslage typischerweise im vierstelligen Bereich – einmalig.
Was regelmäßig anfällt: Die Mehr-Faktor-Authentifizierung für Logins kostet ab 0 €/Monat, wenn Sie bereits Microsoft-Produkte nutzen (Microsoft Authenticator ist kostenlos). Ein halbjährliches Review des Plans bindet intern ein bis zwei Stunden, extern ähnliches. Eine jährliche Tabletop-Übung – das strukturierte Durchspielen eines Angriffsszenarios als Tischrunde ohne echtes System – dauert zwei bis vier Stunden und kostet hauptsächlich Zeit.
Auf der anderen Seite: Der Gesamtschaden durch Cyberkriminalität in Deutschland ist innerhalb eines Jahres von 205,9 Mrd. € auf 266,6 Mrd. € gestiegen (Bitkom 2024) – ein Anstieg von fast 30 %. Für eine einzelne Kanzlei bedeutet ein erfolgreicher Ransomware-Angriff ohne Notfallplan erfahrungsgemäß mehrere Wochen Ausfall, Kosten für externe Forensik, mögliche Bußgelder und im schlimmsten Fall Regressansprüche von Mandanten, wenn Fristen versäumt wurden.
Eine Entscheidungshilfe:
| Situation | Empfehlung | Warum |
|---|---|---|
| Kein Notfallplan vorhanden | Sofort starten – Rollenliste als ersten Schritt | Auch ein einfaches Dokument ist besser als gar keines |
| Plan vorhanden, aber nicht getestet | Tabletop-Übung einplanen | Ungetestete Pläne versagen oft an unerwarteten Stellen |
| Plan vorhanden und getestet | Halbjährliches Review sicherstellen | Personalwechsel und neue Systeme machen Pläne schnell veraltet |
| MFA noch nicht aktiviert | Privilegierte Accounts zuerst absichern | VPN und Admin-Zugänge sind das häufigste Einfallstor |
Konkrete Schritte für Ihre Kanzlei:
- Holen Sie ein konkretes Angebot für die Erstellung eines Incident Response Plans ein – nicht für ein Rundum-Sicherheitspaket, sondern nur für den Plan.
- Aktivieren Sie Mehr-Faktor-Authentifizierung für alle privilegierten Konten noch diese Woche.
- Fragen Sie Ihren IT-Dienstleister nach den IT-Dienstleistungen der TTG GmbH, wenn Sie noch keinen strukturierten Ansprechpartner haben.
- Planen Sie eine erste Tabletop-Übung – ein Nachmittag reicht für den Start.
Welche rechtlichen Pflichten gelten – und was ist wirklich Mythos?
Rund um das Thema Datenschutz und IT-Sicherheit kursieren in Kanzleien einige hartnäckige Missverständnisse. Ein Fortinet Incident Response Plan hilft hier nicht nur technisch, sondern auch rechtlich – weil er dokumentiert, dass Ihr Betrieb im Ernstfall geordnet handelt.
Mythos 1: „Ein AVV reicht, damit mein IT-Dienstleister ins System darf.“
Falsch. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt die datenschutzrechtliche Seite. Für Steuerberater und Rechtsanwälte gilt zusätzlich § 203 StGB – das Berufsgeheimnis. Wenn ein IT-Techniker im Rahmen eines Sicherheitsvorfalls Einblick in Mandantendaten erhält, braucht es eine berufsrechtlich konforme Verschwiegenheitsvereinbarung, die explizit auf das Berufsgeheimnis Bezug nimmt. Das ist ein separates Dokument – kein AVV-Anhang.
Mythos 2: „Bei einem Angriff muss ich nur intern reagieren.“
Falsch. Sobald personenbezogene Daten von Mandanten betroffen sind, greift die DSGVO-Meldepflicht. Die Meldefrist ist eng. Zusätzlich können berufsrechtliche Meldepflichten gegenüber der zuständigen Kammer bestehen. Ein Incident Response Plan, der diese Meldewege nicht enthält, ist unvollständig.
Mythos 3: „GoBD und Aufbewahrungsfristen sind nur ein Steuerthema.“
Falsch. Wenn bei einem Angriff Daten verloren gehen, die nach der Abgabenordnung (AO) aufbewahrungspflichtig sind, entsteht ein Compliance-Problem unabhängig vom Angriff selbst. Ihr Fortinet Incident Response Plan muss deshalb auch die Frage beantworten: Welche Datenkategorien sind aufbewahrungspflichtig, wo liegen sie, und wie ist ihre Wiederherstellung sichergestellt?
Was wirklich gilt:
- Prüfen Sie, ob Ihre Verschwiegenheitsvereinbarung mit IT-Dienstleistern § 203 StGB ausdrücklich adressiert – nicht nur die DSGVO.
- Halten Sie im Notfallplan fest, wer die DSGVO-Meldung auslöst und bis wann.
- Dokumentieren Sie, welche Daten unter die AO-Aufbewahrungsfristen fallen und wie diese Daten im Backup abgesichert sind.
- Stellen Sie sicher, dass die Geschäftsführung den Plan formal unterzeichnet – damit die Verantwortung klar zugeordnet ist.
- Konsultieren Sie bei Unsicherheit zur Berufsrechtspflicht Ihre zuständige Kammer oder einen auf IT-Recht spezialisierten Anwalt.
Weitere Orientierung bieten die Über TTG GmbH – Ihr regionaler IT-Partner Seite sowie das BSI – IT-Grundschutz für Unternehmen, das konkrete Maßnahmen für den Umgang mit Sicherheitsvorfällen beschreibt.
Brauche ich wirklich Fortinet – oder tut es auch eine günstigere Alternative?
Diese Frage stellen vor allem Kanzleien, die bisher mit einer einfacheren Firewall oder einer reinen Software-Lösung gearbeitet haben. Die Antwort ist differenzierter, als Hersteller sie gerne darstellen: Für die meisten Steuer- und Anwaltskanzleien unter 30 Mitarbeitern ist die Frage nicht „Fortinet oder nicht Fortinet“ – die entscheidende Frage ist, ob überhaupt ein dediziertes Perimeterschutzgerät (also ein Gerät, das das Netzwerk nach außen absichert) vorhanden ist und ob es gepflegt wird.
Typisch ist folgende Konstellation: Eine Kanzlei mit 8 bis 15 Mitarbeitern betreibt eine Fortinet-Firewall, die vor drei oder vier Jahren eingerichtet wurde. Updates werden eingespielt, wenn der IT-Dienstleister ohnehin vor Ort ist. Einen schriftlichen Fortinet Incident Response Plan gibt es nicht. BeyondTrust oder ein vergleichbares Remote-Support-Tool ist eingerichtet, damit der IT-Dienstleister von außen helfen kann – mit Vollzugriff, ohne protokollierte Sitzungsaufzeichnung. Genau das war in mehreren bekannten Angriffsfällen das Einfallstor.
In Nordhausen und umliegenden Regionen sehen wir dieselbe Konstellation regelmäßig bei Steuerkanzleien, die ihre DATEV-Infrastruktur über eine solche Kombination absichern. Das Problem ist nicht das Produkt – es ist das fehlende Patch-Fenster und der fehlende Plan.
Eine Alternative zu Fortinet kann sinnvoll sein, wenn:
- die vorhandene Hardware das Ende des Hersteller-Supports erreicht hat und keine Sicherheitsupdates mehr erhält,
- der Dienstleister die Lösung nicht mehr kompetent betreuen kann,
- die Kanzlei vollständig in die Microsoft-Cloud wechselt und physische Netzwerksegmentierung abnimmt.
Unabhängig vom Produkt gilt: Ohne einen Fortinet Incident Response Plan – oder dessen Äquivalent für das jeweilige Gerät – bleibt auch die beste Firewall ein ungenutztes Sicherheitspotenzial. Die TTG GmbH begleitet Kanzleien seit über 25 Jahren dabei, solche Lücken zu schließen – mit Blick auf das Gesamtsystem, nicht auf einzelne Produkte.
Weiterführende Orientierung bietet der Bitkom-Bericht Wirtschaftsschutz 2024, der zeigt, wie stark der Schadensanstieg durch Cyberangriffe auch kleinere Betriebe trifft. Für Kanzleien, die ihren Status quo prüfen möchten: Jetzt unverbindlich Kontakt aufnehmen.
Das Wichtigste auf einen Blick: Fünf Erkenntnisse für Kanzleiinhaber
Dieser Beitrag hat fünf Fragen beantwortet, die Kanzleiinhaber zum Thema Incident Response regelmäßig stellen. Hier die Kernpunkte – kompakt und ohne Wiederholung.
1. Ein Plan ist kein IT-Dokument, sondern eine Führungsentscheidung.
Der Fortinet Incident Response Plan muss von der Geschäftsführung formal genehmigt und unterzeichnet sein. Wer diese Verantwortung vollständig an den IT-Dienstleister delegiert, trägt sie trotzdem – nur ohne Struktur.
2. Berufsrecht und DSGVO sind zwei getrennte Baustellen.
Ein AVV allein reicht nicht. Für Kanzleien braucht es zusätzlich eine Verschwiegenheitsvereinbarung, die § 203 StGB explizit adressiert. Ohne diese Vereinbarung bewegt sich jeder IT-Dienstleisterzugriff im rechtlichen Graubereich.
3. Der Fristenkalender bestimmt das Timing – nicht der Hersteller.
Wartungsfenster für Patches müssen so gelegt werden, dass sie Fristenspitzen meiden. Für Steuerkanzleien sind das typischerweise Zeiträume rund um Jahresabschlüsse. Wer das nicht plant, wird im Ernstfall zwischen Sicherheitsupdate und Fristversäumnis wählen müssen.
4. Mehr-Faktor-Authentifizierung ist der günstigste Schutz mit sofortiger Wirkung.
VPN-Zugänge, Firewall-Administrationszugänge und Cloud-Dienste lassen sich heute mit kostenlosen Authenticator-Apps absichern. Das ist kein großes Projekt – das ist eine Einstellung, die in einem Nachmittag erledigt werden kann.
5. Ungetestete Pläne sind keine Pläne.
Ein Dokument, das nie geprobt wurde, gibt in der Krisensituation falsche Sicherheit. Eine jährliche Tabletop-Übung – zwei bis vier Stunden, kein echtes System, nur Fragen und Antworten – zeigt, wo der Fortinet Incident Response Plan Lücken hat, bevor der Ernstfall sie aufdeckt.
Konkrete nächste Schritte:
- Prüfen Sie, ob ein schriftlicher Notfallplan existiert – und wann er zuletzt aktualisiert wurde.
- Sichern Sie privilegierte Zugänge mit Mehr-Faktor-Authentifizierung.
- Klären Sie die Verschwiegenheitsvereinbarung mit Ihrem IT-Dienstleister.
- Legen Sie ein Patch-Fenster fest, das Fristenspitzen berücksichtigt.
- Planen Sie eine erste Tabletop-Übung – idealerweise mit dem Szenario „Firewall kompromittiert“.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie, ob ein schriftlicher Fortinet Incident Response Plan in Ihrer Kanzlei existiert – und wer ihn formal verantwortet.
- Aktivieren Sie Mehr-Faktor-Authentifizierung für alle privilegierten Konten: Firewall-Administration, VPN, DATEV SmartLogin und Cloud-Dienste.
- Stellen Sie sicher, dass Ihre Verschwiegenheitsvereinbarung mit dem IT-Dienstleister § 203 StGB ausdrücklich adressiert – nicht nur die DSGVO.
- Dokumentieren Sie eine Rollenliste: Wer macht was im Notfall, und wie ist diese Person erreichbar, wenn E-Mail und interne Telefonie ausgefallen sind?
- Definieren Sie ein Patch-Fenster für kritische Sicherheitsupdates Ihrer Firewall – außerhalb von Fristenspitzen und Jahresabschlusszeiten.
- Fragen Sie Ihren IT-Dienstleister, ob Ihr Backup-System vom Hauptnetz getrennt gespeichert ist und wie lange eine Wiederherstellung dauern würde.
- Planen Sie eine Tabletop-Übung für dieses Jahr – zwei bis vier Stunden mit dem Szenario „Fortinet-Firewall kompromittiert“.
- Legen Sie fest, welche Meldepflichten im Ernstfall greifen (DSGVO, ggf. Kammer) und wer in Ihrer Kanzlei diese Meldung auslöst.
Häufig gestellte Fragen
Wie lange dauert es, einen Incident Response Plan zu erstellen?
Ein funktionsfähiger erster Entwurf ist in zwei bis drei Arbeitstagen erreichbar – vorausgesetzt, die technische Dokumentation (Systemübersicht, Zugangslisten, Backup-Struktur) liegt vor. Den größten Zeitanteil nimmt nicht das Schreiben ein, sondern das Herbeiführen von Entscheidungen: Wer ist verantwortlich? Welche Systeme haben Priorität? Diese Klärung ist Führungsaufgabe und kann nicht vollständig delegiert werden.
Muss mein IT-Dienstleister eine besondere Vereinbarung unterschreiben, bevor er im Notfall auf DATEV zugreift?
Ja – und das ist eine Frage, die viele Kanzleien bisher nicht gestellt haben. Ein Auftragsverarbeitungsvertrag (AVV) nach DSGVO regelt den datenschutzrechtlichen Rahmen. Für den Zugriff auf Mandantendaten durch externe Techniker braucht es zusätzlich eine Verschwiegenheitsvereinbarung, die § 203 StGB ausdrücklich benennt. Fehlt dieses Dokument, bewegt sich der Zugriff im berufsrechtlichen Graubereich – unabhängig davon, wie vertrauenswürdig der Dienstleister ist.
Was passiert mit meinen GoBD-pflichtigen Daten, wenn ein Angriff sie verschlüsselt?
Wenn Daten, die nach der Abgabenordnung aufbewahrungspflichtig sind, durch einen Angriff verloren gehen oder unlesbar werden, entsteht ein eigenständiges Compliance-Problem. Die steuerrechtliche Aufbewahrungspflicht erlischt nicht durch den Angriff. Ihr Incident Response Plan sollte deshalb explizit festhalten, welche Datenkategorien unter GoBD fallen, wo sie gespeichert sind und wie sie im Backup gesichert werden.
Können wir eine Tabletop-Übung auch intern ohne externen Berater durchführen?
Ja, für eine erste Übung reicht das. Wichtig ist ein klares Szenario (z. B. „Die Fortinet-Firewall zeigt unbekannte Verbindungen – was tun?“), ein Moderator aus dem eigenen Team und eine schriftliche Nachbereitung der identifizierten Lücken. Ein externer Begleiter ist hilfreich, wenn Sie die Ergebnisse direkt in einen aktualisierten Plan überführen möchten oder wenn das erste Durchspielen zeigt, dass grundlegende Festlegungen noch fehlen.
Müssen wir den Notfallplan der Kanzleikammer melden?
Eine generelle Meldepflicht für den Plan selbst besteht nicht. Was jedoch gemeldet werden muss, ist ein tatsächlicher Sicherheitsvorfall, bei dem Mandantendaten betroffen sind – gegenüber der Datenschutzaufsichtsbehörde innerhalb der DSGVO-Frist. Kammern können zusätzliche berufsrechtliche Informationspflichten haben. Klären Sie das im Vorfeld mit Ihrer zuständigen Rechtsanwalts- oder Steuerberaterkammer, damit Sie im Ernstfall keine Zeit mit dieser Frage verlieren.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, wen in Ihrer Kanzlei jemand anrufen würde – und was als nächstes passiert – wenn Ihre Firewall morgen früh kompromittiert ist?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
