Mitarbeiter-Sensibilisierung IT-Sicherheit in Steuer- und Anwaltskanzleien: Architektur, Konfiguration und Betrieb
Inhaltsverzeichnis
Veröffentlicht: 28. Oktober 2026 · Lesezeit: ca. 12 Minuten
Eine Steuerfachangestellte erhält eine E-Mail, die täuschend echt aussieht: Absender scheinbar DATEV, Betreff „Pflichtupdate SmartLogin – Handlung erforderlich“, Text ohne einen einzigen Rechtschreibfehler, Corporate Design stimmig. Sie klickt auf den Link, gibt ihre Zugangsdaten ein – und hat damit den Weg für einen Angreifer in die Kanzleiumgebung freigemacht. Kein spektakuläres Hacker-Kino, sondern ein Ablauf, der sich täglich wiederholt. Genau solche Szenarien bilden den Kern einer wirksamen Mitarbeiter-Sensibilisierung IT-Sicherheit: Angriffsmuster kennen, bevor sie treffen. Die klassische Erkennungsregel „Achten Sie auf Rechtschreibfehler“ greift hier schlicht nicht mehr – KI-generierte Spearphishing-Mails sind mittlerweile sprachlich einwandfrei, wie das CYBERsicher Lagebild der Transferstelle Cybersicherheit im Mittelstand belegt.
Die Mitarbeiter-Sensibilisierung IT-Sicherheit ist in Steuer- und Anwaltskanzleien technisch anspruchsvoller als in vielen anderen Branchen. Mandantendaten unterliegen dem Berufsgeheimnis nach §203 StGB, Fristen aus Fristenkalender und GoBD dulden keine ungeplanten Ausfälle, und Systeme wie DATEV, beA oder RA-MICRO sind eng in externe Infrastrukturen eingebunden. Ein Sensibilisierungsprogramm muss diese Abhängigkeiten kennen – sonst schult es an der betrieblichen Realität vorbei.
Die Lage hat sich verschärft: Nur rund 55 % der befragten Unternehmen bewerteten ihre Sicherheitsschulungen in einer Erhebung mit 1.190 Betrieben mit Schulnote 3 oder besser – beim Backup-Management waren es 81 % (CYBERsicher Lagebild, Transferstelle Cybersicherheit im Mittelstand). Gleichzeitig hat das BSI-Gesetz mit §30 und §38 die Messlatte rechtlich angehoben: Schulungen müssen dokumentiert, regelmäßig wiederholt und von der Geschäftsleitung aktiv mitgetragen werden.
Dieser Artikel beschreibt, wie ein technisch belastbares Sensibilisierungsprogramm für Kanzleien aufgebaut ist – von der Systemarchitektur über Konfigurationsdetails bis zum laufenden Monitoring. Die Abschnitte richten sich an IT-Verantwortliche und Administratoren, die ein fertiges Konzept umsetzen wollen, nicht an Einsteiger.
Mitarbeiter-Sensibilisierung IT-Sicherheit: Systemarchitektur: Wie Sensibilisierungsprogramme in der Kanzlei-IT technisch verankert werden
Mitarbeiter-Sensibilisierung IT-Sicherheit ist kein Webinar-Tool, das man einfach danebenstellt. In einer Kanzlei mit DATEV-Rechenzentrumsanbindung, beA-Postfach und RA-MICRO-Datenbankserver bildet das Sensibilisierungsprogramm einen eigenständigen Layer im Sicherheitskonzept – parallel zu technischen Kontrollen wie Firewall-Regeln, MFA und Endpunktschutz.
Technisch besteht ein vollständiges Programm aus drei Komponenten: einer Schulungsplattform (LMS oder SaaS-Dienst), einem Phishing-Simulations-Backend und einer Dokumentations- bzw. Reporting-Schicht. Diese Komponenten kommunizieren über definierte Schnittstellen miteinander und – wo automatisiert – mit dem Active Directory oder Azure AD der Kanzlei.
Die DATEV SmartLogin-Infrastruktur etwa nutzt SAML 2.0 für die Authentifizierung. Ein Sensibilisierungsprogramm, das Phishing-Mails rund um gefälschte DATEV-Loginseiten simuliert, muss wissen, wie echte DATEV-URLs aufgebaut sind (z. B. login.datev.de), damit die Simulation realistisch ist – und gleichzeitig sichergestellt sein, dass Testemails die DATEV-Spam-Filter nicht dauerhaft trainieren. Whitelist-Einträge im E-Mail-Gateway sind daher Pflicht, bevor die erste Simulation startet.
Die TTG GmbH implementiert solche Programme als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH nach einem festgelegten Architekturmuster:
- Active Directory-Gruppen für Schulungszuordnung anlegen (z. B.
SEC_TRAINING_MANDATORY,SEC_TRAINING_DONE) - Phishing-Simulation mit dedizierter Absender-Domain betreiben – niemals über produktive Kanzleidomain
- E-Mail-Gateway (z. B. Exchange Online Protection oder Sophos Email) mit Simulation-IP whitelisten, Eintrag dokumentieren
- Schulungsplattform per SSO an Azure AD anbinden, sofern Kanzlei Microsoft 365 nutzt
- Reporting-Daten getrennt von Mandantendaten speichern – eigener Datenbankserver oder SaaS-Tenant mit EU-Rechenzentrum
Kanzleien in Leinefelde-Worbis und Umgebung, die DATEV Unternehmen online aktiv nutzen, sollten prüfen, ob ihr E-Mail-Routing über DATEV-eigene Relays läuft – das beeinflusst, welche IP-Ranges whitelistet werden müssen.
Voraussetzungen: Lizenzen, Versionen und Schnittstellen, die Sie kennen müssen
Bevor ein Schulungssystem produktiv geht, sind technische Voraussetzungen zu prüfen. Dieser Abschnitt listet die relevanten Abhängigkeiten für typische Kanzlei-Umgebungen.
GoPhish (Open Source): Aktuell stabile Version ist 0.12.1 (GitHub-Stand). GoPhish läuft als einzelner Go-Binary auf Linux oder Windows Server, benötigt Port 3333 für das Admin-Interface und Port 80/443 für Phishing-Landing-Pages. Der SMTP-Listener hört standardmäßig auf Port 25. Für Produktivbetrieb empfehlen wir TLS-Terminierung via Reverse-Proxy (nginx oder Caddy) und eine dedizierte VM – kein geteilter Server mit produktiven Diensten. GoPhish ist kostenlos, der Administrationsaufwand liegt bei ca. 4–6 Stunden für Erstkonfiguration.
Kommerzielle Plattformen (z. B. KnowBe4, Proofpoint Security Awareness, Hornetsecurity Awareness Service): Preisrahmen 15–30 €/User/Jahr. Diese Lösungen bringen Azure AD / Entra ID-Konnektoren mit, die eine automatische Benutzersynchronisation über SCIM 2.0 oder Microsoft Graph API ermöglichen. Für Kanzleien mit mehr als 15 Mitarbeitenden rechnet sich der geringere Administrationsaufwand dieser Lösungen in der Regel ab.
Microsoft 365-Voraussetzungen: Microsoft Defender for Office 365 Plan 2 enthält den „Attack Simulator“ (jetzt: Microsoft Defender – Angriffssimulationstraining). Dieses Feature erfordert mindestens die Lizenz Microsoft 365 E5 oder das Add-on Microsoft Defender for Office 365 Plan 2. Die Konfiguration erfolgt im Security-Portal unter Email & collaboration → Attack simulation training.
Für IT-Sicherheitslösungen der TTG GmbH in Kanzlei-Umgebungen prüfen wir folgende Punkte vor jedem Rollout:
- beA-Postfach-Anbindung: Nutzt die Kanzlei den beA-Client lokal oder browserbasiert? Bei lokalem Client ist zu klären, ob Phishing-Simulationen beA-ähnliche Absenderadressen verwenden dürfen – berufsrechtlich heikel, daher in der Regel ausschließen.
- DATEV SmartLogin-Version prüfen: SmartLogin ab Version 1.14 unterstützt FIDO2/Passkeys – falls noch nicht umgestellt, ist MFA-Schwäche ein eigenständiges Schulungsthema.
- RA-MICRO-Umgebungen: Prüfen, ob der RA-MICRO-Datenbankserver (MS SQL) über das Kanzleinetz erreichbar ist oder als Cloud-Variante betrieben wird – das beeinflusst, welche Angriffsvektoren in Simulationen realistisch sind.
- E-Mail-Gateway-Logs: Sicherstellen, dass Simulationsemails in Logs als solche markierbar sind (Header-Injection:
X-Phishing-Simulation: true)
Der BSI – IT-Grundschutz für Unternehmen listet im Baustein ORP.3 konkrete Mindestanforderungen an Sensibilisierungsmaßnahmen, die als Checkliste für die Voraussetzungsprüfung taugen.
Konfiguration: Einstellungen, Pfade und Parameter mit Begründung
Die technische Konfiguration der Mitarbeiter-Sensibilisierung IT-Sicherheit entscheidet darüber, ob Simulationen rechtssicher und aussagekräftig sind. Nachfolgend konkrete Einstellungen für die gängigsten Szenarien.
GoPhish – Grundkonfiguration:
config.json:"admin_server": { "listen_url": "127.0.0.1:3333" }– Admin-Interface ausschließlich auf Localhost binden, kein direkter Internetzugang- SMTP-Profil: Eigene Phishing-Domain (z. B.
kanzlei-update-info.de) mit SPF- und DKIM-Einträgen konfigurieren, sonst landen Mails im Spam – was die Simulation verfälscht - Landing Page: Redirect nach erfolgtem Klick auf neutrale Schulungsseite, nicht auf echte Anmeldeformulare – verhindert versehentliche Credential-Erfassung
Microsoft Defender – Attack Simulation Training:
Pfad im Security-Portal: Microsoft Defender → Email & collaboration → Attack simulation training → Simulations. Empfohlene Einstellungen:
- Simulation-Typ „Credential Harvest“ für DATEV- oder Microsoft-365-Login-Fakes wählen
- Ausschluss-Gruppe für Administratoren anlegen (Exclude these users and groups), damit IT-Team nicht in Auswertung verfälscht
- Trainings-Zuweisung automatisch auf Klicker: Assign training → Automatically assign training to users who click
- Melderate (Reported Rate) in den Simulation-Reports als KPI definieren – Zielwert: >30 % Meldung innerhalb 24 h
IT-Sicherheitsrichtlinie – Mindestinhalte für Kanzleien: Das BSI stellt unter dem Baustein ORP.3 kostenlose Vorlagen bereit. Für Kanzleien ergänzen Sie zwingend: Umgang mit DATEV-Zugangsdaten, Weitergabeverbot für beA-Zertifikat-Passwörter, Meldepflicht bei Vorfällen mit Mandantendaten (§203 StGB-Bezug explizit benennen). Einmalaufwand für Erstellung und interne Abstimmung: ca. 4–8 Stunden.
Die Sichere IT-Infrastruktur für KMU – TTG GmbH setzt Schulungsinfrastruktur grundsätzlich netzwerksegmentiert auf – Schulungs-VMs in einem eigenen VLAN (z. B. VLAN 50), das keine direkte Route zu produktiven Kanzleidaten hat. Das verhindert, dass ein Fehler bei der Simulation-Konfiguration zur tatsächlichen Gefährdung der Mandantendaten führt.
Dokumentieren Sie jede Simulationskampagne mit Datum, Zielgruppe, Klickrate und Schulungsmaßnahme – diese Logs sind bei Behördenanfragen nach §30 BSI-Gesetz vorlegungspflichtig.
Grenzfälle und bekannte Probleme: Was in der Praxis tatsächlich bricht
Mitarbeiter-Sensibilisierung IT-Sicherheit scheitert in Kanzlei-Umgebungen häufiger an technischen Grenzfällen als am fehlenden Willen. Hier sind die Stolperstellen, die wir wiederholt beobachten.
Problem 1 – Phishing-Mails landen im Spam: Wenn die Simulations-Domain nicht korrekt mit SPF (v=spf1 ip4:[SimIP] -all), DKIM und DMARC konfiguriert ist, filtert Exchange Online oder der vorgelagerte Gateway die Testemails raus. Ergebnis: 0 % Klickrate – nicht weil alle Mitarbeitenden aufmerksam sind, sondern weil niemand die Mail gesehen hat. Prüfen Sie Delivery-Logs im Exchange Admin Center unter Mail flow → Message trace.
Problem 2 – Safelinks zerstören Klick-Tracking: Microsoft Defender for Office 365 schreibt URLs in Safelinks um (https://safelinks.protection.outlook.com/?url=...). GoPhish-Tracking-Pixel und Klick-Logging funktionieren dann nicht korrekt. Lösung: Simulations-Domain in der Safelinks-Ausnahmeliste eintragen – im Security-Portal unter Policies & rules → Threat policies → Safe Links → Manage URLs.
Problem 3 – DATEV-Rechenzentrum-Proxy blockiert Landing Pages: Kanzleien, die DATEV-Arbeitsplätze über den DATEV-eigenen Internet-Proxy betreiben, können auf Phishing-Landing-Pages möglicherweise gar nicht zugreifen – die Simulation misst dann nicht das Verhalten der Mitarbeitenden, sondern die Proxy-Konfiguration. Testen Sie Landing-Page-Erreichbarkeit explizit vom DATEV-Arbeitsplatz aus, bevor die Kampagne startet.
Problem 4 – Fristenkalender-Konflikte: Senden Sie Simulationen niemals in Spitzenlastzeiten – Jahresabschluss-Hochphase im Frühjahr oder rund um Steuererklärungsfristen. Mitarbeitende unter Zeitdruck klicken erfahrungsgemäß häufiger, was die Ergebnisse verzerrt und zu unfair positiven Befunden für Angreifer führt. Legen Sie im Schulungskalender explizite Sperrzeiten fest.
Problem 5 – Haftungslücke bei Dienstleisterzugriff: Wenn externe Trainer oder SaaS-Anbieter Zugriff auf Schulungsberichte mit Mitarbeiternamen und Klickdaten erhalten, greift §203 StGB nur dann nicht, wenn die Schulungsdaten keine Mandantendaten enthalten. Prüfen Sie, ob Berichte anonymisierbar sind. Wichtiger: Der Schulungsanbieter braucht berufsrechtlich nicht nur einen AVV nach DSGVO, sondern eine explizite Verschwiegenheitsvereinbarung – das ist ein eigenständiger Vertragspunkt, den viele Standard-MSA nicht enthalten.
Die IT-Dienstleistungen der TTG GmbH beinhalten bei Kanzlei-Projekten standardmäßig die Prüfung dieser Vertragslage vor Projektstart.
Betrieb und Monitoring: Woran Sie erkennen, dass das Programm funktioniert
Ein Sensibilisierungsprogramm, das läuft, aber nicht gemessen wird, ist kein Programm – es ist eine Ausgabe. Mitarbeiter-Sensibilisierung IT-Sicherheit braucht definierte KPIs und technische Monitoring-Infrastruktur, um Wirkung nachzuweisen.
KPIs, die zählen:
- Phishing-Klickrate: Prozentualer Anteil der Empfänger, die den Simulationslink geklickt haben. Ausgangswert oft 20–35 %, Zielwert nach 12 Monaten: unter 10 %.
- Melderate: Anteil der Mitarbeitenden, die die Simulationsmail aktiv als verdächtig gemeldet haben (z. B. über einen „Report Phishing“-Button in Outlook). Dieser Wert ist relevanter als die Klickrate – er misst aktives Sicherheitsbewusstsein.
- Schulungsabschlussquote: Anteil der zugewiesenen Nutzer, die ein Modul vollständig abgeschlossen haben. Zielwert: 95 %+ innerhalb von 14 Tagen nach Zuweisung.
- Wiederholungsklicker: Nutzer, die in mehreren aufeinanderfolgenden Kampagnen klicken – diese brauchen individuellere Maßnahmen, nicht nur ein weiteres Modul.
Technisches Monitoring: Verbinden Sie die Schulungsplattform mit Ihrem SIEM oder zumindest mit dem zentralen Log-System. GoPhish exportiert Kampagnenergebnisse über eine REST-API (GET /api/campaigns/{id}/results), die sich in Splunk, Elastic oder ein einfaches PowerShell-Skript einlesen lässt. Kommerzielle Plattformen liefern in der Regel fertige SIEM-Konnektoren.
Schulungsrhythmus laut §30 BSI-Gesetz: Einmalige Jahresschulungen reichen rechtlich nicht mehr aus. Empfohlen und gesetzeskonform ist ein Zyklus aus quartalsweisen Kurzmodulen (ca. 15–30 Minuten) plus zwei bis drei Phishing-Simulationen pro Jahr. Die Dokumentation jeder Maßnahme – Datum, Teilnehmerliste, Inhalt, Ergebnis – ist Pflichtnachweis gegenüber Aufsichtsbehörden und zunehmend auch gegenüber Cyber-Versicherern.
Angesichts aktueller Vorfälle wie der aktiv ausgenutzten Collabora-Lücke in Nextcloud-Servern (heise Security, Oktober 2026) empfehlen wir, Schulungsmodule nicht isoliert zu planen – verknüpfen Sie aktuelle Angriffsmeldungen direkt mit Awareness-Mitteilungen an Ihre Mitarbeitenden. Wer selbst Nextcloud hostet, hat hier doppelten Handlungsbedarf: technisches Patching und interne Kommunikation.
Die TTG GmbH als regionaler IT-Partner erstellt für Kanzleikunden monatliche Kurzberichte aus Simulations- und Schulungsdaten, die direkt für Compliance-Nachweise aufbereitet sind.
Einordnung für Entscheider: Aufwand, Risiko und Budget realistisch bewertet
Mitarbeiter-Sensibilisierung IT-Sicherheit ist für Steuer- und Anwaltskanzleien keine Ermessensfrage mehr. §38 BSI-Gesetz schreibt vor, dass die Geschäftsleitung selbst regelmäßig an Schulungen teilnimmt – wer das nicht dokumentiert, riskiert persönliche Haftung. Viele Kanzleien haben diesen Punkt noch nicht umgesetzt.
Budgetrahmen:
| Situation | Empfehlung | Kostenrahmen |
|---|---|---|
| Bis 10 Mitarbeitende, kein SIEM | GoPhish (Open Source) + BSI-Vorlagen | 0 € Lizenz, ca. 8–12 h Einrichtung |
| 10–30 Mitarbeitende, Microsoft 365 | Microsoft Attack Simulation Training (im E5-Plan enthalten) oder Hornetsecurity | Im Lizenzumfang oder ca. 15–20 €/User/Jahr |
| Über 30 Mitarbeitende, NIS2-relevant | Dedizierte Awareness-Plattform mit SIEM-Integration und Compliance-Reporting | 20–30 €/User/Jahr zzgl. Implementierung |
Lieferkettenrisiko nicht unterschätzen: Auch Kanzleien, die nicht direkt unter NIS2 fallen, können als Zulieferer oder Dienstleister von Mandanten vertragliche Sicherheitsnachweise schulden. Das NISG 2026 in Österreich – in Kraft seit Oktober 2026 – erfasst indirekt auch deutsche Dienstleister, die österreichische Mandanten betreuen. Prüfen Sie Ihre Mandantenverträge auf entsprechende Klauseln.
Unserer Erfahrung nach unterschätzen Kanzleileitungen den laufenden Aufwand: Die Einrichtung ist einmalig überschaubar, aber die Pflege – Kampagnenplanung, Auswertung, Richtlinienaktualisierung, Schulungsrhythmus – erfordert realistisch 1–2 Arbeitstage pro Quartal intern oder einen entsprechenden Dienstleistungsvertrag. Wer das intern nicht leisten kann, sollte das klar einplanen, bevor das erste Behördenaudit kommt.
Weiterführend empfehlen wir den BSI Lagebericht Cybersicherheit sowie die Bitkom-Erhebung, nach der 79 % der Unternehmen bereits regelmäßig schulen – der Umkehrschluss: Wer es nicht tut, wird zur Ausnahme, auf die sich Angreifer konzentrieren (Bitkom zum BSI-Lagebericht).
Die TTG GmbH begleitet Kanzleien in Leinefelde-Worbis und der gesamten Region als Ansprechpartner für IT-Sicherheit – jetzt unverbindlich Kontakt aufnehmen. Als ISO/IEC 27001 zertifiziertes Haus bringen wir die berufsrechtlich geforderte Verschwiegenheitsvereinbarung standardmäßig in jeden Dienstleistungsvertrag mit Kanzleikunden ein.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie, ob Ihre aktuelle Schulungsdokumentation die Anforderungen nach §30 BSI-Gesetz erfüllt – Datum, Teilnehmerliste, Inhalt und Ergebnis müssen je Maßnahme vorliegen.
- Stellen Sie sicher, dass die Geschäftsleitung gemäß §38 BSI-Gesetz selbst als Schulungsteilnehmerin eingetragen und dokumentiert ist.
- Richten Sie eine dedizierte Phishing-Simulations-Domain ein (kein Produktivname der Kanzlei) und konfigurieren Sie SPF, DKIM und DMARC korrekt.
- Tragen Sie die Simulations-Domain in die Ausnahmeliste Ihres E-Mail-Gateways ein und vermerken Sie den Eintrag mit Datum in der Systemdokumentation.
- Aktualisieren Sie Ihre IT-Sicherheitsrichtlinie: Ergänzen Sie DATEV-Zugangsdaten-Schutz, beA-Zertifikat-Weitergabeverbot und die Meldepflicht bei Vorfällen mit Mandantendaten.
- Legen Sie einen Schulungskalender mit quartalsweisen Modulen fest – tragen Sie Sperrzeiten für Fristenspitzen (Jahresabschluss, Steuererklärungsfristen) ein.
- Prüfen Sie den Vertrag mit Ihrem Schulungsanbieter auf eine berufsrechtliche Verschwiegenheitsvereinbarung – ein AVV allein reicht für Kanzleien nicht aus.
- Definieren Sie Klickrate und Melderate als messbare KPIs und legen Sie nach der ersten Kampagne einen Zielwert für die nächsten 12 Monate fest.
Häufig gestellte Fragen
Gilt NIS2 bzw. das BSI-Gesetz für meine Kanzlei direkt?
Das hängt von Ihrer Unternehmensgröße und Ihrem Tätigkeitsfeld ab. Direkt erfasst sind in der Regel Einrichtungen ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz in relevanten Sektoren. Viele kleinere Kanzleien sind nicht direkt betroffen – geraten aber über Mandantenverträge oder Lieferkettenanforderungen indirekt unter Druck. Prüfen Sie Ihre Verträge und holen Sie bei Unsicherheit rechtliche Einschätzung ein.
Können wir DATEV-Phishing-Simulationen ohne Rücksprache mit DATEV einsetzen?
Simulationen, die DATEV-Logos oder DATEV-URLs imitieren, bewegen sich in einem berufsrechtlich sensiblen Bereich. Technisch ist es möglich, eine täuschend echte DATEV-Login-Seite zu simulieren. Wir empfehlen jedoch, den DATEV-Branding-Bereich zu vermeiden und stattdessen generische Szenarien mit ähnlichen Mustern zu nutzen. Das reicht aus, um Klickverhalten zu messen – ohne Abmahnrisiko oder Verwirrung bei Mitarbeitenden, die echte DATEV-Mails nicht mehr einordnen können.
Was kostet ein einfaches Phishing-Simulationsprogramm für eine Kanzlei mit 8 Mitarbeitenden?
Mit GoPhish (Open Source) entstehen keine Lizenzkosten. Sie benötigen eine günstige Phishing-Domain (ca. 10–20 € pro Jahr), einen kleinen VPS für ca. 5–10 € pro Monat und einmalig ca. 6–8 Stunden für Einrichtung und erste Kampagnenkonfiguration. Laufend rechnen Sie mit ca. 2–3 Stunden pro Kampagne für Auswertung und Schulungsmaßnahme. Kommerzielle Lösungen ab ca. 15 €/User/Jahr übernehmen Teile davon automatisiert.
Wie gehen wir mit dem beA-Postfach in der Sensibilisierungsschulung um?
Das beA (besonderes elektronisches Anwaltspostfach) ist ein gesetzlich vorgeschriebenes Kommunikationsmittel mit eigener Zertifikatsinfrastruktur. In Schulungen sollte der Umgang mit dem beA-Karten-PIN, dem Software-Zertifikat und der Zwei-Karten-Authentifizierung explizit thematisiert werden. Simulieren Sie keine gefälschten beA-Logins – das Risiko der Verwirrung überwiegt den Schulungseffekt. Schulen Sie stattdessen die Erkennungsmerkmale echter beA-Systembenachrichtigungen.
Müssen Schulungsunterlagen nach GoBD aufbewahrt werden?
GoBD regelt primär steuerrelevante Buchführungsunterlagen – Schulungsprotokolle fallen grundsätzlich nicht darunter. Relevant sind jedoch arbeitsrechtliche und berufsrechtliche Aufbewahrungspflichten sowie Nachweispflichten gegenüber Behörden nach §30 BSI-Gesetz. Wir empfehlen, Schulungsdokumentation mindestens 5 Jahre aufzubewahren und in einem revisionssicheren System abzulegen, das nicht mit DATEV-Produktivdaten vermischt ist.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie, was passiert, wenn ein Mitarbeitender heute auf eine gefälschte DATEV-Login-Seite klickt – und haben Sie das jemals getestet?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
