Sichere Dateifreigabe für Accountants und CPAs

Steuerberater und Wirtschaftsprüfer, die Lohnsteuerbescheinigungen, Jahresabschlüsse und Steuererklärungen mit Mandanten austauschen, brauchen sichere Portale — nicht E-Mail-Anhänge. Die DSGVO verpflichtet Kanzleien nach Art. 32 zur Verschlüsselung personenbezogener Daten bei der Übertragung; das BDSG ergänzt weitere Anforderungen für besonders sensible Finanzdaten. Steuerkanzleien in Deutschland, die auch US-Mandanten betreuen, unterstehen zusätzlich der FTC Safeguards Rule. Das praxistaugliche Setup: ein mandantenspezifisches Steuerportal wie DATEV Mein Steuerkonto, SmartVault oder TaxDome (50 bis 100 USD/Nutzer/Monat), ein Ende-zu-Ende-verschlüsselter Ad-hoc-Dienst wie HexaTransfer für Einzelübertragungen, und Passwortschutz auf jedem ausgehenden PDF-Dokument.

DSGVO, BDSG und die FTC Safeguards Rule

Die DSGVO Art. 32 fordert technische Maßnahmen, die dem Risiko angemessen sind — für Finanzdaten bedeutet das in der Praxis Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256-GCM). Das BDSG § 22 verschärft die Anforderungen für besondere Datenkategorien; Finanzinformationen fallen je nach Kontext darunter. Das TTDSG regelt die elektronische Kommunikation.

Für Kanzleien mit US-Klienten gilt die FTC Safeguards Rule (geändert 2023):

MFA auf allen Systemen mit Zugang zu Kundendaten
Verschlüsselung aller Kundendaten bei Übertragung und im Ruhezustand
Schriftlicher Vorfallsreaktionsplan
Regelmäßige Penetrationstests oder kontinuierliche Überwachung
Benennung eines Qualified Individual für das Datenschutzprogramm

Verstöße lösen BfDI-Ermittlungen (in Deutschland) oder FTC-Maßnahmen (für US-Bezug) aus und führen zu Reputationsschäden.

Mandantenportale für steuerliche Arbeitsabläufe

Generische Dateifreigabe-Tools fehlen steuerliche Kernfunktionen: mandantenspezifische Jahresordnerstrukturen, Mandatsbriefe, E-Signaturen und Integration in Steuersoftware. Spezialisierte Portale:

DATEV Mein Steuerkonto: Standard in deutschen Kanzleien, nahtlose DATEV-Integration
SmartVault: 20 bis 70 USD/Nutzer/Monat, Integration mit Lacerte, ProSeries, Drake
TaxDome: 50 bis 100 USD/Nutzer/Monat, kombiniertes Kanzleimanagement und Portal
Canopy: ähnliche Preise, stark bei Aufgabenworkflows
ShareFile (Citrix): 50 bis 120 USD/Nutzer/Monat, starke Compliance-Ausrichtung

Die Wahl hängt von der verwendeten Steuersoftware und der Kanzleigröße ab. DATEV ist für deutsche Verhältnisse erste Wahl; internationale Kanzleien kombinieren DATEV oft mit TaxDome für US-Mandanten.

Eingang von Belegen und Quelldokumenten

Die Steuersaison erfordert einen kontinuierlichen Eingang von Lohnsteuerbescheinigungen, Kontoauszügen, Maklerbelegen, Erbschaftsnachweisen und Quittungen. Mandanten unterscheiden sich erheblich in ihrer technischen Affinität. Den Eingangsflow für die technisch schwächste Gruppe gestalten:

Mandanten einen Link mit einzeiligen Anweisungen senden: „Klicken Sie hier, laden Sie Ihre Lohnsteuerbescheinigung hoch."
Mobile Uploads akzeptieren (die meisten Portale haben Mandanten-Apps)
Keine Kontoerstellung für einmalige Einsender erzwingen — stattdessen eine markenbezogene Upload-Seite verwenden
Drag-and-Drop-Sammel-Upload für Mandanten mit 20+ Dokumenten bereitstellen
Quelldokumente niemals per unverschlüsselter E-Mail akzeptieren

Für Mandanten, die das Portal ablehnen, eine vorbereitete Antwort parat haben: „Zu Ihrem Schutz können wir Steuerdokumente nicht per E-Mail entgegennehmen. Bitte nutzen Sie diesen sicheren Link." Den Link in jede Erinnerung einbinden.

Steuererklärungen und Mandatsdokumente zustellen

Die fertige Steuererklärung mit Anlagen ist hochsensibel. Als PDF mit einem Passwort sichern, das der Mandant kennt — ein starkes Passwort, kein triviales Default wie die letzten vier Ziffern der Steuernummer. Das Passwort über einen separaten Kanal (Telefonanruf oder SMS) übermitteln, nicht in derselben E-Mail.

Typisches Lieferpaket:

Mandantenexemplar der Steuererklärung (PDF, 30 bis 200 Seiten, 2 bis 20 MB)
Vollmacht und Mandatsbrief zur Unterschrift
Rechnung
Hinweise und Planungsempfehlungen für das Folgejahr
Steuervorauszahlungsbescheide bei Nachzahlungen

Für die elektronische Unterschrift auf Vollmachten einen DSGVO-konformen E-Signatur-Anbieter nutzen: DocuSign, Adobe Acrobat Sign oder die integrierten Signaturfunktionen in DATEV, TaxDome oder SmartVault.

K-1-ähnliche Ausschüttungen und Mehrfachempfänger

Personengesellschaften und andere Personenvereinigungen verteilen Steuerunterlagen an Dutzende oder Hunderte von Gesellschaftern. Papierversand ist teuer und langsam. Elektronische Zustellung ist mit Zustimmung und entsprechenden Offenlegungen zulässig.

Workflow für die Massenverteilung:

Individuelle PDFs aus der Steuersoftware erzeugen
Jedes PDF mit einem empfängerspezifischen Passwort schützen
Über Portal oder sicheren Übertragungslink zustellen
Jeden Empfänger per Standard-E-Mail-Vorlage benachrichtigen
Zustellung und Download-Quittungen für Prüfungszwecke dokumentieren

Prüfungssichere Dateiaufbewahrung

Aufbewahrungspflichten für Steuerberater in Deutschland:

Handels- und Steuerunterlagen: 10 Jahre (§ 147 AO)
Geschäftliche Korrespondenz: 6 Jahre
Mandantenakten: mindestens 10 Jahre nach Mandatsende, je nach Berufsordnung länger
Spezifische Mandate (Wirtschaftsprüfung, Sonderprüfungen): vertraglich festgelegt

Empfehlenswerte Richtlinie: alles 10 Jahre aufbewahren, danach auf Kaltarchivierung (Backblaze B2 oder gleichwertig) verschieben, dann gemäß Aufbewahrungsrichtlinie löschen. Die Richtlinie im Informationssicherheitskonzept dokumentieren.

Die Aufbewahrungskopie muss selbst geschützt sein: verschlüsselte Archive auf verschlüsselten Datenträgern, extern gelagert, mit Zugriffsprotokollen. Eine gestohlene Backup-Festplatte mit zehn Jahren Steuererklärungen ist ein meldepflichtiger Datenschutzvorfall nach DSGVO Art. 33.

Mandatsbriefklauseln, die zu Ihren Tools passen

Der Mandatsbrief ist die vertragliche Verbindung zwischen Ihren Sicherheitsmaßnahmen und den Mandantenpflichten. Aufnehmen:

Abschnitt, der die elektronische Zustellung von Steuerdokumenten autorisiert
Benannter Kanal (Portal-URL oder spezifischer Übertragungsdienst)
Zustimmung des Mandanten zur Nutzung der genannten Cloud-Anbieter für die Dokumentenaufbewahrung
Regelung zur Vertraulichkeit von Passwörtern
Verpflichtung des Mandanten zur Benachrichtigung innerhalb von 48 Stunden bei Verdacht auf Kompromittierung

Ohne diese Klauseln hat ein Mandant, der seine Unterlagen unverschlüsselt per E-Mail schickt und dabei Opfer von Phishing wird, möglicherweise Argumente, dass die Kanzlei hätte eingreifen müssen.

Vorfallsreaktion, wenn es passiert

Auch gut gesicherte Kanzleien sind Phishing, Ransomware und bösartigen Insidern ausgesetzt. Der Vorfallsreaktionsplan (VRP) muss abdecken:

Sofortige Eindämmung: betroffene Rechner trennen, Zugangsdaten rotieren
Beurteilung: welche Mandantendaten wurden erreicht
Meldung an den BfDI: DSGVO Art. 33 verlangt Meldung innerhalb von 72 Stunden nach Bekanntwerden
Meldung an betroffene Mandanten: Art. 34 DSGVO bei hohem Risiko
Meldung an die zuständige Landesaufsichtsbehörde für Steuerberater
Kreditüberwachung anbieten: falls Identitätsdaten betroffen
Nachbereitung: Ursachenanalyse, Abhilfeplan, Aktualisierung des Informationssicherheitskonzepts

Cyber-Versicherung für kleine Steuerkanzleien liegt typischerweise bei 2.000 bis 6.000 EUR/Jahr für 1 Mio. EUR Deckung. Die Police deckt oft Benachrichtigungskosten, Kreditüberwachung und Forensik.

Ein realistisches Setup für eine 5-köpfige Steuerkanzlei

Steuersoftware: DATEV, Addison oder ELSTER-kompatibles System
Mandantenportal: DATEV Mein Steuerkonto oder TaxDome
E-Signatur: im Portal integriert oder DocuSign
Ad-hoc-Übertragungen: Ende-zu-Ende-verschlüsselter Dienst wie HexaTransfer
Passwort-Manager: 1Password Business oder Bitwarden Business
Backup: versioniertes, verschlüsseltes Off-Site-Backup
Cyber-Versicherung: mindestens 1 Mio. EUR Deckung
Jährliche Überprüfung des Informationssicherheitskonzepts

Einzelne Ad-hoc-Übertragungen sicher und ohne Kontoanmeldung abwickeln: https://hexatransfer.com