Steuerdokumente übertragen: Leitfaden für sicheren Versand

Ein richtig durchgeführter Steuerdokumenten-Transfer verschlüsselt Ende-zu-Ende, nutzt einen Kanal, den der Steuerberater rechtlich akzeptieren darf – nach BSI-Grundschutz, DSGVO Art. 5 Abs. 1 lit. f und dem Steuerberatungsgeheimnis nach § 57 StBerG – und hinterlässt einen nachprüfbaren Audit-Trail. Kanäle, die funktionieren: ELSTER und Länderportale für die Erklärung selbst, ein Mandantenportal (DATEV Unternehmen Online, SmartVault, TaxDome) für Organizer und Quelldokumente, ein Zero-Knowledge-verschlüsselter Link für kurzfristige Einzelübermittlungen mit Ablaufzeit unter 7 Tagen. Kanäle, die nicht funktionieren: reguläre unverschlüsselte E-Mail, SMS, WhatsApp oder ein USB-Stick, der dem Steuerberater in die Hand gedrückt wird.

Warum E-Mail-Anhänge für Steuerdokumente scheitern

Eine Lohnsteuerbescheinigung in Gmail überquert Google-Server, verbleibt dauerhaft im Postausgang und Posteingang, repliziert auf das Smartphone und den Laptop des Empfängers und wird von der Suchfunktion indiziert. Gmails Standardverschlüsselung ist TLS zu Googles Servern – aber Google kann die Inhalte lesen, und so kann jeder Angreifer, der Zugang zu einem der Postfächer erhält. Eine Lohnsteuerbescheinigung enthält vollständigen Namen, Adresse, Identifikationsnummer (Steuer-ID), Arbeitgeber-Steuernummer und Jahreseinkommen – genau das Datenbündel, das für Identitätsbetrug benötigt wird. Der BfDI und Landesdatenschutzbehörden haben wiederholt klargestellt, dass die unverschlüsselte E-Mail-Übermittlung steuerlich relevanter personenbezogener Daten gegen DSGVO Art. 5 Abs. 1 lit. f verstößt.

BSI- und DSGVO-Standards für den Steuerdokumenten-Transfer

Das BSI empfiehlt in seinen Grundschutz-Kompendium-Bausteinen für vertrauliche Dokumente mindestens TLS 1.3 für den Transport und AES-256-GCM für die Verschlüsselung im Ruhezustand. Die DSGVO schreibt in Art. 25 Privacy by Design vor: Datenminimierung, Zweckbindung und technische Schutzmaßnahmen bereits bei der Konzeption des Übertragungswegs. Das BDSG ergänzt die DSGVO mit nationalen Spezifizierungen, insbesondere für Beschäftigtendaten und besondere Datenkategorien. Steuerberater, die als Auftragsverarbeiter nach Art. 28 DSGVO auftreten, müssen schriftliche Verträge mit allen eingesetzten Diensten schließen.

Steuer-ID-Schutz und Schwärzung

Bei gedruckten Dokumenten alle außer den letzten vier Stellen der Steuer-ID schwärzen, wo die vollständige Nummer nicht unbedingt erforderlich ist. Das Bundeszentralamt für Steuern hat die Nutzung gekürzter Steuer-IDs auf Bescheinigungen für Steuerpflichtige eingeführt. Für interne Steuervorbereitung handhabt Software wie DATEV, Taxman oder WISO das Maskieren in PDFs für die Mandantenprüfung. Beim Versand von Quelldokumenten – der tatsächlichen Lohnsteuerbescheinigung – ist die vollständige Steuer-ID erforderlich, aber der Transport muss verschlüsselt sein. Auf keinen Fall faxen; moderne Fax-to-E-Mail-Gateways machen Fax faktisch zu unverschlüsselter E-Mail.

Mandantenportal vs. Verschlüsselter Link

Mandantenportale bieten strukturierte Workflows: Organizer-Fragebögen, Jahresvergleiche, Massenupload und Integration mit der Steuersoftware. Portale haben aber Reibungspunkte – Mandanten vergessen Passwörter, haben Probleme mit der Zwei-Faktor-Authentifizierung und finden manchmal die Upload-Schaltfläche auf dem Smartphone nicht. Verschlüsselte Ad-hoc-Links wie HexaTransfer, SwissTransfer und Tresorit Send ergänzen das Portal für Last-Minute-Übermittlungen: Der Mandant klickt einen Link, zieht eine Datei hinein, und sie kommt verschlüsselt beim Steuerberater an. Jede solche Übermittlung nachträglich im Portal protokollieren, damit der Audit-Trail vollständig bleibt.

Datenschutzgesetze der Länder und Meldepflichten bei Datenpannen

Nach DSGVO Art. 33 müssen Datenpannen, die zu einem Risiko für die betroffenen Personen führen, innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. In Deutschland sind die Landesdatenschutzbehörden zuständig – der BfDI für Bundesbehörden und bundesweit tätige Einrichtungen, sonst die Landesbehörden. Steuerberatungskanzleien sind zur Meldung verpflichtet, wenn Steuerdokumente mit personenbezogenen Daten durch einen Sicherheitsvorfall kompromittiert werden. Ein schriftlicher Datensicherheitsplan, der BSI-Grundschutz-Anforderungen erfüllt, ist die beste Vorbereitung.

Identitätsverifikation des Absenders

Steuer-Phishing ist ein großer Betrugsvektor. Ein „Mandant", der eine PDF mit einem als 1099-R getarnten Trojaner mailt, gehört zu den häufigsten Malware-Liefervektoren in der Steuersaison. Den Absender verifizieren: Wenn es ein Mandant ist, der in 5 Jahren 50 Mails geschrieben hat, ist das E-Mail-Muster bekannt. Für einen neuen Mandanten beim ersten Dokumentenversand per Rückruf an eine selbst nachgeschlagene Nummer (nicht an eine mitgesendete) verifizieren. Out-of-Band-Verifikation ist unverzichtbar. Für E-Signatur-Workflows bietet DocuSign mit KBA (Knowledge-Based Authentication) identitätsprüfende Fragen aus der Bonitätshistorie – überdimensioniert für die meisten Erklärungen, aber wichtig für Erbschafts- und große Gesellschafterübertragungen.

Der ELSTER-Einreichungsprozess

Nach der Erstellung der Erklärung übermittelt der Steuerberater diese über ELSTER als ERiC (ELSTER Rich Client). Die Software bündelt die Erklärung im ELSTER-XML-Format, verschlüsselt sie über den sicheren ELSTER-Kanal und überträgt sie. Das Finanzamt schickt innerhalb von 24 bis 48 Stunden eine Empfangsbestätigung. Papiereinreichungen bleiben für Sonderfälle möglich, aber Einschreiben mit Rückschein ist das Minimum – eine Steuererklärung mit Steuer-ID im Briefumschlag durch die Deutsche Post ist ein bekannter Risikokanal; ELSTER ist deutlich sicherer.

Geänderte Steuererklärungen und Vorjahresdokumente

Geänderte Erklärungen erfordern manchmal die Zusammenstellung von Dokumenten aus Vorjahren. Mandanten haben sie oft nicht mehr. Steuerberater können über ELSTER Steuerkontoauszüge und Bescheide abrufen. Für Quelldokumente jenseits dessen, was das Finanzamt vorhält, muss möglicherweise der frühere Berater Arbeitspapiere liefern – nach § 66 StBerG. Das Handling geänderter Erklärungen bedeutet den verschlüsselten Transfer von jahresalten Lohnsteuerbescheinigungen; dieselben Verschlüsselungsstandards wie bei der aktuellen Einreichung gelten.

Testen Sie es auf https://hexatransfer.com – kostenlos, ohne Konto, bis 10 GB. Wenn Ihr Mandant die fehlende Jahresbescheinigung um 22 Uhr am letzten Abgabetag findet: ein 24-Stunden-verschlüsselter Link bringt das Dokument auf Ihren Schreibtisch, ohne die Steuer-ID durch Gmail zu schleusen.