Sicherer Dateiaustausch für Steuerberater und Kanzleien

Mandantenunterlagen in der Kanzlei austauschen: jenseits von E-Mail-Anhang und Standardportal

Der Dateiaustausch in Steuer- und Wirtschaftsprüfungskanzleien betrifft einige der sensibelsten Daten, die ein Mandant je erzeugt: Steuererklärungen, Jahresabschlüsse, Lohn- und Gehaltsunterlagen, Prüfungsarbeitspapiere und Due-Diligence-Pakete vor einer Transaktion. Für eine Kanzlei bleibt die Vertraulichkeit beim üblichen Weg, dem E-Mail-Anhang oder einem generischen Portal, genau in dem Moment außerhalb Ihrer Kontrolle, in dem diese Unterlagen am sensibelsten sind. Das Expositionsfenster ist breit: Externe Links laufen über das Postfach des Mandanten, Mandatsunterlagen gehen an externe Prüfer, und Jahresabschlussdokumente bewegen sich zwischen Kanzlei und Mandant ohne Ablauf und ohne Widerruf. Für einen Berufsgeheimnisträger nach § 203 StGB, der zugleich der DSGVO unterliegt, ist das kein theoretisches Risiko, sondern eine Frage der Governance.

Die meisten Vorfälle in der Beraterbranche sind keine spektakulären Infrastrukturausfälle. Sie verlaufen leise: ein einmal zu oft weitergeleiteter Link, ein geteilter Ordner ohne Ablaufdatum, das Gerät eines Partners, das außerhalb Ihrer Kontrolle auf Dateien zugreift.

Sicherer Dateiaustausch für Steuerberater: Was Sie verlangen sollten

Eine Kanzlei braucht keine lange Funktionsliste. Sie braucht vier Kontrollen, die bei jeder externen Freigabe Ende-zu-Ende zusammenhalten:

• Verschlüsselung auf dem Gerät, vor dem Upload · damit die Plattform nie lesbare Inhalte hält und eine Kompromittierung beim Anbieter Chiffretext liefert, nicht Mandantendateien.
• Ein Schlüssel pro Datei · damit eine kompromittierte Passphrase nicht auf die gesamte Mandantenhistorie übergreift.
• Ablauf und Widerruf von Freigabelinks · damit jede Freigabe eine definierte Lebensdauer hat und beim Abschluss eines Mandats sofort gekappt werden kann.
• Kanaltrennung und Zugriffsprotokoll · damit Link und Passphrase getrennt reisen und jeder Zugriff zur späteren Prüfung erfasst wird.

Fehlt eine dieser Kontrollen, lassen sich die übrigen umgehen.

Der regulatorische Kontext

• DSGVO gilt bei der Verarbeitung personenbezogener Daten und bestimmt unmittelbar, wie Mandantendateien gespeichert und geteilt werden dürfen.
• Anwaltliche und steuerberaterliche Verschwiegenheitspflicht (§ 203 StGB) verpflichtet Berufsgeheimnisträger über die gesetzlichen Anforderungen hinaus zur Wahrung des Mandantengeheimnisses.
• SOC-2-Ausrichtung wird in Lieferantenprüfungen größerer Mandanten zunehmend erwartet.

Keiner dieser Rahmen schreibt ein Werkzeug vor. Sie schreiben Ergebnisse vor: dass sensible Daten kontrolliert werden, dass Zugriffe protokolliert sind und dass Sie das nachweisen können.

Was die meisten Kanzleien einsetzen, und warum es zu kurz greift

Der E-Mail-Anhang bleibt die dominierende Übertragungsform. Er ist schnell und vertraut, nach der Zustellung jedoch vollständig unkontrollierbar: weiterleitbar an jeden, speicherbar überall, ohne Widerrufsmechanismus. Consumer-Cloud-Speicher verbessert das, schafft aber ein anderes Problem: Der Anbieter hat vollen Zugriff auf den Dateiinhalt, etwa für Scanning, Bedrohungsanalyse oder Modelltraining. Für Berufsgeheimnisträger ist Anbieterzugriff kein theoretisches Risiko, sondern ein Governance-Problem.

ShieldFive verschlüsselt Dateien auf dem Gerät. Das ist allein keine Garantie, dass der Anbieter niemals entschlüsseln kann; beachten Sie das unten beschriebene Vertrauensmodell.

Die Verschlüsselungsarchitektur ist die Linie, die sich nicht verschiebt. Business-Tarife schließen einzelne operative Lücken, ändern aber nichts an der Schlüsselhoheit des Anbieters.

Wenn Sie eigentlich ein Mandantenportal suchen

Viele Kanzleien suchen ein "Mandantenportal" und erwarten einen sicheren Kanal, um vertrauliche Unterlagen mit ihren Mandanten auszutauschen. In der Steuersoftware-Vermarktung ist der Begriff jedoch zu einem Platzhalter geworden: Gemeint ist meist ein vom Anbieter gehosteter Ordner, in den Mandanten Dateien ablegen. Selten gemeint ist eine echte Zugriffskontrolle, Verschlüsselung auf Dokumentenebene oder ein Kanal, der Zugangsdaten vom Inhalt trennt. Wer diese Lücke zwischen Versprechen und Leistung versteht, wählt das richtige Werkzeug für seine Verschwiegenheitspflichten.

Der Dateiaustausch ist die Transferprimitive: ein verschlüsselter Upload, ein Freigabelink mit Ablauf und Widerruf, ein Zugriffsprotokoll für die Übergabe eines einzelnen Dokuments. Ein Portal ohne clientseitige Verschlüsselung lässt den Anbieter weiterhin gespeicherte Dateien lesen, daher gilt die Verschlüsselungsfrage für beide.

Die tatsächlichen Probleme im Arbeitsablauf

Kanzleien, die einfache Portale einführen, stoßen meist binnen sechs Monaten auf dieselben Reibungspunkte.

Mandanten nutzen sie nicht konsequent. Wenn ein Mandant eine Datei in zehn Sekunden per E-Mail weiterleiten kann, sich aber dreißig Sekunden im Portal anmelden muss, gewinnt die E-Mail. Das Portal wird zum internen Ordner, während Mandanten zum Anhang zurückkehren.

Berechtigungen veralten. Ein für ein bestimmtes Mandat eingerichtetes Portal sammelt mit der Zeit überholte Zugriffe an. Ein Zugang, der bei der Mandatsannahme konfiguriert wurde, spiegelt den aktuellen Mandatsumfang oft nicht mehr wider.

Protokolle sind dünn. Viele Portale erfassen, dass eine Datei hochgeladen wurde. Wenige erfassen jeden externen Zugriff mit Zeitstempel, IP und Download-Bestätigung. Der Unterschied zählt, wenn ein Mandant den Erhalt eines Dokuments im Rahmen einer Prüfung bestreitet.

Was ein Mandantenportal auf Compliance-Niveau erfordert

Berufsgeheimnisträger nach § 203 StGB, die unter DSGVO und anwaltlicher bzw. steuerlicher Verschwiegenheitspflicht arbeiten, brauchen mehr als gehosteten Speicher.

Verschlüsselung vor dem Upload. Das Portal sollte Dateien bereits auf dem Gerät verschlüsseln. Damit kann der Anbieter den Inhalt der Mandantendateien nicht lesen. Für Berufsgeheimnisträger ist der Schlüsselzugriff des Anbieters keine Geschmacksfrage, sondern ein Governance-Problem.

Zugriffskontrolle pro Dokument. Jede extern geteilte Datei sollte eigene Einstellungen tragen: Ablauf, Download-Limit, Widerruf. Nicht Ordner-Voreinstellungen. Pro Dokument.

Passwort über einen getrennten Kanal. Freigabelink und Passwort müssen unabhängig voneinander zugestellt werden. Beides in derselben E-Mail ist ein einzelner Fehlerpunkt, der eine Schutzschicht aufhebt.

Lückenlose Zugriffsprotokolle. Sie müssen wissen, wer wann und von wo zugegriffen hat. Das ist das Minimum, um auf eine Mandantenanfrage oder eine behördliche Anforderung kurzfristig zu reagieren.

Fragen, die in der Bewertung über die Eignung entscheiden

Bei der Auswahl zählen vor allem diese Fragen:

• Hat die Plattform zu irgendeinem Zeitpunkt Zugriff auf den Klartext der Dateien? Wenn der Anbieter Ihre Dateien lesen kann, besteht ein Expositionsproblem auf Anbieterseite.
• Lassen sich einzelne Links nach der Zustellung sofort widerrufen, ohne andere Zugriffe zu berühren?
• Lässt sich ein Zugriffsprotokoll mit Zeitstempel für jeden externen Zugriff der letzten 90 Tage exportieren?
• Gelten die Kontrollen pro Dokument auf Link-Ebene oder nur auf Ordner-Ebene?

Die meisten klassischen Portale scheitern an mindestens zwei dieser vier Punkte.

Dateiaustausch ergänzt DATEV, ersetzt es nicht

Deutsche Kanzleien arbeiten mit DATEV. Sicherer Dateiaustausch tritt nicht an dessen Stelle, sondern bildet den verschlüsselten Kanal für den Austausch sensibler Mandantenunterlagen neben Ihren bestehenden Werkzeugen. ShieldFive ersetzt dabei nicht DATEV, sondern ergänzt Ihre bestehenden Werkzeuge als verschlüsselter Kanal für besonders sensible Mandantendokumente.

ShieldFive bietet clientseitig verschlüsselte Dateispeicherung, Freigabe und Dokumentenanforderung. Dateien werden vor dem Upload auf dem Gerät verschlüsselt; verschlüsselte Dateidaten werden in der EU gespeichert. Das Anmeldepasswort erreicht die Server nie: der Browser wandelt es mit Argon2id in einen separaten Anmeldewert um und sendet nur diesen; der Schlüssel, der den Tresor öffnet, wird separat abgeleitet und bleibt auf dem Gerät. Der App-Code wird von ShieldFive ausgeliefert, daher gehört der bei jedem Besuch ausgelieferte Client weiterhin zum Vertrauensmodell. Dies ist keine absolute Garantie, dass der Anbieter Dateien nicht entschlüsseln kann. Web-Uploads verwenden standardmäßig ML-KEM-1024/XChaCha20-Poly1305 mit AES-GCM als Rückfalloption; Android nutzt standardmäßig ebenfalls das Hybridformat mit derselben AES-GCM-Rückfalloption und liest beide Formate. Der kryptografische Kern ist quelloffen, die Anwendungen sind es nicht vollständig. Eine externe Sicherheitsprüfung wurde noch nicht abgeschlossen.

Checkliste für die Einführung

• Legen Sie fest, welche Dateikategorien stets verschlüsselt geteilt werden: Steuererklärungen, Jahresabschlüsse, Prüfungsarbeitspapiere, Lohnunterlagen.
• Setzen Sie einen kanzleiweiten Standardablauf für alle externen Links.
• Definieren Sie eine Passphrasen-Regel: nie wiederverwendet, nie in derselben Nachricht wie der Link.
• Weisen Sie klare Verantwortung für die monatliche Prüfung aktiver Freigaben zu.
• Ergänzen Sie eine Länder-Allowlist, um Zugriffe außerhalb der Region zu reduzieren. Behandeln Sie sie als eine Zugriffskontrollschicht, die sich über ein VPN umgehen lässt, nicht als Garantie für den Datenstandort, und kombinieren Sie sie mit Ablauf und einem Freigabe-Passwort.

Beginnen Sie mit dem sensibelsten Mandatstyp Ihres Portfolios, etwa einer M&A-Due-Diligence oder einem Mandanten mit ausdrücklichen Anforderungen an die Datenverarbeitung. Richten Sie den neuen Ablauf dort ein, erproben Sie ihn mit drei bis fünf Mandanten und standardisieren Sie ihn anschließend über die gesamte Mandantendokumentation.

Der Übergangsaufwand ist überwiegend verhaltensbedingt, nicht technisch. Mandanten passen sich an, wenn der neue Ablauf zuverlässig ist und der alte keine Option mehr darstellt.

Geschäftskennzahlen zur Nachverfolgung

• Anteil externer Mandantenfreigaben mit aktivem Ablauf und Download-Limit.
• Zeit bis zum Widerruf eines Links beim Abschluss eines Mandats.
• Anzahl weitergeleiteter Links außerhalb des vorgesehenen Empfängerkreises.
• Prüfbereitschaft: Können Sie binnen 24 Stunden ein Protokoll jedes externen Zugriffs vorlegen?

Das Compliance-Argument

Die Frage ist nicht, ob ein kontrollierter Kanal den Aufwand wert ist. Sie lautet, ob die Kanzlei in einer Prüfung oder bei einem Mandantenstreit nachweisen kann, dass sie angemessene Kontrollen über Mandantendateien gewahrt hat. E-Mail-Verläufe mit Anhangshistorie sind dieser Nachweis nicht.