Sind Cloud-Anwendungen wie die der DATEV für Steuerberater und Rechtsanwälte sicher?
Jede Steuerkanzlei nutzt im Alltag Cloud-Lösungen — ob DATEV, Agenda, ADDISON oder STOTAX: Ohne diese Tools funktioniert keine moderne Kanzlei mehr. Über sie laufen unzählige, hochsensible Mandantendaten. Weil diese Daten für Angreifer sehr lukrativ sind, haben die großen Cloud-Anbieter entsprechend hohe Sicherheitsstandards.
Die eigentlich interessante Frage lautet aber: Gelten diese hohen Standards auch für die Kanzlei selbst und deren eigenes IT-System? Statistisch betrachtet läuft ein Cyberangriff nur selten über den Cloud-Anbieter — meist trifft es die Kanzlei-IT direkt.
Die trügerische Sicherheit durch den Cloud-Anbieter
Viele Steuerberater:innen und Rechtsanwält:innen wiegen sich bei der Zusammenarbeit mit einem professionellen Cloud-Dienstleister in falscher Sicherheit — und betreiben dadurch selbst zu wenig technische und organisatorische Schutzmaßnahmen. Sobald eine Kanzlei online arbeitet, besteht ein Zugang über das Internet zu Anwendungen, Programmen und E-Mails. Typische Gefahrenquellen dabei:
- Veraltete Anwendungen oder Betriebssysteme (z. B. bei E-Mail-Servern)
- Bekannte, aber ungepatchte Sicherheitslücken in Software
- Mitarbeitende, die auf einen Phishing-Anhang oder -Link klicken
Wird die Kanzlei-IT ohne Internetzugang betrieben, lässt sich zum Beispiel DATEV auch lokal nutzen — dann können allerdings keine E-Mails gesendet oder empfangen werden. Aber auch der lokale Betrieb ist nicht risikofrei: ein unzufriedener Innentäter, gestohlene Festplatten nach einem Einbruch oder ein infizierter USB-Stick können ebenso zu Datenverlust oder -diebstahl führen.
Wo die Haftung des Cloud-Anbieters endet
Große Cloud-Anbieter wie die DATEV begrenzen ihre Haftung bei einem Datenabfluss in aller Regel vertraglich — meist auf die reine Wiederherstellung der Daten aus der Cloud, nicht auf mögliche Folgekosten eines Cyberangriffs. Nach allgemeinen Grundsätzen des deutschen Vertragsrechts liegt die Verantwortung für eine eigene, funktionierende Datensicherung häufig ohnehin bei der nutzenden Kanzlei selbst, sofern vertraglich nichts anderes vereinbart ist. Unabhängig vom jeweiligen Anbieter bleibt außerdem die eigene gesetzliche Pflicht bestehen: Nach Art. 33 DSGVO muss die Kanzlei bei einem Datenabfluss betroffene Mandant:innen und die zuständige Aufsichtsbehörde innerhalb einer vorgegebenen Frist informieren — unabhängig davon, wo genau der Vorfall seinen Ursprung hatte.
Hinweis: Die konkreten Haftungs- und Verfügbarkeitsregelungen unterscheiden sich zwischen Anbietern und ändern sich mit neuen AGB-Fassungen — maßgeblich ist immer die aktuell gültige Fassung der jeweiligen Nutzungsbedingungen des eigenen Anbieters.
Fazit
Unabhängig vom gewählten Cloud-Anbieter gilt: Wer mit einem professionellen Cloud-Dienstleister arbeitet, muss trotzdem das eigene IT-Sicherheitskonzept im Blick behalten — inklusive regelmäßiger Fortbildung und Sensibilisierung des Teams. Da weder Cloud-Lösung noch IT-System noch Mitarbeitende jemals hundertprozentig sicher sind, bleibt das kostengünstige Auslagern des Restrisikos auf eine passende Cyberversicherung sinnvoll. Eine solche Police sichert für Kanzleien typischerweise unter anderem ab:
- Kosten und Ansprüche aus DSGVO-Verstößen
- Vertrauensschäden durch Innentäter, etwa unzufriedene oder gekündigte Mitarbeitende
- Schäden an physischen Daten, etwa durch Diebstahl von Server oder Aktenkoffer
- Benachrichtigungskosten der Betroffenen
- Kosten für Rechtsberatung sowie 24-Stunden-Hotline und Krisenmanagement
- Kanzlei- bzw. Betriebsausfall
Als Kanzleiinhaber:in oder Partner:in einer Kanzlei-GmbH kann im Ernstfall zusätzlich die persönliche Haftung eine Rolle spielen — dazu mehr in meinem Artikel zur D&O-Versicherung für Geschäftsführer.
Wenn du wissen willst, wie eine passende Cyberversicherung für deine Kanzlei aussehen könnte, buch dir gerne ein kostenloses Erstgespräch.