Cloud-Sicherheit bei DATEV: Was Kanzleien selbst beachten müssen
Cloud-Anwendungen können den Kanzleialltag erleichtern. Ob du DATEV oder andere Lösungen nutzt: Die Sicherheit hängt auch davon ab, wie deine Kanzlei Zugänge, Geräte und Daten schützt.
Ein Sicherheitsvorfall kann beim Dienstleister, im eigenen Netzwerk oder über ein kompromittiertes Benutzerkonto beginnen. Deshalb reicht es nicht, nur auf die Schutzmaßnahmen des Cloud-Anbieters zu schauen. Entscheidend ist, welche Aufgaben der Anbieter übernimmt und was in deiner Kanzlei organisiert werden muss.
Welche Aufgaben bei deiner Kanzlei bleiben
Kläre mit deinem Dienstleister, wer Updates, Datensicherung, Zugriffsrechte und die Reaktion auf einen Vorfall verantwortet. Auch bei einer professionellen Cloud-Lösung müssen die eigenen Geräte, E-Mail-Konten und Fernzugänge geschützt werden. Typische Gefahrenquellen sind zum Beispiel:
- Veraltete Anwendungen oder Betriebssysteme (z. B. bei E-Mail-Servern)
- Bekannte, aber ungepatchte Sicherheitslücken in Software
- Mitarbeitende, die auf einen Phishing-Anhang oder -Link klicken
Auch lokal betriebene Anwendungen sind nicht risikofrei. Beispielsweise können gestohlene Geräte, manipulierte Datenträger oder missbräuchliche Zugriffe zu Datenverlust führen.
Wo die Haftung des Cloud-Anbieters endet
Große Cloud-Anbieter begrenzen ihre Haftung vertraglich. Die DATEV haftet nach ihren Geschäftsbedingungen (Fassung vom 01.01.2025) bei einem Datenverlust nur für den Aufwand, der für die Wiederherstellung der Daten bei ordnungsgemäßer Datensicherung durch den Kunden erforderlich ist. Nach Ziffer 22 dieser Fassung ist die Haftung für mittelbare Schäden wie Mehraufwand oder entgangenen Gewinn grundsätzlich ausgeschlossen; als Ausnahmen nennt DATEV Vorsatz, grobe Fahrlässigkeit und die Übernahme einer Garantie nach Ziffer 21.4. Die Verantwortung für eine eigene, funktionierende Datensicherung liegt damit in der Regel bei der Kanzlei selbst, sofern die DATEV die Datensicherung nicht ausdrücklich übernommen hat. Unabhängig vom Anbieter bleiben außerdem die gesetzlichen Pflichten der Kanzlei: Nach Art. 33 DSGVO muss sie eine Verletzung des Schutzes personenbezogener Daten möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Hat der Vorfall voraussichtlich ein hohes Risiko für die betroffenen Mandant:innen zur Folge, muss die Kanzlei sie nach Art. 34 DSGVO zusätzlich unverzüglich benachrichtigen. Das gilt auch, wenn der Vorfall bei einem Dienstleister seinen Ursprung hat.
Wie du mit deinem IT-Dienstleister prüfst, ob sich wichtige Arbeitsabläufe aus der Sicherung tatsächlich wiederherstellen lassen, zeige ich im Beitrag über Wiederherstellungstests in der Kanzlei.
Hinweis: Die konkreten Haftungs- und Verfügbarkeitsregelungen unterscheiden sich zwischen Anbietern und ändern sich mit neuen AGB-Fassungen. Maßgeblich ist immer die aktuell gültige Fassung der jeweiligen Nutzungsbedingungen des eigenen Anbieters.
Was eine Cyberversicherung ergänzen kann
Eine Cyberversicherung kann die eigene IT-Sicherheit und den Notfallplan ergänzen. Prüfe im Vertrag insbesondere:
- Welche Unterstützung bei Untersuchung und Krisenbewältigung vorgesehen ist.
- Welche Kosten für die Wiederherstellung versicherter Daten und Systeme erfasst sind.
- Unter welchen Voraussetzungen eine Betriebsunterbrechung versichert ist.
- Welche rechtliche Unterstützung und Benachrichtigungskosten übernommen werden können.
- Welche Schadenersatzansprüche Dritter erfasst sind.
Betrug durch Mitarbeitende, manipulierte Überweisungen und der Verlust von Geräten oder Unterlagen müssen gesondert betrachtet werden. Ob dafür Schutz besteht, ergibt sich erst aus den konkreten Bedingungen.
Wie du den Notfallablauf und die Abstimmung mit dem Versicherer vorbereitest, steht im Beitrag zum Vorgehen bei einem Cyberangriff.
Als Kanzleiinhaber:in oder Partner:in einer Kanzlei-GmbH kann im Ernstfall zusätzlich die persönliche Haftung eine Rolle spielen. Mehr dazu in meinem Artikel zur D&O-Versicherung für Geschäftsführer.
Wie eine passende Cyberversicherung speziell für Steuerkanzleien aufgebaut sein kann, beschreibe ich ausführlicher auf meiner Themenseite „Cyberversicherung für Steuerberater und Kanzleien". Wenn du wissen willst, wie eine passende Cyberversicherung für deine Kanzlei aussehen könnte, buch dir gerne ein kostenloses Erstgespräch.
Allgemeine Information, keine Rechtsberatung und keine Deckungszusage. Entscheidend sind der konkrete Versicherungsvertrag und der Einzelfall.
Quellen und weiterführende Informationen
Stand: 17.10.2026. Die Quellen belegen die Angaben zur Anbieterhaftung und zu den Meldepflichten. Über den Leistungsumfang eines Versicherungsvertrags sagen sie nichts aus.
- DATEV eG: Geschäftsbedingungen, Stand 01.01.2025, Anbieterbedingungen in dieser Fassung, Ziffern 21 bis 23 zur Haftung
- Datenschutz-Grundverordnung: Art. 33 und 34, Meldung an die Aufsichtsbehörde und Benachrichtigung betroffener Personen
Zuletzt aktualisiert am .