Cloud-Lösungen in der Steuerberatung: Sicher – aber nicht unverwundbar

C yberangriffe zählen seit Jahren zu den größten Herausforderungen für deutsche Unternehmen – und auch Steuerberatungskanzleien sind zunehmend betroffen. Mit der fortschreitenden Digitalisierung wächst der Einsatz von Cloud-Lösungen und Systemen mit künstlicher Intelligenz. Während KI noch im Aufbau ist, sind Cloud-Dienste in Deutschland längst etabliert: Laut einer aktuellen Bitkom-Umfrage nutzen neun von zehn Unternehmen Cloud-Lösungen – und fast zwei Drittel geben an, dass der Geschäftsbetrieb ohne sie nicht mehr möglich wäre. Gerade bei Anwendungen wie DATEVasp, DATEV SmartIT oder anderen Cloud-Angeboten entsteht oft der Eindruck, dass die Sicherheit allein durch den Anbieter gewährleistet sei – etwa durch hochsichere Rechenzentren, permanente Systemüberwachung und aktuelle Schutzmaßnahmen. Die Realität zeigt jedoch: Auch Cloud-Systeme können Ziel erfolgreicher Angriffe sein. Und entscheidend ist oft nicht der Anbieter, sondern der Umgang aufseiten der nutzenden Kanzlei.

Cloud-Sicherheit ist geteilt: Anbieter und Nutzende tragen Verantwortung

Die Sicherheit einer Cloud-Lösung beruht dabei auf zwei Säulen. Der Anbieter (z. B. DATEV) ist verantwortlich für die physische und technische Absicherung der Infrastruktur, für Datenschutzmaßnahmen, Rechenzentrumssicherheit und regelmäßige Updates. Die nutzende Kanzlei trägt die Verantwortung für den sicheren Zugriff, die Rechtevergabe, die IT-Hygiene im Büro sowie die Handlungssicherheit der Mitarbeitenden. Nur wenn beide Seiten ihre Aufgaben erfüllen, ist ein wirksamer Schutz gewährleistet.

Risiken beim Anbieter: Selten, aber möglich

Technische Schwachstellen können auch bei Cloud-Anbietern nie vollständig ausgeschlossen werden. Sicherheitslücken in der Software – insbesondere sog. Zero-Day-Schwachstellen – können potenziell von Angreifern ausgenutzt werden, bevor ein Patch zum Schließen der Schwachstelle zur Verfügung steht. Auch Fehlkonfigurationen in der Cloud-Infrastruktur, beispielsweise bei der Rechtevergabe oder Datenfreigabe, bergen ein Risiko. Ebenso können Datenschutzverstöße auftreten, etwa wenn Daten außerhalb der vereinbarten Regionen verarbeitet werden. Gerade für Steuerberaterinnen und Steuerberater, die tagtäglich mit besonders sensiblen Mandantendaten arbeiten, können solche Vorfälle schwerwiegende Folgen haben – sowohl rechtlich als auch hinsichtlich des Vertrauens der Mandanten.

Größeres Risiko: Die Anwender

Deutlich häufiger als Angriffe auf den Anbieter sind allerdings Vorfälle, die auf der Seite der nutzenden Kanzlei entstehen. Schwachstellen wie unsichere oder mehrfach verwendete Passwörter, fehlende Multi-Faktor-Authentifizierung oder ein unbedachter Umgang mit E-Mails und Links zählen nach wie vor zu den häufigsten Ursachen für Sicherheitsvorfälle. Besonders gefährlich sind Phishing-Mails und Social-Engineering-Angriffe, bei denen Mitarbeitende zur Preisgabe von Zugangsdaten verleitet werden – oftmals ohne es zu bemerken. Hinzu kommt, dass nicht aktualisierte Software, veraltete Browser oder ungepatchte Schnittstellen Türen für Schadsoftware öffnen können. Diese Risiken sind grundsätzlich bekannt, gewinnen aber mit der zunehmenden Nutzung cloudbasierter Systeme weiter an Bedeutung.

Was Steuerberater jetzt tun sollten: Klare Schutzmaßnahmen etablieren

Um sich wirksam gegen Cyberangriffe zu schützen, müssen Steuerkanzleien technische und organisatorische Maßnahmen etablieren. Ein zentraler Baustein ist die Sensibilisierung der Mitarbeitenden. Ebenso wichtig ist es, dass Mitarbeitende wissen, wie sie sich im Ernstfall – etwa bei kompromittierten Zugangsdaten – schnell und korrekt verhalten. Auch die Absicherung der Zugänge und Geräte ist unerlässlich. Dazu gehören starke, einzigartige Passwörter, die verpflichtende Nutzung von Multi-Faktor-Authentifizierung für alle Cloud-Zugänge sowie ein aktueller Virenschutz und eine aktivierte Firewall auf sämtlichen Arbeitsgeräten. Regelmäßige Software-Updates sollten selbstverständlich sein. Ergänzend dazu braucht es klare IT-Richtlinien innerhalb der Kanzlei. Der Zugriff auf sensible Daten sollte strikt nach dem Need-to-know-Prinzip erfolgen. Eine ungesicherte lokale Speicherung von Mandantendaten ist zu vermeiden, sofern sie nicht durch technische Schutzmaßnahmen abgesichert ist. Und schließlich sollten alle relevanten Prozesse regelmäßig überprüft und bei Bedarf angepasst werden – insbesondere dann, wenn neue Systeme eingeführt oder bestehende Prozesse verändert werden. Von einer vollständigen Sicherheit in der Cloud auszugehen ist gefährlich – gerade für Berufsgruppen wie Steuerberater, die mit vertraulichen Mandantendaten arbeiten. Umso wichtiger ist es, die gemeinsame Verantwortung für die Sicherheit ernst zu nehmen: Der Anbieter stellt die technische Basis, doch die Kanzlei entscheidet mit ihrem Verhalten über den tatsächlichen Schutz. Der Fall Convotis im Jahr 2023, bei dem eine Steuerberater-Cloud Ziel eines Angriffs wurde, zeigt: Ein schneller und geübter Umgang mit Cybervorfällen kann den Schaden begrenzen. Prävention und Vorbereitung sind heute zentrale Aufgaben in der digitalen Steuerberatung.

Cyberversicherung als essenzieller Bestandteil der Sicherheitsstrategie

Eine umfassende Sicherheitsstrategie ist unerlässlich, doch selbst bei sorgfältiger Umsetzung aller Maßnahmen kann nicht garantiert werden, dass ein Cybervorfall vollkommen ausgeschlossen werden kann. Hier kommt die HDI Cyberversicherung ins Spiel. Sie bietet einen wichtigen Schutzschirm, um im Fall der Fälle finanzielle Verluste abzufedern und die Kanzlei bei der Bewältigung von Cyberrisiken zu unterstützen. Die HDI Cyberversicherung ist nicht nur ein finanzieller Rückhalt, sie beinhaltet auch wertvolle Zusatzleistungen. Dazu zählt die kostenlose Nutzung der Perseus Präventionsplattform, die Kanzleien dabei unterstützt, Sicherheitslücken zu identifizieren und präventive Maßnahmen zu ergreifen. Ebenso bietet der HDI Datenschutz Quickcheck eine unkomplizierte Möglichkeit zur Überprüfung der Datenschutzmaßnahmen, sodass Steuerberater auch hier rechtzeitig handeln können. Mit der HDI Cyberversicherung profitieren Steuerberatungskanzleien zudem von einem umfassenden Expertennetzwerk, das im Schadenfall schnell und effektiv zur Seite steht. Die rechtliche Begleitung bei Datenpannen oder Haftungsansprüchen sowie die Unterstützung bei der Bewältigung von Imageschäden sind wesentliche Bestandteile, die helfen, den Schaden nach einem Cybervorfall zu minimieren. Vor allem in Anbetracht der Sensibilität der Daten, mit denen Steuerberater arbeiten, ist es entscheidend, auch auf die Unterstützung bei Datenschutzverstößen zurückgreifen zu können. Die HDI Cyberversicherung bietet solche Hilfestellungen und schafft damit ein zusätzliches Sicherheitsnetz, das in Zeiten rasant wachsender Cyberbedrohungen unverzichtbar ist. Insgesamt stellt die Kombination aus präventiven Maßnahmen und einer soliden Cyberversicherung wie der HDI Cyberversicherung einen effektiven Ansatz dar, um den vielfältigen Risiken in der digitalisierten Welt der Steuerberatung zu begegnen. Der Schutz der Mandantendaten und der Kanzlei selbst sollte oberste Priorität haben – sowohl durch sicherheitsbewusstes Handeln als auch durch umfassende Absicherung im Ernstfall.

Maria Backs | Head of Customer Success & Account Management, Perseus Technologies GmbH

Peter Bertram I Produktmanagement & Underwriting Cyber | HDI Versicherung AG