IT-Sicherheit für Kanzleien und Büros
In einer Kanzlei liegt das Berufsgeheimnis auf denselben Rechnern wie die Buchhaltung. Gerät die IT in falsche Hände oder fällt sie aus, haftet am Ende der Partner. Persönlich.
Ich habe Firewalls und Identitäten für Konzerne mit mehreren tausend Nutzern betrieben. Dieselbe Technik sichert eine Kanzlei mit zwanzig Leuten ab, ohne Konzernbudget und ohne eigene IT-Abteilung.
Was ich in Kanzleien und Büros immer wieder sehe
Alles auf einem flachen Netz
Mandantenakten, Buchhaltung und der Rechner am Empfang hängen im selben Netz. Wer sich an einem Platz etwas einfängt, ist überall. Eine Trennung nach Vertraulichkeit gibt es meist nicht.
Kanzleidaten auf dem privaten Rechner
Der Zugriff von zu Hause läuft über den privaten PC oder ein Tool, das schnell eingerichtet wurde. Mandantendaten liegen dann auf Geräten, die niemand kontrolliert, und verlassen die Kanzlei ungesehen.
DATEV und RA-MICRO über den Kopf gewachsen
Die Fachsoftware macht technische Vorgaben, die der Hausdienstleister nur halb einhält. Zugänge, Schnittstellen und Updates haben sich über Jahre angesammelt, ohne dass jemand den Überblick behält.
Der IT-Mensch ist ein Bekannter
Die IT betreut ein Bekannter nebenbei oder ein Systemhaus mit drei Wochen Reaktionszeit. Fällt etwas aus, wartet die ganze Kanzlei. Und im Zweifel haftet der Partner, auch für die IT.
Das ist kein Vorwurf an den bisherigen Dienstleister. Es ist der Normalzustand in Häusern, die nie ein Sicherheitskonzept hatten, weil nie jemand danach gefragt hat.
Wie ich eine Kanzlei absichere
Verschwiegenheit und Datenschutz sind in einer Kanzlei kein Formular, sondern Berufsrecht und Haftung. Technisch heißt das: klare Anmeldung, getrennte Bereiche, geprüfte Backups und ein nachvollziehbarer Weg, wer wann auf welche Akte zugreift.
Anmeldung absichern
Mehr-Faktor-Anmeldung für alle, passwortlos mit FIDO2-Schlüssel oder Windows Hello, dazu Conditional Access, das Zugriffe aus dem Ausland oder von unbekannten Geräten blockiert.
Homeoffice ohne Datenabfluss
Zugriff von außen nur über verwaltete Geräte und einen definierten Weg, mit Firmen-VPN oder einer abgesicherten Terminalsitzung statt über den privaten Rechner.
Backup, das getestet ist
Sicherung nach dem 3-2-1-Prinzip mit einer Kopie außer Haus, und ein Restore, der regelmäßig zurückgespielt und protokolliert wird.
E-Mail-Spoofing und Phishing eindämmen
Vollständige Authentifizierungskette mit SPF, DKIM und DMARC, dazu ein Filter davor und Awareness fürs Team. Phishing ist der häufigste Weg in eine Kanzlei.
Im Zweifel haften Sie persönlich
Die Verschwiegenheitspflicht steht in der Berufsordnung, die Pflicht zu technischen Schutzmaßnahmen in Artikel 32 der DSGVO. Beides ist kein Papier, sondern Haftung. Wer die Zugänge geordnet und die Backups geprüft hat, weist das nach, statt im Ernstfall zu erklären, warum nicht.
Verschwiegenheit ist Pflicht, auch technisch. Ein Datenabfluss trifft Sie doppelt: als DSGVO-Fall und als Verstoß gegen das Mandatsgeheimnis.
Gefordert ist der Stand der Technik, nicht der gute Wille. Nach einem Vorfall prüft die Aufsichtsbehörde, was vorher da war. Der Bericht hält schriftlich fest, was Sie getan haben.
Ohne belegte Grundmaßnahmen keine Deckung oder eine höhere Prämie. Die Fragen im Antrag beantworten Sie mit einem Bericht, nicht aus dem Bauch.
Erst der Befund, dann das Angebot.
Neun von zehn Angriffen beginnen mit einer E-Mail, oft im Namen der Kanzlei an Mandanten. Der Außencheck ist der erste Schritt: Ich prüfe von außen, ob sich Ihre Domain fälschen lässt und welche Systeme offen stehen.
KOSTENLOS · OHNE ZUGRIFF AUFS NETZ · NUR ÖFFENTLICH SICHTBARES