Fachlich geprüft von Fatma Tabak-Özkul, Steuerberaterin
Stand: Oktober 2026
Kaum ein Dienstleister bekommt so viele vertrauliche Daten wie die Steuerkanzlei: Lohnabrechnungen mit Gehältern, Bilanzen vor der Veröffentlichung, Steuerbescheide, Bankumsätze, Gesellschafterlisten. Trotzdem wandern viele dieser Unterlagen noch als gewöhnlicher E-Mail-Anhang hin und her. Das ist bequem – und aus Sicht der IT-Sicherheit der schwächste Weg, den es gibt.
Dieser Beitrag zeigt, warum die normale E-Mail für Steuerunterlagen riskant ist, was das Gesetz von Ihrer Kanzlei verlangt, welche Austauschwege sich eignen und was Sie selbst tun sollten, damit Zugänge nicht in falsche Hände geraten.
Warum ist die normale E-Mail für Steuerunterlagen riskant?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Grundproblem mit einem Bild, das jeder versteht:
E-Mails sind vergleichbar mit Postkarten und ohne Verschlüsselung besteht das Risiko, dass Dritte Inhalte mitlesen, verändern oder missbrauchen.
Für die Zusammenarbeit mit der Kanzlei heißt das dreierlei:
- Mitlesen: Wer Zugriff auf ein Postfach hat – Ihres oder das eines Mitarbeiters –, sieht jede Lohnauswertung und jede BWA, die je per Mail verschickt wurde.
- Verändern: Eine Mail mit Anhang lässt sich unterwegs oder aus einem übernommenen Postfach heraus manipulieren. Das ist die Grundlage für Rechnungsbetrug mit gefälschter Bankverbindung.
- Missbrauchen: Das Postfach ist nach Einschätzung des BSI ein „digitales Zuhause“: Wer Zugriff darauf hat, kann sich die Passwörter anderer Dienste zurücksetzen lassen und weitere Konten übernehmen.
Verschlüsselte Übertragungsprotokolle zwischen Mailprogramm und Server empfiehlt das BSI ohnehin. Den Inhalt sensibler Mails schützen nach seinen Empfehlungen aber erst Verschlüsselungsstandards wie S/MIME oder OpenPGP.
Aus Sicht der IT-Sicherheit ist das Postfach der wunde Punkt: Wer ein einziges Passwort erbeutet, sieht alles, was jemals per Mail verschickt wurde – auch die Lohnauswertungen von vor drei Jahren. Deshalb gilt für Steuerunterlagen eine einfache Regel: Sie gehören in ein Portal mit starker Anmeldung, nicht in den Posteingang.
Was muss die Steuerkanzlei rechtlich gewährleisten?
Steuerberater sind gesetzlich zur Verschwiegenheit verpflichtet. Sie bezieht sich nach § 57 Abs. 1 StBerG auf alles, was in Ausübung des Berufs bekannt geworden ist. Wer als Steuerberater ein ihm anvertrautes Betriebs- oder Geschäftsgeheimnis unbefugt offenbart, macht sich nach § 203 Abs. 1 Nr. 3 StGB strafbar – mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.
Moderne Kanzleien arbeiten mit Rechenzentren, Software- und IT-Dienstleistern. Dafür setzt § 62a StBerG enge Grenzen:
- Dienstleister dürfen nur Zugang zu geschützten Informationen erhalten, soweit das für ihre Leistung erforderlich ist.
- Die Kanzlei muss sie sorgfältig auswählen und vertraglich in Textform zur Verschwiegenheit verpflichten – einschließlich Belehrung über die strafrechtlichen Folgen.
- Bei Dienstleistungen im Ausland muss der Geheimnisschutz dort mit dem Schutz im Inland vergleichbar sein.
- Dient eine Dienstleistung unmittelbar einem einzelnen Mandat, braucht es die Einwilligung des Mandanten.
Hinzu kommt der Datenschutz: Nach Art. 32 DSGVO müssen Kanzlei und Dienstleister technische und organisatorische Maßnahmen treffen, die dem Risiko angemessen sind – ausdrücklich genannt ist dabei auch die Verschlüsselung personenbezogener Daten. Einen bestimmten Kommunikationskanal schreiben diese Vorschriften nicht vor. Sie verlangen ein Schutzniveau, das zur Sensibilität der Daten passt.
Verschwiegenheit endet nicht an der Kanzleitür. Sie gilt genauso für den Weg, auf dem Ihre Unterlagen zu uns kommen und zu Ihnen zurückgehen. Deshalb besprechen wir mit jedem Mandanten zu Beginn, welche Daten über welchen Weg laufen.
Welche Unterlagen schicken Sie heute noch per Mail?
Wir gehen Ihre Austauschwege mit Ihnen durch und stellen auf DATEV Unternehmen online um.
✓ Antwort binnen 120 Minuten ✓ kostenlos ✓ unverbindlichWelche Austauschwege eignen sich?
Für den Austausch von Belegen und Auswertungen nutzen wir DATEV Unternehmen online. DATEV beschreibt die Anwendung als Programm zum Austausch von Belegen, Daten und Dokumenten zwischen Unternehmen und steuerlichem Berater – eine gemeinsame Datenplattform, auf die beide Seiten zugreifen. Vor dem Start der Anwendung ist eine Authentifizierung mit SmartCard, mIDentity-Stick oder SmartLogin erforderlich; ein Passwort allein genügt nicht.
| Weg | Geeignet für | Worauf Sie achten sollten |
|---|---|---|
| DATEV Unternehmen online | Belege, Auswertungen, Dokumente zur Buchhaltung | Nur über Lesezeichen öffnen, nie über Mail-Links |
| Verschlüsselte E-Mail (S/MIME, OpenPGP) | Einzelne vertrauliche Nachrichten | Funktioniert nur, wenn beide Seiten es eingerichtet haben |
| Normale E-Mail | Terminabsprachen, allgemeine Fragen | Keine Lohndaten, Bilanzen oder Zugangsdaten |
| Telefon oder persönliches Gespräch | Bestätigung von Änderungen, etwa einer Bankverbindung | Über bekannte Nummern, nicht über Nummern aus einer Mail |
Ein häufiger Notbehelf ist das passwortgeschützte ZIP-Archiv. Es hilft nur, wenn das Passwort auf einem anderen Weg übermittelt wird – etwa am Telefon. Steht es in derselben oder der nächsten Mail, liest es jeder mit, der Zugriff auf das Postfach hat. Bedenken Sie außerdem: Lohnunterlagen enthalten personenbezogene Daten Ihrer Mitarbeiter. Für deren Schutz sind Sie als Arbeitgeber selbst verantwortlich, nicht erst die Kanzlei.
DATEV bietet daneben weitere Wege an, etwa DATEV SmartTransfer für den Austausch von E-Rechnungen und Geschäftsdokumenten. Welcher Weg in Ihrem Fall sinnvoll ist, hängt davon ab, welche Daten regelmäßig fließen.
Wichtiger Hinweis: Gerade die Plattformen, die Sie mit der Kanzlei verbinden, werden gefälscht. DATEV warnte im August 2026 vor Phishing-Mails, die angeblich aus DATEV Unternehmen online stammten und auf eine Dropbox-Seite führten. Mehr dazu in unserem Beitrag über Phishing im Namen von Finanzamt, BMF und DATEV.
Was Sie selbst tun sollten: Mehrfaktor-Anmeldung und Postfach
Der beste Kanal nützt wenig, wenn ein Zugang mit einem einzigen Passwort offensteht. Das BSI rät, die Zwei-Faktor-Authentisierung zu nutzen, sobald ein Dienst sie anbietet – gerade bei E-Mail-Konten mit weitreichenden Möglichkeiten. Wichtig ist, dass die Faktoren aus verschiedenen Kategorien stammen: Wissen, Besitz oder Biometrie.
Nicht jedes Verfahren schützt gleich gut. Nach dem Vergleich des BSI schützen SMS- und E-Mail-TAN sowie Einmalcodes aus Authenticator-Apps nicht vor Phishing in Echtzeit, bei dem Angreifer den zweiten Faktor über eine Zwischenseite abgreifen. Passkeys bewertet das BSI als resistent gegen übliche Phishing-Angriffe. Hinterlegen Sie außerdem mehrere zweite Faktoren, damit ein verlorenes Handy Sie nicht aussperrt.
In welcher Reihenfolge sich Mehrfaktor-Anmeldung im Unternehmen einführen lässt, beschreibt DAVINCI im Leitfaden MFA einführen: Reihenfolge und Verfahren. Wie Ihre eigene Maildomain gegen gefälschte Absender geschützt wird, zeigt die Anleitung zu SPF, DKIM und DMARC – Standards, deren sorgfältige Umsetzung auch das BSI Unternehmen empfiehlt.
Tipp: Schicken Sie Zugangsdaten nie per Mail – auch nicht an die Kanzlei. Das BSI stellt klar, dass Unternehmen und Behörden nie per E-Mail nach Passwörtern, Bankdaten oder anderen vertraulichen Informationen fragen.
Checkliste für die Zusammenarbeit
- Belege und Auswertungen über DATEV Unternehmen online statt per Mail-Anhang
- Mehrfaktor-Anmeldung für E-Mail, DATEV und Online-Banking
- Feste Absprache: Welche Daten laufen über welchen Weg?
- Änderungen von Bankverbindungen nur telefonisch über bekannte Nummern bestätigen
- Portale nur über Lesezeichen öffnen
- Ausgeschiedenen Mitarbeitern alle Zugänge sofort entziehen
Mehr dazu: so arbeitet unsere digitale Kanzlei, digitale Zusammenarbeit mit TABAK, KI in der Steuerberatung und DATEV-Schulungen.
Häufige Fragen
Darf ich meinem Steuerberater Unterlagen per E-Mail schicken?
Verboten ist es nicht, aber riskant: Das BSI vergleicht unverschlüsselte E-Mails mit Postkarten, die Dritte mitlesen, verändern oder missbrauchen können. Für Lohndaten, Bilanzen und Bankunterlagen eignen sich ein Portal wie DATEV Unternehmen online oder verschlüsselte E-Mails mit S/MIME oder OpenPGP besser.
Welche Pflichten hat die Steuerkanzlei beim Schutz meiner Daten?
Steuerberater sind nach § 57 Abs. 1 StBerG zur Verschwiegenheit über alles verpflichtet, was sie im Beruf erfahren; ein unbefugtes Offenbaren ist nach § 203 StGB strafbar. Setzt die Kanzlei IT-Dienstleister ein, muss sie diese nach § 62a StBerG sorgfältig auswählen und in Textform zur Verschwiegenheit verpflichten. Nach Art. 32 DSGVO sind zudem dem Risiko angemessene technische Maßnahmen wie Verschlüsselung zu treffen.
Wie sicher ist DATEV Unternehmen online?
Die Anwendung dient laut DATEV dem Austausch von Belegen, Daten und Dokumenten zwischen Unternehmen und Kanzlei. Vor dem Start ist eine Authentifizierung mit SmartCard, mIDentity-Stick oder SmartLogin nötig, ein Passwort allein reicht nicht. Öffnen Sie die Anwendung immer über Ihr Lesezeichen, weil Phishing-Mails im Namen von DATEV im Umlauf sind.
Welche Zwei-Faktor-Verfahren schützen am besten vor Phishing?
Nach dem Vergleich des BSI schützen SMS- und E-Mail-TAN sowie Einmalcodes aus Authenticator-Apps nicht vor Phishing in Echtzeit. Passkeys gelten als resistent gegen übliche Phishing-Angriffe. Hinterlegen Sie mehrere zweite Faktoren, damit Sie bei Verlust eines Geräts nicht ausgesperrt werden.
Quellen
- BSI: Nutzen Sie die E-Mail wirklich sicher?
- BSI: Zwei-Faktor-Authentisierung
- BSI: Vergleich gängiger Verfahren der 2FA
- BSI: Empfehlungen zur Verbesserung der E-Mail-Sicherheit in Unternehmen
- § 57 StBerG – Allgemeine Berufspflichten
- § 62a StBerG – Inanspruchnahme von Dienstleistungen
- § 203 StGB – Verletzung von Privatgeheimnissen
- Art. 32 DSGVO – Sicherheit der Verarbeitung
- DATEV: DATEV Unternehmen online
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine steuerliche Beratung im Einzelfall. Rechtsstand siehe oben; Gesetze, BMF-Schreiben und Rechtsprechung können sich ändern.
TABAK Steuerberatung
Augustaanlage 33, 68165 Mannheim
Inhaberin und Steuerberaterin: Fatma Tabak-Özkul
