Die wichtigste Digitalfrage beginnt vor der nächsten Software
Wer in einer Kanzlei digitale Mandanten- und Finanzdaten sehen, ändern, exportieren oder freigeben darf, sollte nicht erst bei einem Sicherheitsvorfall geklärt werden. Die belastbare Antwort steht in einem Rollen- und Berechtigungskonzept: Es ordnet Aufgaben, Datenklassen, Rechte, Freigaben, Vertretungen und den Entzug nicht mehr benötigter Zugänge.
Das ist keine weitere Softwarefrage. Ein neues Dokumentenmanagementsystem, ein Mandantenportal oder eine Schnittstelle kann Abläufe verbessern. Es entscheidet aber nicht, ob eine Fachkraft nur Belege lesen, auch Buchungen ändern oder zusätzlich einen vollständigen Datenexport auslösen darf. Diese Entscheidungen bleiben organisatorisch.
Die redaktionelle These lautet deshalb: Für viele Kanzleien liegt der produktivere erste Schritt nicht im Toolwechsel, sondern in einer klaren Zugriffssystematik. Sie kann Risiken begrenzen und Arbeitsabläufe vereinfachen, wenn sie auf wenige verständliche Rollen zugeschnitten, regelmäßig geprüft und technisch sauber umgesetzt wird. Ein überladenes Regelwerk, das niemand pflegt, wäre dagegen nur zusätzliche Bürokratie.
Ein Zugriff darf nicht mehr können als die Aufgabe verlangt
Der Ausgangspunkt ist das Prinzip der geringstmöglichen Berechtigung, auch Least-Privilege-Prinzip genannt. Eine Person erhält danach nur die Rechte, die sie für ihre konkrete Aufgabe benötigt. Maßgeblich ist nicht die Stellung im Organigramm, sondern der tatsächliche Arbeitsablauf.
Für eine mittelständische Kanzlei können beispielsweise Rollen wie Kanzleileitung, Rechnungswesen, fachlich verantwortliche Person, IT-Administration und Mandant unterschieden werden. Die Kanzleileitung genehmigt Rollen und Ausnahmen. Das Rechnungswesen bearbeitet die zugewiesenen Mandanten und Belege. Die fachlich verantwortliche Person prüft definierte Vorgänge. Die IT-Administration verwaltet Konten, Gruppen und technische Einstellungen, ersetzt aber nicht die fachliche Freigabe. Mandanten erhalten Zugriff auf die für die Zusammenarbeit vorgesehenen eigenen Daten und Prozesse.
Diese Rollen dürfen nicht pauschal mit vollständigen Systemprofilen gleichgesetzt werden. Ein Zugriffskonzept sollte mindestens zwischen vier Rechten unterscheiden: Lesen, Ändern, Exportieren und Freigeben. Wer einen Beleg sehen darf, muss ihn nicht verändern können. Wer eine Buchung vorbereitet, braucht nicht automatisch das Recht, einen vollständigen Mandantenbestand herunterzuladen. Wer einen Vorgang ändert, sollte bei risikoreichen Fällen nicht zugleich alleinige Freigabestelle sein.
Auch Datenklassen helfen bei der Abgrenzung. Eine Kanzlei kann etwa laufende Belege und allgemeine Buchungsinformationen von besonders sensiblen Daten wie Lohn-, Bank- und Liquiditätsinformationen, steuerlichen Arbeitsunterlagen sowie Administrations- und Protokolldaten trennen. Die konkrete Einteilung muss zum eigenen Bestand passen. Entscheidend ist, dass die Kanzlei begründen kann, weshalb eine Rolle eine bestimmte Datenklasse und eine bestimmte Rechteart benötigt.
Ein Rechnungsvorgang zeigt, wie Kontrolle ohne Stillstand funktioniert
Ein typischer Ablauf im Rechnungswesen lässt sich in klar getrennte Schritte zerlegen. Eine Fachkraft erfasst eine eingehende Rechnung, ordnet sie dem richtigen Mandanten zu und erstellt einen Buchungsvorschlag. Die fachlich verantwortliche Person prüft die Zuordnung. Bei einem Routinevorgang kann die Bearbeitung danach im vorgesehenen Prozess weiterlaufen. Bei einer Änderung von Bankstammdaten, einem umfangreichen Export oder einer besonders sensiblen Weitergabe verlangt die Kanzlei zusätzlich eine zweite Freigabe.
Das ist ein Beispiel für eine risikobasierte Funktionstrennung. Die erste Person bearbeitet den Vorgang; die zweite prüft die kritische Entscheidung. Als Nachweis sollten mindestens der betroffene Mandant oder Vorgang, die handelnde Person, der Anlass, die Entscheidung, das Datum und die freigebende Stelle festgehalten werden. Die fachliche Prüfung liegt dabei nicht automatisch bei der IT. Sie gehört zu der Rolle, die für die sachliche Richtigkeit des jeweiligen Vorgangs verantwortlich ist.
Für die Praxis bedeutet das: Das Vier-Augen-Prinzip muss nicht jede Routinebuchung blockieren. Es eignet sich vor allem für zuvor definierte Auslöser, etwa neue Zahlungswege, Änderungen an Stammdaten, Massendatenexporte, externe Weitergaben oder die Einrichtung weitreichender Zugänge. Die Kanzleileitung legt diese Auslöser fest und überprüft, ob sie im Tagesgeschäft funktionieren. So wird Kontrolle auf die Vorgänge konzentriert, bei denen ein Fehler oder Missbrauch größere Folgen haben könnte.
Ein Gegenrisiko bleibt: Zu viele Genehmigungsschritte führen zu Umgehungslösungen. Wenn Beschäftigte für einfache Aufgaben regelmäßig auf Administrationskonten ausweichen müssen, ist das Konzept nicht praxistauglich. Die bessere Lösung ist eine begrenzte Zahl klarer Rollen mit abgestuften Rechten und wenigen, nachvollziehbaren Sonderfreigaben.
Die Berechtigungsmatrix macht Zuständigkeiten prüfbar
Eine Berechtigungsmatrix ist hilfreicher als eine unübersichtliche Liste einzelner Benutzerrechte. Sie beschreibt, welche Rolle für welche Datenklasse welche Handlung ausführen darf und wer diese Berechtigung genehmigt. Personen werden anschließend den Rollen zugeordnet; individuelle Ausnahmen müssen sichtbar bleiben.
Der Mindestumfang sollte für jede relevante Rolle enthalten:
1. Rolle und verantwortliche Stelle.
2. Datenklasse und betroffene Systeme oder Mandantenbereiche. 3. Leserecht. 4. Änderungsrecht. 5. Exportrecht. 6. Freigaberecht.
7. Genehmiger der Rolle oder Ausnahme.
8. Beginn und gegebenenfalls Ende der Gültigkeit.
9. Auslöser für eine frühere Überprüfung.
10. Letzter Prüfzeitpunkt und Ergebnis der Prüfung.
Protokolle zeigen Handlungen, ersetzen aber keine Kontrolle
Technische Protokolle, sogenannte Logs, können festhalten, wann ein Konto genutzt, eine Berechtigung geändert, ein Export ausgelöst oder ein Datensatz bearbeitet wurde. Das ist nicht dasselbe wie eine fachliche Prüfung. Ein Log zeigt zunächst eine technische Handlung. Es beantwortet nicht automatisch, ob sie sachlich erforderlich, genehmigt oder richtig war.
Deshalb sollte die Kanzlei drei Ebenen trennen. Erstens muss sie festlegen, welche technischen Ereignisse für Fehleranalyse, Sicherheitsprüfung oder Nachweiszwecke aufgezeichnet werden. Zweitens braucht sie eine fachliche Auswertung: Wer prüft beispielsweise ungewöhnliche Exporte oder Berechtigungsänderungen ohne erkennbare Genehmigung? Drittens muss sie den Umgang mit den Protokollen regeln, einschließlich Zweck, Zugriff, Aufbewahrung und Löschung nach den jeweils anwendbaren Vorgaben.
Die Aufzeichnung sämtlicher Ereignisse ist keine pauschale redaktionelle Empfehlung und wird hier nicht als allgemeine gesetzliche Pflicht behauptet. Umfang und Auswertung müssen sich am Zweck, an den eingesetzten Systemen und an den einschlägigen Datenschutz-, Berufs- und Dokumentationsanforderungen orientieren. Mehr Daten schaffen nicht automatisch mehr Sicherheit. Ein Protokoll, das niemand auswertet oder dessen Aussage niemand versteht, bleibt ein Datenbestand ohne Kontrollwirkung.
Sammelkonten und gemeinsam verwendete Passwörter verschärfen dieses Problem. Sie erschweren die Zuordnung einer Handlung zu einer bestimmten Person. Wenn ein gemeinsamer Zugang ausnahmsweise technisch oder organisatorisch erforderlich ist, braucht die Kanzlei zumindest eine ergänzende Regelung, wer ihn nutzen darf, wie die Nutzung dokumentiert wird und wer dafür verantwortlich ist.
Offboarding muss bei Rollenwechseln ebenso greifen wie beim Ausscheiden
Der Entzug von Zugängen darf nicht davon abhängen, ob eine einzelne Person daran denkt. Er braucht einen festgelegten Auslöser und eine verantwortliche Stelle. Das gilt nicht nur beim Ausscheiden aus der Kanzlei, sondern auch bei einem Aufgabenwechsel, dem Ende einer Vertretung, einem Wechsel externer Dienstleister oder einer längeren Abwesenheit.
Ein praxistauglicher Ablauf beginnt mit der Meldung durch die zuständige Führungskraft. Sie nennt die betroffene Person, die bisherige und die neue Rolle sowie den Zeitpunkt der Änderung. Die IT-Administration prüft anschließend Benutzerkonto, Gruppen, Mandantenportale, Geräte, Schnittstellen und gespeicherte Sitzungen. Nicht mehr erforderliche Rechte werden entzogen; befristete Berechtigungen laufen aus. Die Umsetzung wird dokumentiert. Die fachlich verantwortliche Stelle prüft danach, ob offene Freigaben, ausstehende Exporte oder Übergaben betroffen sind.
Die Verantwortung ist damit geteilt: Die Führungskraft löst den Prozess aus, die IT setzt technische Änderungen um, und die fachlich zuständige Stelle prüft die Auswirkungen auf laufende Vorgänge. Die Kanzleileitung sollte festlegen, wer diesen Ablauf überwacht und wann eine stichprobenartige Kontrolle stattfindet.
Bei einem Rollenwechsel genügt es nicht, nur das neue Profil zu vergeben. Alte Gruppenmitgliedschaften oder Sonderrechte können fortbestehen. Genau deshalb muss die Prüfung ausdrücklich auch nicht mehr benötigte Rechte, befristete Zugänge und individuelle Ausnahmen erfassen.
Die vier Perspektiven führen zu unterschiedlichen Prioritäten
Für die Kanzleileitung steht die Verantwortungsordnung im Vordergrund. Sie muss entscheiden, wer Rollen genehmigt, welche Vorgänge eine zweite Freigabe benötigen, wie Ausnahmen dokumentiert werden und wann die Matrix überprüft wird. Eine klare Zuständigkeit ist dabei wichtiger als eine möglichst große Zahl technischer Funktionen.
Für Fachkräfte im Rechnungswesen zählt die Arbeitsfähigkeit. Die Rollen müssen den realen Ablauf abbilden und dürfen keine unnötigen Medienbrüche erzeugen. Wenn ein normaler Buchungsvorgang nur über Umwege oder ein Administrationskonto möglich ist, wird die formale Begrenzung zur praktischen Schwachstelle.
IT und Datenschutz betrachten vor allem die technische Durchsetzung, die Nachvollziehbarkeit und die Begrenzung des Personenkreises. Sie müssen außerdem unterscheiden, welche Informationen für Administration, fachliche Arbeit und Kontrolle tatsächlich benötigt werden. Ein gemeinsames Konzept ist sinnvoller als getrennte Listen, die sich widersprechen.
Aus Mandantensicht sollte die Kanzlei die relevanten Verantwortlichkeiten und Verarbeitungsprozesse erklären können. Das bedeutet nicht, jede interne Systemeinstellung offenzulegen. Es bedeutet aber, Auskunft darüber geben zu können, welche Rollen mit den Daten arbeiten, welche externen Stellen eingebunden sind und an welchen Stellen Freigaben oder Übermittlungen stattfinden. Ob und in welchem Umfang konkrete Informationspflichten bestehen, hängt vom jeweiligen Verarbeitungsvorgang ab und muss gesondert geprüft werden.
Die beste erste Maßnahme ist eine begrenzte Bestandsaufnahme
Die vorhandenen Fachquellen stützen vor allem den organisatorischen Kern: Zuständigkeiten, Berechtigungsstufen, Genehmigungen, regelmäßige Überprüfungen und der Entzug nicht mehr erforderlicher Zugriffe gehören zusammen. Außerdem ist ein Prozess erst wirksam, wenn er tatsächlich genutzt, überprüft und an veränderte Risiken angepasst wird. Für einzelne Systeme, konkrete DATEV-Rechte oder verbindliche Aufbewahrungsfristen lassen sich daraus jedoch keine pauschalen Vorgaben ableiten.
Die Redaktion bewertet deshalb ein schlankes Modell als sinnvoller als eine möglichst vollständige Sammlung technischer Einzelrechte. Die Kanzlei sollte zunächst die Rollen und Datenklassen erfassen, anschließend die vier Rechtearten getrennt bewerten und erst danach prüfen, welche Einstellungen die eingesetzten Systeme anbieten. So wird die Organisation nicht an den vorhandenen Softwareprofilen ausgerichtet, sondern an den tatsächlichen Aufgaben.
Eine priorisierte Prüfung kann so aussehen:
1. Sofort vorbereiten: Rollen, Datenklassen, Systeme, Sonderrechte und gemeinsame Konten erfassen.
2. Vor einer technischen Änderung prüfen: Lesen, Ändern, Exportieren und Freigeben getrennt zuordnen; kritische Auslöser für eine zweite Prüfung festlegen.
3. Bei konkreten Rollenänderungen umsetzen: Genehmiger, Gültigkeitsdauer, betroffene Systeme und Nachweis der Umsetzung dokumentieren.
4. Regelmäßig kontrollieren: Matrix, Ausnahmen, Vertretungen, Logs und Offboarding-Fälle durch die jeweils verantwortlichen Stellen prüfen.
5. Ohne belastbare Grundlage unterlassen: Vollzugriffe aus Bequemlichkeit vergeben, Sammelkonten ausweiten oder sämtliche Protokolle ohne Zweck speichern.
Das könnte dich auch interessieren
Karrierepfade statt Einzelmaßnahmen: Wie Kanzleien Fachkräfte langfristig binden
Umsatzsteuer-Compliance-Software: Wann Eigenlösung, Steuerberater oder Tool sinnvoll sind
