Passwort-Manager für Steuerkanzleien: Mandanten, ELSTER und beSt

Eigene Zugänge und Zugänge der Mandanten

Eine Steuerkanzlei hat zwei Sorten von Zugangsdaten. Die einen laufen auf die Kanzlei selbst, die anderen haben ihr die Mandanten anvertraut. Liegen beide gemischt in Notizen, Tabellen oder im Browser einzelner Arbeitsplätze, weiß am Ende niemand genau, wer was abrufen kann.

• Fachsoftware: Programme für Finanzbuchhaltung, Lohn, Jahresabschluss und Steuererklärungen, mit einem Benutzer je Person, einem Administratorkonto und oft einem Kundenkonto beim Hersteller.
• ELSTER und Mein Unternehmenskonto: die Organisationszertifikate der Kanzlei, jeweils eine Zertifikatsdatei mit Passwort.
• Mandantenportale: die Plattform, über die Mandanten Belege hochladen und Auswertungen abholen, dazu Lesezugänge, die Mandanten für die Kanzlei in ihrer Kassensoftware, ihrem Onlineshop oder ihrer Warenwirtschaft einrichten.
• Lohn: Portale von Krankenkassen und Berufsgenossenschaften, soweit die Lohnabteilung sie für Mandanten nutzt.
• Berufsstand: der Mitgliederbereich der Steuerberaterkammer, Fachdatenbanken, Fortbildungsportale. Eine Fachdatenbank gehört nur in eine gemeinsame Sammlung, wenn die Lizenz mehrere Nutzer erlaubt, sonst bekommt jede Person einen eigenen Zugang.
• Kanzleibetrieb: E-Mail, Domain, Telefonanlage, Router.

Für die Zugänge der Mandanten lohnt sich eine eigene Ordnung. Endet ein Mandat, sollte die Kanzlei in wenigen Minuten sehen, welche fremden Zugänge sie noch hat und wer sie kannte. Mit einer Excel-Liste ist das kaum zu leisten, warum, steht im Ratgeber Passwörter in Excel oder im Browser.

Steuerberaterplattform und beSt: außerhalb des Tresors

Für die Steuerberaterplattform und das besondere elektronische Steuerberaterpostfach gilt eine eigene Verordnung, die StBPPV. Ihr Nutzerkonto auf der Plattform dürfen Sie nach § 8 Abs. 1 keiner anderen Person überlassen, die Zugangsdaten müssen Sie geheim halten. Sie registrieren sich mit einem elektronischen Identitätsnachweis, in der Regel dem Personalausweis mit Online-Ausweisfunktion. Dessen PIN und das Nutzerkonto haben im Kanzlei-Tresor keinen Platz.

Beim beSt liegt es etwas anders. Der Postfachinhaber meldet sich mit dem privaten Schlüssel an, den er bei der Erstanmeldung erzeugt hat, und mit dem Zertifikats-Passwort. Nach § 16 StBPPV darf der Inhaber anderen Personen, auch seinen Mitarbeitern, Zugang geben, indem er ihnen den privaten Schlüssel und das Zertifikats-Passwort zur Verfügung stellt. Dafür setzt die Verordnung Bedingungen:

• Das Zertifikats-Passwort darf nicht im Klartext überlassen werden (Abs. 1).
• Der Inhaber stellt mit technischen und organisatorischen Maßnahmen sicher, dass nur die von ihm bestimmten Personen Zugang haben (Abs. 4), und dokumentiert, wem er wann eine Berechtigung erteilt und wieder entzogen hat (Abs. 5).
• Wer den Schlüssel bekommt, darf ihn nicht weitergeben, darüber belehrt der Inhaber (§ 20 Abs. 2).
• Das Recht, Dokumente mit nicht-qualifizierter Signatur zu versenden, lässt sich nicht übertragen. Beim Versand authentisiert sich der Berufsträger selbst, bis zum 31.12.2026 geht das auch noch mit dem Mitgliedsausweis der Kammer.

ELSTER-Zertifikate: was der Administrator aufbewahren soll

Für Mein ELSTER und Mein Unternehmenskonto kann eine Organisation mehrere ELSTER-Organisationszertifikate beantragen. Jedes gehört zu genau einem Benutzerkonto mit eigenem Postfach. Der Zertifikatsleitfaden von Mein Unternehmenskonto (Stand 19.12.2024) empfiehlt, eine Stelle als Administrator festzulegen, die die Zertifikate verwaltet und dokumentiert.

Ob der Administrator jederzeit auf alle Zertifikate und Postfächer zugreifen können soll, entscheidet laut Leitfaden jede Organisation selbst. Entscheidet sich die Kanzlei dafür, soll er zu jedem ausgegebenen Zertifikat Folgendes sichern: den Namen der Person, die es bekommen hat, Benutzername, Passwort, eine Kopie der Zertifikatsdatei, die Benutzerkonto-ID, die hinterlegte E-Mail-Adresse und die Sicherheitsabfrage mit Antwort. Nach jeder Verlängerung und jedem Passwortwechsel soll er eine aktuelle Fassung erhalten. Scheidet jemand aus, kommt die Kanzlei so weiter an sein Postfach. Ohne Kopie bleibt laut Leitfaden nur die nachträgliche Zugangserneuerung bei ELSTER.

Diese Liste führen Sie im Tresor: In einer Sammlung „ELSTER-Zertifikate“, die nur der Kanzleiinhaberin und ihrer Vertretung zugewiesen ist, bekommt jedes Zertifikat einen Eintrag. Außer den beiden kommt nur heran, wer Eigentümer oder Administrator der Organisation ist, diese Rollen behält deshalb die Kanzleileitung. Die Datei hängt als Anhang daran, Passwort und Sicherheitsantwort stehen in den Feldern. Die Mitarbeiterin arbeitet weiter mit ihrem eigenen Zertifikat, die Kopie dient nur der Kanzleileitung.

Für das Online-Portal des Bundeszentralamts für Steuern gilt das nicht. Nach dem Merkblatt des BZSt zur Registrierung (Stand 1/2023) darf eine Zertifikatsdatei nicht kopiert werden, jede Person braucht ein eigenes Benutzerkonto. Eine BZSt-Zertifikatsdatei legen Sie deshalb weder in eine Sammlung noch sonst in den Tresor.

Verschwiegenheit und die Einbeziehung von Dienstleistern

Nach § 57 Abs. 1 StBerG üben Steuerberater ihren Beruf verschwiegen aus, und die Pflicht erstreckt sich auf alles, was ihnen dabei bekannt geworden ist. Die Berufsordnung der Bundessteuerberaterkammer wird in § 5 Abs. 3 praktisch: Unbefugte dürfen weder während noch nach der beruflichen Tätigkeit Einblick in Mandantenunterlagen bekommen, ausdrücklich auch in Bürogemeinschaften. Teilen Sie Räume oder Technik mit einer anderen Kanzlei, sollte also niemand von dort eine Ihrer Sammlungen sehen.

Für externe Dienstleister gilt § 62a StBerG. Die Kanzlei darf ihnen Zugang zu geschützten Tatsachen nur verschaffen, soweit die Leistung das erfordert. Sie wählt den Dienstleister sorgfältig aus und beendet die Zusammenarbeit, wenn er die Vorgaben nicht einhält. Der Vertrag braucht Textform, verpflichtet zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen, begrenzt die Kenntnisnahme auf das Erforderliche und regelt, ob weitere Personen mitarbeiten dürfen.

Bei einem Tresor zählt also, was wir als Betreiber überhaupt sehen können. Die Apps Ihres Teams ver- und entschlüsseln Einträge, Notizen und Anhänge auf den eigenen Geräten. Wir haben keinen Schlüssel dazu und können nichts davon lesen. Uns bekannt sind die Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle. Der Server ist auf Ihre Kanzlei gemietet und steht bei netcup in Deutschland. Schönfelder EDV gibt keine Arbeiten an Subunternehmer weiter.

Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht unterschreiben wir auf Wunsch. Betreut ein externer IT-Dienstleister Ihre Kanzlei, kann er ein eigenes Konto bekommen, das nur die Sammlung „Kanzleileitung und IT“ sieht. Eröffnen Sie ihm dabei Zugang zu geschützten Tatsachen, gelten für ihn die Vorgaben des § 62a von oben. Dieser Text ist keine Rechtsberatung.

Sammlungen für Berufsträger, Fachangestellte und Lohn

In einer Steuerkanzlei richten Sie die Sammlungen nach den Arbeitsbereichen ein.

Für das Kanzleikonto gibt es keinen Eintrag im Tresor. Wer Überweisungen erledigt, lässt sich von der Bank einen eigenen Zugang mit Vollmacht einrichten, mehr dazu unter Onlinebanking für Mitarbeiter.

Betreut die Kanzlei einige große Mandanten mit vielen eigenen Zugängen, kann jeder davon eine eigene Sammlung bekommen, die nur sein Mandatsteam öffnet. Wie man Sammlungen zuschneidet und Zugänge ohne E-Mail weitergibt, erklärt der Ratgeber Passwörter im Team teilen. Fragt ein Portal nach einem Bestätigungscode aus einer Authenticator-App, kann der geheime Schlüssel beim Eintrag liegen. Dann holt sich jede Berechtigte den Code selbst, siehe 2FA-Codes im Team teilen. Am Tresor selbst gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Beispiel: Kanzlei mit großer Lohnabteilung

Eine erfundene Kanzlei, die vor allem Lohnabrechnungen für Handwerksbetriebe macht: eine Steuerberaterin als Inhaberin, ein angestellter Steuerberater, zwei Steuerfachangestellte für Buchhaltung und Abschlüsse und drei Lohnbuchhalterinnen in Teilzeit, die an unterschiedlichen Tagen arbeiten.

Vorher hing das Passwort für ein Krankenkassenportal auf einem Zettel am Lohn-Arbeitsplatz, weil es alle drei brauchten. Die ELSTER-Zertifikatsdateien lagen in einem Ordner auf dem Server, die Passwörter dazu kannte nur die Inhaberin. Als sie zwei Wochen krank war, kam die Lohnabteilung an ein Postfach nicht heran.

Jetzt sehen die drei Lohnbuchhalterinnen die Sammlung „Lohn“, die beiden Fachangestellten „Buchhaltung und Abschluss“, der angestellte Steuerberater beide und dazu „Berufsträger“. „ELSTER-Zertifikate“ öffnen die Inhaberin und er als Vertretung. Für ihr beSt hat die Inhaberin aufgeschrieben, wem sie Zugang gegeben hat. Für den Fall, dass sie länger ausfällt, hat sie als Eigentümerin der Organisation dem angestellten Steuerberater einen Notfallzugang zum Tresor eingeräumt. Den Ablauf legen wir bei der Einrichtung gemeinsam fest, mehr dazu im Ratgeber Notfallzugriff auf Firmenpasswörter.

Wenn eine Fachangestellte oder Auszubildende geht

Ein Wechsel berührt in einer Steuerkanzlei mehrere Systeme, die nichts voneinander wissen. Gehen Sie sie in dieser Reihenfolge durch:

1. Tresor: Der Verantwortliche Ihrer Kanzlei sperrt das Konto. Danach ändern Sie die Passwörter der Sammlungen, die die Person sehen konnte. Welche das waren, sehen Sie im Tresor.
2. ELSTER: Mit der hinterlegten Kopie prüft der Administrator, ob im Postfach des Zertifikats noch Nachrichten liegen, die die Kanzlei braucht.
3. beSt: Hatte die Person Zugang, hebt der Postfachinhaber die Berechtigung auf und hält das in seiner Dokumentation fest.
4. Fachsoftware und Mandantenportal: Benutzer deaktivieren, Lesezugänge bei Mandanten prüfen, die auf die Person persönlich liefen.

Alle weiteren Schritte stehen in der Checkliste für ausscheidende Mitarbeiter.

Kosten für die Kanzlei

Die Wartung kostet 16,99 € im Monat inkl. MwSt., egal wie viele Personen in der Kanzlei arbeiten, bei 12 Monaten Mindestlaufzeit und mit Einrichtung. Den Server bucht die Kanzlei selbst bei netcup, ab 3,69 € im Monat inkl. MwSt. Wir bieten das nur Unternehmern an, eine Steuerkanzlei gehört dazu. Eine Sicherung des Tresors machen wir nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, dann exportiert die Kanzlei selbst. Hilfe im Alltag kostet extra: 74,99 € je Stunde inkl. MwSt., abgerechnet je angefangener Viertelstunde.

Für Rechtsanwaltskanzleien mit beA gibt es die Seite Passwort-Manager für Anwälte, für Kanzleien mit Prüfungsaufträgen die Seite für Wirtschaftsprüfer. Wie Ihre Sammlungen aussehen könnten, besprechen wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen