Passwort-Manager für Prüfungspraxen: Zugänge je Auftrag trennen

Zugänge einer Prüfungspraxis gehören zu Aufträgen

In einer Wirtschaftsprüfungspraxis hängen die meisten Zugangsdaten an einem bestimmten Auftrag. Sie entstehen mit der Prüfung und werden von einem Team genutzt, das es in dieser Zusammensetzung nur für diesen Auftrag gibt. Nach dem Testat braucht sie niemand mehr.

• Systeme des Mandanten: Lesezugriff auf Buchhaltung oder ERP-System, ein Konto für den Abruf von Datenexporten, manchmal ein VPN-Zugang ins Netz des Mandanten.
• Austausch von Unterlagen: die Plattform, über die der Mandant angeforderte Belege, Verträge und Saldenlisten bereitstellt.
• Datenräume: Konten bei Due-Diligence-Prüfungen und Unternehmensbewertungen, eröffnet vom Verkäufer oder seinem Berater.
• Eigene Prüfungssoftware: elektronische Prüfungsakte, Analyseprogramme, Administratorkonto und Lizenzportal des Herstellers.
• Berufsstand: Mitgliederbereich der Wirtschaftsprüferkammer, Fachdatenbanken, Konten für die Fortbildung. Den Zugang zu einer Fachdatenbank teilen Sie nur, wenn die Lizenz mehrere Nutzer zulässt. Sonst hat jede Person ihren eigenen.

Die ersten drei Gruppen gehören dem Mandanten oder einem Dritten, die Praxis nutzt sie nur auf Zeit.

Verschwiegenheit gilt auch zwischen Kollegen

§ 43 Abs. 1 WPO zählt die Verschwiegenheit zu den Grundpflichten des Berufs. Für gesetzliche Abschlussprüfungen verpflichtet § 323 Abs. 1 HGB zusätzlich den Prüfer und seine Gehilfen. Die Berufssatzung der Wirtschaftsprüferkammer verlangt in § 10 Abs. 2, dafür zu sorgen, dass Unbefugte geschützte Tatsachen nicht erfahren, und entsprechende Vorkehrungen zu treffen.

Wer als unbefugt gilt, steht in den Erläuterungen der Kammer zu § 10: Die Pflicht besteht innerhalb der Praxis grundsätzlich auch gegenüber Mitarbeitern, die mit dem Mandat nicht befasst sind. Ausgenommen sind etwa Mitarbeiter, die mit der Qualitätssicherung oder der Nachschau befasst sind. Nach § 10 Abs. 3 endet die Pflicht nicht mit dem Auftrag.

Eine gemeinsame Sammlung „Prüfung“ für alle Assistenten zeigt die Zugänge eines Mandanten auch Kollegen, die an diesem Auftrag nicht arbeiten. Wir richten deshalb eine Sammlung je Mandat ein, die nur dem aktuellen Prüfungsteam zugewiesen ist. Außer dem Team kommt nur heran, wer Eigentümer oder Administrator der Organisation ist, diese Rollen bekommen deshalb nur die Partner. Der Preis hängt nicht an der Zahl der Nutzer, jede weitere Sammlung und jede weitere Person kostet also nichts extra.

Bei Due-Diligence-Aufträgen kommt § 11 der Berufssatzung hinzu: Wer im Beruf von geplanten Transaktionen erfährt, darf das weder für sich noch für andere verwerten. Wir empfehlen, den Zugang zu einem Datenraum nur den Personen freizugeben, die an diesem Auftrag arbeiten.

Persönliche Konten beim Mandanten und im Datenraum

Manchmal legt ein Mandant für eine Prüferin ein eigenes Konto in seiner Buchhaltung an, oder ein Datenraum vergibt den Zugang auf eine benannte Person. Dieses Konto teilen Sie nicht im Team, auch wenn es kurz vor dem Testat schneller ginge. Wer es mitbenutzt, ist in den Protokollen des Mandanten nicht mehr von der Prüferin zu unterscheiden.

Die Prüferin legt so ein Konto in ihrem persönlichen Tresor ab, getrennt von den Sammlungen der Praxis. In die Mandats-Sammlung kommt ein Eintrag mit einer Notiz, etwa „Buchhaltung: Konto läuft auf Frau B., Zugang für Kollegen beim Mandanten anfragen“. Gemeinsame Zugänge, die der Mandant ausdrücklich für das ganze Team vergibt, etwa für den Datenexport, stehen mit Passwort daneben.

Verlangt ein Mandantensystem einen Bestätigungscode aus einer Authenticator-App, kann der geheime Schlüssel beim gemeinsamen Eintrag liegen. Wie das Team dann den Code abruft, beschreibt der Ratgeber Bestätigungscodes für mehrere Mitarbeiter. Kommt der Code per SMS, bleibt er an die Rufnummer gebunden, die der Mandant hinterlegt hat.

Dienstleister nach § 50a WPO

Dienstleister ist nach § 50a WPO jede Person oder Stelle, die der Wirtschaftsprüfer im Rahmen seiner Berufsausübung beauftragt. Die Vorschrift erlaubt, ihm Zugang zu geschützten Tatsachen zu geben, soweit seine Leistung das erfordert. Sie verlangt eine sorgfältige Auswahl und einen Vertrag in Textform, der ihn zur Verschwiegenheit verpflichtet, über die strafrechtlichen Folgen belehrt und seine Kenntnisnahme auf das Nötige beschränkt.

Die Praxishinweise der Wirtschaftsprüferkammer (Stand 19.06.2025) nennen als Beispiele die Administration der eigenen IT-Infrastruktur und Cloud-Anbieter. Nach Abs. 5 braucht die Praxis die Einwilligung des Mandanten, wenn eine Leistung unmittelbar einem einzelnen Mandat dient. IT-Dienstleistungen ordnet die Kammer dort der allgemeinen Praxisorganisation zu, die keiner Einwilligung bedarf.

Wie wenig der Betreiber eines Tresors erfährt, hängt an der Verschlüsselung. Die Inhalte sind Ende-zu-Ende-verschlüsselt und lassen sich nur auf den Geräten Ihres Teams öffnen. Wir können keinen Eintrag lesen. Bei uns sichtbar sind Namen und E-Mail-Adressen der Nutzer und technische Protokolle. Der Server läuft auf den Namen Ihrer Praxis in einem deutschen Rechenzentrum von netcup, und Schönfelder EDV gibt keine Arbeiten an Subunternehmer weiter.

Mit dem Angebot erhalten Sie einen Vertrag zur Auftragsverarbeitung. Welche Vereinbarung die WPO zusätzlich verlangt, besprechen wir im Erstgespräch. Braucht die Firma, die Ihre Rechner betreut, Zugänge aus dem Tresor, lädt Ihr Verantwortlicher sie mit eigenem Konto ein und gibt ihr nur die Sammlung „Praxisbetrieb“ frei. Dieser Text ist keine Rechtsberatung.

Wer Abschlussprüfungen nach § 316 HGB durchführt, braucht nach § 55b Abs. 2 WPO ein Qualitätssicherungssystem, zu dem wirksame Kontroll- und Sicherheitsvorkehrungen für Datenverarbeitungssysteme gehören. Ein Tresor mit Sammlungen je Mandat kann ein Baustein davon sein. Ob Ihr System den Anforderungen genügt, beurteilt diese Seite nicht.

Aufteilung nach Mandaten statt nach Abteilungen

Eigentümer und Administratoren der Organisation sehen zusätzlich alle Sammlungen. Zugangsdaten, PIN und TAN-Verfahren fürs Onlinebanking legen Sie nicht im Tresor ab. Jede Person, die Zahlungen freigibt, hat einen eigenen Bankzugang mit Vollmacht (siehe Onlinebanking für Mitarbeiter).

Namen mit Auftragsnummer statt Firmennamen haben einen Vorteil: Wer auf einen fremden Bildschirm schaut, liest nicht, welches Unternehmen gerade geprüft wird. Nach dem Auftrag entfernen Sie das Team aus der Sammlung und löschen die Einträge, die dem Mandanten gehören. Mehr zum Zuschnitt von Sammlungen steht im Ratgeber Passwörter im Team teilen.

Beispiel: eine Praxis mit wechselnden Prüfungsteams

Eine erfundene Praxis mit zwei Wirtschaftsprüfern, die auch Steuerberater sind, drei Prüfungsassistentinnen und zwei Werkstudenten, die von Januar bis April mitarbeiten. Sie prüft mittelgroße GmbHs und begleitet jedes Jahr einige Unternehmenskäufe.

Im letzten Jahr hatte ein Werkstudent im Juni, zwei Monate nach seinem letzten Arbeitstag, noch Zugriff auf die Buchhaltung eines Mandanten. Das Passwort war im Team-Chat verschickt worden, und niemand wusste mehr, wer es kannte.

Heute legt der verantwortliche Prüfer zu Beginn jedes Auftrags eine Sammlung an und gibt sie den eingeteilten Personen frei. Wechselt eine Assistentin mitten in der Saison auf einen anderen Auftrag, nimmt er sie aus der alten Sammlung heraus. Datenräume liegen getrennt, nur die beiden Partner und die jeweils eingeteilte Assistentin sehen sie. Fällt ein Partner länger aus, übernimmt der andere seine Aufträge. Über den Notfallzugang kommt er auch an die Einträge, die sein Kollege in seinem persönlichen Tresor abgelegt hatte. Wie man den einrichtet, erklärt der Ratgeber Notfallzugriff auf Firmenpasswörter.

Ende der Saison und Abschied aus der Praxis

1. Teamwechsel: Der verantwortliche Prüfer entfernt die Person aus der Mandats-Sammlung. Persönliche Konten beim Mandanten lässt er vom Mandanten abschalten.
2. Abschied: Der Verantwortliche Ihrer Praxis sperrt das Konto im Tresor. Danach ändern Sie die gemeinsamen Passwörter aus allen Sammlungen, die die Person sehen konnte. Welche das waren, sehen Sie im Tresor.

Die Verpflichtung neuer Mitarbeiter auf Verschwiegenheit regelt § 6 Abs. 3 der Berufssatzung: vor Dienstantritt und dokumentiert. Die übrigen Schritte beim Weggang, vom E-Mail-Postfach bis zum Firmenhandy, enthält die Checkliste beim Weggang eines Mitarbeiters.

Preis für die Praxis

Für die Wartung zahlen Sie fest 16,99 € im Monat inkl. MwSt., unabhängig von der Zahl der Nutzer und Sammlungen, mit 12 Monaten Mindestlaufzeit. Die Einrichtung ist enthalten. Die Praxis mietet den Server direkt bei netcup, ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer, eine Prüfungspraxis zählt dazu. Mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. sichern wir den Tresor täglich. Ohne dieses Paket sichern wir nicht, und Sie exportieren selbst. Unterstützung im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt. und je angefangener Viertelstunde.

Berät Ihre Praxis auch steuerlich, lesen Sie die Seite für Steuerberater mit ELSTER und beSt. Für Beratungen ohne Prüfungsauftrag passt die Seite für Unternehmensberatungen. Ihre Fragen klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen