Passwort-Manager für Steuerkanzleien in Hamburg

4.792 Kammermitglieder, 653 davon Gesellschaften

Die Steuerberaterkammer Hamburg in der Straße Kurze Mühren 3 zählte laut Berufsstatistik der Bundessteuerberaterkammer am 1. Januar 2026 genau 4.792 Mitglieder, 1,8 Prozent mehr als ein Jahr zuvor. Darunter sind 4.100 Steuerberaterinnen und Steuerberater, 18 Steuerbevollmächtigte, 653 anerkannte Berufsausübungsgesellschaften und 21 Personen aus Geschäftsführung oder Aufsichtsorgan solcher Gesellschaften ohne eigene Zulassung.

Zum selben Stichtag lernten in den Kanzleien der Hansestadt 481 Auszubildende den Beruf der Steuerfachangestellten, dazu kamen 103 Umschülerinnen und Umschüler. Nach jeder Station und nach der Prüfung passt ein Verantwortlicher ihre Freigaben an. Was eine Steuerkanzlei teilen darf und was persönlich bleibt, steht auf der Seite Passwort-Manager für Steuerberater.

Eigene Hinweise der Kammer zu IT-Sicherheit, Phishing oder beSt haben wir auf ihrer Website nicht gefunden. Unter „Berufspraxis“ verweist sie zum Datenschutz auf die Seite der Bundessteuerberaterkammer, dort liegen Hinweise für Kanzleien, eine Prüfliste zum Datenschutz im Homeoffice und Muster, etwa für ein Löschkonzept. Für Mitarbeiter bietet die Kammer die Fortbildung zum Fachassistenten Digitalisierung und IT-Prozesse an.

beSt und Plattform: Pflichten bei Verdacht und Zugang für Abwickler

Für das Nutzerkonto auf der Steuerberaterplattform schreibt § 8 StBPPV vor, dass der Inhaber es niemandem überlässt und seine Zugangsdaten geheim hält. Gibt es Anhaltspunkte, dass Zugangsdaten oder Authentisierungsmittel in fremde Hände geraten sind, muss er unverzüglich alles Nötige tun, um unbefugten Zugriff zu verhindern. Für das beSt gilt nach § 20 Abs. 3 StBPPV dasselbe, als Beispiel nennt die Vorschrift den Antrag auf Sperrung des Postfachs bei der Bundessteuerberaterkammer. Die Bundeskammer muss dafür einen Leitfaden auf ihrer Website bereithalten.

Für den Ausfall eines Berufsträgers regelt § 19 StBPPV, wie Abwickler und Vertreter an das Postfach kommen. Danach gibt die Bundessteuerberaterkammer einem bestellten Praxisabwickler oder Praxistreuhänder für die Dauer der Bestellung Zugang, beschränkt auf Absender und Eingangszeit der Nachrichten. Ein Vertreter, dem der Steuerberater selbst keinen Zugang eingeräumt hat, kann auf Antrag einen eingeschränkten Zugang bekommen.

Zugang zu seinem beSt kann der Inhaber nach § 16 Abs. 1 StBPPV auch Mitarbeitern geben, indem er ihnen den privaten Schlüssel und das Zertifikats-Passwort zur Verfügung stellt, das Passwort aber nicht im Klartext. Nach Abs. 5 dokumentiert er, wem er wann Zugang erteilt und entzogen hat, nach § 20 Abs. 2 belehrt er die Berechtigten, dass sie den Schlüssel nicht weitergeben dürfen. In den Kanzlei-Tresor gehören Schlüssel und Zertifikats-Passwort trotzdem nicht, weder in eine Sammlung noch in den persönlichen Bereich: Eigentümer und Administratoren sehen alle Sammlungen und kämen über die Kontowiederherstellung auch an den persönlichen Bereich. In eine Notiz der Kanzleileitung passt dagegen, wo der Leitfaden der Bundeskammer liegt und wer im Ernstfall die Sperrung beantragt.

Gefälschte Prüfungsanordnungen im Namen der Steuerverwaltung

Am 16. Juli 2026 warnte die Hamburger Steuerverwaltung vor Mails, die angeblich von der Behörde für Finanzen und Bezirke kommen und eine Außenprüfung ankündigen. Der Anhang heißt wie ein PDF, ist aber eine HTML-Datei. Prüfungsanordnungen verschicken laut Behörde nur die Finanzämter, derzeit ausschließlich per Papierpost, mit Steuernummer und Namen des Prüfers.

Fällt jemand in der Kanzlei darauf herein und gibt auf einer nachgebauten Seite Zugangsdaten ein, ändert er danach jedes Passwort, das dort und an anderer Stelle gleich lautete. Im Passwort-Bericht des Tresors sehen die Verantwortlichen, wo dasselbe Passwort mehrfach vorkommt.

Datenschutz-Aufsicht: wie Angreifer in Netzwerke kommen

Aufsicht für Steuerkanzleien mit Sitz in der Stadt ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. In seinem Tätigkeitsbericht 2025 hat er die 356 Fälle, die er nach Hacking-Angriffen bearbeitet hat, nach Ursache sortiert: je rund 100 durch Phishing und durch Ransomware, 75 durch übernommene bestehende Konten, 9 durch Lücken in öffentlich erreichbaren Anwendungen, 5 über Lieferketten und 2 durch das Durchprobieren von Passwörtern. Bei den übrigen blieb der Einstieg ungeklärt oder hatte andere Gründe.

Bei einem Dienstleister, den Erpresser seit dem Sommer 2024 unbemerkt im Netz hatten, ließ sich nicht mehr klären, ob eine Sicherheitslücke oder gekaufte Zugangsdaten mit Administratorrechten der Einstieg waren. Die Behörde folgert, dass Administratoren besonders lohnende Ziele sind und mit besonders gut geschützten Konten arbeiten müssen.

Für eine Kanzlei heißt das: Der Admin-Zugang des Servers ist ein eigenes Konto, nicht das Konto, mit dem jemand Mails liest. Liegt der geheime Schlüssel für seinen Bestätigungscode mit im Tresor, hängt der Schutz am Tresor selbst. Deshalb gilt dort die Zwei-Faktor-Pflicht für alle Mitarbeiter, Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Mehr dazu im Ratgeber Bestätigungscodes im Team teilen. Diese Seite ist keine Rechtsberatung.

Beispiel: eine Kanzlei mit vielen Mandanten aus Spedition und Lager

Ein erfundener Fall: eine Steuerberaterin als Inhaberin, zwei angestellte Steuerberater, sechs Fachangestellte und eine Lohnbuchhalterin. Ein großer Teil der Mandanten sind Speditionen und Lagerbetriebe, deren Lohnabrechnung wegen Schichtzulagen und Spesen viel Abstimmung braucht. Einige Mandanten geben der Kanzlei Lesezugänge zu ihren Portalen für Zeiterfassung und Fahrtenbuch.

Diese Lesezugänge liegen in einer Sammlung „Lohn Mandanten“, jeder Eintrag mit Mandantennummer statt Firmennamen, sichtbar für die Lohnbuchhalterin und zwei Fachangestellte. Den Admin-Zugang zum Kanzleiserver sehen nur die Inhaberin und der externe IT-Betreuer, der dafür ein eigenes Konto ohne Aufpreis hat. Endet ein Mandat, löscht die Lohnbuchhalterin die Einträge und bittet den Mandanten, die Lesezugänge zu entfernen.

Als ein Mandant die gefälschte Prüfungsankündigung weiterleitet, schickt die Kanzlei allen Lohnmandanten den Hinweis der Steuerverwaltung. Verlässt eine Fachangestellte das Team, sperrt die Inhaberin ihr Konto und arbeitet die Checkliste für den Weggang eines Mitarbeiters ab. Wie die übrigen Freigaben im Team laufen, beschreibt der Ratgeber Passwörter im Team teilen.

Mandantengeheimnis und Vertrag

Was in Einträgen, Notizen und Anhängen steht, ist Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Der Mietvertrag für den Server läuft auf Ihre Kanzlei, der Server steht bei netcup in Deutschland. Zum Angebot gehört ein Vertrag zur Auftragsverarbeitung. Eine Verschwiegenheitsvereinbarung nach § 62a StBerG unterschreiben wir auf Wunsch. Ob sie Ihren Pflichten genügt, prüfen Sie selbst, dieser Text ist keine Rechtsberatung. Alles Weitere klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen für Steuerberater in Hamburg