Passwort-Manager für Steuerkanzleien in München

Die mitgliederstärkste Steuerberaterkammer Deutschlands

Zur Steuerberaterkammer München in der Nederlinger Straße 9 gehört, wer in Oberbayern, Niederbayern oder Schwaben beruflich niedergelassen ist. Laut Berufsstatistik der Bundessteuerberaterkammer hatte sie am 1. Januar 2026 genau 13.812 Mitglieder, 1,8 Prozent mehr als ein Jahr zuvor. Das ist die größte der 21 Steuerberaterkammern, die nächstgrößere in Düsseldorf kommt auf 10.024.

Gut jedes siebte Mitglied ist eine Gesellschaft. Jedes Mitglied, ob Person oder Gesellschaft, muss ein eigenes Steuerberaterpostfach eingerichtet und aktiviert haben. Eine Gesellschaft mit drei Berufsträgern betreut also mindestens vier Postfächer.

beSt: Zertifikate mit Ablaufdatum und falsche Anmeldeseiten

Im Februar 2026 erinnerte die Kammer an den Zertifikatswechsel im beSt. Zertifikate, die bis September 2024 erzeugt wurden, gelten zwei Jahre. Wer sie nicht rechtzeitig erneuert, kann das Postfach nicht mehr nutzen und erfüllt dann die passive Nutzungspflicht nach § 86d Abs. 6 StBerG nicht mehr, die seit 2023 gilt. Vor dem Ablauf kommt eine Warnung per E-Mail, aber nur, wenn für das Postfach eine Benachrichtigung eingerichtet ist.

Für eine im Berufsregister eingetragene weitere Beratungsstelle gibt es auf Antrag ein weiteres Postfach (§ 86d Abs. 7 StBerG). Bei drei Berufsträgern und einer zweiten Beratungsstelle sind es dann fünf Zertifikate mit eigenen Ablaufdaten. Wem der Inhaber privaten Schlüssel und Zertifikats-Passwort überlassen darf, regelt § 16 StBPPV, mehr dazu auf der Seite Passwort-Manager für Steuerberater. In den Tresor gehört die Liste der Postfächer mit ihren Ablaufdaten, nicht der Schlüssel: In einer Sammlung sähen ihn Eigentümer und Administratoren, die jede Sammlung sehen.

Schon im August 2025 hatte die Kammer vor Phishing gewarnt: Angreifer lockten Nutzer von Plattform und beSt auf gefälschte oder leicht abgewandelte Adressen. Hinweise auf einen erfolgreichen Angriff lagen ihr damals nicht vor. Sie rät, nur die beiden von der Bundessteuerberaterkammer genannten Adressen zu verwenden, auf Tippfehler zu achten und keine Links aus Mails unklarer Herkunft zu öffnen.

Für Mandantenportale und andere Zugänge der Kanzlei mit Passwort schlägt die Browser-Erweiterung Zugangsdaten nur auf der Domain vor, für die sie gespeichert sind. Auf einer nachgebauten Seite bleibt das Feld leer, das fällt auf, schützt aber nicht in jedem Fall. Wer schon auf eine falsche Seite hereingefallen ist, findet die nächsten Schritte im Ratgeber Passwort auf Phishing-Seite eingegeben.

Verantwortlich für Mandantendaten, auch im Lohn

Nach § 11 Abs. 2 StBerG verarbeiten Steuerberater personenbezogene Daten weisungsfrei und sind für sämtliche Daten ihrer Mandanten selbst Verantwortliche im Sinne der DSGVO. Das Bayerische Landesamt für Datenschutzaufsicht, bei dem bayerische Kanzleien Datenpannen melden, folgert daraus in einer Auslegungshilfe vom Januar 2020: Steuerberatung ist keine Auftragsverarbeitung, auch dann nicht, wenn die Kanzlei nur die Lohnbuchhaltung macht.

Wer in der Kanzlei die Lesezugänge zu Kassensystemen, Shops und Lohnportalen der Mandanten sehen darf und wo sie liegen, legt die Kanzlei selbst fest. Im Tresor bekommt dafür jedes Mandatsteam eine eigene Sammlung, die nur seine Mitglieder öffnen. Diese Seite ist keine Rechtsberatung.

Eine Pflicht hängt an der einzelnen Person. Seit dem 1. Januar 2024 muss sich jeder Steuerberater im Meldeportal goAML der Financial Intelligence Unit registrieren, ob selbstständig, angestellt oder Gesellschafter. Darauf wies die Kammer im März 2026 hin, weil der Gesetzgeber plant, die Registrierungspflicht mit einem Bußgeld zu belegen. Verdachtsmeldungen nach dem Geldwäschegesetz gehen nur über dieses Portal.

Beispiel: eine Steuerberatungsgesellschaft mit Beratungsstelle in Schwaben

Ein erfundener Fall: zwei Steuerberater als Geschäftsführer, eine angestellte Steuerberaterin, sieben Fachangestellte, verteilt auf den Hauptsitz und eine weitere Beratungsstelle im Allgäu, die einer der Geschäftsführer leitet. Für sie hat er ein weiteres Postfach beantragt. Die Benachrichtigung dafür lief an das Postfach einer Fachangestellten, die im Frühjahr gekündigt hatte. Dass das Zertifikat abgelaufen war, merkte die Kanzlei erst, als sich das Postfach nicht mehr öffnen ließ.

Heute steht in der Sammlung „Kanzleileitung“, die beide Geschäftsführer öffnen, eine Notiz mit allen Postfächern: das der Gesellschaft, die drei persönlichen und das zusätzliche für die Beratungsstelle, jeweils mit Ablaufdatum des Zertifikats und dem Postfach, das die Warnung bekommt. Darunter haben die Geschäftsführer vermerkt, dass alle drei Berufsträger bei goAML registriert sind. Die Lesezugänge der Mandanten liegen in Sammlungen je Mandatsteam, das Kundenkonto des Fachsoftware-Herstellers in einer Sammlung für die Verwaltung.

Geht eine Fachangestellte, sperrt ein Geschäftsführer ihr Tresorkonto, stellt Benachrichtigungen um, die an ihr Postfach liefen, und das Team ändert die Mandantenzugänge, die sie sehen konnte. Die Reihenfolge der übrigen Schritte steht in der Checkliste für ausscheidende Mitarbeiter. Wie Sammlungen zugeschnitten werden, erklärt der Ratgeber Passwörter im Team teilen.

Auftragsverarbeitung und Verschwiegenheit

Zwischen Kanzlei und Mandant braucht es nach Ansicht des Landesamts keinen Vertrag zur Auftragsverarbeitung, zwischen Ihrer Kanzlei und uns gehört er zum Angebot. Eine Verschwiegenheitsvereinbarung nach Ihrem Berufsrecht, etwa nach § 62a StBerG, unterschreiben wir auf Wunsch. Die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten Ihres Teams entschlüsselt. Ihre Passwörter und Mandantenzugänge können wir nicht lesen, Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle liegen dagegen lesbar auf dem Server.

Ob das zu Ihrer Kanzlei passt, besprechen wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video. Was für Firmen in ganz Bayern gilt, steht auf der Seite für Bayern, Kammern und Firmenzahlen der Stadt auf der Seite zur Landeshauptstadt.

Anlaufstellen für Steuerberater in München