Mandantenunterlagen sicher empfangen: Upload-Link statt E-Mail-Anhang

Ende Januar, die Lohnjahresmeldungen stehen an. Im Postfach der Kanzlei landen Lohnjournale als PDF, eingescannte Krankmeldungen, ein Foto vom Kontoauszug und eine ZIP-Datei mit dem Betreff „alles für 2025“. Wer Mandantenunterlagen sicher empfangen will, merkt in solchen Wochen, dass der eigentliche Engpass nicht die Software der Kanzlei ist, sondern der Weg, auf dem die Dokumente kommen.

Warum der E-Mail-Anhang das schwächste Glied ist

Steuerberaterinnen und Steuerberater sind Berufsgeheimnisträger. Wer ein anvertrautes Geheimnis unbefugt offenbart, macht sich nach § 203 StGB strafbar. Dazu kommt die Pflicht aus Art. 32 DSGVO, personenbezogene Daten angemessen zu schützen. Lohnunterlagen enthalten fast immer Gesundheitsangaben, Bankverbindungen und Steuer-Identifikationsnummern.

Die übliche E-Mail schützt diese Daten nur auf dem Transportweg zwischen den Servern, wenn überhaupt. Danach liegen die Anhänge unverschlüsselt im Postfach der Kanzlei, im Gesendet-Ordner des Mandanten, auf dem Smartphone der Buchhalterin und in jeder Sicherung. Ein einziger kompromittierter Mail-Account genügt, um Jahre an Unterlagen abzugreifen.

Hinzu kommt der Zeitfaktor: Steuerliche Unterlagen sind lange aufzubewahren und behalten ihren Wert für Angreifer über viele Jahre. Daten, die heute abgefangen und gespeichert werden, sollten auch in zehn Jahren noch vertraulich sein. Warum das bei der Wahl der Verschlüsselung zählt, erklären wir im Beitrag zu Harvest now, decrypt later.

Der Upload-Link: Die Kanzlei fordert an, der Mandant lädt hoch

Statt auf Anhänge zu warten, verschickt die Kanzlei einen Upload-Link. Der Mandant öffnet ihn im Browser, zieht seine Dateien hinein, fertig. Er braucht kein Konto, kein Programm und kein Passwort, das er sich merken muss. Die Dateien werden schon in seinem Browser verschlüsselt, und zwar so, dass nur die Kanzlei sie öffnen kann. Der Server sieht weder Inhalt noch Dateinamen.

Für die Kanzlei hat das drei Vorteile:

• Alles landet an einem Ort. Statt in persönlichen Postfächern liegen die Unterlagen in einem gemeinsamen, verschlüsselten Eingang. Vertretungen im Urlaub funktionieren ohne Postfachfreigaben.
• Der Absender ist klar. Auf Wunsch bestätigt der Mandant vor dem Hochladen seine E-Mail-Adresse mit einem Code. Das Protokoll zeigt, wer wann was geschickt hat.
• Der Link hat Grenzen. Ablaufdatum, Anzahl und Größe der Dateien legen Sie beim Anlegen fest. Ein vergessener Link bleibt nicht ewig offen.

Merksatz: Ein sicherer Weg wird nur genutzt, wenn er für den Mandanten einfacher ist als die E-Mail. Ein Link ohne Konto ist es.

Typische Anlässe in der Kanzlei

• Finanzbuchhaltung: Monatliche Belege von Mandanten ohne Anbindung an ein Buchhaltungsportal, zum Beispiel kleine Betriebe, Vereine, Privatpersonen mit Vermietung.
• Lohnbuchhaltung: Stundenzettel, Krankmeldungen, neue Arbeitsverträge, Bescheinigungen. Hier sind die Daten besonders sensibel, siehe auch Personal & HR.
• Jahresabschluss und Erklärung: Bankbestätigungen, Inventurlisten, Verträge und Nachweise, die nur einmal im Jahr kommen, dafür in großer Zahl.
• Rückfragen: Ein einzelnes fehlendes Dokument, das sonst „schnell per Mail“ geschickt würde.

In der Gegenrichtung schickt die Kanzlei Auswertungen, Entwürfe und Bescheide als geschützten Link mit Ablaufdatum. Bei Bedarf kann der Mandant den Empfang mit einer Unterschrift bestätigen.

Worauf Sie bei der Auswahl achten sollten

1. Verschlüsselung vor dem Hochladen: Der Anbieter darf die Dateien nicht lesen können. „Verschlüsselt gespeichert“ allein heißt oft nur, dass der Anbieter den Schlüssel verwaltet.
2. Vorsorge für die lange Aufbewahrung: Verfahren, die auch künftigen, deutlich leistungsfähigeren Rechnern standhalten, also NIST-standardisierte Post-Quanten-Verfahren.
3. Keine Hürde für Mandanten: kein Konto, keine App, verständliche Oberfläche auf Deutsch und Englisch, auch auf dem Smartphone.
4. Nachvollziehbarkeit: Protokoll mit Zeitpunkt und Absender, Benachrichtigung bei neuem Eingang.
5. Speicherort: Rechenzentrum in der EU oder Betrieb im eigenen Haus.

Was Sie jetzt tun können

1. Eingangswege zählen: Wie viele Unterlagen kommen pro Monat per E-Mail? Von welchen Mandanten?
2. Mit einer Gruppe starten: zum Beispiel mit den Lohnmandanten, wo die Daten am sensibelsten sind.
3. Eine Vorlage formulieren: zwei Sätze für die E-Mail mit dem Link, die erklären, warum Sie diesen Weg nutzen.
4. Regeln festlegen: Standard-Ablauf (z. B. 14 Tage), Bestätigung der E-Mail-Adresse für neue Mandanten, Benachrichtigung an das Team.
5. Nach drei Monaten prüfen: Wie viele Mandanten nutzen den Link? Wo hakt es?

PQVault in der Kanzlei

Mit PQVault Store & Share fordern Kanzleien Unterlagen per Upload-Link an und versenden Ergebnisse als geschützte Links mit Regeln. Verschlüsselt wird Ende-zu-Ende im Browser, zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren. Für das gemeinsame Arbeiten mit Mandantenordnern steht PQVault Drive bereit. Mehr zu den typischen Abläufen in Kanzleien finden Sie auf der Seite Steuerberatung & Wirtschaftsprüfung.