Ein DSGVO-konformes Kunden- oder Mandantenportal braucht Hosting in Deutschland oder der EU mit dokumentiertem AV-Vertrag, verschlüsselte Übertragung und Speicherung, strikte Mandantentrennung, Zwei-Faktor-Authentifizierung für interne Nutzer und ein Audit-Log für jeden Dokumentenzugriff. Für Steuerkanzleien kommt die berufsrechtliche Verschwiegenheitspflicht hinzu, weshalb US-Cloud-Lösungen ohne klare Datenresidenz selten bestehen Prüfungen. Wir betreiben Portale als Entwicklungspartner auf IONOS in Deutschland und dokumentieren technische und organisatorische Maßnahmen nach Art. 32 DSGVO offen, damit Sie Anbieter vergleichen und Prüfer Antworten erhalten können.
Warum Sicherheit vor der Beauftragung geklärt werden muss
Kanzleiinhaber und Geschäftsführer werden zunehmend von IT-Dienstleistern, Mandanten und Datenschutzbeauftragten gefragt, wo Daten liegen und wer Zugriff hat. Ein Portal ohne belastbare Antworten blockiert die Beauftragung oder verzögert den Go-Live um Wochen.
Typische Prüffragen in der Anbahnung:
- Wo stehen die Server physisch?
- Wie werden Mandanten voneinander getrennt?
- Wer sieht Audit-Logs und wie lange werden sie gespeichert?
- Was passiert bei einem Sicherheitsvorfall?
- Gibt es Backups und wurde Wiederherstellung getestet?
Wer diese Fragen erst nach Vertragsunterschrift beantwortet, verliert Vertrauen.
Die Sicherheitsarchitektur verständlich erklärt
Ein Portal ist keine Black Box. Fünf Schichten entscheiden über Prüfungssicherheit.
1. Hosting und Datenresidenz
Daten sollten in deutschen oder EU-Rechenzentren liegen, betrieben unter deutschem oder EU-Vertragsrecht. Wir nutzen IONOS Managed Services als bewusste Entscheidung für Datensouveränität statt US-Hyperscaler.
| Kriterium | Minimum | Empfohlen |
|---|---|---|
| Serverstandort | EU | Deutschland |
| Vertragsrecht | EU-Anbieter | DE-Anbieter |
| Subunternehmer | dokumentiert | ohne US-Transfer |
| Exit-Strategie | Datenexport definiert | vollständiger Code- und Datenexport |
2. Verschlüsselung
In Transit: TLS 1.2 oder höher für alle Verbindungen. Kein gemischter HTTP/HTTPS-Betrieb.
At Rest: Verschlüsselte Speicherung auf Server- oder Anwendungsebene, besonders für Dokumente mit Finanz- und Personendaten.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinen Grundschutz-Kompendien für Webanwendungen systematische Härtung, Patch-Management und Zugriffskontrolle als Basismaßnahmen.
3. Mandantentrennung
Mandantentrennung bedeutet mehr als separate Ordner. Jede Datenbankabfrage muss mandantenbezogen gefiltert sein. Berechtigungen folgen dem Prinzip der geringsten Rechte.
Testfrage an Anbieter: „Was passiert, wenn ein Mandant die Dokumenten-ID in der URL um eins erhöht?“ Eine seriöse Antwort enthält technische Details, kein „Das kann nicht passieren.“
4. Zugriffskonzepte und 2FA
Rollen typischerweise:
- Mandant: eigene Dokumente, Upload, Aufgaben
- Sachbearbeiter: zugewiesene Mandanten
- Partner: alle Mandanten der Kanzlei mit Audit-Pflicht
- Admin: Systemkonfiguration ohne unnötigen Dokumentenzugriff
Interne Nutzer sollten 2FA verpflichtend nutzen. Für externe Mandanten gilt mindestens optional, bei hochsensiblen Daten verpflichtend.
5. Audit-Log und Backup
Jeder Zugriff auf sensible Dokumente wird protokolliert: Wer, wann, welche Aktion. Logs sind manipulationssicher genug für interne Prüfungen.
Backups sind täglich, Wiederherstellung wird regelmäßig getestet, nicht nur behauptet. Retention und Löschfristen sind dokumentiert.
Checkliste für Anbieter-Vergleiche
Nutzen Sie diese Tabelle in Ausschreibungen oder Anbietergesprächen. Sie funktioniert für Nentix, SaaS-Anbieter und Wettbewerber gleichermaßen.
| Prüfpunkt | Ja/Nein | Nachweis verlangen |
|---|---|---|
| Hosting Deutschland/EU | Vertrag, RZ-Standort | |
| AV-Vertrag Art. 28 DSGVO | unterschriebenes Dokument | |
| TOMs dokumentiert | Anlage zum AV-Vertrag | |
| Mandantentrennung technisch erklärbar | Architektur-Skizze | |
| TLS + Verschlüsselung at rest | Konfigurationsnachweis | |
| 2FA für interne Nutzer | Screenshot/Richtlinie | |
| Audit-Log exportierbar | Demo | |
| Backup + Restore-Test | Protokoll letzter Test | |
| Incident-Prozess | SLA oder Runbook | |
| Kein US-Transfer ohne Garantie | Subunternehmer-Liste |
Wenn mehr als drei Punkte ohne Nachweis bleiben, ist das Risiko hoch.
Wie das mit Dokumentenaustausch zusammenhängt
Sicherheit ist kein Add-on, sondern die Antwort auf das E-Mail-Problem. Wer DSGVO-konformen Dokumentenaustausch einführt, braucht diese Schichten von Anfang an, nicht als Phase 2.
Kosten für sichere Architektur sind im Festpreis-Rahmen enthalten, nicht versteckt. Vergleich der Gesamtkosten unter Mandantenportal Kosten.
IONOS als Beweis-Stack-Baustein
Made in Germany ist bei uns keine Marketingzeile, sondern Architektur:
- Code-Entwicklung in Deutschland (Oberhausen/Ruhrgebiet)
- Betrieb auf IONOS in deutschen Rechenzentren
- deutscher Ansprechpartner ohne Outsourcing-Kette
- Festpreis statt offener Tagessatz
Das ersetzt nicht Ihre eigene Datenschutz-Folgenabschätzung, aber es reduziert Erklärungsaufwand gegenüber Mandanten und Aufsicht.
Was gehört in eine Datenschutz-Folgenabschätzung für Portale?
Bei umfangreicher Verarbeitung von Finanzdaten empfiehlt sich eine DSFA. Kernfragen:
- Welche Datenkategorien fließen durch das Portal?
- Wer hat welchen Zugriff (intern und extern)?
- Welche Löschfristen gelten nach Mandatsende?
- Wie werden Subunternehmer (Hosting, E-Mail-Versand) eingebunden?
- Was ist der Worst Case bei einem Sicherheitsvorfall?
Ein Portal mit dokumentierter Architektur verkürzt diese Arbeit, weil technische Maßnahmen nach Art. 32 DSGVO bereits beschrieben sind. Ohne Dokumentation beginnt die DSFA bei null.
Incident Response in vier Schritten
Wenn ein Sicherheitsvorfall vermutet wird, sollte Ihr Anbieter-Runbook mindestens enthalten:
- Eindämmung (Token rotieren, betroffene Accounts sperren)
- Analyse (Audit-Logs auswerten, Umfang feststellen)
- Meldung (intern, ggf. Aufsicht nach Art. 33 DSGVO)
- Nachbereitung (Root Cause, Maßnahmen, Retest)
Fragen Sie Anbieter nach dem letzten Tabletop-Test dieses Ablaufs, nicht nur nach Versprechen in der SLA.
Welche Fragen stellen Prüfer in der Anbahnung?
Diese zehn Fragen hören wir von Datenschutzbeauftragten und wachsamen Mandanten:
- Wo stehen die Server?
- Wer ist Auftragsverarbeiter?
- Gibt es Subunternehmer in Drittländern?
- Wie funktioniert Mandantentrennung?
- Wer kann Audit-Logs einsehen?
- Wie lange werden Logs gespeichert?
- Was passiert bei Kündigung mit den Daten?
- Gibt es 2FA für interne Nutzer?
- Wie oft werden Backups getestet?
- Wer ist Ansprechpartner bei Vorfällen?
Wenn Ihr Anbieter mehr als zwei Fragen mit Marketing-Floskeln beantwortet, wechseln Sie das Gespräch auf technische Nachweise.
Wann Standard-SaaS-Sicherheit reicht
SaaS-Anbieter mit deutschem Hosting und DATEV-Erfahrung erfüllen viele Punkte der Checkliste. Das reicht, wenn Sie keine Sonderanforderungen an Audit-Log, Branding oder Integration haben. Der Vergleich SaaS und Individualentwicklung hilft bei der Einordnung.
Individualentwicklung lohnt sich sicherheitstechnisch, wenn Holding-Strukturen, feingranulare Rollen oder Kombination mit eigenen n8n-Workflows nötig sind.
Nächster Schritt
Fordern Sie von jedem Anbieter die Checkliste mit Nachweisen an, bevor Sie Mandanten umstellen. Auf Mandantenportal entwickeln lassen dokumentieren wir unsere Architektur offen. Der Potenzial-Check klärt, ob Ihre Anforderungen SaaS oder Individualentwicklung brauchen. Für Sicherheitsfragen im Detail Direkt mit uns sprechen.
Quelle: BSI IT-Grundschutz Kompendium zu Webanwendungen: BSI IT-Grundschutz
Häufige Fragen
Muss ein Mandantenportal in Deutschland gehostet sein?
Rechtlich nicht zwingend in jedem Fall, aber für Steuerkanzleien und sensible B2B-Daten ist Hosting in Deutschland oder mindestens EU mit dokumentiertem AV-Vertrag üblich und prüfungssicher. US-Cloud ohne Garantien erhöht das Aufsichtsrisiko.
Was ist Mandantentrennung technisch?
Jeder Mandant oder Kunde sieht ausschließlich eigene Daten. Datenbankabfragen, Dateipfade und Berechtigungen sind so implementiert, dass ein Zugriffsfehler oder manipulierte URL nicht fremde Dokumente offenlegt.
Brauchen Mandanten Zwei-Faktor-Authentifizierung?
Für Finanz- und Steuerdaten empfehlen wir 2FA für interne Nutzer verpflichtend und für externe Mandanten mindestens optional, besser verpflichtend ab einer definierten Dokumentenklasse.
Was muss im AV-Vertrag mit dem Portal-Anbieter stehen?
Zweck, Datenarten, Subunternehmer, Löschfristen, TOMs nach Art. 32 DSGVO, Meldepflicht bei Vorfällen und Audit-Rechte. Ohne dokumentierte technische und organisatorische Maßnahmen ist der Vertrag wertlos.