DATEV-Sicherheit für Steuerkanzleien —
Was Sie 2026
wissen müssen

Wofür DATEV in der Kanzlei wirklich sorgt

DATEV bietet seit Jahrzehnten eine technische Infrastruktur, die im deutschen Steuerberatungs-Umfeld einzigartig ist. Wer eine deutsche Steuerkanzlei betreibt, arbeitet in der Regel mit DATEV-Software, nutzt das DATEV-Rechenzentrum für besonders schutzwürdige Daten und hat oft auch DATEVnet als Sicherheitslösung im Einsatz.

Diese DATEV-Sicherheitsschicht deckt drei wesentliche Bereiche ab:

Sicherheit der DATEV-Cloud und des Rechenzentrums

Das DATEV-Rechenzentrum in Nürnberg ist ISO/IEC 27001 zertifiziert und betreibt seit einigen Jahren ein zusätzliches Cloud Native Rechenzentrum, das speziell für Daten der beruflichen Verschwiegenheit ausgelegt ist. Innerhalb dieser Infrastruktur liegen die meisten Mandantendaten auf einem Sicherheitsniveau, das deutsche Kanzleien lokal kaum wirtschaftlich erreichen können.

Schutz des Internetverkehrs durch DATEVnet

DATEVnet leitet den gesamten Internetverkehr einer Kanzlei durch das DATEV-Rechenzentrum. Dort werden E-Mails und Webseiten zentral auf Schadsoftware geprüft, schädliche Webseiten blockiert (Web-Radar), gefährliche E-Mails markiert (Mail-Radar), und auch nachträglich werden zugestellte E-Mails noch einmal mit aktuellen Virensignaturen geprüft (Reverse-Scan).

Datenübermittlung an Behörden und Banken

Über das DATEV-Rechenzentrum laufen die Datenübermittlungen an Finanzämter, Sozialversicherungsträger, Banken (Digitaler Finanzbericht) und den Bundesanzeiger. Diese Übermittlungen sind verschlüsselt und an die Anforderungen der jeweiligen Behörden angepasst.

Diese drei Bereiche sind das, was DATEV gut macht — und was eine deutsche Kanzlei ohne DATEV nicht ohne weiteres selbst erreichen würde. Das ist in diesem Leitfaden ausdrücklich anerkannt.

Drei Vorfälle, die zeigen, wo das DATEV-Konzept an Grenzen stößt

Seit Ende 2023 gab es im DATEV-Umfeld mehrere dokumentierte Sicherheits- und Datenvorfälle. Sie sind nicht das Ergebnis von DATEV-Versagen, sondern zeigen, wo selbst ein gut abgesichertes Ökosystem strukturelle Grenzen hat. Drei Beispiele:

Convotis / Geiger — November 2023

Der IT-Dienstleister Convotis betreibt die Cloud-Dienste GeigerCloud und GeigerASP, die von zahlreichen Steuerberatungskanzleien für die DATEV-Software genutzt werden. Im November 2023 wurde Convotis Opfer eines Ransomware-Angriffs. Die betroffenen Cloud-Dienste fielen über mehrere Tage aus. Zahlreiche Kanzleien hatten in dieser Zeit keinen Zugriff auf ihre DATEV-Anwendungen — der Geschäftsbetrieb stand teilweise still.

Wichtig zu verstehen: DATEV selbst war nicht angegriffen. Der Angriff traf einen Drittanbieter im DATEV-Ökosystem. Für die betroffenen Kanzleien machte diese Unterscheidung im Schaden keinen Unterschied. Eine ausführliche zeitliche Rekonstruktion des Vorfalls dokumentiert der Sicherheits-Blog Borncity, der die Störung seit dem 21. November 2023 begleitet hat.

VHP-Kanzlei — Anfang 2024

Die DATEV-Mitgliedskanzlei VHP PartG mbB (Mannheim, Frankfurt, Kaiserslautern, Ludwigsburg, Heidelberg) wurde Anfang 2024 selbst Opfer eines Hackerangriffs. Den Vorfall hat Steuerberater Christian Werschak in einem Interview im DATEV-Magazin selbst geschildert. Christian Werschak, Steuerberater und Partner, beschrieb den Moment im DATEV-Magazin: „Wir haben uns gerade in unserer Gesellschafterrunde zu aktuellen Themen ausgetauscht, als plötzlich unsere IT-Sicherheitskollegen an die Tür klopften und die schockierende Nachricht überbrachten: Wir wurden gehackt und können nicht mehr auf unsere Datenspeicher zugreifen."

Die Kanzlei reagierte schnell, kappte alle Verbindungen, meldete den Vorfall an die Datenschutzmeldestelle Baden-Württemberg und die Kriminalpolizei. Das war ein Angriff direkt auf das Kanzleinetzwerk — nicht auf DATEV. DATEV-Sicherheitsmaßnahmen waren in diesem Fall strukturell nicht zuständig.

DATEV-LODAS-Datenpanne — Januar 2026

Im Januar 2026 wurde im DATEV-LODAS-System eine Datenpanne bekannt: Probeabrechnungen mit Lohn- und Gehaltsdaten — Namen, Anschriften, Sozialversicherungsnummern, Entgelt-Angaben — wurden fremden Mandanten angezeigt. Die Daten stammten aus DATEV-Rechenzentren und sollten regulär an die jeweiligen Auftraggeber zurückgespielt werden, wurden aber durch eine fehlerhafte Übergangslösung nach einer Störung falsch zugeordnet.

DATEV informierte das Bayerische Landesamt für Datenschutzaufsicht und betroffene Anwender. Auffällig: Empfänger der falschen Daten konnten den Fehler erkennen — die eigentlichen Dateninhaber wurden nicht zwingend automatisch informiert. Diese Konstellation zeigt, wie wichtig kontinuierliche Sicht auf Datenflüsse ist, auch innerhalb scheinbar kontrollierter Umgebungen. Über den Vorfall berichteten Fachmedien wie Security-Insider am 14. Januar 2026.

Diese drei Vorfälle haben unterschiedliche Ursachen — Drittanbieter, direkter Kanzleiangriff, prozessualer Fehler in einer Großorganisation. Was sie verbindet: In keinem davon hätte das DATEV-Sicherheitskonzept allein die Kanzlei retten können.

Wo DATEV strukturell nicht hinschauen kann

DATEVnet schützt den Internetverkehr in Richtung Außenwelt — also ein- und ausgehende E-Mails, das Surfen im Netz, die Verbindungen zu DATEV-Servern. Was DATEVnet strukturell nicht sieht, ist mindestens ebenso relevant. Fünf Bereiche, die außerhalb der DATEV-Reichweite liegen:

Was der BSI-Lagebericht 2025 für Kanzleien wirklich heißt

Der aktuelle Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Berichtszeitraum Juli 2024 bis Juni 2025 ist deutlich. Während kritische Infrastrukturen ihre Resilienz verbessern, bleibt der Mittelstand strukturell anfällig. Die Zahlen sind ernüchternd:

• Durchschnittlich 119 neue Schwachstellen pro Tag in IT-Systemen, ein Anstieg von 24 Prozent gegenüber dem Vorjahr.
• 950 Ransomware-Angriffe im Berichtszeitraum, weiterhin die größte Bedrohungskategorie.
• Schadenshöhe für die deutsche Wirtschaft 2024: 178,8 Mrd. Euro (Bitkom).
• KMU werden meist nicht gezielt angegriffen, sondern sind Opfer groß angelegter, automatisierter Angriffe.

Steuerkanzleien fallen durch ihre Größe meist in die Kategorie KMU. Sie sind aber gleichzeitig hochwertige Ziele, weil sie konzentriert besonders schutzwürdige Daten verarbeiten — Lohn- und Gehaltsdaten, Steuererklärungen, Bilanzen, häufig auch Mandantenakten mit strafrechtlich relevanten Inhalten. Eine Kanzlei mit 30 Mitarbeitern verarbeitet Daten, deren Schutzbedarf eher dem eines mittelständischen Industrieunternehmens entspricht.

Was das BSI als zentralen Hebel benennt: Angriffsflächenmanagement. Übersetzt heißt das: Sehen, was tatsächlich passiert, statt sich auf Tools zu verlassen, deren Sichtbarkeit strukturell begrenzt ist. Genau hier setzen Lösungen an, die DATEV ergänzen — nicht ersetzen.

Was eine ergänzende Sicherheitsschicht für Kanzleien leistet

Wenn DATEV das Ökosystem der DATEV-Welt absichert und der IT-Betreuer der Kanzlei das lokale Netzwerk verwaltet, fehlt in vielen Kanzleien eine dritte, unabhängige Schicht: eine kontinuierliche Sicht auf die tatsächliche Netzwerkkommunikation.

Das ist nicht das Gleiche wie ein zusätzlicher Virenscanner oder eine zweite Firewall. Eine ergänzende Schicht sieht nicht primär danach, was bekanntermaßen schädlich ist (das machen Virenscanner und DATEV-Filter bereits gut), sondern beobachtet, ob das, was im Kanzleinetzwerk tatsächlich passiert, dem normalen Betriebsbild entspricht. Wenn nachts um drei eine Verbindung von einem Buchhaltungs-PC zu einem Server in Osteuropa aufgebaut wird, ist das nicht zwingend ein Virus. Es ist aber ungewöhnlich — und genau solche Auffälligkeiten sind die Frühindikatoren von Angriffen, die durch Standard-Tools rutschen.

AEGYS Monitor ist eine solche Schicht. Er wird passiv ans Kanzleinetzwerk angeschlossen, ohne Eingriff in DATEV-Systeme, ohne Software auf Arbeitsplätzen, ohne Konfiguration auf Servern. Er sieht, was zwischen Geräten kommuniziert, was nach außen geht, welche Muster aus dem Rahmen fallen — und liefert eine strukturierte Auswertung, die Sie gemeinsam mit Ihrem IT-Betreuer durchgehen können.

Wichtig zur Abgrenzung: AEGYS Monitor ersetzt weder DATEV noch Ihren IT-Dienstleister. Die Lösung ergänzt beide um eine unabhängige zweite Sicht. Mehr zu Ansatz, Funktionsweise und Pricing speziell für Steuerkanzleien finden Sie auf der AEGYS-Lösungsseite für Steuerkanzleien.

Praxis: Fünf Punkte, an denen DATEV-Schutz endet — und was Sie tun können

Fünf konkrete Bereiche, die in der Praxis häufig übersehen werden — und in denen jede Kanzlei eigene Antworten finden muss, weil DATEV strukturell nicht zuständig ist.

1. Netzwerk-Segmentierung

Trennen Sie Drucker, Multifunktionsgeräte, Telefonanlagen und Smartphones vom Arbeitsplatz-Netzwerk durch ein eigenes VLAN. Das verhindert, dass ein kompromittiertes Gerät direkt mit Arbeitsplätzen oder Servern kommunizieren kann. Gute IT-Betreuer setzen das standardmäßig auf — fragen Sie nach.

2. Backup mit echter Trennung

Ein Backup, das von einem Angreifer zusammen mit den Live-Systemen verschlüsselt werden kann, ist kein Backup. Sicher ist nur, was logisch getrennt aufbewahrt wird (3-2-1-Regel: drei Kopien, zwei Medien, eine offline). Testen Sie Ihr Backup mindestens einmal jährlich, indem Sie versuchen, eine echte Datei wiederherzustellen.

3. Multifaktor-Authentifizierung — überall

Nicht nur am DATEV-Konto. Mehrfach-Authentifizierung gehört auf jeden externen Zugang: VPN, Microsoft 365, Cloud-Speicher, jede Web-Anwendung, die Mandantendaten verarbeitet. Wo MFA fehlt, ist ein gestohlenes Passwort eine offene Tür.

4. Schatten-IT erkennen — und regulieren

Klären Sie mit Ihrem Team, welche Cloud-Dienste tatsächlich genutzt werden. Geben Sie offiziell freigegebene Alternativen für die Bedürfnisse der Mitarbeitenden — wenn DATEV Cloud zu langsam wirkt, brauchen Sie eine offizielle Alternative, sonst nutzen Mitarbeiter inoffizielle. Regelung allein reicht nicht; das Verhalten muss im Alltag funktionieren.

5. Kontinuierliche Sicht auf den Netzwerkverkehr

Was zwischen Ihren Geräten passiert, sehen weder DATEV noch der Virenscanner. Eine kontinuierliche Sicht auf den Netzwerkverkehr — sei es durch ein klassisches SIEM-Projekt oder durch eine schlankere Lösung wie AEGYS Monitor — schließt diese Lücke. Ohne sie können Sie im Schadensfall weder dem Versicherer noch der Datenschutzaufsicht detailliert erklären, was passiert ist.

§203 StGB im Hintergrund — warum das alles persönlich relevant ist

Eine Verletzung der Mandantenverschwiegenheit nach §203 Strafgesetzbuch ist strafbar — und sie betrifft den Berufsträger persönlich, nicht nur die Kanzlei als Organisation. Im digitalen Kontext bedeutet das: Wenn Mandantendaten durch unzureichende technische Maßnahmen abfließen, kann daraus nicht nur ein zivilrechtliches Haftungsproblem werden, sondern ein strafrechtliches.

Was „unzureichende technische Maßnahmen" konkret bedeutet, wird zunehmend an den Stand der Technik gemessen — also an dem, was nach BSI-Empfehlungen, IT-Grundschutz und vergleichbaren Maßstäben erwartet werden kann. Ein detaillierter Leitfaden zu §203 StGB im digitalen Kontext für Steuerberater steht in einem separaten Artikel zur Verfügung.

Hinzu kommen die Anforderungen der Berufshaftpflichtversicherer und der Cyberversicherer. Beide werden 2026 bei Kanzleien zunehmend kritischer prüfen, ob nachweisbar dokumentierte technische Maßnahmen vorhanden sind, die über Antivirus und Firewall hinausgehen. Mehr dazu im Artikel zu Cyberversicherung für Steuerkanzleien.

Zusammenfassung in vier Sätzen

Häufige Fragen zu DATEV-Sicherheit

Quellen und weiterführende Informationen

1. Bundesamt für Sicherheit in der Informationstechnik: „Die Lage der IT-Sicherheit in Deutschland 2025" (Lagebericht, November 2025). bsi.bund.de/Lagebericht2025
2. DATEV-Magazin: „Wechsel auf geschützte Server — Nach einem Hackerangriff" (Interview mit Christian Werschak, VHP PartG mbB), August 2024. datev-magazin.de/praxis/it-internet
3. Security-Insider: „DATEV-Datenpanne 2026: LODAS zeigt fremde Lohnabrechnungen", Januar 2026. security-insider.de/datev-datenpanne-2026-lodas
4. Borncity (Günter Born): „DATEV massiv gestört (24. Oktober 2024)" — Dokumentation des DATEV-Komplettausfalls. borncity.com/blog/2024/10/24/datev-massiv-gestoert-24-oktober-2024
5. Sentiguard: „Hackerangriff auf Convotis legt Steuerberater-Cloud lahm" — Dokumentation des Convotis/Geiger-Vorfalls, November 2023. sentiguard.eu/wissen/hackerangriff-auf-convotis-legt-steuerberater-cloud-lahm
6. DATEV: „Cybersecurity bei DATEV — Strategien für aktuelle Bedrohungslagen" (Themen-Hub). datev.de/cybersecurity
7. Bitkom: „Wirtschaftsschutz 2025 — Cyberangriffe auf die deutsche Wirtschaft", November 2025. bitkom.org/Wirtschaftsschutz-2025
8. DATEV: „Hilfe für den Ernstfall — Informationssicherheit" (Hilfeseite mit BSI-Verweisen und Notfall-Checkliste). datev.de/.../informationssicherheit/hilfe-fuer-den-ernstfall

Über den Autor

Gerald Hahn

Mitgründer & Geschäftsführer · AEGYS DATALYTICS AG

Gerald Hahn ist Mitgründer und Geschäftsführer der AEGYS DATALYTICS AG. Über zwei Jahrzehnte Erfahrung in der Cybersecurity-Branche — vom internationalen Konzern bis zum spezialisierten Mittelständler. Bevor er AEGYS DATALYTICS gemeinsam mit Achim Kraus gründete, war er Country Manager DACH und Central & Eastern Europe bei Gatewatcher. Sein Anspruch im Kundengespräch ist klar: Sicherheitsfragen in nachvollziehbare Entscheidungen übersetzen — und ehrlich sagen, wann ein Einsatz Sinn ergibt und wann nicht.

LinkedIn-Profil ansehenhallo@aegysdata.com

Verwandte Artikel