Ein Mitarbeiter öffnet am Montagmorgen einen Anhang. Am Dienstagmittag steht die Kanzlei: keine Mandantenakte, kein Lohnlauf, keine Fristenkontrolle. Cyber-Angriffe treffen längst nicht mehr nur Konzerne, und sie treffen Kanzleien besonders hart. Warum das so ist, wo die Berufshaftpflicht endet und was eine Cyber-Versicherung im Ernstfall wirklich leistet.
Warum Kanzleien ein lohnendes Ziel sind
Wer eine Steuerkanzlei angreift, greift nicht ein Unternehmen an, sondern hunderte gleichzeitig. In den Systemen einer durchschnittlichen Kanzlei liegt gebündelt, was Kriminelle sonst mühsam einzeln zusammentragen müssten:
Dazu kommt ein zweiter Faktor, der Kanzleien von jedem anderen Betrieb unterscheidet: Ihr Geschäft ist Vertrauen. Die berufsrechtliche Verschwiegenheitspflicht (§ 57 StBerG, § 203 StGB) ist kein Randthema, sondern der Kern der Berufsausübung. Ein Datenabfluss beschädigt deshalb nicht die IT, sondern die Geschäftsgrundlage. Zur Klarstellung: Strafbar macht sich niemand, der Opfer eines Angriffs wird. § 203 StGB setzt ein Offenbaren voraus. Beschädigt wird etwas anderes, nämlich das Vertrauen, auf dem das Mandat steht.
Was der Stillstand wirklich kostet
Beim Stichwort Cyber-Angriff denken die meisten an Lösegeld. In der Praxis ist die Erpressung selten der teuerste Teil. Teuer wird, was danach kommt: die Forensik, die Wiederherstellung, der Neuaufbau von Systemen, die Mehrkosten für Ersatz-IT, der Ertragsausfall, die Benachrichtigungen, die Rechtsberatung, die Kommunikation nach außen.
Für eine Kanzlei hat der Stillstand eine eigene Schärfe. Er trifft nicht nur das eigene Geschäft, sondern die Fristen der Mandanten. Lohnläufe warten nicht. Abgabefristen verschieben sich nicht, weil ein Server verschlüsselt ist. Wer für dreihundert Mandanten arbeitet, hat im Ernstfall dreihundert Anrufer, die alle dasselbe wissen wollen: Sind meine Daten weg, und wann läuft es wieder?
Die ersten 72 Stunden
In dem Moment, in dem ein Vorfall bekannt wird, läuft eine Uhr. Sie steht nicht im Versicherungsvertrag, sondern im Datenschutzrecht.
Der Vorfall fällt auf
Systeme trennen, nichts löschen, interne IT und Versicherer verständigen. Die Spuren, die jetzt vernichtet werden, fehlen später bei der Ursachenklärung.
Die Forensik übernimmt
Was ist passiert, was ist abgeflossen, was ist noch sauber? Parallel wird entschieden, wer wann informiert wird.
Die Meldung an die Aufsicht
Führt der Vorfall voraussichtlich zu einem Risiko für die Betroffenen, verlangt Art. 33 DSGVO die Meldung an die Aufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden ab Kenntnis, nicht ab Aufklärung. Wer später meldet, begründet die Verzögerung. Fehlende Angaben dürfen nachgereicht werden.
Betroffene, Wiederaufbau, Vertrauen
Bei voraussichtlich hohem Risiko tritt die Benachrichtigung der Betroffenen hinzu (Art. 34 DSGVO), unverzüglich und nicht erst nach der Meldung an die Aufsicht. Für eine Kanzlei heißt das: die Mandanten. Dazu Wiederherstellung, Rechtsfragen, Kommunikation.
Wer diesen Ablauf zum ersten Mal im Ernstfall liest, verliert die wertvollsten Stunden mit Organisation. Genau hier liegt der praktische Wert einer Cyber-Versicherung: Sie stellt die Fachleute, die diesen Ablauf routiniert begleiten, und sie bezahlt sie.
Ihre Berufshaftpflicht deckt das nicht
Jede Steuerkanzlei unterhält eine Berufshaftpflichtversicherung, § 67 StBerG verlangt sie. Daraus entsteht ein naheliegender Gedanke: Damit ist das Thema erledigt. Er ist falsch, und der Irrtum ist teuer.
Die Berufshaftpflicht ist eine Vermögensschaden-Haftpflicht. Sie greift, wenn ein Dritter Ansprüche gegen die Kanzlei erhebt, typischerweise nach einem Beratungsfehler. Für das, was ein Angriff im eigenen Haus anrichtet, greift sie nach den marktüblichen Bedingungen nicht. Welche Bausteine Ihr konkretes Bedingungswerk enthält, klärt der Blick in die Police.
Das trägt die Berufshaftpflicht
- Ansprüche Dritter aus fehlerhafter Berufsausübung
- Die Abwehr unberechtigter Forderungen daraus
Das trägt sie nicht
- Wiederherstellung der eigenen Daten und Systeme
- Ertragsausfall, wenn die Kanzlei stillsteht
- IT-Forensik und Ursachenermittlung
- Meldung an die Aufsicht und Benachrichtigung der Mandanten
- Krisenkommunikation und Reputationsschäden
- Computerbetrug und Erpressungslagen
Die beiden Verträge konkurrieren nicht. Sie decken zwei verschiedene Richtungen ab: die eine schützt vor Ansprüchen von außen, die andere trägt den Schaden im Inneren und wehrt Ansprüche ab, die aus einem Datenabfluss entstehen.
Was eine Cyber-Versicherung leistet
Der Schutz steht auf zwei Beinen, und je nach gewählter Variante trägt er eines oder beide.
Der eigene Schaden. Daten und Programme wiederherstellen, Mehrkosten für IT und Telekommunikation, Schäden durch Computerbetrug, beschädigte Hardware, in der umfangreicheren Variante auch der Ertragsausfall während des Stillstands. Wichtig für die Praxis: Bedienfehler von Mitarbeitern sind mitversichert. Der Fall, in dem jemand versehentlich löscht oder klickt, ist der Regelfall, nicht die Ausnahme.
Ansprüche Dritter. Wenn Mandantendaten abfließen oder ein Virus unbemerkt weitergereicht wird, stehen schnell fremde Forderungen im Raum. Die umfangreichere Variante deckt hier nicht nur Vermögensschäden, sondern auch Personen- und Sachschäden, dazu Vertragsstrafen aus Vertraulichkeitsvereinbarungen. Und sie wehrt unberechtigte Forderungen ab, was in der Praxis mindestens so viel wert ist wie die Zahlung berechtigter.
Dazu kommen die Serviceleistungen, die im Ernstfall oft schwerer wiegen als jede Versicherungssumme: Hilfe schon bei begründetem Verdacht, eine Schadenhotline rund um die Uhr, IT-Experten vor Ort oder per Fernzugriff, Krisen- und Reputationsmanagement, anwaltliche Beratung auch vorsorglich. Bestätigt sich ein Verdacht nicht, werden je nach Tarif trotzdem bis zu zwei Tagessätze der Prüfung übernommen. Der Gedanke dahinter ist richtig: Niemand soll aus Kostenangst zögern anzurufen.
Der Wert einer Cyber-Versicherung entscheidet sich selten an der Versicherungssumme, sondern in den ersten 24 Stunden. Wer anrufen kann statt zu suchen, verliert Tage weniger.
Der kurze Weg für Kanzleien
Für Steuerberater, Rechtsanwälte, Wirtschaftsprüfer und Notare gibt es einen vereinfachten Zugang. Der Grund ist sachlich: Das Risikoprofil dieser Berufe ist bekannt und über die Kanzleien hinweg ähnlich. Daraus folgt je nach Tarif ein spürbar kürzerer Weg.
- Statt eines mehrseitigen Risikofragebogens genügen wenige Risikofragen.
- Der Beitrag richtet sich allein nach der Zahl der Berufsträger. Angestelltes Büropersonal spielt dabei keine Rolle.
- Eine pauschale Versicherungssumme deckt alle Bausteine ab, statt getrennter Summen je Bereich.
- Erst bei größeren Einheiten oder höheren Versicherungssummen führt der Weg über den ausführlichen Fragebogen.
Praktisch heißt das: Für die meisten Kanzleien ist die Bestandsaufnahme eine Frage von Minuten, nicht von Tagen. Und sie beginnt mit der Frage, die jede Kanzlei ihren Mandanten stellt, nur diesmal in eigener Sache: Was passiert bei uns, wenn Montag früh nichts mehr geht?
Für Unternehmen: drei Wege hinein
Außerhalb der Kanzleien entscheidet die Größe darüber, wie der Zugang aussieht und welche Variante passt. Kleinere Einheiten steigen über die schlanke Variante ein, größere über die umfangreichere mit Drittschäden und Ertragsausfall.
Bis 1 Mio. € Jahresumsatz
Direkter Vorschlag ohne Fragebogen. Abschlussfertig in wenigen Tagen.
1 bis 50 Mio. € Jahresumsatz
Ein kompakter Risikofragebogen, der nebenbei zeigt, wo das Unternehmen bei der IT-Sicherheit steht.
Ab 50 Mio. € Jahresumsatz
Ein strukturierter Prozess gemeinsam mit Ihrer IT, auf Industrie-Niveau.
Für einzelne Branchen mit klar umrissenem Risiko, etwa Handwerk, Handel oder Gastronomie, gibt es bis zu einer festgelegten Umsatzgrenze zusätzlich einen vereinfachten Zugang ohne Fragebogen. Welcher Weg passt, ist im Erstgespräch in wenigen Minuten geklärt.
Prävention: der Teil, den die meisten überspringen
Das größte Einfallstor steht nicht im Serverraum, sondern am Schreibtisch. Deshalb lässt sich der Versicherungsschutz um ein Präventionspaket eines spezialisierten Partners erweitern:
Der entscheidende Punkt steht nicht im Trainingsplan, sondern in den Vertragsfolgen. Je nach Paket sinkt im ersten Schadensfall die Selbstbeteiligung, bis zu einer festgelegten Grenze bis auf null. Je nach Paket verzichtet der Versicherer zusätzlich auf die Kündigung nach dem Schadensfall und bis zu einer festgelegten Grenze auf den Einwand der groben Fahrlässigkeit. Also genau in dem Fall, der real am häufigsten eintritt: Ein Mitarbeiter hat geklickt.
Ehrlich gesagt
Eine Cyber-Versicherung ist kein Schutzschild. Sie verhindert keinen Angriff, sie trägt die Folgen. Und sie hat Grenzen. Die gehören vorher auf den Tisch, nicht hinterher.
- Terroristische Angriffe auf IT-Systeme und der Ausfall der Infrastruktur, etwa von Internet oder Stromversorgung, sind nicht versichert.
- Zwei Pflichten gehören zum Vertrag: Betriebssysteme und Programme, für die der Hersteller noch Updates liefert, und die zeitnahe Installation dieser Updates. Dazu eine Datensicherung mindestens einmal wöchentlich, getrennt von den Originalen aufbewahrt.
Wer diese Voraussetzungen heute nicht erfüllt, ist damit nicht draußen. Abschließen geht, der Versicherungsschutz beginnt, sobald sie stehen. In der Praxis ist genau das oft der eigentliche Gewinn des Gesprächs: Man räumt auf, bevor etwas passiert, nicht danach. Ein Restrisiko bleibt in jedem Fall. Die Frage ist nicht, ob es sich ausschließen lässt, sondern wer es trägt.
Häufige Fragen
Unsere Kanzleisoftware läuft über ein Rechenzentrum. Sind wir damit nicht abgesichert?
Das Rechenzentrum schützt die dort verarbeiteten Daten. Es schützt nicht die Endgeräte in der Kanzlei, die E-Mail-Postfächer, den Zahlungsverkehr und die Arbeitsfähigkeit des Teams. Der häufigste Angriffsweg führt über eine E-Mail an einen Arbeitsplatz, nicht über das Rechenzentrum. Datenschutzrechtlich verantwortlich für die Mandantendaten bleibt die Kanzlei. Das Rechenzentrum trifft daneben eigene Pflichten als Auftragsverarbeiter, es tritt aber nicht an ihre Stelle.
Wir haben eine Berufshaftpflichtversicherung. Reicht die nicht?
Die Berufshaftpflicht ist eine Haftpflichtversicherung: Sie springt ein, wenn ein Dritter Ansprüche gegen die Kanzlei erhebt, typischerweise nach einem Beratungsfehler. Sie deckt nicht die eigenen Kosten nach einem Angriff, also Forensik, Wiederherstellung der Daten, Mehrkosten, Benachrichtigung der Betroffenen und Krisenkommunikation. Genau diese Lücke schließt eine Cyber-Versicherung, je nach Variante bis hin zum Ertragsausfall während des Stillstands. Die beiden Verträge konkurrieren nicht, sie ergänzen sich.
Wir sind eine kleine Kanzlei. Sind wir überhaupt ein Ziel?
Der Großteil der Schadprogramme sucht sich seine Opfer nicht aus, er verbreitet sich flächendeckend. Getroffen wird, wer erreichbar ist. Kleine Einheiten trifft es dabei oft härter, weil die Rücklagen für einen Ausfall fehlen und es keine eigene IT-Abteilung gibt, die den Ernstfall auffängt. Für Kanzleien ist der Zugang zur Absicherung deshalb bewusst einfach gehalten.
Ein Mitarbeiter hat den Anhang geöffnet. Zahlt die Versicherung dann überhaupt?
Ja. Bedienfehler durch Mitarbeiter sind mitversichert, das ist der Regelfall und nicht die Ausnahme. Bei grober Fahrlässigkeit kann ein Versicherer die Leistung grundsätzlich kürzen. Je nach zugebuchtem Präventionspaket verzichtet er bis zu einer festgelegten Grenze auf diesen Einwand und zusätzlich auf die Kündigung nach dem Schadensfall. Die genaue Ausgestaltung richtet sich nach Tarif und Paket.
Was passiert, wenn wir einen Angriff nur vermuten?
Schon bei begründetem Verdacht wird ein IT-Dienstleister eingeschaltet, der die Ursache und den Umfang ermittelt. Bestätigt sich der Verdacht nicht, werden je nach Tarif trotzdem bis zu zwei Tagessätze für diese Prüfung übernommen. Der Gedanke dahinter: Niemand soll aus Kostenangst zögern, den Hörer in die Hand zu nehmen. Der teuerste Fehler nach einem Angriff ist die verlorene Zeit.
Sind Bußgelder nach einem Datenschutzverstoß mitversichert?
Je nach Variante und soweit rechtlich zulässig ist die Erstattung von Bußgeldern nach einer Datenschutzverletzung eingeschlossen. Ob ein Bußgeld im Einzelfall überhaupt versicherbar ist, hängt vom Rechtsrahmen ab und wird nicht vom Vertrag allein entschieden. In jedem Fall gehören die Kosten der Meldung, der Benachrichtigung Betroffener und der rechtlichen Beratung zum Schutz.
Weiterlesen
- Cyber-Absicherung im Überblick: alle Perspektiven für Unternehmen
- Steuerberater und Vorsorgespezialist: wie die Zusammenarbeit bei der betrieblichen Altersversorgung gelingt
Was greift bei Ihnen, wenn Montag früh nichts mehr geht? Im Erstgespräch klären wir, wo Ihre bestehenden Verträge enden, was ein Angriff in Ihrer Struktur auslösen würde und welcher Weg zu Ihrer Größe passt. Unverbindlich, in Berlin am Gendarmenmarkt oder online.
Diese Inhalte dienen der allgemeinen Information und ersetzen keine individuelle Beratung. Steuerliche Gestaltung erfolgt in Abstimmung mit dem Steuerberater des Mandanten.