Kanzleipostfach gekapert: Melden, benachrichtigen, warnen

Von tax-tech.de-Redaktion

Ist ein fremder Zugriff auf ein Kanzleipostfach entdeckt, ist sein Umfang zunächst offen. Trotzdem muss die Prüfung sofort beginnen. Dieser Beitrag ordnet, wann Sie die Datenschutzaufsicht und wann die Betroffenen informieren müssen, wie die Verschwiegenheit hineinspielt und warum die Warnung Ihrer Mandantschaft nicht warten sollte.

Stand: Oktober 2026. Der Beitrag trennt Pflichten, Ableitungen und offene Fragen.

Ein fiktiver Fall: Eine Mitarbeiterin entdeckt in ihrem Postfach eine Weiterleitungsregel, die sie nicht angelegt hat. Das deutet auf einen unberechtigten Zugriff hin und muss umgehend untersucht werden. Offen ist, welche Nachrichten eingesehen wurden, ob Daten abgeflossen sind und ob aus dem Konto schon E-Mails verschickt wurden. Der Deutsche Steuerberaterverband (DStV) berichtete im September 2026 von Betrugsmails aus kompromittierten Kanzleikonten, etwa zur angeblichen „Klärung von Kapitalkonten“.

Um Technik geht es hier nicht; sie ist Sache Ihres IT-Dienstleisters. Ausgeklammert sind auch Prävention und Ransomware (Erpressungstrojaner). Gegenstand sind die Entscheidungen, die bei der Kanzleileitung liegen.

Sofort: Zugriff stoppen lassen, Lage festhalten, Betrug abwehren

Ihre erste Entscheidung ist organisatorisch. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, intern zu informieren, Rollen und Entscheidungsbefugnisse festzulegen und Informationen zu sammeln. Früh zu klären ist, ob Sie Strafanzeige erstatten wollen. Eine Anzeige verlangt beweissicheres Vorgehen und bestimmt damit, wie Ihr IT-Dienstleister arbeitet.

Halten Sie von Anfang an fest, was Sie wann erfahren und veranlassen; am Zeitpunkt der Kenntnis hängt die Meldefrist. Nach Auffassung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) genügt die Kenntnis irgendwo im Unternehmen. Ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt, binden Sie sie oder ihn unverzüglich ein.

Für die technischen Schritte Ihres IT-Dienstleisters nennt der Europäische Datenschutzausschuss (EDSA) in einem vergleichbaren Fall: Passwörter ändern, Weiterleitungsregeln entfernen, den Versand an die Adresse des Angreifers sperren. Ziehen Sie zusätzlich einen Forensik-Dienstleister zur Spurensicherung hinzu, gilt § 62a Steuerberatungsgesetz (StBerG): Der Zugang zu Mandantengeheimnissen ist nur im erforderlichen Umfang zulässig. Der Dienstleister muss sorgfältig ausgewählt und grundsätzlich durch einen Vertrag in Textform unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet werden. Bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, ist zusätzlich die Einwilligung der Mandantschaft erforderlich. Versäumen Sie es, den Dienstleister zur Geheimhaltung zu verpflichten, und offenbart dieser später unbefugt fremde Geheimnisse, kann dies auch für Sie nach § 203 Abs. 4 Satz 2 Nr. 1 Strafgesetzbuch (StGB) strafrechtliche Folgen haben. Dass das auch im Ernstfall gilt, folgt aus dem Wortlaut, nicht aus einer ausdrücklichen Quelle. Ein Muster für die Vereinbarung enthalten die Datenschutzhinweise von Bundessteuerberaterkammer (BStBK) und DStV.

Lassen Sie klären, ob aus dem Konto E-Mails versandt wurden. Ob Sie Ihre Mandantschaft warnen, sollte davon aber nicht allein abhängen: Auch abgegriffene Nachrichten können nach Einschätzung des EDSA für weitere Angriffe wie Phishing genutzt werden. Eine ausdrückliche Rechtspflicht dazu, etwa aus der Rücksichtnahmepflicht nach § 241 Abs. 2 Bürgerliches Gesetzbuch (BGB), haben wir in keiner belastbaren Quelle gefunden. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hält es aber auch ohne Pflicht für sinnvoll, Betroffene zu informieren, damit sie Betrugsversuche erkennen. Warnen Sie nicht über das kompromittierte Konto. Der EDSA rät davon bei Benachrichtigungen nach der Datenschutz-Grundverordnung (DSGVO) ab; für Warnungen liegt das ebenso nahe. Wer nur die eigene Mandantschaft warnt, offenbart ihr nach unserer Einschätzung nichts Neues über ihre Mandate. Heikel wäre eine Rundmail an alle Kontakte des Postfachs.

Binnen 72 Stunden: Meldepflicht prüfen, Benachrichtigung abwägen

Eine Verletzung des Schutzes personenbezogener Daten liegt nach Art. 4 Nr. 12 DSGVO schon bei unbefugtem Zugang vor. Ob jemand Nachrichten tatsächlich gelesen oder Daten abgezogen hat, ist dafür unerheblich. Wer annimmt, der Angreifer sei gar nicht ins Postfach gelangt, braucht nach dem HmbBfDI konkrete Belege wie Logfiles, also Protokolle der Zugriffe.

Melden müssen Sie nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Ausgenommen ist nur eine Verletzung, die voraussichtlich zu keinem Risiko für die Betroffenen führt. Als Kenntnis gilt nach den EDSA-Leitlinien 9/2022 erst hinreichende Gewissheit über den Vorfall. Eine kurze Untersuchung davor ist zulässig, muss aber sofort beginnen. Für Kanzleien wiegt das Risiko schwerer: Erwägungsgrund 85 der DSGVO nennt den Verlust der Vertraulichkeit von Daten, die dem Berufsgeheimnis unterliegen, ausdrücklich als möglichen Schaden.

Ein Beispiel aus den EDSA-Leitlinien 01/2021 kommt dem Einstiegsfall nahe: In einem Unternehmen leiteten manipulierte Regeln E-Mails mit Stichwörtern wie „Rechnung“ oder „Zahlung“ an eine externe Adresse weiter; parallel verschickte der Angreifer gefälschte Rechnungen mit eigener Bankverbindung. Der EDSA sah ein hohes Risiko und verlangte Meldung und Benachrichtigung aller Betroffenen. Dort ging es um Beschäftigtendaten. Die Übertragung auf Mandantendaten ist unsere Ableitung, liegt bei Postfächern voller Finanz- und Lohndaten aber nahe.

Zuständig ist die Datenschutzaufsicht Ihres Bundeslandes, bei mehreren inländischen Niederlassungen die am Ort der Hauptniederlassung (§ 40 Abs. 1 und 2 Bundesdatenschutzgesetz, BDSG). Fehlen noch Angaben, dürfen Sie schrittweise melden (Art. 33 Abs. 4 DSGVO). Der EDSA rät, im Zweifel zu melden. Eine Meldung oder Benachrichtigung darf in einem Straf- oder Bußgeldverfahren gegen Sie nur mit Ihrer Zustimmung verwendet werden (§ 42 Abs. 4, § 43 Abs. 4 BDSG).

Bei voraussichtlich hohem Risiko müssen Sie zusätzlich die Betroffenen unverzüglich benachrichtigen (Art. 34 Abs. 1 DSGVO). An die 72 Stunden ist das nicht gebunden. Droht ein unmittelbarer Schaden, ist sofort zu benachrichtigen, und die Meldung an die Aufsicht ist kein Grund, damit zu warten.

Hier kollidiert der Datenschutz mit der Verschwiegenheit nach § 57 Abs. 1 StBerG und § 203 StGB. § 29 Abs. 1 S. 3 BDSG löst den Konflikt zunächst zugunsten der Verschwiegenheit: Die Benachrichtigung entfällt, soweit sie Informationen offenbaren würde, die nach einer Rechtsvorschrift geheim zu halten sind. Satz 4 kehrt das um, wenn die Interessen der Betroffenen überwiegen, insbesondere wegen drohender Schäden.

Wie diese Abwägung bei einem gekaperten Kanzleipostfach ausgeht, sagt keine Quelle für Steuerberaterinnen und Steuerberater, die wir gefunden haben. Auch die Datenschutzhinweise von BStBK und DStV (Stand Dezember 2025) erwähnen § 29 BDSG in ihrem Kapitel zu Datenpannen nicht. Die Wirtschaftsprüferkammer beschreibt für ihren Berufsstand einen grundsätzlichen Vorrang der Verschwiegenheit, verlangt aber stets eine Abwägung. Bei akuter Betrugsgefahr spricht viel für die Rückausnahme in Satz 4; das ist unsere Einschätzung, keine gesicherte Rechtslage. Ein möglicher Weg: Die Mandantschaft informiert betroffene Dritte, etwa ihre Beschäftigten, selbst. BStBK und DStV beschreiben das für die Informationspflichten nach der DSGVO, nicht für Datenpannen. Dokumentieren Sie Ihre Abwägung. Die Aufsicht kann Sie zu Inhalt und Weg der Benachrichtigung beraten.

Danach: Dokumentation abschließen, nachmelden, weitere Stellen klären

Jede Verletzung müssen Sie dokumentieren, auch ohne Meldung und samt den Gründen dafür (Art. 33 Abs. 5 DSGVO). Ergeben sich neue Erkenntnisse, melden Sie nach.

Für eine Strafanzeige verweist das BSI auf die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizeien. Würde eine frühe Benachrichtigung der Betroffenen die Ermittlungen unnötig behindern, kann sie in Absprache mit der Strafverfolgung zurückgestellt werden; danach ist sie umgehend nachzuholen (Erwägungsgrund 88 DSGVO). Offen ist, wie weit die Verschwiegenheit Ihre Angaben in einer Anzeige begrenzt. Eine Pflicht, den Vorfall der Steuerberaterkammer zu melden, haben wir nicht gefunden; das belegt nicht, dass es sie nicht gibt. In beiden Punkten empfiehlt sich eine Rückfrage bei Ihrer Kammer, bevor Sie handeln. Prüfen Sie außerdem, ob Ihre Versicherungsbedingungen Informationspflichten vorsehen.

Fazit: Nicht die 72 Stunden sind der Engpass, sondern die Abwägung

Erstens entlastet es nicht, dass kein Datenabfluss nachgewiesen ist. Schon der unbefugte Zugang ist eine Datenschutzverletzung.

Zweitens sind die 72 Stunden nicht der Takt für alles. Die Warnung vor Betrugsmails und eine Benachrichtigung bei unmittelbar drohendem Schaden gehören an den Anfang, nicht ans Ende der Frist.

Drittens ist die Verschwiegenheit kein pauschaler Grund zu schweigen. § 29 BDSG verlangt eine Abwägung, und nur eine dokumentierte Abwägung lässt sich später belegen.

Unsere redaktionelle Einschätzung: Für diesen Ernstfall ist der Berufsstand dünn versorgt. Die zentrale Arbeitshilfe von BStBK und DStV beschreibt Melde- und Benachrichtigungspflichten nur allgemein und lässt das Verhältnis zur Verschwiegenheit offen – ausgerechnet die Frage, an der Kanzleien im Ernstfall hängen bleiben. Hier wäre eine Handreichung der Kammern hilfreich.