Sensible Daten im Rechnungswesen: Schutz im Büroalltag und was bei einer Panne gilt

Das folgende Beispiel ist erfunden. So oder ähnlich passiert es aber in vielen Büros.

Eine erfahrene Mitarbeiterin schickt die Lohnzettel von 14 Personen an die Steuerberatung. Sie tippt die ersten Buchstaben der Adresse, das Mailprogramm ergänzt den Rest. Es schlägt eine alte Adresse mit ähnlichem Namen vor: die eines früheren Beraters. Sie bemerkt es nicht, die Mail geht hinaus.

Um 15 Uhr fragt die Steuerberatung nach den fehlenden Unterlagen. Jetzt ist klar, was passiert ist. Namen, Gehälter und Sozialversicherungsnummern von 14 Personen liegen bei jemandem, der sie nie bekommen sollte. Ab diesem Moment läuft die Frist für die Meldung an die Datenschutzbehörde. Sie endet am Donnerstag um 15 Uhr.

Dumm war hier niemand, und angegriffen hat auch niemand. Es war ein Arbeitsschritt, den die Mitarbeiterin jede Woche macht. Gerade deshalb kann er jedem passieren.

Kritisch sind vor allem vier Arten von Unterlagen. Kontoauszüge zeigen Kontostände und Geschäftspartner und damit viel über die Lage einer Person oder eines Unternehmens. Lohnunterlagen enthalten Gehalt, Sozialversicherungsnummer und Bankverbindung. Steuerbescheide zeigen Einkommen und Steuernummer. In den Stammdaten der Mandant:innen stehen IBAN, Adresse und Geburtsdatum. Zusammen reicht das für Identitätsmissbrauch und für Betrugsmails, die echt wirken, weil echte Details darin stehen.

Liegen bleiben diese Unterlagen vor allem an fünf Stellen:

• Im Postfach. Gesendete und empfangene Mails bleiben oft jahrelang liegen. Wer ein Postfach übernimmt, sieht alles auf einmal.
• Im Downloads-Ordner. Belege werden heruntergeladen, einmal geöffnet und nie gelöscht, oft auf einem Laptop ohne verschlüsselte Festplatte.
• Am Handy. Mandant:innen schicken das Foto eines Belegs per WhatsApp. Je nach Einstellung landet es in der Fotogalerie und im Cloud-Backup des Handys.
• Auf privaten Geräten. Wer am eigenen Rechner arbeitet, arbeitet ohne die Schutzmaßnahmen des Büros.
• In KI-Tools. Wer einen Kontoauszug zum Zusammenfassen hineinkopiert, hat ihn ab diesem Moment beim Anbieter gespeichert.

Ein kurzer Selbsttest

Such im eigenen Postfach nach „Kontoauszug“ und danach nach „Lohnzettel“. Zähl die Treffer und sieh dir die ältesten an. Dann öffne den Downloads-Ordner und sortiere nach Datum. Was dort ohne Grund liegt, kann weg, sofern es an anderer Stelle ordnungsgemäß archiviert ist.

Ein Verbot von E-Mail bringt wenig. Mail ist einfach, und ein umständlicher Ersatz wird im Alltag umgangen. Der sichere Weg muss also genauso einfach sein wie der unsichere.

Die typischen Fehler sind bekannt. Die Autovervollständigung setzt den falschen Empfänger ein. Bei einer Rundmail steht der Verteiler unter Kopie statt unter Blindkopie. Eine Mail wird samt Anhängen an Dritte weitergeleitet. Und in gehackten Postfächern richten Angreifer still eine Weiterleitungsregel ein und lesen monatelang mit.

Beim Archiv in Stufe 2 kommt es auf das Verfahren an. Das ältere ZIP-Passwort (ZipCrypto) gilt als leicht zu knacken. In 7-Zip und den meisten anderen Packprogrammen lässt sich beim Packen AES-256 auswählen.

Was die Verschlüsselung beim Mailanbieter leistet

Fast jeder Mailanbieter verschlüsselt heute die Übertragung (TLS). Das schützt die Mail auf dem Weg zum Empfänger. Danach liegt sie lesbar in dessen Postfach, oft jahrelang, und wer dort Zugriff bekommt, sieht alles. Echte Ende-zu-Ende-Verschlüsselung per Mail gibt es zwar, sie ist im Alltag aber kaum verbreitet und für die meisten Büros nicht praktikabel.

Wenn Mandant:innen auf Mail bestehen

Ist der Wunsch ausdrücklich, wird er schriftlich festgehalten, zusammen mit einem Hinweis auf das Risiko. Bei Lohndaten trägt dieses Risiko allerdings jemand anderer: die Mitarbeiter:innen des Mandanten, die niemand gefragt hat. Für Lohnzettel sollte Stufe 2 deshalb die Untergrenze bleiben.

Wer diese fünf Punkte erledigt hat, kann weitermachen: mit einem Passwortmanager, verschlüsselten Festplatten auf allen Laptops (BitLocker unter Windows, FileVault am Mac) und einer kurzen jährlichen Schulung für das Team.

Wer vorher nicht weiß, was zu tun ist, verliert die ersten Stunden mit der Frage, wer zuständig ist. Die Meldefrist läuft in dieser Zeit schon.

Die ersten drei Schritte

1. 1Schaden begrenzen. Zugang sperren, Passwörter ändern. Bei einer Fehlsendung den Empfänger sofort kontaktieren und um Löschung bitten, am besten mit schriftlicher Bestätigung.
2. 2Intern melden. Sofort und ohne Schuldzuweisung, damit die zuständige Person die Lage bewerten kann. Wer Ärger fürchtet, meldet später, und die Frist läuft trotzdem.
3. 3Dokumentieren. Was ist wann passiert, welche Daten sind betroffen, wie viele Personen, was wurde schon getan.

Die 72 Stunden

Gemeldet wird nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden. Die Frist beginnt, sobald die Panne bekannt ist. Wann die Mail tatsächlich hinausging, spielt dafür keine Rolle. Im Beispiel wurde der Fehler am Montag um 15 Uhr bemerkt, also endet die Frist am Donnerstag um 15 Uhr. Wochenenden und Feiertage zählen nach der Praxis der Aufsichtsbehörden mit. Eine Panne, die am Freitagnachmittag auffällt, muss demnach bis Montagnachmittag gemeldet sein.

Keine Meldung braucht es nur, wenn die Panne voraussichtlich zu keinem Risiko für die Betroffenen führt. Das ist eine Bewertung im Einzelfall. Wer die 72 Stunden überschreitet, muss die Verzögerung in der Meldung begründen. Eine versäumte Meldung kann eine Geldbuße nach sich ziehen (Art. 83 Abs. 4 DSGVO).

Wer meldet

Melden muss der Verantwortliche, also wer über Zweck und Mittel der Verarbeitung entscheidet. Arbeitet ein Büro als Auftragsverarbeiter, informiert es den Verantwortlichen unverzüglich, und dieser meldet an die Behörde (Art. 33 Abs. 2 DSGVO). Bei der Lohnverrechnung für ein Unternehmen ist das häufig der Fall. Welche Rolle das Büro bei welcher Leistung hat, sollte vor einer Panne geklärt und schriftlich festgehalten sein.

Was in der Meldung steht

• die Art der Verletzung, mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Name und Kontakt der Datenschutzbeauftragten oder einer anderen Anlaufstelle
• die wahrscheinlichen Folgen
• die ergriffenen oder geplanten Maßnahmen

Gemeldet wird an die österreichische Datenschutzbehörde, am einfachsten über das Online-Formular unter „Meldung Data Breach“ auf dsb.gv.at. E-Mail und Post sind ebenfalls möglich. Fehlen nach 72 Stunden noch Angaben, dürfen sie in weiteren Meldungen nachgereicht werden.

Wann auch die Betroffenen informiert werden

Bei voraussichtlich hohem Risiko müssen auch die betroffenen Personen informiert werden, unverzüglich und in klarer, einfacher Sprache (Art. 34 DSGVO). Die Nachricht sagt, was passiert ist und was sie selbst tun können, etwa bei Anrufen und Mails mit ihren Daten besonders vorsichtig zu sein. Im Beispiel liegen Gehalt und Sozialversicherungsnummer bei einem Unbekannten. Diesen Fall muss man ernsthaft prüfen.

Dokumentiert wird jede Panne

Auch eine Panne, die nicht gemeldet wird, wird intern dokumentiert (Art. 33 Abs. 5 DSGVO). So lässt sich später belegen, warum auf die Meldung verzichtet wurde. Wie unterschiedlich zwei ähnliche Fehlsendungen ausgehen können, zeigen diese zwei Fälle.

Der Unterschied zwischen beiden Fällen ist Stufe 2 aus dem Abschnitt über E-Mail. Mit verschlüsseltem Anhang wird derselbe Tippfehler oft zu einem Vorfall, den man dokumentiert und abschließt.

Ein Zettel für den Ernstfall

Was sich sofort umsetzen lässt: ein Zettel am Kopierer oder im Intranet, mit den drei ersten Schritten, dem Namen der zuständigen Person und ihrer Vertretung. Die Vorlage unten lässt sich ausdrucken und von Hand ausfüllen.

Zehn Fragen decken die wichtigsten Risiken ab. Die ersten vier werden am häufigsten übersehen, deshalb stehen sie hier ausführlicher.

Sechs weitere Fragen

5. 5.Welche Subunternehmer haben Zugriff, und wo sitzen sie?
6. 6.Wie sind die Daten verschlüsselt, bei der Übertragung und gespeichert?
7. 7.Gibt es Zertifizierungen, zum Beispiel ISO 27001?
8. 8.Wer beim Anbieter kann meine Daten sehen, und wird das protokolliert?
9. 9.Wie schnell meldet mir der Anbieter eine Panne?
10. 10.Wie komme ich bei Kündigung an meine Daten, und in welchem Format?

Die zehn Fragen und die fünf Mindeststandards gibt es im Webinar zu diesem Beitrag als Checkliste zum Mitnehmen. Termin, Dauer und Anmeldung folgen.