FA² · Insights
Berufsrecht, Web und SEO für Steuerkanzleien.
Lange, sachliche Artikel zu Themen, die in einem 30-Minuten- Termin nicht vertiefbar sind. Geschrieben für Kanzlei-Inhaber, die ihre Website ernst nehmen — ohne IT-Insider-Jargon und mit konkreten Paragraphen.
Fachbegriffe nachschlagen — Glossar von A bis Z- Sicherheit9 Min
Note A statt A+: warum unsafe-inline in der CSP bleibt
Eine Content-Security-Policy zu setzen ist der erste Schritt — sie maximal scharf zu stellen ist der zweite, den man nicht reflexhaft gehen sollte. Eine CSP, die noch unsafe-inline erlaubt, bekommt bei den gängigen Prüfdiensten ein A, aber kein A+. Der naheliegende Reflex ist, das unsafe-inline mit Nonces wegzubekommen — und genau hier liegt bei einer statisch ausgelieferten Website eine Falle. Dieser Artikel zeigt, warum der Weg zum A+ auf einer modernen Architektur das CDN-Caching kosten würde, das den eigentlichen Geschwindigkeits- und Sicherheits-Vorteil ausmacht, und warum wir auf fahoch2.de deshalb bewusst und ehrlich bei Note A bleiben.
Artikel lesen Mandanten-Bereich mit DATEV-Login statt eigenem System
Der Wunsch nach einem eigenen Mandanten-Bereich auf der Kanzlei-Website kommt früh: ein geschützter Login, hinter dem Mandanten Dokumente abrufen oder ihren Status sehen. Was nach einem überschaubaren Feature klingt, wirft sofort eine unbequeme Frage auf — wer verwaltet die Passwörter, und wer haftet, wenn eines davon abhandenkommt? Ein selbst gebautes Login bedeutet, dass die Kanzlei-Website plötzlich sensible Zugangsdaten speichert und absichern muss. Dieser Artikel zeigt, warum es in den meisten Fällen klüger ist, die Anmeldung an ein System zu koppeln, das die Mandanten ohnehin nutzen — etwa DATEV —, statt ein eigenes Passwort-System aufzubauen. Da FA² noch keine Mandanten-Website betreibt, ist das eine Architektur-Skizze, kein Live-Stand.
Artikel lesen- KI-Werkstatt9 Min
Wie man einen Kanzlei-Bot testet, bevor er live geht
Ein klassisches Programm gibt auf dieselbe Eingabe immer dieselbe Ausgabe — das macht es testbar. Ein Sprachmodell tut das nicht: Es kann auf dieselbe Frage zweimal leicht anders antworten. Genau das verleitet viele dazu, einen Bot gar nicht zu testen, sondern ihn einfach live zu schalten und zu hoffen. Bei einem Kanzlei-Bot, der keine Steuer- oder Rechtsberatung geben darf und nichts erfinden soll, ist das keine Option. Dieser Artikel zeigt, wie man so einen Bot trotzdem strukturiert prüft: welche Schichten man wie ganz normalen Code testet, wie man das nicht-deterministische Verhalten bewertet, und welche Ziele eine ehrliche Bot-Prüfung verfolgt — am Beispiel unseres eigenen Concierge.
Artikel lesen Von Mailchimp zu Brevo: Newsletter in die EU umziehen
Viele Kanzlei-Newsletter laufen über Mailchimp — es ist bekannt, einfach und seit Jahren der Platzhirsch. Der wunde Punkt liegt im Sitz des Anbieters: Mailchimp ist ein US-Dienst, und jeder Versand bedeutet eine Übermittlung von Empfänger-Daten in die USA, die datenschutzrechtlich begründet und abgesichert sein will. Ein EU-Dienst wie Brevo umgeht diese Drittland-Frage, weil die Daten in der EU bleiben. Dieser Artikel zeigt, wie ein Umzug abläuft, was tatsächlich an einem Arbeitstag machbar ist und was nicht, und worauf es beim wichtigsten Detail ankommt — dem Nachweis, dass jeder Empfänger dem Versand wirklich zugestimmt hat.
Artikel lesen- KI-Werkstatt10 Min
RAG ohne Vektor-Datenbank für den Kanzlei-Bot
Sobald von grounded-only-Bots die Rede ist, fällt schnell der Begriff RAG — und im selben Atemzug eine Vektor-Datenbank, Embeddings, ein Retrieval-Schritt. Das ist die Lehrbuch-Architektur, und für große Wissensbestände ist sie auch richtig. Für einen Kanzlei-Bot mit überschaubarem, gepflegtem Wissen ist sie aber oft mehr Maschinerie, als der Zweck rechtfertigt. Unser eigener Concierge auf fahoch2.de antwortet grounded-only — ohne Vektor-Datenbank, ohne Retrieval-Schritt. Dieser Artikel erklärt die Architektur-Entscheidung dahinter: wann ein klassisches RAG mit Vektor-Suche nötig ist, wann das schlichtere Context-Stuffing mit Prompt-Caching die bessere Wahl ist, und woran man den Kipppunkt erkennt.
Artikel lesen - Datenschutz & Recht9 Min
Transaktionale Mails: AVV, Drittland, Bounces, DSE
Fast jede Kanzlei-Website versendet E-Mails, ohne dass es jemandem bewusst auffällt: Die Bestätigung nach dem Kontaktformular, der Report aus einem Tool, die interne Benachrichtigung an die Kanzlei. Diese sogenannten transaktionalen Mails laufen praktisch nie über das eigene Postfach, sondern über einen spezialisierten Versand-Dienstleister — und der verarbeitet dabei personenbezogene Daten. Damit gelten dieselben Datenschutz-Pflichten wie für jeden anderen Auftragsverarbeiter, nur werden sie hier besonders oft übersehen. Dieser Artikel zeigt die vier Punkte, die sauber geregelt sein müssen — Auftragsverarbeitungsvertrag, Drittland-Frage, Umgang mit unzustellbaren Mails und der Eintrag in der Datenschutzerklärung — am echten Versand-Setup von fahoch2.de.
Artikel lesen - Performance & Design8 Min
Lesbare Long-Form-Texte: Zeilenlänge & Zeilenabstand
Ob sich ein langer Text angenehm liest oder anstrengt, schreibt man meist dem Inhalt zu — dabei entscheiden es oft drei unscheinbare typografische Stellschrauben, bevor das erste Wort wirkt. Wie lang eine Zeile sein darf, wie viel Luft zwischen den Zeilen steht, und wie eng die Buchstaben laufen, bestimmt, ob das Auge mühelos von Zeile zu Zeile findet oder sich verhakt. Auf einer Kanzlei-Website, die fachliche Texte ernst meint, ist das kein Schönheits-Detail, sondern der Unterschied zwischen gelesen und weggeklickt. Dieser Artikel zeigt die drei Stellschrauben an konkreten Werten — denselben, mit denen die Insights auf fahoch2.de gesetzt sind.
Artikel lesen - Performance & Design8 Min
Sanfte Seitenübergänge mit der View Transitions API
Wenn man auf einer Website von einer Seite zur nächsten klickt und der Inhalt nicht hart umspringt, sondern weich überblendet, wirkt das hochwertig — fast wie eine App statt einer Website. Lange ging das nur mit schweren JavaScript-Bibliotheken, die eigenes Gewicht und eigene Probleme mitbrachten. Seit Kurzem gibt es dafür eine native Browser-Funktion: die View Transitions API. Sie liefert genau diese weichen Übergänge, ohne dass eine fremde Bibliothek geladen werden muss. Dieser Artikel erklärt, was die View Transitions API kann, warum sie zu einer schlanken, schnellen Kanzlei-Website passt, und warum der Respekt vor der Reduced-Motion-Einstellung dabei kein Detail, sondern Pflicht ist.
Artikel lesen - Code & Architektur12 Min
Glossar: Web-Tech und Web-Recht für Kanzleien
Auf den anderen Insights tauchen Fachbegriffe wie DSGVO, CSP, LCP oder RAG auf — das hier ist die zentrale Übersicht für jeden, der die Begriffe nicht täglich nutzt. Tooltip auf dem Desktop, Tap auf dem Smartphone, ein Sprung hierher.
Artikel lesen - Sicherheit8 Min
Cloudflare Turnstile statt reCAPTCHA: Spam ohne Cookies
Auf vielen Kanzlei-Websites sitzt unter dem Kontaktformular ein Google-reCAPTCHA — meist eingebaut, weil „man das so macht". Der Preis dafür wird selten mitbedacht: Jeder Seitenaufruf löst einen Request an Google in die USA aus, der Cookie-Banner wird damit faktisch zur Pflicht, und für legitime Besucher ist die Bedienung oft holprig. Cloudflare Turnstile ist die seriöse Alternative: kein Tracking-Cookie, datensparsam, für die meisten Besucher unsichtbar. Dieser Artikel zeigt, wann eine Kanzlei überhaupt ein Captcha braucht, warum Turnstile der sauberere reCAPTCHA-Ersatz ist, und wie eine Einbindung aussähe, die das Formular bei einem Cloudflare-Ausfall nicht mit in den Abgrund reißt.
Artikel lesen - Sicherheit8 Min
Hash-Blocklist im Voice-Linter gegen Datenleaks
Wer auf einer Website regelmäßig über Audits, beobachtete Muster oder reale Vorfälle schreibt, trägt ein leises Risiko mit sich: dass irgendwann ein Name, eine Domain oder ein zu konkreter Bezug im veröffentlichten Text landet, der dort nicht hingehört. Solange eine Person allein und konzentriert schreibt, geht das eine Weile gut. Sobald mehrere Hände an den Inhalten arbeiten oder ein KI-Assistent Vorschläge beisteuert, ist es nur eine Frage der Zeit. Aufmerksamkeit allein ist dagegen keine verlässliche Schutzschicht. Dieser Artikel zeigt, wie ein kleiner Hash-basierter Pre-Commit-Linter dieses Versehen strukturell verhindert — und dabei den entscheidenden Trick nutzt, die zu schützenden Begriffe nie im Klartext abzulegen.
Artikel lesen - KI-Werkstatt9 Min
Unser KI-Concierge: grounded-only, ohne Halluzination
Über KI-Bots auf Kanzlei-Websites wird viel geredet, und die häufigste Reaktion ist berechtigte Skepsis: Was, wenn der Bot Steuer-Tipps erfindet? Was, wenn er Mandantendaten irgendwohin schickt? Was, wenn am Ende niemand erklären kann, woher eine Antwort kam? Statt darüber zu theoretisieren, haben wir auf fahoch2.de selbst einen solchen Assistenten gebaut — bewusst als Kompetenz-Beweis, nicht als Steuer-Ratgeber. Dieser Artikel zeigt die Entscheidungen, die einen markenkonformen Bot rechtssicher und ohne Halluzination machen: warum das Sprachmodell nur Sprach-Engine sein darf und nicht Wissensquelle, welche Schutzschichten vor dem Modell liegen, und warum Kennzeichnung und Datensparsamkeit von Anfang an eingebaut gehören, nicht nachträglich.
Artikel lesen
Sie möchten Ihre eigene Kanzlei-Website auf diese Punkte prüfen lassen? Der gratis URL-Audit nimmt 90 Sekunden:
Kanzlei prüfen — gratis