Mandanten-Bereich mit DATEV-Login statt eigenem System

Würdigung — der Wunsch ist berechtigt, die Verantwortung wird unterschätzt#

Ein Mandanten-Bereich ist ein guter Gedanke. Er signalisiert Modernität, spart Telefonate und gibt Mandanten einen klaren Ort für Dokumente und Status. Nichts daran ist falsch — die Sorgfalt liegt in einem Detail, das beim Wunsch selten mitgedacht wird: Sobald sich Menschen einloggen, muss irgendjemand ihre Zugangsdaten verwalten und absichern.

Genau hier wird ein selbst gebautes Login schnell zur Last. Es bedeutet, dass die Kanzlei-Website Passwörter speichert, gegen Diebstahl absichert, Zurücksetzen-Abläufe sicher gestaltet und im schlimmsten Fall einen Einbruch verantwortet. Für eine Kanzlei, die Verschwiegenheit verkauft, ist ein eigener Passwort-Tresor auf der Website eine zusätzliche Angriffsfläche, die man sich gut überlegen sollte. Die gute Nachricht: Es geht meist eleganter — indem man die Anmeldung gar nicht selbst übernimmt.

Was Single-Sign-On bedeutet#

Der Fachbegriff für „ein Login statt vieler" heißt Single-Sign-On. Die Idee ist einfach: Statt dass jede Website ihr eigenes Passwort verlangt, meldet sich der Nutzer einmal bei einem vertrauenswürdigen System an, und andere Dienste vertrauen dieser Anmeldung. Jeder kennt das vom „Mit Google anmelden"-Knopf — die fremde Seite speichert kein eigenes Passwort, sondern fragt nur bei Google nach, ob die Anmeldung gültig ist.

Auf einen Mandanten-Bereich übertragen heißt das: Der Mandant meldet sich bei einem System an, das er ohnehin nutzt und dem er vertraut, und die Kanzlei-Website lässt ihn auf Basis dieser Anmeldung herein — ohne je ein eigenes Passwort zu speichern. Die Verantwortung für die Zugangsdaten bleibt dort, wo sie professionell verwaltet wird, statt auf der Website zu landen. Das ist derselbe Gedanke der bewussten Arbeitsteilung, der hinter der DATEV-Mandantenportal-Integration steht: Daten und Zugänge bleiben im dafür gebauten System.

Warum die Kopplung an DATEV oft naheliegt#

Viele Steuerkanzleien und ihre Mandanten arbeiten ohnehin mit DATEV — die Mandanten haben dort bereits einen Zugang und sind den Anmelde-Weg gewohnt. Das macht DATEV zu einem naheliegenden Anker für die Anmeldung: Wer dort schon ein Konto hat, kann sich darüber auch am Kanzlei-Mandanten-Bereich anmelden, ohne ein weiteres Passwort zu lernen und ohne dass die Website eines speichert.

Der Gewinn ist doppelt. Für den Mandanten: ein Zugang weniger, ein vertrauter Weg. Für die Kanzlei: keine eigene Passwort-Verwaltung, keine eigene Haftung für gestohlene Zugangsdaten, und ein Anmelde-System, das professionell betrieben und abgesichert wird. Technisch läuft so eine Anbindung über eine definierte Schnittstelle — eine APIAPI · zum GlossarApplication Programming Interface — Schnittstelle, über die Programme miteinander sprechen. —, über die die Website beim Anmelde-System nachfragt, ob die Anmeldung gültig ist, ohne selbst Passwörter zu sehen.

Wann ein einfacherer Weg reicht#

Ehrlich gesagt braucht nicht jeder Mandanten-Bereich überhaupt eine Anmeldung über DATEV — und manche brauchen gar keine klassische Anmeldung. Wenn es nur darum geht, einem Mandanten gelegentlich ein Dokument sicher bereitzustellen, ist ein voller Login mit Konten-Verwaltung oft überdimensioniert. Eine schlankere Variante ist der Magic-Link: Der Mandant bekommt per E-Mail einen einmaligen, zeitlich begrenzten Link, der ihn direkt und ohne Passwort zum freigegebenen Inhalt führt. Kein Konto, kein Passwort, nichts zu verwalten.

Die Wahl hängt am Anwendungsfall. Ein dauerhaft genutzter Bereich mit regelmäßigem Dokumenten-Austausch profitiert von der DATEV-Anmeldung; ein gelegentlicher, sicherer Einzel-Versand kommt mit dem Magic-Link aus. Welcher sichere Datenweg wann passt, vertieft der Insight zum sicheren Mandanten-Dokument-Upload. Die Disziplin ist dieselbe wie überall: die einfachste Lösung wählen, die das Problem löst — nicht die größtmögliche.

Die Verschwiegenheitspflicht als Leitplanke#

Über allem steht bei einer Steuerkanzlei die Verschwiegenheitspflicht. Mandantendaten unterliegen einem besonderen Schutz, dessen Verletzung nach § 203 Strafgesetzbuch sogar strafbewehrt ist. Das ist die eigentliche Leitplanke jeder Mandanten-Bereich-Entscheidung: Jeder Weg, auf dem Mandantendaten fließen, muss diesem Schutz standhalten.

Daraus folgt die Architektur fast von selbst. Je weniger sensible Zugangsdaten und Inhalte auf der öffentlichen Website liegen, desto kleiner die Angriffsfläche und desto leichter die Verschwiegenheit zu wahren. Eine Anmeldung, die kein Passwort speichert, und ein Datenweg, der verschlüsselt und nachvollziehbar ist, sind kein technischer Luxus, sondern die praktische Umsetzung einer rechtlichen Pflicht. Die berufsrechtlichen Grenzen rund um Mandantendaten vertieft der Insight zu den §-203-Grenzen bei Kanzlei-Technik.

Was Kanzleien davon haben#

• Keine eigene Passwort-Haftung: Wer die Anmeldung an ein bestehendes System koppelt, speichert keine Zugangsdaten und haftet nicht für deren Diebstahl.
• Ein Zugang weniger für Mandanten: Wer DATEV ohnehin nutzt, meldet sich auf dem gewohnten Weg an — weniger Reibung, weniger Support-Anfragen.
• Kleinere Angriffsfläche: Je weniger Sensibles auf der öffentlichen Website liegt, desto leichter ist die Verschwiegenheit nach § 203 zu wahren.
• Die richtige Größe: Oft reicht ein Magic-Link statt eines vollen Logins — die schlanke Lösung spart Aufwand und Risiko.

Für eine nüchterne Einschätzung, ob und in welcher Form ein Mandanten-Bereich für Ihre Kanzlei sinnvoll ist, empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Ein Mandanten-Bereich ist schnell gewünscht, aber die unbequeme Frage dahinter wird oft übersehen: Wer verwaltet die Passwörter? Ein selbst gebautes Login zwingt die Kanzlei-Website, sensible Zugangsdaten zu speichern und abzusichern — eine zusätzliche Angriffsfläche, die für eine zur Verschwiegenheit verpflichtete Kanzlei schwer wiegt. Der klügere Weg ist Single-Sign-On: Die Anmeldung wird an ein System gekoppelt, das die Mandanten ohnehin nutzen und dem sie vertrauen — bei vielen Steuerkanzleien DATEV. Die Website lässt den Mandanten auf Basis dieser Anmeldung herein, ohne je ein eigenes Passwort zu speichern. Wo gar kein dauerhafter Login nötig ist, reicht oft ein Magic-Link für den sicheren Einzel-Versand. Über allem steht die Verschwiegenheitspflicht nach § 203: Je weniger Sensibles auf der öffentlichen Website liegt, desto leichter ist sie zu wahren — die Architektur folgt der Pflicht, nicht dem Wunsch nach möglichst viel Technik.

Quellen#

• § 203 StGB — Verletzung von Privatgeheimnissen — abgerufen 2026-06-13
• DATEV — offizielle Website (Mandanten-Lösungen) — abgerufen 2026-06-13
• DSGVO (VO EU 2016/679) — konsolidierte Fassung — abgerufen 2026-06-13

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung, keine Rechtsberatung. FA² betreibt zum Veröffentlichungszeitpunkt keine Mandanten-Website mit Login; der beschriebene Aufbau ist eine Architektur-Skizze. Die konkrete Umsetzung einer DATEV-Anbindung hängt von den jeweils verfügbaren Schnittstellen und der berufsrechtlichen Einzelfall-Prüfung ab.