Sicherer Mandanten-Dokument-Upload

Würdigung — die unverschlüsselte Mail ist das eigentliche Problem#

Der bequemste Weg ist der unsicherste. Eine Mandantin fotografiert ihre Belege und schickt sie als Mail-Anhang — und die Kanzlei nimmt sie so entgegen, weil alles andere Mühe macht. Das Problem: Eine normale E-Mail wird auf ihrem Weg über mehrere Server übertragen und ist dabei nicht durchgängig verschlüsselt. Inhalt und Anhang können auf diesem Weg mitgelesen werden. Für allgemeine Korrespondenz mag das hinnehmbar sein; für Steuerunterlagen, die unter die Verschwiegenheitspflicht fallen, ist es der falsche Kanal.

Das ist keine theoretische Sorge. Die Berufsdimension ist konkret: § 203 StGB schützt das Mandantengeheimnis strafrechtlich, und Art. 32 DSGVO verlangt dem Verantwortlichen technische Maßnahmen ab, die dem Risiko angemessen sind. Eine offene Mail erfüllt das bei sensiblen Dokumenten nicht.

Warum E-Mail kein sicherer Kanal ist#

Der Knackpunkt ist die fehlende durchgängige Verschlüsselung. Zwar wird die Verbindung zwischen Mail-Programm und Mail-Server oft per TLSTLS · zum GlossarTransport Layer Security — Verschlüsselungs-Protokoll unter HTTPS, Nachfolger von SSL. gesichert, aber auf dem weiteren Weg zwischen den Servern ist das nicht garantiert — und die Mail liegt unverschlüsselt auf den beteiligten Servern. Ende-zu-Ende-Verschlüsselung (etwa per PGP oder S/MIME) würde das lösen, ist aber für Mandanten in der Praxis kaum umsetzbar — kaum jemand richtet sie ein. Deshalb braucht es einen Kanal, der die Sicherheit von der Mandantin nicht verlangt, sondern sie strukturell mitbringt.

Die zwei tauglichen Wege#

Für den sicheren Dokumenten-Austausch haben sich zwei Wege etabliert:

1. Das Mandanten-Portal. Die Mandantin lädt Dokumente in einen geschützten, mit Login gesicherten Bereich hoch, statt sie zu mailen. Die etablierte Variante im Steuer-Umfeld ist das DATEV-Mandantenportal (DATEV Unternehmen Online), das die Kanzlei-Website verlinkt. Der Vorteil: Die Daten liegen im geschützten System, der Transport ist verschlüsselt, und es gibt eine Zugriffs-Kontrolle. Der Aufwand: Die Mandantin braucht einen Zugang und muss ihn nutzen.

2. Die verschlüsselte Übermittlung. Wo ein volles Portal überdimensioniert ist, gibt es schlankere Upload-Lösungen: ein verschlüsselter Datei-Upload direkt von der Kanzlei-Website oder ein spezialisierter, EU-gehosteter Transfer-Dienst mit Auftragsverarbeitungs-Vertrag. Die Mandantin lädt die Datei über eine gesicherte Verbindung hoch, die Kanzlei holt sie ab. Wichtig ist, dass der Dienst in der EU verarbeitet und einen AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister. bietet.

Beide Wege haben gemeinsam, dass sie die Sicherheit nicht der Mandantin aufbürden, sondern technisch sicherstellen.

Was „technisch sicher" konkret heißt#

Drei Eigenschaften machen einen Upload-Weg sicher:

• Verschlüsselung im Transport (TLS): Die Verbindung beim Hochladen ist verschlüsselt — die Grundlage, die auch das Schloss-Symbol liefert. Die kryptographischen Verfahren orientieren sich an der BSI-Richtlinie TR-02102.
• Verschlüsselung im Speicher (at rest): Die hochgeladene Datei liegt auf dem Server verschlüsselt, nicht im Klartext.
• Zugriffs-Kontrolle und Lösch-Konzept: Nur Berechtigte kommen an die Datei, und es gibt eine Frist, nach der temporäre Uploads gelöscht werden — passend zur Speicher-Begrenzung der DSGVO.

Dazu kommen praktische Punkte wie ein sinnvolles Upload-Limit (große Dateien) und eine Rückmeldung an die Mandantin, dass der Upload angekommen ist.

§ 203 und Art. 32 DSGVO — Pflicht, nicht Empfehlung#

Die Sicherheit ist hier keine Kür. Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" entsprechend dem Risiko — bei Steuerunterlagen ist das Risiko hoch, also ist der Maßstab entsprechend. § 203 StGB stellt die Verletzung des Mandantengeheimnisses unter Strafe; dieselbe Logik, die im Artikel zu KI und § 203 für KI-Tools gilt, gilt für Übermittlungs-Wege. Wer Mandanten faktisch auf die unverschlüsselte Mail verweist, weil die Website keinen sicheren Weg anbietet, lässt eine vermeidbare Lücke offen.

Für die Website heißt das konkret: einen klar sichtbaren, sicheren Upload-Weg anbieten — Portal-Link oder verschlüsselter Upload — und Mandanten freundlich von der Mail weglenken.

Für eine vollständige Bewertung der Dokumenten- und Kontakt-Wege — Sicherheit, Portal-Anbindung, Datenschutz — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Die normale E-Mail ist für Mandanten-Dokumente der falsche Weg — sie ist nicht durchgängig verschlüsselt, und Steuerunterlagen fallen unter § 203 StGB und Art. 32 DSGVO. Zwei Wege sind tauglich: das Mandanten-Portal (etwa DATEV Unternehmen Online), das die Website verlinkt, und die verschlüsselte Übermittlung über einen EU-gehosteten Upload mit AVV. Beide stellen die Sicherheit technisch sicher, statt sie der Mandantin aufzubürden. Sicher heißt: Verschlüsselung im Transport und im Speicher, Zugriffs-Kontrolle und ein Lösch-Konzept. Die Aufgabe der Website ist, diesen sicheren Weg sichtbar anzubieten und Mandanten von der unverschlüsselten Mail wegzulenken.

Quellen#

• StGB § 203 — Verletzung von Privatgeheimnissen — abgerufen 2026-05-29
• DSGVO Art. 32 — Sicherheit der Verarbeitung (VO EU 2016/679) — abgerufen 2026-05-29
• BSI TR-02102 — Kryptographische Verfahren — abgerufen 2026-05-29
• DATEV eG — Produkte & Services (Unternehmen Online) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Die Angemessenheit konkreter Schutz-Maßnahmen nach Art. 32 DSGVO ist im Einzelfall zu bewerten.