Cyber-Versicherung für Steuerberater & Kanzleien

Mandantendaten, DATEV und die berufsrechtliche Verschwiegenheit

Kanzleien verarbeiten über DATEV und vergleichbare Systeme hochsensible Finanz- und Steuerdaten ihrer Mandanten, oft über Jahre rückwirkend. Neben der DSGVO gilt für Steuerberater die berufsrechtliche Verschwiegenheitspflicht nach §57 StBerG, die strenger ausgelegt wird als eine allgemeine Datenschutzpflicht. Wird ein Zugriff auf Mandantendaten bekannt, steht die Kanzlei damit nicht nur gegenüber der Datenschutzbehörde, sondern auch gegenüber der Steuerberaterkammer in der Nachweispflicht, angemessene Schutzmaßnahmen getroffen zu haben.

Ein Angriff auf die DATEV-Anbindung oder die lokale Kanzleisoftware betrifft praktisch immer mehrere Mandate gleichzeitig, weil die Daten zentral verwaltet werden. Das erhöht sowohl den Umfang der Meldepflicht als auch das Risiko individueller Schadenersatzforderungen einzelner Mandanten, wenn deren Daten für Betrug missbraucht werden. Eine Cyber-Versicherung für Steuerberater deckt die Kosten der Aufklärung, Meldung und Verteidigung gegen solche Ansprüche.

Abgrenzung zur Vermögensschadenhaftpflicht

Ein häufiges Missverständnis betrifft das Verhältnis zwischen Cyber-Versicherung und der ohnehin für Steuerberater berufsrechtlich vorgeschriebenen Vermögensschadenhaftpflicht. Die Vermögensschadenhaftpflicht greift bei Berufsfehlern, also wenn ein Mandant durch eine falsche steuerliche Beratung, eine versäumte Frist oder einen Rechenfehler einen finanziellen Schaden erleidet. Sie ist auf die fachliche Leistung der Kanzlei ausgerichtet.

Ein Cyberangriff dagegen ist kein Beratungsfehler im klassischen Sinn, sondern ein externer Angriff auf die IT-Infrastruktur. Die daraus entstehenden Kosten, IT-Forensik, Datenwiederherstellung, Meldepflichten und Betriebsausfall, sind typischerweise nicht Gegenstand der Vermögensschadenhaftpflicht, sondern gehören in die Cyber-Police. Problematisch wird es bei Folgeschäden, etwa wenn durch einen IT-Ausfall eine steuerliche Frist versäumt wird: Hier kann eine Deckungslücke entstehen, wenn keine der beiden Policen den konkreten Schadensverlauf eindeutig abdeckt. Kanzleien sollten deshalb ausdrücklich klären, ob Fristversäumnisse infolge eines Cyberangriffs in der Cyber-Police als Folgeschaden mitversichert sind oder in die Vermögensschadenhaftpflicht fallen.

Fristversäumnis durch IT-Ausfall als Folgeschaden

Ein IT-Ausfall trifft Kanzleien besonders hart in Phasen mit gesetzlichen Fristen, etwa rund um Steuererklärungen, Jahresabschlüsse oder Einspruchsfristen. Ist das Kanzleisystem mehrere Tage nicht erreichbar, kann eine Frist ungenutzt verstreichen, auch wenn die Kanzlei die Unterlagen inhaltlich längst vorbereitet hatte. Der daraus entstehende Schaden trifft zunächst den Mandanten, etwa durch einen Verspätungszuschlag oder den Verlust eines Einspruchsrechts, und wird anschließend gegenüber der Kanzlei geltend gemacht.

Gute Cyber-Policen für Steuerberater berücksichtigen solche mittelbaren Folgeschäden ausdrücklich, entweder als eigener Baustein oder in klarer Abgrenzung zur Vermögensschadenhaftpflicht. Ohne diese Klarstellung besteht das Risiko, dass beide Versicherer im Schadenfall auf die jeweils andere Police verweisen, während die Kanzlei auf den Kosten sitzen bleibt.

Praktisch empfiehlt sich, den Ablauf im Vorfeld mit dem eigenen Versicherer und, falls vorhanden, dem Haftpflichtversicherer schriftlich zu klären: Welche Police greift zuerst, wenn ein Mandant wegen einer versäumten Frist Schadenersatz fordert, die nachweislich auf einen Cyberangriff zurückgeht. Kanzleien, die diese Abgrenzung erst im Schadenfall klären, verlieren wertvolle Zeit und riskieren, dass der Mandant den Schaden zunächst selbst tragen muss.

Beispielhafte Schadenverläufe aus der Kanzleipraxis

Orientierungswerte für Kanzleien nach Größe

Die tatsächliche Prämie richtet sich nach Kanzleigröße, Mandantenzahl, Umsatz und gewählter Deckungssumme. Die folgenden Werte dienen ausschließlich der groben Einordnung.

Checkliste für Steuerberater