Cybersicherheit für Steuerberater: Bedrohungen, bewährte Methoden und Trends

Steuerberatungskanzleien sind aufgrund der von ihnen verwalteten privaten Finanzdaten ein attraktives Ziel für Cyberangriffe. Wenn solche Daten gestohlen oder offengelegt werden, können sowohl das Wohl der Mandanten als auch der Ruf der Kanzleien gefährdet werden. Gleichzeitig nehmen Cyberangriffe mit der zunehmenden Nutzung von Cloud Computing und Software zu.

Die gute Nachricht ist, dass es innovative Entwicklungen zur Prävention dieser Angriffe gibt. Dennoch müssen Steuerberater proaktiv handeln, um Mandantendaten zu schützen – durch Wachsamkeit gegenüber Bedrohungen und die Implementierung geeigneter Sicherheitsmaßnahmen.

Dieser Artikel beschreibt wichtige Cyber-Bedrohungen, bewährte Praktiken und zukunftsweisende Trends, die es zu beobachten gilt. So können Sie sich mit den notwendigen Werkzeugen und dem erforderlichen Wissen ausstatten, um Ihre Kanzlei und Ihre Mandanten zu schützen.

Zentrale Bedrohungen der IT-Sicherheit in der Steuerberatung

Wussten Sie, dass der Finanzdienstleistungssektor 300-mal häufiger das Ziel von Cyberangriffen ist als andere Branchen?

Steuerberater werden besonder häufig Opfer von ganz bestimmten Cyberangriffen. Diese nutzen gezielte Methoden, um sich Zugang zu sensiblen Finanzdaten zu verschaffen und diese zu stehlen.

Ein erfolgreicher Angriff kann für eine Kanzlei folgende Konsequenzen haben:

• Störung des Geschäftsbetriebs
• Rufschädigung
• Datenverlust
• Finanzieller Schaden

Daher ist es entscheidend, die Bedrohungen und die damit verbundenen Risiken zu verstehen.

Phishing

Phishing-Angriffe sind speziell darauf ausgelegt, Zielpersonen zur Preisgabe sensibler Informationen zu verleiten. Dies kann Finanzdaten, Zugangsdaten und persönliche Details umfassen.

Phishing ist in der Finanzbranche weit verbreitet, wobei die Angriffe oft personalisiert werden, um das Vertrauen der Zielperson zu gewinnen.

Zu den Phishing-Methoden gehören:

• E-Mails von Absendern, die sich als bekannte Personen ausgeben
• Links zu gefälschten Websites, die täuschend echt aussehen

Sowohl Mandanten als auch Kanzleimitarbeiter und Inhaber können hier zur Zielscheibe werden. Daher erfordert Phishing ständige Wachsamkeit im Bereich der IT-Sicherheit.

Ransomware

Ransomware ist eine Form von Schadsoftware, die darauf ausgelegt ist, wertvolle Informationen aus einem System zu extrahieren. Nach der Erlangung kann sie die Daten unzugänglich machen, bis der Eigentümer ein Lösegeld zahlt.

Diese Bedrohung ist oft schwer zu erkennen, da der Prozess „im Hintergrund“ ablaufen kann, nachdem das Ziel die Ransomware unwissentlich heruntergeladen und installiert hat – häufig durch Phishing-Methoden.

Da ein Ransomware-Angriff typischerweise dazu führt, dass das Opfer die Kontrolle über sein System (und die darauf gespeicherten Daten) verliert, kann dies für Steuerberater zum vollständigen Datenverlust führen, wenn kein Lösegeld gezahlt wird.

Interne Bedrohungen

Interne Bedrohungen beziehen sich auf Datenschutzverletzungen, die durch unbeabsichtigte oder versehentliche Handlungen aktueller und ehemaliger Mitarbeiter einer Organisation entstehen können.

Für Steuerberaterkanzleien kann dies Folgendes umfassen:

• Nachlässiger Umgang mit Passwörtern
• Unvorsichtige Weitergabe sensibler Informationen
• Missachtung von Standardsicherheitsverfahren durch Kanzleiangestellte

Zu den internen Bedrohungen gehören auch vorsätzliche Handlungen aktueller oder ehemaliger Mitarbeiter, die die Cybersicherheit gefährden – oft motiviert durch Diebstahl oder Sabotage.

Bewertete Methoden zur IT-Sicherheit in Steuerkanzleien

Sie können das Risiko eines Cyberangriffs deutlich reduzieren, indem Sie sicherstellen, dass Ihre Kanzlei die branchenüblichen bewährten Methoden für IT-Sicherheit befolgt.

Kurzum sollten all Ihre Mitarbeiter mit dem notwendigen Wissen und den richtigen Werkzeugen ausgestattet werden, um Finanzdaten sicher zu verwalten und sowohl Ihre Kanzlei als auch Ihre Mandanten bestmöglich zu schützen.

Auf dem neuesten Stand über Bedrohungen und Sicherheitsmaßnahmen bleiben

Der erste Ansatzpunkt ist, sich stets über Entwicklungen in der Cybersicherheit zu informieren. Dies umfasst sowohl die neuesten Bedrohungen als auch die notwendigen Maßnahmen, die Ihre Kanzlei zu deren Abwehr benötigt.

So einfach es klingen mag – das Bewusstsein für neue Bedrohungen und Sicherheitsmaßnahmen ist bereits eine effektive Verteidigungsstrategie. Es kann den entscheidenden Unterschied machen zwischen dem frühzeitigen Erkennen einer potenziellen Cyber-Bedrohung und einem unerwarteten Cyberangriff, auf den Sie nicht vorbereitet waren.

Ebenso wichtig ist es, bei den Vorschriften und Regularien zur Cybersicherheit auf dem Laufenden zu bleiben, worauf wir später noch ausführlicher eingehen werden.

Definieren Sie Ihre Sicherheitsanforderungen

Führen Sie eine ganzheitliche Analyse Ihrer Kanzleiabläufe durch, um Bereiche zu identifizieren, die das Risiko einer Datenschutzverletzung erhöhen könnten. Dazu gehören:

• Schwache Passwörter
• Deaktivierte Spam-Filter
• Unverschlüsselte Datensicherungen
• Fehlende Standardverfahren für den Umgang mit sensiblen Daten
• Mangelnde Zugriffskontrolle für sensible Systemdaten
• Verwendung von Software mit unzureichenden Sicherheitsfunktionen
• Nicht aktualisierte Software, einschließlich Antivirus- und Anti-Malware-Programme
• Keine Nutzung der Zwei-Faktor-Authentifizierung (2FA)
• Keine Verwendung einer Firewall
• Keine sicheren Methoden zum Dateiaustausch

Sobald Sie mögliche Risikobereiche identifiziert haben, können Sie damit beginnen, die Sicherheitsanforderungen festzulegen, die Sie verbessern oder einführen müssen.

Schulen Sie Ihre Mitarbeiter 

Mitarbeiterschulungen sind eine effektive erste Verteidigungslinie. Da Datenschutzverletzungen durch menschliche Fehler entstehen können, sollten Ihre Mitarbeiter zu Cyber-Bedrohungen und Best Practices geschult sein. Dazu gehören:

• Wie man Sicherheitsbedrohungen erkennt
• Wie man sensible Daten sicher handhabt
• Wie man bewährte Sicherheitsvorkehrungen einhält – wie die Verwendung starker Passwörter und die Aktivierung der Zwei-Faktor-Authentifizierung

Sie können auch einen Notfallplan für Ihre Mitarbeitenden entwickeln. Dies kann die Schadensbegrenzung reduzieren oder sogar eine vermutete Bedrohung verhindern, bevor sie sich entwickelt.

Erwägen Sie eine Cyber-Versicherung

Eine Cyber-Versicherung schützt Ihre Kanzlei vor finanziellen Verlusten im Falle eines Cyberangriffs und ist daher überlegenswert.

Wie bei jeder Versicherungsart variiert die Deckung, weshalb Sie einen Plan basierend auf dem jeweiligen Risiko wählen sollten. Erwähnenswert ist, dass einige Versicherer eine erste Risikobewertung durchführen und Ihnen dabei helfen, das Risikoniveau Ihrer Kanzlei zu verstehen.

In manchen Fällen stellt eine Cyber-Versicherung auch sicher, dass Ihre Kanzlei bestimmte rechtliche und regulatorische Anforderungen erfüllt.

Entscheiden Sie sich für vertrauenswürdige Software mit robuster Sicherheit 

Neben der Verwendung von Antivirus-, Anti-Malware- und Anti-Phishing-Software ist es entscheidend, branchenführende Software zu wählen, die umfassenden Schutz bietet.

Ein hervorragendes Beispiel ist TaxDome – unsere Praxismanagement-Software für Steuer-, Buchhaltungs- und Wirtschaftsprüfungskanzleien – die verschiedene branchenübliche Sicherheitsmaßnahmen einsetzt, um den Schutz aller Daten zu gewährleisten:

• Physische Serversicherheit und Datenspeicherung: TaxDome sichert alle Daten auf Amazon AWS, der als weltweit sicherste Cloud-Computing-Plattform gilt
• SSL: TaxDome verschlüsselt sämtliche Mandanteninteraktionen über Secure Sockets Layer (SSL) und erhielt dafür die Bestnote „A“ von Qualys SSL Labs
• Compliance-Standards: TaxDome erfüllt die Anforderungen von PCI DSS, GLBA, SSAE 16 SOC, HITRUST, PIPEDA, FPIS, eIDAS und SOC 2, wodurch die Sicherheitsrichtlinien für das Datenmanagement deutlich verstärkt werden
• Zwei-Faktor-Authentifizierung (2FA): TaxDome ermöglicht Nutzern die Aktivierung der Zwei-Faktor-Authentifizierung für erhöhte Anmeldesicherheit
• Zugriffsrechte: TaxDome bietet die Möglichkeit, Mitarbeiterzugriffe auf Mandantenkonten und -daten zu verwalten – einschließlich Konto- und Kontaktinformationen, Chat-Verläufe, SMS-Verläufe, E-Mails, Zeiterfassungen, Aufgaben und mehr

Durch diese umfassenden Sicherheitsmaßnahmen können Sie und Ihre Teammitglieder die Software mit der Gewissheit nutzen, dass Ihre Daten vor Cyberangriffen und Datenschutzverletzungen geschützt sind.

Beispiele echter Cybersicherheitsvorfälle

Die Auswirkungen eines Cyberangriffs können enorm sein, oft mit langanhaltenden Folgen. Hier einige Beispiele für Cybersicherheitsvorfälle aus der Finanzbranche, die Art des Angriffs und die kompromittierten Daten:

Deloitte-Cyberangriff

Deloitte, eine der weltbekannten „Big Four“ Wirtschaftsprüfungsgesellschaften, wurde 2017 Ziel eines Cyberangriffs. Dies führte zu einer Datenpanne bei E-Mail-Adressen, Benutzernamen, Passwörtern, IP-Adressen und sensiblen Dokumenten – wodurch Deloitte-Mandanten dem Risiko von Identitätsdiebstahl ausgesetzt wurden.

Der Cyberangriff, der durch fehlende Zwei-Faktor-Authentifizierung eines Administrator-Kontos ermöglicht wurde, erforderte eine umfassende Reaktion von Deloitte. Dies beinhaltete die Eindämmung des Angriffs, die Benachrichtigung der Behörden, die Untersuchung des Umfangs und der Ursache des Cyberangriffs sowie eine vollständige Überarbeitung der Cybersicherheitsinfrastruktur.

Die Datenpanne warf zudem Fragen zur Sicherheit bei Deloitte auf und beschädigte den Ruf des Unternehmens bei Mandanten und Investoren.

„Acme”

Auch Mandanten von Wirtschaftsprüfungsgesellschaften können von Cyberangriffen betroffen sein. Dies beschreibt CFO Selections, ein Finanzdienstleister aus Washington, in einer wahren Geschichte über einen ihrer Mandanten, der beinahe 50.000 Dollar durch eine Datenpanne verloren hätte.

Acme, ein zum Schutz der Unternehmensidentität geänderter Name, bemerkte bei einem Lieferanten in der cloudbasierten Kreditorenliste eine verdächtige Änderung der Bankdaten.

Eine Untersuchung führte zur Aufdeckung eines Betrugsversuchs. Der Angreifer war aufgrund einer risikoreichen Kombination aus schwachen Passwörtern, fehlender Mehrfaktor-Authentifizierung und minimalen Zugriffsberechtigungen in das System von Acme eingedrungen.

Accounting Today: Wenn Ihr Mandant gehackt wird 

In diesem von der CPA-Versicherung Camico bei Accounting Today veröffentlichten Fall nutzte ein Hacker die Identität eines Mandanten, um eine Wirtschaftsprüfungsgesellschaft anzugreifen – dies zeigt, dass nicht nur Kanzleimitarbeiter, sondern auch Mandanten Opfer von Phishing werden können.

Durch gezielte Phishing-Methoden und möglicherweise schwache Sicherheitsmaßnahmen konnte der Hacker die Kommunikation zwischen dem Mandanten und der Wirtschaftsprüfungsgesellschaft abfangen und über das E-Mail-Konto des Mandanten kommunizieren.

Dies führte dazu, dass die Gelder des Mandanten auf das Bankkonto des Hackers umgeleitet wurden. Erhebliche Beträge waren bereits überwiesen worden, bevor die Kanzlei bemerkte, dass sie auf betrügerische E-Mails reagiert hatte.

Cybersicherheits-Compliance und Vorschriften

IT-Compliance bedeutet die Einhaltung von Gesetzen und Vorschriften zum Schutz der Datenprivatsphäre und -sicherheit. Diese Vorschriften werden von Aufsichtsbehörden festgelegt, um sicherzustellen, dass Unternehmen aktuelle Standards zum Schutz sensibler Informationen einhalten.

Die Compliance-Anforderungen unterscheiden sich je nach Branche und Standort. Für Unternehmen, die in der Europäischen Union (EU) tätig sind, ist die Einhaltung relevanter Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) unerlässlich, um rechtliche und finanzielle Risiken zu vermeiden.

Auch wenn Compliance zunächst anspruchsvoll erscheinen mag, bietet sie zahlreiche Vorteile. Sie kann nicht nur dabei helfen, Cyberangriffe zu verhindern, sondern stärkt auch den Ruf Ihres Unternehmens – und erhöht damit das Vertrauen der Mandanten in Ihre Kanzlei.

Nachfolgend die wichtigsten Cybersicherheits-Compliance-Vorschriften und -Standards, die Steuerberater kennen sollten:

DSGVO

Die Datenschutz-Grundverordnung (DSGVO) gilt für Unternehmen, die in der Europäischen Union (EU) tätig sind. Sie dient dem Schutz personenbezogener Daten und der Rechte der Kunden. Zu den Compliance-Anforderungen gehören unter anderem die Ernennung eines Datenschutzbeauftragten, die Verwaltung und Bewertung der Datenerhebung sowie die regelmäßige Aktualisierung der Datenschutzrichtlinien.

NIS2-Richtlinie

Die Netzwerk- und Informationssicherheitsrichtlinie 2 erweitert die EU-Cybersicherheitsanforderungen auf ein breiteres Spektrum von Branchen. Sie konzentriert sich auf die Stärkung des Risikomanagements, der Vorfallmeldung und der allgemeinen Widerstandsfähigkeit.

ISO/IEC 27001

Dieser international anerkannte Standard für Informationssicherheitsmanagement bietet einen Rahmen zum Schutz sensibler Daten. Er wird in Europa häufig zur Gewährleistung robuster IT-Sicherheitsmaßnahmen eingesetzt.

PCI DSS 

Der Payment Card Industry Data Security Standard ist entscheidend für Unternehmen, die Kreditkartentransaktionen abwickeln. Die Einhaltung gewährleistet eine sichere Verarbeitung von Zahlungsdaten und minimiert das Risiko von Datenpannen.

Trends der IT-Sicherheit in der Steuerberatung

Um Ihre Kanzlei vor Cyberangriffen zu schützen, ist es ebenso wichtig, künftige Trends im Auge zu behalten, wie sich über neue Bedrohungen und Sicherheitsmaßnahmen auf dem Laufenden zu halten.

Für 2024 gibt es einige interessante Trends in der Cybersicherheit, die es zu beobachten gilt:

Cyberversicherung

Wir erwähnten die Cyberversicherung bereits als eine Methode zum Schutz Ihrer Kanzlei, da sie im Falle eines Cyberangriffs finanziellen Schutz bieten kann.

Auch wenn Sie noch keine Cyberversicherung haben oder diese noch nicht in Erwägung ziehen, ist dies ein erwähnenswerter Trend, da Prognosen zufolge der globale Cyberversicherungsmarkt bis 2025 auf 22 Milliarden Euro anwachsen wird (Statista).

Dieses Wachstum lässt sich auf die Zunahme der Cyberkriminalität zurückführen, die der Welt im Jahr 2024 voraussichtlich Kosten in Höhe von 9,5 Billionen Euro verursachen wird (Cybersecurity Ventures).

Blockchain

Die Diskussionen in der Steuerberatungsbranche über den Einsatz der Blockchain-Technologie – digitale Hauptbücher, die vor allem für die Speicherung von Kryptowährungstransaktionen bekannt sind – nehmen zu. 

Dies liegt nicht nur an der Popularität der Blockchain, die bis Ende 2027 voraussichtlich einen Umsatz von über 94 Milliarden Euro generieren wird (CompTIA), sondern auch daran, wie sie Buchhaltern helfen kann, die Hauptbuchverwaltung und Kosten zu reduzieren. Dies wird durch die fälschungssicheren „Blöcke“ der Blockchain ermöglicht, die Transaktionsdaten dauerhaft speichern.

Mit weiteren Vorteilen wie klaren Prüfpfaden, Smart Contracts und KI-Funktionen für Berichterstattung, Compliance und mehr könnte die Blockchain-Technologie früher als erwartet eine größere Rolle in der Buchhaltung spielen.

Verhaltensbiometrie

Da KI-Deep-Learning-Algorithmen zunehmend überzeugende Deepfake-Medien produzieren, könnten Gesichts- und Stimmerkennung in den kommenden Jahren – besonders im Finanzsektor – nicht mehr so sicher sein.

Hier kommt die Verhaltensbiometrie ins Spiel – eine neue Technologie, die Nutzerverhalten analysieren kann, um es von kriminellen Aktivitäten zu unterscheiden. Sie bietet Finanzdienstleistern und Steuerberatern Werkzeuge zur Abwehr solcher Bedrohungen.

Derzeit wird der Markt für Verhaltensbiometrie auf 2,13 Milliarden Euro geschätzt, mit erwarteter Steigerung auf 7,22 Milliarden Euro bis 2029 (Mordor Intelligence).

Fazit

Cyberangriffe nehmen zwar zu – aber auch die Cybersicherheitsmaßnahmen, die Ihnen zum Schutz Ihrer Kanzlei und Mandanten zur Verfügung stehen.

Letztendlich kommt es darauf an, Ihre Praxis proaktiv mit dem Wissen und der Technologie auszustatten, um Cyberangriffe zu verhindern. Dazu gehören die Schulung Ihrer Mitarbeiter in bewährten Verfahren, die Beobachtung neuer Bedrohungen und der Einsatz von Kanzleimanagement-Software mit umfassenden Sicherheitsfunktionen und Datenschutzrichtlinien.

Sie möchten die Sicherheit Ihrer Kanzlei erhöhen? Buchen Sie eine kostenlose Demo und erfahren Sie, warum die innovativen Funktionen von TaxDome nicht nur Ihre Steuerberatungs-Workflows vereinfachen, sondern auch die Daten Ihrer Kanzlei schützen.