---
title: "IT-Sicherheit und Betreuung nach Branche"
description_de: "Steuerberater, Versicherungsmakler und Personaldienstleister haben unterschiedliche IT-Risiken — hier finden Sie branchenspezifische Orientierung."
description_en: "Tax advisors, insurance brokers, and staffing agencies face different IT risks — branch-specific guidance."
url: /wissen/branchen
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Welche IT-Anforderungen gelten für Steuerberater, Makler und Personaldienstleister?"
---
# IT-Sicherheit und Betreuung nach Branche
Steuerberater, [Versicherungsmakler](/wissen/branchen/versicherungsmakler) und [Personaldienstleister](/wissen/branchen/personaldienstleister) teilen ähnliche Größe und fehlende IT-Abteilung — aber Mandantendaten, [Phishing](/wissen/glossar/phishing) und Zugriffschaos erfordern jeweils andere Prioritäten.
## Warum Branchenwissen bei IT-Sicherheit zählt
Generische Checklisten reichen nicht, wenn berufsrechtliche Pflichten, Betrugsmuster und Personalfluktuation das Risiko bestimmen.
Kleine und mittlere Unternehmen in regulierten Branchen haben oft fünf bis zwanzig Mitarbeitende. Zu wenig für eine eigene IT-Abteilung, zu viel für Nebenbei-Administration. Gleichzeitig verarbeiten sie besonders sensible Daten: Steuerunterlagen, Policen und Verträge, Bewerber- und Lohndaten. Ein einheitlicher IT-Standard ohne Branchenkontext führt dazu, dass Budget in die falschen Maßnahmen fließt — teure Firewalls, während E-Mail-Postfächer ohne [MFA](/wissen/glossar/mfa) offen stehen.
Dieser Pillar-Artikel ordnet die drei Zielgruppen ein, die [IT Security Expert](/externe-it-betreuung) besonders betreut. Gemeinsame Basis gibt es: dokumentierte Systeme, aktuelle [Backups](/wissen/glossar/backup), [Multi-Faktor-Authentifizierung](/wissen/glossar/mfa) und ein erreichbarer Ansprechpartner. Die Schwerpunkte unterscheiden sich jedoch klar. Steuerkanzleien müssen Mandantengeheimnis und StBVV mit DSGVO-konformen [TOM](/wissen/glossar/tom) verbinden. [Versicherungsmakler](/wissen/branchen/versicherungsmakler) stehen im Fokus von [Phishing](/wissen/glossar/phishing) und Zahlungsbetrug. [Personaldienstleister](/wissen/branchen/personaldienstleister) kämpfen mit Onboarding, Offboarding und [Least-Privilege](/wissen/glossar/least-privilege) bei hohem Personalwechsel.
Wählen Sie den Deep-Dive zu Ihrer Branche und ergänzen Sie mit allgemeinen Ratgebern zu IT-Sicherheit, [Microsoft 365](/wissen/microsoft-365) und externer Betreuung. So entsteht ein schlüssiges Gesamtbild statt isolierter Einzelmaßnahmen.
Viele KMU kaufen zuerst Hardware oder Cyber-Versicherung, bevor sie wissen, welche Lücke den größten Schaden verursachen würde. Branchenorientierung dreht diese Reihenfolge um: Risiko verstehen, dann gezielt investieren. Das spart Geld und erfüllt eher die Erwartungen von Prüfern, Versicherern und Geschäftspartnern.
## Steuerberater: Mandantengeheimnis und berufsrechtliche Pflichten
StBVV und [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) verlangen Vertraulichkeit, Integrität und Nachweisbarkeit — technische Maßnahmen müssen zur Kanzleiarbeit passen.
Steuerberater und Steuerberaterinnen verarbeiten Finanzdaten, Lohnunterlagen, Gesundheitsangaben in Fällen und interne Kanzleikommunikation. Das Mandantengeheimnis nach § 57 StBerG und die Berufsordnung der StBVV setzen einen hohen Sorgfaltsmaßstab. Parallel gilt die [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) als Verantwortlicher für die Verarbeitung in DATEV, [Microsoft 365](/wissen/microsoft-365), Cloud-Speicher und E-Mail. [TOM](/wissen/glossar/tom) müssen dokumentiert sein und zur tatsächlichen Arbeitsweise passen — nicht als Vorlage von 2018 in der Schublade.
Typische Mandantendaten liegen verteilt: Kanzleisoftware, Netzwerkfreigaben, OneDrive-Ordner, E-Mail-Anhänge und manchmal noch Papierakten mit Scan-Workflow. Jeder dieser Speicherorte braucht Zugriffskontrolle, Verschlüsselung auf Endgeräten und klare Regeln für die Entgegennahme von Belegen durch Mandanten. Schwachstellen, die in Prüfungen auffallen: geteilte Windows-Admin-Konten, fehlende BitLocker-Verschlüsselung auf Laptops, Weiterleitung von Kanzlei-Mail an private Postfächer und ungeprüfte Cloud-Dienste ohne AV-Vertrag.
[Externe IT-Betreuung](/externe-it-betreuung) für Steuerkanzleien sollte DATEV-Umfeld, ELSTER-Zugänge und typische Kanzleiworkflows verstehen. Es geht nicht nur darum, Server neu zu starten, sondern Freigaben zu auditieren, Incident-Prozesse vorzubereiten und Verarbeitungsverzeichnis sowie AV-Verträge technisch zu unterfüttern. Der DSGVO-Risiko-Check liefert Kanzleien eine priorisierte Einschätzung — ohne juristische Beratung zu ersetzen.
Wer Mandantendaten nur „irgendwo sicher“ annimmt, unterschätzt die Verknüpfung von Berufsrecht und Datenschutzrecht: Ein Verstoß kann gleichzeitig interne Untersuchung, Aufsichtsbeschwerde und Schadensersatzforderungen auslösen. Deshalb lohnt sich ein dokumentierter Stand — auch für die Partnerschaftsversammlung.
## Steuerberater: DATEV, Cloud und sichere Mandantenkommunikation
Kanzleisoftware und Cloud-Dienste sind geschäftskritisch — Konfiguration und Auftragsverarbeitung entscheiden über Compliance.
DATEV und ergänzende Browser-Lösungen setzen voraus, dass Arbeitsplätze gepatcht, Virenschutz aktuell und Netzwerkzugänge geschützt sind. Ein kompromittiertes Endgerät kann Zugang zu allen Mandantenakten öffnen, die der Nutzer sieht. Deshalb sind getrennte Admin-Konten, zentraler [Passwort-Manager](/wissen/glossar/passwort-manager) und [MFA](/wissen/glossar/mfa) für jeden Nutzer — einschließlich Geschäftsführung und Partnerschaft — keine Kür, sondern Grundausstattung.
[Microsoft 365](/wissen/microsoft-365) in EU-Rechenzentren ist für viele Kanzleien Standard. Trotzdem müssen externe Freigaben, anonyme Links und Gastzugänge regelmäßig überprüft werden. Jeder Cloud-Anbieter, der Mandantendaten speichert, braucht einen [Auftragsverarbeitungsvertrag](/wissen/glossar/avv) und eine Bewertung der Subunternehmerkette. US-Anbieter ohne tragfähige Transfergrundlage sind kritisch zu prüfen — IT und Datenschutz sollten gemeinsam entscheiden.
Sichere Mandantenkommunikation bedeutet: strukturierte Kanäle statt Ad-hoc-Anhänge, Verschlüsselung wo sinnvoll und Schulung der Mitarbeitenden, wie Belege entgegengenommen werden. Ein Mandantenportal ohne Zwei-Faktor-Schutz oder mit Standardpasswort ist schlimmer als bewusst gewählte E-Mail mit klaren Regeln.
Kanzleien mit mehreren Standorten oder Homeoffice-Mandanten müssen zusätzlich klären, ob private WLANs und Bildschirmschutz ausreichen — oder ob [VPN](/wissen/glossar/vpn) und verschlüsselte Geräte Pflicht sind. Einheitliche Mindeststandards verhindern, dass ein Standort das schwächste Glied wird.
Bei Mandantenportalen und digitalem Belegaustausch gilt: Jeder Zugang braucht individuelle Identität, starke Authentifizierung und protokollierte Aktionen. Wer Mandanten Standardpasswörter zuschickt oder Upload-Links ohne Ablaufdatum verschickt, erzeugt ein Einfallstor, das schwerer zu begründen ist als ein veralteter Virenschutz. Die Wirtschaftsprüferkammer erwartet bei Prüfungen, dass technische Maßnahmen zur Kanzleiarbeit passen — nicht dass jede Kanzlei Enterprise-Firewalls betreibt, sondern dass Zugriffe, Verschlüsselung und Auftragsverarbeitung nachvollziehbar sind.
## Steuerberater: Betriebsprüfung, Mandantenanfragen und Nachweise
Berufsrechtliche Sorgfalt zeigt sich in Dokumenten, die IT liefern muss — nicht nur in der Datenschutzerklärung.
Steuerkanzleien werden von Mandanten, Wirtschaftsprüfern und Datenschutzaufsicht unterschiedlich befragt. Mandanten wollen wissen, wo Belege landen und wer sie sieht. Prüfer fragen nach [TOM](/wissen/glossar/tom), Schulungen und Incident-Prozessen. IT muss Antworten vorbereiten können: Welche Systeme speichern welche Datenkategorien? Wer hat Admin-Rechte in [Microsoft 365](/wissen/microsoft-365)? Wann wurde zuletzt ein [Backup](/wissen/glossar/backup) restored? Diese Fragen sind keine Nebenprodukte der [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) — sie folgen aus StBVV und dem Mandantengeheimnis.
Typische Schwachstellen in der Praxis: Testmandate in Produktivumgebungen, alte Freigaben für ausgeschiedene Steuerfachangestellte, Lohnordner mit Berechtigung für das gesamte Büro, ELSTER-Zertifikate auf nicht verschlüsselten Privatgeräten. Jede dieser Lücken ist einzeln erklärbar und behebbar — zusammen ergeben sie das Bild mangelnder Sorgfalt, das bei Streit oder [Datenpanne](/wissen/glossar/datenpanne) teuer wird.
[Externe IT-Betreuung](/externe-it-betreuung) für Kanzleien sollte deshalb nicht nur Tickets schließen, sondern quartalsweise eine verständliche Kurzübersicht liefern: MFA-Quote, offene Gastzugänge, Backup-Testdatum, Liste der Auftragsverarbeiter mit AV-Status. Partner und Datenschutzverantwortliche können daraus Prioritäten ableiten, ohne jedes Mal ein Wochen-Audit zu starten.
## [Versicherungsmakler](/wissen/branchen/versicherungsmakler): [Phishing](/wissen/glossar/phishing) als Hauptbedrohung
Maklerbüros kombinieren wertvolle Kundendaten mit hohem Vertrauen in Marken — ideal für gezielten Betrug.
[Versicherungsmakler](/wissen/branchen/versicherungsmakler) und Maklerinnen vermitteln zwischen Kunden, Versicherern und oft Finanzdienstleistern. Ihre Postfächer enthalten Policen, Schadensmeldungen, Gesundheitsfragebögen und Zahlungsinformationen. Kriminelle imitieren Versicherer, Kunden oder interne Freigaben. Zeitdruck bei Schadensfällen und Vertrauen in bekannte Logos führen zu Klicks auf gefälschte Links und Öffnen infizierter Anhänge.
Erfolgreiches [Phishing](/wissen/glossar/phishing) endet selten beim einzelnen Klick. Angreifer übernehmen Postfächer, legen unsichtbare Weiterleitungsregeln an, lesen laufende Verhandlungen mit und senden gefälschte Zahlungsaufforderungen mit veränderter IBAN. Gefälschte Deckungszusagen oder Police-PDFs können Schäden bei Kunden und Haftungsfragen beim Makler auslösen. Technische Hürden wie [SPF](/wissen/glossar/spf), [DKIM](/wissen/glossar/dkim) und [DMARC](/wissen/glossar/dmarc) auf der eigenen Domain sind Pflicht — ebenso [MFA](/wissen/glossar/mfa) und Warnhinweise bei externen Absendern in Outlook.
Der Phishing-Risiko-Check ordnet den Ist-Zustand von Maklerbüros mit fünf bis fünfzehn Mitarbeitenden ein und liefert konkrete nächste Schritte. So wird Budget nicht in überdimensionierte Hardware gesteckt, während das eigentliche Einfallstor — das Postfach — offen bleibt.
Makler sollten [Phishing](/wissen/glossar/phishing) nicht als „IT-Thema“ abgeben, sondern als Geschäftsrisiko führen — Schadenssummen und Reputation hängen direkt davon ab.
## [Versicherungsmakler](/wissen/branchen/versicherungsmakler): Prozesse, Zahlungen und Identitätsprüfung
Technische Abwehr ohne klare Freigabeprozesse scheitert bei Betrug mit geänderter Bankverbindung.
Organisatorische Maßnahmen sind für Makler so wichtig wie Firewalls: Rückrufregel bei jeder geänderten Zahlungsverbindung — immer über eine bekannte Nummer, nie nur per E-Mail. Vier-Augen-Prinzip bei Überweisungen über Schwellenwerte. Klare Unterscheidung, welche Dokumente niemals per unverschlüsselter Mail gehen. Backoffice und Außendienst sollten getrennte Freigaben haben; Weiterleitung an private Gmail- oder web.de-Konten ist ein Datenschutz- und Sicherheitsrisiko.
[Microsoft 365](/wissen/microsoft-365) mit zentral verwalteten Konten, [Conditional Access](/wissen/glossar/conditional-access) und deaktivierter Legacy-Authentifizierung reduziert Account-Übernahmen deutlich. [Teams](/wissen/glossar/teams) oder strukturierte SharePoint-Bibliotheken ersetzen unübersichtliche E-Mail-Ketten mit Kundendokumenten. CRM- und Pool-Zugänge zu Versicherern müssen im Verarbeitungsverzeichnis stehen; bei Mitarbeiteraustritt sind E-Mail, CRM und alle Pool-Zugänge sofort zu sperren — nicht erst zum Monatsende.
Phishing-Simulationen helfen, wenn sie erklären, woran der Betrug erkennbar war — nicht nur Klickraten messen. Ein Kulturprinzip: verdächtige Mail schnell melden, ohne Schuldzuweisung. IT oder externer Partner prüft, ob Postfach-Regeln manipuliert wurden und setzt Passwörter zurück.
Versicherungsnehmer erwarten professionelle Kommunikation — ein gehacktes Postfach mit Spam an die Kundenliste zerstört Vertrauen schneller als technische Ausfälle.
Maklerverbände und Versicherer warnen regelmäßig vor Betrug — trotzdem überschätzen viele Büros die eigene Widerstandsfähigkeit. [Phishing](/wissen/glossar/phishing) ist kein reines Großunternehmensproblem: Kleine Maklerbüros haben weniger Schichten der Abwehr und oft keine dedizierte IT. Ein kompromittiertes Postfach kann binnen Stunden Schaden in fünfstelliger Höhe anrichten, wenn Zahlungsprozesse nicht abgesichert sind.
Schadenfälle verstärken das Risiko: Mitarbeitende erwarten dringende Mail vom Versicherer, öffnen Anhänge ohne zweiten Blick und antworten in laufenden Threads, in denen sich ein Angreifer bereits eingeschlichen hat. Deshalb gehört zur Makler-IT nicht nur Domain-Schutz, sondern ein schriftlicher Ablauf für Schadenkommunikation — welche Absender sind vertrauenswürdig, wann wird telefonisch verifiziert, wer darf Zahlungsdaten ändern.
## [Versicherungsmakler](/wissen/branchen/versicherungsmakler): CRM, Maklerpools und Schnittstellen
Neben dem Postfach liegen Kundendaten in CRM, Pools und Vergleichsrechnern — jedes System braucht eigene Absicherung.
Maklerbüros arbeiten selten nur mit Outlook. CRM-Systeme speichern Vertragsstände, Schadenhistorie und Kommunikationsnotizen. Maklerpools der Versicherer erfordern individuelle Zugänge mit oft eigener [Zwei-Faktor-Authentifizierung](/wissen/glossar/2fa). Vergleichsrechner und Lead-Portale ziehen Daten aus Formularen — manchmal mit Gesundheitsangaben. Jede Schnittstelle gehört ins Verarbeitungsverzeichnis und braucht klare Offboarding-Regeln: Austritt im Büro bedeutet auch Pool-Sperre, nicht nur Postfach-Deaktivierung.
Häufiger Fehler: identische Passwörter für CRM und [Microsoft 365](/wissen/microsoft-365), geteilte Pool-Konten für das Backoffice, Exporte aus dem CRM als ungeschützte Excel-Datei auf Netzlaufwerken. Angreifer, die nur das Postfach kompromittiert haben, nutzen Passwort-Reset-Funktionen anderer Dienste, wenn E-Mail der Wiederherstellungskanal ist — deshalb [MFA](/wissen/glossar/mfa) überall und getrennte Admin-Konten.
Bei der Anbieterwahl sollten Makler fragen, ob der IT-Partner CRM-Integrationen, Pool-Zugänge und Schaden-Workflows kennt. Wer nur Desktop-PCs wartet, hilft im Ernstfall nicht, wenn aus einem Phishing-Vorfall ein Datenabfluss aus drei Systemen wird.
## [Personaldienstleister](/wissen/branchen/personaldienstleister): Onboarding und der erste Arbeitstag
Schnelle Zugänge für Disponenten dürfen nicht mit lückenhafter Dokumentation einhergehen.
[Personaldienstleister](/wissen/branchen/personaldienstleister) und Zeitarbeitsfirmen stehen unter Druck: Ein neuer Disponent braucht am Montag Zugang zu Zeiterfassung, Bewerberportal, Kunden-VPN und [Microsoft 365](/wissen/microsoft-365). Ohne standardisierte Checkliste entstehen Ad-hoc-Passwörter, übermäßige Rechte „damit es schnell geht“ und nicht dokumentierte Sonderfreigaben. Das Problem zeigt sich erst beim Audit oder wenn ein ehemaliger Mitarbeiter noch Monate später auf interne Listen zugreifen kann.
Sauberes Onboarding beginnt mit einer auslösenden Rolle in HR: Wer meldet Startdatum und Rolle? Welche Systeme sind am Tag eins Pflicht? IT oder externer Partner legt Konten anhand von Vorlagen-Gruppen an — nicht per Einzelklick mit Vollzugriff. Lizenzen, SharePoint-Bereiche und Kundenmandate werden über Entra-ID-Sicherheitsgruppen gesteuert. Jeder Schritt wird protokolliert: wer angelegt, wann, mit welchen Gruppen.
Gastzugänge für Kunden oder externe Recruiter erhalten Ablaufdaten. Shared Accounts ohne persönliche Nachvollziehbarkeit sind zu vermeiden. Der Access-Sicherheits-Check adressiert genau die Lücke zwischen HR-Prozess und technischer Umsetzung — bevor ein Kunde Fragebögen zur Zugriffskontrolle schickt.
Zeitarbeitsfirmen mit hohem Disponenten-Wechsel sollten Onboarding-Zeit messen — wenn es länger als einen halben Tag dauert, fehlt meist Automatisierung über Gruppenvorlagen in Entra ID.
## [Personaldienstleister](/wissen/branchen/personaldienstleister): Offboarding, Zombie-Accounts und [Least Privilege](/wissen/glossar/least-privilege)
Austritt ohne sofortige Deaktivierung ist eines der häufigsten Einfallstore bei hohem Personalwechsel.
Bei Personaldienstleistern ist Personalfluktuation kein Randthema, sondern der Normalfall. Disponenten, Lohnbuchhaltung und Außendienst wechseln häufiger als in klassischen Kanzleien. Vergessene Konten in Zeiterfassung, Bewerbermanagementsystemen und Kundenportalen sind Zombie-Accounts — still, aber aktiv. Ein ehemaliger Mitarbeiter mit aktivem Teams-Zugang sieht interne Gehaltslisten, Kundenkontakte und Vertragsdetails.
Offboarding braucht eine verbindliche Checkliste mit Fristen: am letzten Arbeitstag oder unmittelbar danach Deaktivierung in Entra ID, Entzug aller Lizenzen, Sperrung von [VPN](/wissen/glossar/vpn) und CRM, Rückgabe oder Remote-Löschung von Geräten. HR bestätigt schriftlich, dass alle Schritte erledigt sind. [Least Privilege](/wissen/glossar/least-privilege) bedeutet: Rollen für Disposition, Lohn, Backoffice und Geschäftsführung sind getrennt; niemand erhält pauschal Vollzugriff auf alle Kundenmandate.
[Conditional Access](/wissen/glossar/conditional-access) blockiert Anmeldungen von unmanaged Geräten oder riskanten Regionen, ohne [Remote-Arbeit](/wissen/glossar/remote-arbeit) zu verbieten. Jährliche Berechtigungsprüfung — wer braucht welchen Kundenzugang noch? — verhindert, dass Rechte mit jedem Projekt wachsen. Cloud-Ordner mit „Jeder mit Link“ sind für Bewerber- und Mitarbeiterdaten tabu.
Kunden der [Personaldienstleister](/wissen/branchen/personaldienstleister) fragen zunehmend nach Nachweisen zur Zugriffskontrolle — nicht nur bei öffentlichen Ausschreibungen. Ein dokumentiertes Onboarding mit Rollenvorlagen ist Verkaufsargument und Risikoreduktion zugleich.
Zeitarbeitskräfte selbst sind meist keine Entra-ID-Nutzer im [Personaldienstleister](/wissen/branchen/personaldienstleister) — aber ihre Stammdaten, Verträge und Einsatzpläne liegen in Systemen, auf die Disponenten zugreifen. Ein vergessenes Konto eines ehemaligen Disponenten gefährdet nicht nur interne HR-Daten, sondern indirekt auch die Mandate der Kunden. Deshalb zählt Mandantentrennung: Disponent A darf Kundendaten von Mandat B nicht sehen, auch nicht „nur kurz“.
## [Personaldienstleister](/wissen/branchen/personaldienstleister): Kundenportale, [VPN](/wissen/glossar/vpn) und Zeiterfassung am Einsatzort
Neben [Microsoft 365](/wissen/microsoft-365) hängen Disposition und Lohn an Randsystemen — oft ohne zentrale Identitätssteuerung.
Viele [Personaldienstleister](/wissen/branchen/personaldienstleister) nutzen Kunden-VPN, webbasierte Zeiterfassung am Einsatzort und branchenspezifische Bewerberportale. Diese Systeme sind selten vollständig an Entra ID angebunden. Folge: separate Passwörter, manuelle Anlage, vergessene Sperrung. Jede Anwendung braucht einen Eintrag in der Onboarding-Checkliste mit Verantwortlichem und Sperrfrist — parallel zum Hauptkonto, nicht Tage später.
Mobile Zeiterfassung auf privaten Smartphones ist verbreitet und riskant: Screenshots mit Namen und Einsatzorten, veraltete App-Versionen, kein Remote-Lösch bei Verlust. Mindeststandard definieren — Firmengerät, [MDM](/wissen/glossar/geraeteverwaltung) oder klarer BYOD-Vertrag mit Verschlüsselung und Meldepflicht.
Großkunden verlangen manchmal, dass der [Personaldienstleister](/wissen/branchen/personaldienstleister) binnen vier Stunden nach Austritt alle Mandatszugänge sperrt. Wer intern keine [SLA](/wissen/glossar/sla) definiert hat, unterschreibt im Vertrieb Versprechen, die IT nicht halten kann. Access-Sicherheits-Check und dokumentierte Offboarding-Zeit schließen diese Lücke vor dem nächsten Rahmenvertrag.
## Gemeinsame technische Basis — unterschiedliche Priorisierung
[Backups](/wissen/glossar/backup), Updates und [MFA](/wissen/glossar/mfa) gelten überall; die Reihenfolge der Umsetzung folgt dem Branchenrisiko.
Unabhängig vom Fachgebiet gilt: Ohne Inventar der Systeme und klare Verantwortlichkeiten bleibt jede Maßnahme Stückwerk. Wo liegen Daten? Wer ist Admin in [Microsoft 365](/wissen/microsoft-365)? Wann wurde das [Backup](/wissen/glossar/backup) zuletzt getestet? Diese Fragen beantworten alle drei Branchen ähnlich — die Konsequenzen aus Lücken sind jedoch verschieden. Eine Kanzlei riskiert berufsrechtliche Vorwürfe und DSGVO-Meldungen. Ein Makler riskiert Betrugsschäden und Kundenvertrauen. Ein [Personaldienstleister](/wissen/branchen/personaldienstleister) riskiert Datenabfluss und Vertragsstrafen bei Kunden.
Prioritätenliste nach Branche: Steuerberater zuerst Mandantendaten absichern, AV-Verträge und Verschlüsselung. Makler zuerst E-Mail-Härtung, [MFA](/wissen/glossar/mfa) und Zahlungsprozesse. [Personaldienstleister](/wissen/branchen/personaldienstleister) zuerst Onboarding/Offboarding-Prozess und Gruppenkonzept in Entra ID. Danach gemeinsam: [Patch-Management](/wissen/glossar/patch-management), Backup-Tests, [Passwort-Manager](/wissen/glossar/passwort-manager) und dokumentierter [Notfallplan](/wissen/glossar/it-notfallplan).
[Externe IT-Betreuung](/externe-it-betreuung) lohnt, wenn ein Partner Branchenmuster kennt und in verständlicher Sprache berät — nicht nur Tickets schließt. [IT Security Expert](/externe-it-betreuung) verbindet Checks, Glossar, Cluster-Artikel und persönliches Erstgespräch zu einem roten Faden für KMU ohne Security-Abteilung.
Wer zuerst die branchenspezifische Prioritätenliste abarbeitet und danach die gemeinsame Basis, vermeidet teure Fehlinvestitionen — und erfüllt eher die Erwartungen von Mandanten, Versicherern und Kunden gleichermaßen.
## Checks, Deep-Dives und nächste Schritte
Kostenlose Scorecard-Checks und Branchenartikel liefern in Minuten eine priorisierte Orientierung.
Der DSGVO-Risiko-Check richtet sich an Steuerkanzleien und andere Verantwortliche mit sensiblen personenbezogenen Daten. Der Phishing-Risiko-Check priorisiert Maßnahmen für Maklerbüros. Der Access-Sicherheits-Check hilft Personaldienstleistern, Lücken bei Identitäten und Berechtigungen sichtbar zu machen. Alle Checks sind Einstieg, nicht Abschluss — sie ersetzen weder juristische Beratung noch ein vollständiges Audit.
Vertiefende Artikel in diesem Cluster: Steuerberater, [Versicherungsmakler](/wissen/branchen/versicherungsmakler), [Personaldienstleister](/wissen/branchen/personaldienstleister). Ergänzend empfehlen sich Cluster zu IT-Sicherheit, [Microsoft 365](/wissen/microsoft-365), IT-Betrieb und externer Betreuung. Glossar-Einträge zu [TOM](/wissen/glossar/tom), [AVV](/wissen/glossar/avv), [MFA](/wissen/glossar/mfa), [Phishing](/wissen/glossar/phishing) und Onboarding erklären Begriffe ohne Fachchinesisch.
Starten Sie mit der Seite Ihrer Branche, arbeiten Sie die Top-drei-Befunde ab und vereinbaren Sie bei Bedarf ein kostenloses Erstgespräch — wenn intern niemand Zeit hat, Technik und Compliance zusammenzudenken.
Ein gemeinsamer Mindeststandard kann trotzdem unterschiedliche Gewichtung haben: [MFA](/wissen/glossar/mfa) überall, aber für Makler zusätzlich DMARC-Reporting, für Kanzleien Verschlüsselungsnachweise, für Zeitarbeit Offboarding-SLA in Stunden statt Tagen.
Die drei Checks sind auf jeweils zehn bis fünfzehn Fragen ausgelegt — Ergebnis in wenigen Minuten, vertiefende Umsetzung über Wochen mit Partner oder intern. Kein Wettlauf um 100-Prozent-Score, sondern klare Top-drei-Maßnahmen.
Die Branchen-Deep-Dives sind bewusst handlungsorientiert geschrieben — keine theoretische Abhandlung, sondern Maßnahmen, die Partner und Geschäftsführung verstehen und priorisieren können.
## [Externe IT-Betreuung](/externe-it-betreuung) mit Branchenfokus
Ein [MSP](/wissen/glossar/msp), der Kanzlei-, Makler- oder Zeitarbeitsprozesse kennt, spart Erklärungszeit und vermeidet falsche Standardlösungen.
[Externe IT-Betreuung](/externe-it-betreuung) für regulierte KMU bedeutet mehr als Remote-Support: Der Partner sollte wissen, was DATEV-Updates für den Steuerfachangestellten bedeuten, welche Maklerpools kritisch sind und wie schnell Offboarding bei Personaldienstleistern sein muss. Onboarding des [MSP](/wissen/glossar/msp) startet mit Inventar, Verantwortlichkeiten und [SLA](/wissen/glossar/sla) — nicht mit dem Verkauf zusätzlicher Hardware.
Deutschsprachige Erreichbarkeit und feste Ansprechpartner sind für Kanzleien und Maklerbüros wichtiger als 24/7-Callcenter ohne Kontext. Monatliche Pakete mit definierten Reaktionszeiten schaffen Planbarkeit; Stundenabrechnung ohne Cap kann bei chaotischer Umgebung teurer werden als Pauschale.
Der [Betreuungsvertrag](/wissen/glossar/it-betreuungsvertrag) sollte AV-relevante Punkte, Dokumentationspflichten und Eskalation bei Sicherheitsvorfällen regeln. Wer nur „PCs repariert“, hilft bei DSGVO-Fragen oder Phishing-Incident nicht weiter.
[IT Security Expert](/externe-it-betreuung) verbindet Betreuungsangebot mit Branchen-Checks — so entsteht aus Erstgespräch und Scorecard ein umsetzbarer Fahrplan statt loser Maßnahmenliste.
## Typische Fehler über alle Branchen hinweg
Drei Branchen, ein Muster: Technik kaufen, Prozesse und Identitäten vernachlässigen.
Fehler eins: [MFA](/wissen/glossar/mfa) nur für „IT-affine“ Mitarbeitende — Angreifer nutzen genau die ausgenommenen Postfächer der Geschäftsführung. Fehler zwei: [Backup](/wissen/glossar/backup) existiert, wurde aber seit Monaten nicht restored. Fehler drei: Offboarding ist HR-Sache „bis IT Zeit hat“. Fehler vier: Jede Abteilung nutzt eigene Cloud-Tools ohne Freigabe.
Fehler fünf: Externe Dienstleister ohne AV-Vertrag und ohne technische Prüfung. Fehler sechs: Schulung einmal jährlich, ohne Bezug zu echten Vorfällen in der Branche. Diese Muster wiederholen sich — nur die teuerste Konsequenz unterscheidet sich.
Gegenmittel ist nicht mehr Budget, sondern klare Priorität: Identität und E-Mail härten, Zugriffe an Rollen binden, Mandantendaten inventarisieren, [Notfallplan](/wissen/glossar/it-notfallplan) einmal durchspielen. Branchenartikel helfen, die Reihenfolge festzulegen.
Wer die Fehlerliste intern durchgeht — auch ohne IT-Experten — erkennt meist zwei bis drei Punkte, die diese Woche angegangen werden können. Der Rest folgt im Quartalsrhythmus mit Partner oder interner Verantwortung.
## Vergleich der drei Branchen auf einen Blick
Kurzentscheidung: Wo starten Sie mit begrenztem Budget?
Steuerberater starten bei Mandantendaten-Inventar, Verschlüsselung, AV-Verträgen und StBVV-konformer Dokumentation. [Versicherungsmakler](/wissen/branchen/versicherungsmakler) starten bei [DMARC](/wissen/glossar/dmarc), [MFA](/wissen/glossar/mfa) und Zahlungsprozessen. [Personaldienstleister](/wissen/branchen/personaldienstleister) starten bei Onboarding/Offboarding-SLA und Entra-ID-Gruppen.
Gemeinsame zweite Welle: Backup-Tests, [Passwort-Manager](/wissen/glossar/passwort-manager), [Patch-Management](/wissen/glossar/patch-management), dokumentierter Incident-Plan. Dritte Welle: externe Betreuung mit Branchenbezug, quartalsweise Reviews, Glossar und Checks als lebendes Wissensystem.
Keine Branche ist „am sichersten“ — nur unterschiedlich verwundbar. Kanzleien bei [Datenpanne](/wissen/glossar/datenpanne) und Berufsrecht, Makler bei Betrug, Zeitarbeit bei Insider-Zugriff durch vergessene Konten.
Nutzen Sie den Branchen-Artikel plus passenden Check als Einstieg — danach Cluster vertiefen, statt alles parallel anzugehen.
## [Microsoft 365](/wissen/microsoft-365) als gemeinsame Plattform
Alle drei Branchen nutzen oft dieselbe Cloud — unterschiedliche Konfiguration entscheidet.
Steuerkanzleien brauchen strenge Freigabekontrolle auf Mandantenordner. Makler brauchen E-Mail-Schutz und externe Absender-Warnungen. [Personaldienstleister](/wissen/branchen/personaldienstleister) brauchen gruppenbasiertes Onboarding in Entra ID. Dieselbe Microsoft-365-Lizenz, drei Konfigurationsprofile — ohne Branchenwissen wird nur „Postfach anlegen“.
Business Premium lohnt oft wegen Defender und [Conditional Access](/wissen/glossar/conditional-access) — nicht nur wegen Office-Apps. Lizenzvergleich und Einrichtungsartikel im Microsoft-365-Cluster helfen bei der sachlichen Wahl.
Externe Betreuung sollte Tenant-Einstellungen dokumentieren und quartalsweise mit Geschäftsführung durchgehen — in verständlicher Sprache, nicht als reine Ticket-Statistik.
Wer alle drei Branchen-Patterns kennt — Mandantendaten, [Phishing](/wissen/glossar/phishing), Access — erkennt in Mischformen (z. B. Steuerkanzlei mit hohem Lohn-Mandatsvolumen) schneller, welche Schutzschicht zuerst fehlt.
## Zusammenarbeit mit [IT Security Expert](/externe-it-betreuung)
Checks, Ratgeber und Betreuung als durchgängiger Pfad — nicht Einzelmaßnahmen.
[IT Security Expert](/externe-it-betreuung) adressiert Steuerberater, [Versicherungsmakler](/wissen/branchen/versicherungsmakler) und [Personaldienstleister](/wissen/branchen/personaldienstleister) mit eigenen Scorecard-Checks und Vertiefungsartikeln. Das Ziel ist Orientierung für KMU ohne Security-Abteilung: verständlich, priorisiert, umsetzbar. Ein kostenloses Erstgespräch ergänzt die Online-Checks, wenn intern Kapazität für Umsetzung fehlt.
Empfohlener Ablauf: Branchen-Pillar lesen, passenden Check durchführen, Deep-Dive-Artikel zur Top-Lücke, dann Cluster zu IT-Sicherheit, [Microsoft 365](/wissen/microsoft-365) oder externer Betreuung. Glossar für Begriffe wie [TOM](/wissen/glossar/tom), [AVV](/wissen/glossar/avv), [MFA](/wissen/glossar/mfa), [Phishing](/wissen/glossar/phishing) und Onboarding.
Kein Produktkatalog — sondern roter Faden von Risiko zu Maßnahme. Wer bereits einen [MSP](/wissen/glossar/msp) hat, kann Checks zur jährlichen Priorisierung nutzen; wer noch sucht, erhält Kriterien für die Anbieterwahl.
Damit schließen Steuerberater, Makler und [Personaldienstleister](/wissen/branchen/personaldienstleister) dieselbe Wissensbasis — mit unterschiedlichen Einstiegen, aber gemeinsamer Sprache für IT und Geschäftsführung.
So wird aus drei Zielgruppen ein konsistentes Angebot — ohne generische IT-Floskeln.
## Incident-Management: Meldefristen und Kommunikation nach Branche
Ein Sicherheitsvorfall trifft Kanzlei, Maklerbüro und Zeitarbeitsfirma unterschiedlich — der Ablauf muss vorher stehen.
Steuerberater denken bei Vorfällen zuerst an Mandantengeheimnis, DSGVO-Meldefrist von 72 Stunden und mögliche Pflicht zur Information betroffener Mandanten. [Versicherungsmakler](/wissen/branchen/versicherungsmakler) müssen zusätzlich prüfen, ob Kunden, Versicherer oder Vermittlerregister betroffen sind und ob gefälschte Zahlungsanweisungen bereits versendet wurden. [Personaldienstleister](/wissen/branchen/personaldienstleister) kontaktieren oft parallel den Kunden, dessen Mandatsdaten im kompromittierten System lagen — Vertragsstrafen drohen bei verspäteter Meldung.
Gemeinsam brauchen alle drei Branchen ein einseitiges Runbook: Ansprechpartner intern, Ansprechpartner externer IT-Partner, Vorlage für Behördenmeldung, Vorlage für Kundeninformation, Entscheidungsschema „Meldepflicht ja/nein“. Ohne Runbook verlieren kleine Büros in den ersten Stunden Zeit mit Rollenklärung — während Angreifer noch aktiv sind oder Betrugsgeld transferiert wird.
Übung einmal jährlich reicht: fiktives kompromittiertes Postfach, fiktiver Laptop-Verlust mit Mandantenordner, fiktiver Austritt ohne Offboarding. Aus der Übung entstehen konkrete Tickets — MFA-Lücken schließen, [Backup](/wissen/glossar/backup) testen, HR-Prozess schärfen. Branchenspezifisch ist vor allem, wer außerhalb des Hauses informiert wird: Aufsicht, Versicherer, Endkunde, Wirtschaftsprüferkammer.
## Budget und Reihenfolge: was zuerst Geld bringt
Begrenzte Mittel erfordern Priorisierung nach Schadenpotenzial — nicht nach Technikmodetrends.
Steuerkanzleien mit fünf bis fünfzehn Mitarbeitenden profitieren zuerst von [MFA](/wissen/glossar/mfa), Verschlüsselung der Arbeitsplätze, sauberem Verarbeitungsverzeichnis und getestetem [Backup](/wissen/glossar/backup) — bevor teure Netzwerksegmentierung plant. Maklerbüros sollten Domain-Schutz, Zahlungsprozesse und Postfach-Hygiene vor neuer Hardware finanzieren. [Personaldienstleister](/wissen/branchen/personaldienstleister) investieren sinnvoll zuerst in Onboarding/Offboarding-SLA und Gruppenkonzept — nicht in komplexe SIEM-Lösungen ohne Person, die Alerts liest.
Externe Betreuung als Monatspauschale lohnt, wenn der Partner Branchenwissen mitbringt und dokumentiert, was erledigt wurde. Stundenabrechnung ohne Priorisierung führt dazu, dass Drucker repariert werden, während Offboarding weiter wackelt. Beim Erstgespräch sollten Sie nach Referenzen in Ihrer Branche und nach konkreten Deliverables fragen — Quartalsreport, Backup-Testprotokoll, Liste offener Gastzugänge.
Checks auf it-security-expert.de kosten nichts und liefern eine priorisierte Top-drei-Liste pro Branche. Damit lässt sich intern und mit dem IT-Partner diskutieren, ohne wochenlang externe Audits zu bestellen. Die Umsetzung bleibt Arbeit — aber die Reihenfolge ist klar.
Wer jährlich den Stand mit dem passenden Branchen-Check aktualisiert, erkennt früh, ob neue Software, neue Mitarbeitende oder neue Kundenanforderungen das Risikobild verschoben haben — bevor ein Vorfall die Lücke sichtbar macht.
**Vorteile**
* Branchenspezifische Prioritäten
* Kostenlose Einstiegs-Checks
* Verständlich für KMU ohne IT-Abteilung
* Verknüpfung mit Glossar und Ratgebern
**Nachteile / Risiken**
* Kein Ersatz für juristische Beratung
* Umsetzung braucht interne Verantwortliche
* Technische Details in Unterartikeln
## FAQ
### Gibt es eine IT-Lösung für alle Branchen gleich?
Grundlagen wie [Backups](/wissen/glossar/backup), [MFA](/wissen/glossar/mfa) und [Patch-Management](/wissen/glossar/patch-management) sind überall gleich — Mandantendaten, [Phishing](/wissen/glossar/phishing) und Zugriffe unterscheiden sich stark nach Branche.
### Welche Branche hat das höchste IT-Risiko?
Das hängt vom Geschäftsmodell ab: Steuerberater tragen Mandantengeheimnis und StBVV-Pflichten, Makler sind Phishing-Ziele, [Personaldienstleister](/wissen/branchen/personaldienstleister) kämpfen mit ständig wechselnden Zugriffsrechten.
### Brauchen kleine Kanzleien und Büros externe IT-Betreuung?
Ab etwa fünf Mitarbeitenden ohne Vollzeit-IT lohnt ein fester Partner, der Branchenprozesse kennt — nicht nur Technik, sondern auch Compliance und Alltags-Support.