Wer als Freiberufler oder Selbstständiger vom heimischen Schreibtisch aus arbeitet, verarbeitet regelmäßig sensible Informationen. Kontodaten, Rechnungen, Lohnabrechnungen oder Mandantenunterlagen fallen unter besonders schützenswerte personenbezogene Daten. Die Anforderungen an deren Absicherung ergeben sich nicht aus Kulanz, sondern aus Artikel 32 DSGVO, der technische und organisatorische Maßnahmen nach dem Stand der Technik verlangt.
Rechtlicher Rahmen und typische Pflichten
Die meisten Selbstständigen haben die gleichen Anforderungen zu erfüllen wie Unternehmen. Dazu zählt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, eine Risikoabwägung und der Nachweis geeigneter Schutzmaßnahmen. Steuerberater, Rechtsanwälte und Ärzte haben zusätzlich noch die Verschwiegenheitspflicht nach § 203 StGB zu beachten, deren Verletzung strafrechtliche Folgen haben kann. Wer Buchhaltungsunterlagen digital verarbeitet, muss zudem die GoBD des Bundesfinanzministeriums beachten, die unter anderem Unveränderbarkeit, Nachvollziehbarkeit und Zugriffskontrolle verlangen. Verstöße gegen die DSGVO können nach Art. 83 mit Bußgeldern bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes geahndet werden.
Verschlüsselte Verbindungen als technische Grundlage
Die Absicherung der Datenübertragung zählt zu den zentralen Maßnahmen im Homeoffice. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für den Fernzugriff auf betriebliche Systeme grundsätzlich verschlüsselte Tunnelverbindungen. Eine VPN Software verschlüsselt den Datenverkehr zwischen Endgerät und Zielsystem und verhindert das Mitlesen in offenen oder fremden Netzwerken, etwa in Coworking-Spaces, Hotels oder beim Kunden vor Ort. Aktuelle Protokolle wie WireGuard oder IKEv2 gelten nach BSI-Einschätzung als sicher, sofern sie mit AES-256 oder ChaCha20 kombiniert werden. Ohne eine solche Absicherung bleibt der Datenverkehr in unverschlüsselten WLANs technisch einsehbar, was bei Mandantendaten schnell zu meldepflichtigen Vorfällen nach Art. 33 DSGVO führen kann.
Neben der Transportverschlüsselung sollten auch lokale Datenträger verschlüsselt sein. BitLocker unter Windows und FileVault unter macOS erfüllen diese Anforderung ohne Zusatzkosten. Cloud-basierte Buchhaltungs- und Steuerlösungen wie DATEV Unternehmen online oder Steuerprogramme mit ELSTER-Schnittstelle nutzen TLS 1.2 oder 1.3 zur Übertragung an die Finanzverwaltung. Die Verantwortung für die Endpunktsicherheit liegt jedoch bei der nutzenden Person.
Trennung von privatem und geschäftlichem Umfeld
Ein oft vernachlässigter Punkt ist die strikte Trennung von privaten und beruflichen Systemen. In seinen Hinweisen zum Homeoffice weist der Deutsche Anwaltverein darauf hin, dass Rechner aus dem Familienbestand, die nicht über einzelne Benutzerkonten verfügen, mit den berufsrechtlichen Anforderungen kaum zu vereinbaren sind. Besser ist es, eigene Rechner zu verwenden oder wenigstens getrennte, passwortgeschützte Benutzerkonten mit eingeschränkten Rechten. Die Router sollten mit einem eigenen Administratorpasswort versehen und regelmäßig aktualisiert werden. Der BSI-Grundschutzkatalog nennt fehlende Firmware-Updates als eine der häufigsten Schwachstellen im Kleinstunternehmen.
Auch die Datensicherung gehört in ein tragfähiges Schutzkonzept. Die sogenannte 3-2-1-Regel, also drei Kopien auf zwei unterschiedlichen Medien mit einer externen Sicherung, hat sich in der Praxis bewährt. Sie schützt vor Ransomware ebenso wie vor Hardware-Defekten und ist bei Aufbewahrungsfristen von zehn Jahren nach § 147 AO ohnehin erforderlich.
Auftragsverarbeitung und externe Dienstleister
Wer Cloud-Dienste, externe Buchhalter oder IT-Dienstleister einbindet, benötigt in aller Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Anbieter mit Serverstandort innerhalb der EU vereinfachen die rechtliche Bewertung, da kein Drittlandtransfer nach Kapitel V DSGVO vorliegt. Zertifizierungen wie ISO/IEC 27001 oder das C5-Testat des BSI für Cloud-Dienste liefern belastbare Anhaltspunkte für ein angemessenes Schutzniveau. Wer diese Kriterien in die Auswahl seiner Werkzeuge einbezieht, reduziert nicht nur das Haftungsrisiko, sondern schafft auch eine belegbare Grundlage im Fall einer aufsichtsbehördlichen Prüfung.
