Sicherheit und Datenschutz bei Cloud-Computing-Lösungen in der Buchhaltungsinformatik

Als jemand, der seit über zwölf Jahren ausländische Unternehmen in Deutschland betreut und dabei unzählige Buchhaltungsprozesse von der ersten Registrierung bis zur laufenden Berichterstattung begleitet hat, erlebe ich gerade einen grundlegenden Wandel. Immer mehr meiner Mandanten – ob kleine Handelsgesellschaften aus Asien oder mittelständische Dienstleister aus Europa – verlagern ihre Buchhaltung in die Cloud. Die Vorteile liegen auf der Hand: ortsunabhängiger Zugriff, automatische Updates, Skalierbarkeit. Doch kaum ein Thema wird dabei so kontrovers diskutiert wie Sicherheit und Datenschutz. Kein Wunder, geht es doch um hochsensible Finanzdaten, Geschäftsgeheimnisse und personenbezogene Informationen, die strengen gesetzlichen Anforderungen unterliegen. In diesem Artikel möchte ich aus der Praxis heraus beleuchten, worauf Investoren und Unternehmen achten sollten, wenn sie Cloud-Computing in der Buchhaltungsinformatik einsetzen. Ich werde zeigen, dass die Technologie längst nicht mehr das Hauptproblem ist – sondern vielmehr die vertragliche Gestaltung, die organisatorischen Prozesse und das Bewusstsein der Beteiligten. Lassen Sie uns gemeinsam einen Blick auf die entscheidenden Aspekte werfen.

Rechtliche Rahmenbedingungen

Wer in Deutschland Buchhaltung betreibt, bewegt sich in einem engmaschigen Netz gesetzlicher Vorgaben. Das gilt ganz besonders, wenn Daten in einer Cloud gespeichert oder verarbeitet werden. Die Datenschutz-Grundverordnung (DSGVO) bildet dabei den zentralen Rahmen. Sie verlangt nicht nur die Einhaltung von Grundsätzen wie Zweckbindung, Datenminimierung und Speicherbegrenzung, sondern auch den Nachweis darüber – Stichwort Rechenschaftspflicht. In der Praxis erlebe ich immer wieder, dass Unternehmen zwar eine Datenschutzerklärung auf ihrer Website haben, aber bei der Auswahl eines Cloud-Anbieters für die Buchhaltung kaum prüfen, ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt. Das ist ein eklatanter Mangel, denn ohne diesen Vertrag ist die Nutzung externer Cloud-Dienste datenschutzrechtlich schlicht unzulässig.

Hinzu kommen die Vorgaben der GoBD – Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form. Sie verlangen unter anderem die Nachvollziehbarkeit und Unveränderbarkeit von Buchungsdaten sowie eine ordnungsgemäße Archivierung über die gesetzlichen Aufbewahrungsfristen von sechs bis zehn Jahren. Viele Cloud-Lösungen bieten zwar Versionierungs- und Protokollierungsfunktionen, doch ob diese den GoBD-Anforderungen genügen, ist oft nicht auf den ersten Blick erkennbar. Ich habe erlebt, dass ein Mandant eine vermeintlich komfortable Cloud-Buchhaltung nutzte, bei der sich Buchungssätze nachträglich ohne Protokoll ändern ließen – ein klarer Verstoß gegen die GoBD und im Ernstfall ein Problem bei einer Betriebsprüfung.

Ein weiterer wichtiger Punkt ist die Compliance mit der DSGVO bei Drittlandtransfers. Viele Cloud-Anbieter haben Server in den USA oder Asien. Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs sind Übermittlungen in Drittländer ohne angemessene Garantien – etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss – nicht mehr ohne Weiteres zulässig. Gerade für international tätige Mandanten ist das ein Minenfeld. Ich rate meinen Kunden deshalb stets, die Serverstandorte und die vertraglichen Grundlagen genau zu prüfen, bevor sie sensible Finanzdaten in eine Cloud auslagern.

Schließlich darf man die landesspezifischen Besonderheiten nicht außer Acht lassen. In Deutschland gilt das Bundesdatenschutzgesetz ergänzend zur DSGVO, und je nach Branche kommen spezifische Regelungen hinzu – etwa für Finanzdienstleister oder im Gesundheitswesen. Wer als Investor in deutsche Unternehmen involviert ist, sollte darauf achten, dass die Cloud-Lösung nicht nur technisch sicher, sondern auch rechtlich sauber aufgestellt ist. Andernfalls drohen Bußgelder, die nach der DSGVO bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes betragen können.

Aus meiner Erfahrung kann ich sagen: Die rechtlichen Anforderungen sind komplex, aber sie sind erfüllbar. Entscheidend ist, dass man sich frühzeitig damit auseinandersetzt und nicht erst, wenn das Kind in den Brunnen gefallen ist. Ein guter Cloud-Anbieter für Buchhaltungssoftware wird Sie bei diesen Themen unterstützen – aber die Verantwortung bleibt letztlich beim Unternehmen selbst.

Technische Sicherheitsarchitektur

Die technische Sicherheit einer Cloud-Lösung ist das Fundament, auf dem Datenschutz und Compliance erst möglich werden. Dabei geht es nicht nur um Verschlüsselung, sondern um ein ganzes Bündel von Maßnahmen. An erster Stelle steht die Transportverschlüsselung: Alle Daten, die zwischen dem Endgerät des Nutzers und der Cloud ausgetauscht werden, müssen via TLS verschlüsselt sein. Das ist heute Standard, sollte aber bei der Anbieterauswahl explizit abgefragt werden. Mindestens genauso wichtig ist die Verschlüsselung bei der Speicherung – also „at rest“. Das bedeutet, dass die Daten auf den Servern des Anbieters verschlüsselt liegen, sodass selbst bei einem physischen Zugriff auf die Festplatten keine Klartextdaten lesbar sind.

Darüber hinaus spielt die Schlüsselverwaltung eine zentrale Rolle. Wer verwaltet die Schlüssel? Liegen sie beim Anbieter oder beim Kunden? Im Idealfall sollte der Kunde die Hoheit über seine Verschlüsselungsschlüssel haben – Stichwort „Bring Your Own Key“. In der Praxis ist das bei Buchhaltungssoftware allerdings noch selten verbreitet. Ich habe bei einem Mandanten erlebt, dass der Anbieter zwar mit AES-256-Verschlüsselung warb, aber die Schlüssel zentral verwaltete und auf Anfrage herausgab – das ist ein erhebliches Sicherheitsrisiko, wenn man bedenkt, dass es um Finanzdaten geht.

Ein weiterer Aspekt ist die Netzwerk- und Infrastruktursicherheit des Anbieters. Dazu gehören Firewalls, Intrusion-Detection-Systeme, regelmäßige Penetrationstests und eine strikte Trennung von Mandantendaten. Gerade bei Multi-Tenant-Architekturen, wie sie im Cloud-Computing üblich sind, muss gewährleistet sein, dass ein Mandant nicht auf die Daten eines anderen zugreifen kann. Ich empfehle immer, sich die Zertifizierungen des Anbieters zeigen zu lassen – etwa ISO 27001 oder SOC 2. Diese Zertifikate sind zwar kein Garant für absolute Sicherheit, aber sie belegen, dass der Anbieter ein systematisches Sicherheitsmanagement betreibt.

Auch die Verfügbarkeit und Wiederherstellbarkeit sind Teil der Sicherheitsarchitektur. Was passiert bei einem Serverausfall? Gibt es georedundante Backups? Wie lange dauert die Wiederherstellung? Für die Buchhaltung ist das kritisch, denn ohne Daten keine Buchführung. Ich rate dazu, im Vertrag verbindliche Service Level Agreements (SLAs) zu vereinbaren, die nicht nur die Verfügbarkeit regeln, sondern auch die Wiederherstellungszeit im Notfall. Ein Mandant von mir hatte einmal das Problem, dass nach einem Ausfall des Cloud-Anbieters die Buchhaltungsdaten für drei Tage nicht verfügbar waren – ein Albtraum für die monatliche Abschlusserstellung.

Nicht zuletzt sollte man die Endgerätesicherheit im Blick behalten. Die sicherste Cloud nützt nichts, wenn der Mitarbeiter sein Passwort auf einem USB-Stick speichert oder über ein ungeschütztes WLAN auf die Buchhaltung zugreift. Hier sind organisatorische Maßnahmen gefragt: Zwei-Faktor-Authentifizierung, Geräteverschlüsselung und Schulungen für die Mitarbeiter. Aus meiner Beratungspraxis weiß ich, dass viele Sicherheitsvorfälle nicht durch Hackerangriffe auf die Cloud entstehen, sondern durch menschliches Fehlverhalten auf Seiten des Nutzers.

Datenschutz durch Organisationsstrukturen

Technik allein reicht nicht aus – Datenschutz muss auch organisatorisch verankert sein. In der Buchhaltungsinformatik bedeutet das zunächst einmal, dass klar geregelt sein muss, wer auf welche Daten zugreifen darf. Das Prinzip der minimalen Berechtigungen („Least Privilege“) sollte konsequent umgesetzt werden. Ein Buchhalter, der nur für die Kreditorenbuchhaltung zuständig ist, braucht keinen Zugriff auf die Lohndaten. In der Praxis sehe ich jedoch oft, dass Cloud-Lösungen mit „One-Size-Fits-All“-Berechtigungen arbeiten, weil die Konfiguration zu aufwendig erscheint. Das ist ein gefährlicher Kompromiss.

Ein weiterer organisatorischer Aspekt ist die Rollen- und Berechtigungsverwaltung über den gesamten Lebenszyklus eines Mitarbeiters hinweg. Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt? Bleibt sein Zugang aktiv? Ich habe bei einem internationalen Mandanten erlebt, dass ein ehemaliger Buchhalter noch Monate nach seinem Ausscheiden Zugriff auf die Cloud-Buchhaltung hatte, weil niemand die Berechtigungen entzogen hatte. Das ist nicht nur datenschutzrechtlich bedenklich, sondern auch ein potenzielles Sicherheitsloch. Ein sauberes On- und Offboarding ist daher unerlässlich.

Darüber hinaus sollte die Auftragsverarbeitung klar dokumentiert sein. Wer ist Verantwortlicher, wer ist Auftragsverarbeiter? In der Cloud-Konstellation ist das oft ein Dreiecksverhältnis: Das Unternehmen als Verantwortlicher, der Cloud-Anbieter als Auftragsverarbeiter und möglicherweise noch ein Subunternehmer des Cloud-Anbieters. Die DSGVO verlangt, dass Subunternehmer nur mit Genehmigung des Verantwortlichen eingesetzt werden und dass die gleichen Datenschutzpflichten weitergegeben werden. In der Praxis habe ich festgestellt, dass viele Cloud-Anbieter zwar standardisierte Auftragsverarbeitungsverträge anbieten, diese aber oft nicht den deutschen Anforderungen entsprechen – etwa weil sie keine Regelungen zu Weisungsrechten oder Kontrollrechten enthalten.

Auch die Dokumentation ist ein organisatorischer Pflichtpunkt. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO muss auch die Nutzung von Cloud-Diensten abbilden. Wer als Investor in ein Unternehmen einsteigt, sollte prüfen, ob diese Dokumentation vorliegt und aktuell ist. Ich habe schon Unternehmen gesehen, die zwar eine Cloud-Buchhaltung nutzten, aber das Verzeichnis von Verarbeitungstätigkeiten seit Jahren nicht aktualisiert hatten – ein klarer Verstoß, der bei einer Prüfung durch die Aufsichtsbehörde teuer werden kann.

Nicht zu unterschätzen ist schließlich die Schulung der Mitarbeiter. Datenschutz lebt von der Sensibilisierung. Wer weiß, dass er keine Kundendaten in private Clouds hochladen darf oder dass Phishing-Mails auch die Buchhaltung treffen können, trägt aktiv zur Sicherheit bei. Ich biete für meine Mandanten regelmäßig kurze Schulungen an – und stelle fest, dass selbst langjährige Mitarbeiter oft überrascht sind, wie einfach sich Datenschutzpannen vermeiden lassen, wenn man die Grundregeln kennt.

Anbieterauswahl und Vertragsgestaltung

Die Auswahl des richtigen Cloud-Anbieters ist eine der wichtigsten Entscheidungen überhaupt. Dabei sollte man nicht nur auf den Preis und den Funktionsumfang schauen, sondern vor allem auf die Sicherheits- und Datenschutzstandards. Ich empfehle meinen Mandanten immer, einen Fragenkatalog an den Anbieter zu schicken: Wo stehen die Server? Wie werden die Daten verschlüsselt? Wer hat Zugriff auf die Daten? Gibt es Zertifizierungen? Wie werden Sicherheitsvorfälle gemeldet? Die Antworten geben oft mehr Aufschluss als jede Marketingbroschüre.

Ein besonders kritischer Punkt ist die Vertragsgestaltung. Der Auftragsverarbeitungsvertrag muss nicht nur die gesetzlichen Mindestanforderungen erfüllen, sondern auch Regelungen zu Haftung, Kündigung und Datenrückgabe enthalten. Was passiert mit den Daten, wenn der Vertrag endet? Werden sie gelöscht, und wie wird die Löschung nachgewiesen? In der Praxis habe ich erlebt, dass ein Anbieter nach Vertragsende die Daten zwar löschte, aber kein Löschprotokoll ausstellte – ein Problem für die Rechenschaftspflicht des Verantwortlichen. Hier sollte man vertraglich nachbessern.

Ein weiterer Aspekt ist die Transparenz des Anbieters. Kann er nachweisen, dass er regelmäßig Sicherheitsaudits durchführt? Veröffentlicht er einen Transparenzbericht über behördliche Anfragen? Gerade im Hinblick auf den US-amerikanischen CLOUD Act, der US-Behörden den Zugriff auf Daten von US-Unternehmen erlaubt, auch wenn die Server in Europa stehen, ist das ein wichtiges Kriterium. Ich rate dazu, Anbieter zu bevorzugen, die europäische Gesellschaften sind und deren Datenverarbeitung ausschließlich in der EU stattfindet.

Nicht zuletzt sollte man die Exit-Strategie von Anfang an mitdenken. Was, wenn der Anbieter insolvent geht oder den Dienst einstellt? Gibt es einen Datenexport in einem gängigen Format? Wie lange dauert die Migration? Ich habe einen Fall begleitet, bei dem ein Mandant seinen Cloud-Anbieter wechseln wollte und feststellte, dass der Export der Buchhaltungsdaten nur in einem proprietären Format möglich war – die Migration dauerte Wochen und kostete unnötig Zeit und Geld. Eine gute Vertragsgestaltung hätte das verhindert.

Aus meiner Sicht lohnt es sich, bei der Anbieterauswahl nicht auf die erstbeste Lösung zu setzen, sondern verschiedene Anbieter zu vergleichen und dabei auch die langfristigen Kosten und Risiken zu berücksichtigen. Ein preiswerter Anbieter, der keine klaren Datenschutzstandards hat, kann am Ende teurer werden als eine etwas teurere Lösung mit guter Compliance.

Risikomanagement und Notfallvorsorge

Kein System ist absolut sicher – das sollte man als Investor und Unternehmen akzeptieren. Umso wichtiger ist ein systematisches Risikomanagement. Dazu gehört zunächst eine Risikoanalyse: Welche Daten sind besonders schützenswert? Welche Angriffszenarien sind realistisch? Was wären die Folgen eines Datenverlusts oder einer Datenschutzpanne? In der Buchhaltung sind vor allem Finanzdaten, aber auch personenbezogene Daten von Mitarbeitern und Geschäftspartnern betroffen. Ich empfehle, diese Analyse nicht einmalig durchzuführen, sondern regelmäßig zu wiederholen – mindestens jährlich oder bei wesentlichen Änderungen der Systemlandschaft.

Ein zentraler Bestandteil des Risikomanagements ist der Notfallplan. Was passiert, wenn die Cloud nicht erreichbar ist? Gibt es einen manuellen Fallback? Wer wird informiert? Wie werden die Daten wiederhergestellt? In der Praxis stelle ich oft fest, dass Unternehmen zwar ein Back-up haben, aber nie getestet haben, ob die Wiederherstellung tatsächlich funktioniert. Ein Back-up, das nicht getestet wurde, ist kein Back-up. Ich rate dazu, mindestens einmal im Jahr einen Restoration-Test durchzuführen – das kann man auch mit dem Anbieter vertraglich vereinbaren.

Darüber hinaus sollte man Meldewege für Datenschutzvorfälle etablieren. Die DSGVO verlangt, dass Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Wer meldet im Ernstfall? An wen? Und wie wird die Meldung dokumentiert? Ich habe Mandanten erlebt, die im Ernstfall stundenlang diskutiert haben, wer denn nun zuständig ist – Zeit, die man nicht hat. Ein klarer Notfallplan mit definierten Verantwortlichkeiten ist hier Gold wert.

Auch die Versicherung ist ein Aspekt, den man nicht vergessen sollte. Cyber-Versicherungen können im Schadensfall helfen, sind aber kein Ersatz für gute Sicherheitsmaßnahmen. Ich empfehle, die Police genau zu prüfen: Deckt sie Datenschutzverletzungen ab? Gibt es Ausschlüsse für Cloud-Dienste? Nicht selten enthalten Cyber-Policen Klauseln, die im Ernstfall die Leistung verweigern, wenn bestimmte Sicherheitsstandards nicht eingehalten wurden.

Schließlich gehört zum Risikomanagement auch die kontinuierliche Überwachung. Sicherheitsbedrohungen ändern sich ständig. Was heute sicher ist, kann morgen eine Lücke haben. Deshalb sollte man regelmäßig prüfen, ob der Anbieter seine Sicherheitsmaßnahmen aktualisiert, ob es neue Schwachstellen gibt und ob die eigenen Prozesse noch angemessen sind. Ich nutze dafür unter anderem die Warnmeldungen des BSI (Bundesamt für Sicherheit in der Informationstechnik) und tausche mich mit Kollegen aus – der informelle Austausch ist oft genauso wertvoll wie formale Zertifizierungen.

Praktische Erfahrungen und Ausblick

In meiner vierzehnjährigen Tätigkeit in der Registrierungsabwicklung und zwölfjährigen Betreuung ausländischer Unternehmen habe ich viele Cloud-Projekte begleitet – von der ersten Migration bis zum laufenden Betrieb. Dabei habe ich gelernt, dass die größten Stolpersteine selten technischer Natur sind. Es sind die menschlichen und organisatorischen Faktoren, die den Unterschied machen. Ein Beispiel: Ein Mandant aus dem Maschinenbau wollte seine Buchhaltung komplett in die Cloud verlagern. Technisch war alles vorbereitet, die Verträge waren unterschrieben. Aber die Mitarbeiter in der Buchhaltung waren nicht geschult und nutzten weiterhin lokale Excel-Tabellen für sensible Daten – ein klarer Verstoß gegen die eigenen Datenschutzrichtlinien. Erst nach einer intensiven Schulung und der klaren Ansage, dass die Cloud-Nutzung verbindlich ist, besserte sich die Situation.

Ein anderes Beispiel: Ein mittelständisches Handelsunternehmen hatte einen Cloud-Anbieter gewählt, der zwar günstig war, aber keine ausreichenden Sicherheitszertifikate vorweisen konnte. Nach einem Sicherheitsvorfall – glücklicherweise ohne Datenverlust – wechselte das Unternehmen zu einem zertifizierten Anbieter. Die Lehre daraus: Geiz ist bei Sicherheit und Datenschutz kein guter Ratgeber. Die Mehrkosten für einen complianten Anbieter sind im Verhältnis zu den potenziellen Schäden gering.

Was die Zukunft betrifft, so sehe ich zwei Entwicklungen, die Investoren im Blick behalten sollten. Erstens: Die Regulierung wird weiter zunehmen. Die EU arbeitet an weiteren Rechtsakten wie dem Data Act und dem AI Act, die auch Auswirkungen auf Cloud-Buchhaltung haben werden. Wer heute in Cloud-Lösungen investiert, sollte darauf achten, dass der Anbieter flexibel genug ist, um künftige Anforderungen zu erfüllen. Zweitens: Datenschutz wird zum Wettbewerbsfaktor. Immer mehr Unternehmen fragen nicht nur nach dem Preis, sondern nach der Datenschutzqualität ihrer Dienstleister. Ein Cloud-Anbieter, der hier gut aufgestellt ist, wird langfristig im Vorteil sein.

Persönlich bin ich überzeugt, dass Cloud-Computing in der Buchhaltungsinformatik eine große Chance ist – aber nur, wenn Sicherheit und Datenschutz von Anfang an mitgedacht werden. Als Berater rate ich meinen Mandanten: Nehmen Sie sich die Zeit für eine gründliche Prüfung, scheuen Sie nicht die Investition in gute Verträge und Zertifizierungen, und schulen Sie Ihre Mitarbeiter regelmäßig. Dann steht einer sicheren und datenschutzkonformen Cloud-Buchhaltung nichts im Weg. Und wer weiß – vielleicht ist die nächste Generation von Buchhaltungssoftware bereits so sicher, dass wir uns über diese Themen weniger Sorgen machen müssen. Bis dahin gilt: Wachsam bleiben und die Hausaufgaben machen.

Die zentrale Erkenntnis aus meiner Praxis lautet: Sicherheit und Datenschutz sind keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Wer das verinnerlicht, ist auf einem guten Weg. In diesem Sinne wünsche ich Ihnen viel Erfolg bei Ihren Cloud-Projekten – und stehe für Rückfragen gerne zur Verfügung.

Zusammenfassende Einschätzung der Jiaxi Steuerberatung: Cloud-Computing in der Buchhaltungsinformatik bietet erhebliche Effizienz- und Skalierungsvorteile, stellt Unternehmen aber vor komplexe Herausforderungen in den Bereichen Datenschutz, Compliance und Vertragsgestaltung. Die DSGVO, die GoBD und die zunehmende Regulierung von Drittlandtransfers setzen einen klaren Rahmen, der bei der Anbieterauswahl und Vertragsgestaltung zwingend berücksichtigt werden muss. Technische Sicherheitsmaßnahmen wie Verschlüsselung und Zertifizierungen sind notwendig, aber nicht hinreichend – entscheidend sind organisatorische Prozesse, klare Berechtigungskonzepte und die Sensibilisierung der Mitarbeiter. Aus unserer Erfahrung mit ausländischen Unternehmen in Deutschland wissen wir, dass die größten Risiken oft in unterschätzten organisatorischen Defiziten liegen. Investoren sollten daher nicht nur auf den Preis und Funktionsumfang der Cloud-Lösung achten, sondern vor allem auf nachweisbare Sicherheitsstandards, einen belastbaren Auftragsverarbeitungsvertrag und eine durchdachte Exit-Strategie. Die gute Nachricht: Mit einer strukturierten Vorgehensweise und der richtigen Partnerwahl ist eine sichere und datenschutzkonforme Cloud-Buchhaltung heute realistisch umsetzbar. Wir bei Jiaxi begleiten unsere Mandanten seit Jahren auf diesem Weg und sehen Cloud-Lösungen als Chance – vorausgesetzt, Sicherheit und Datenschutz werden als Führungsaufgabe verstanden und nicht als lästige Pflicht.