IT-Infrastruktur im Treuhandunternehmen: Sicherheit beginnt beim Fundament

Wenn in der Treuhandbranche über Digitalisierung gesprochen wird, stehen meist Software und künstliche Intelligenz im Vordergrund. Weniger Beachtung findet die technische Infrastruktur, auf der diese Anwendungen laufen. Dabei entscheidet gerade sie darüber, wie sicher Kundendaten sind, wie effizient Mitarbeitende arbeiten können und wie gut ein Unternehmen einen Ernstfall übersteht.

Was heute zu einem IT-System gehört

Die IT eines Treuhandunternehmens hat sich in den letzten Jahren stark verändert. Der reine Hardware-Anteil nimmt ab, ein immer grösserer Teil läuft als Software oder in der Cloud. Neue Laptops lassen sich heute so bereitstellen, dass sie beim ersten Start automatisch für den jeweiligen Mitarbeitenden konfiguriert sind. Statt aufwendiger Netzwerkverkabelung genügt in vielen Büros eine schlanke WLAN-Lösung, wobei die Sicherheit zunehmend über das Endgerät selbst gewährleistet wird, unabhängig davon, ob im Büro, im Zug oder unterwegs gearbeitet wird.

Einfacher geworden ist damit das technische Onboarding. Anspruchsvoller ist dagegen die fachliche Seite: Die Anzahl der Anwendungen im Treuhandbereich wächst, und mit ihr die Zahl der Schnittstellen. Für Endgeräte hat sich ein Investitionszyklus von drei bis fünf Jahren bewährt, da rechenintensive Anwendungen wie KI überwiegend in der Cloud laufen.

‍
Cloud oder eigener Server?

Noch immer betreiben manche Treuhandunternehmen ihre Server in eigenen Räumlichkeiten, oft aus dem Wunsch heraus, die volle Kontrolle über die Daten zu behalten. Dieses Gefühl der Sicherheit trügt jedoch häufig:

‍

• Business Continuity: Brand, Wasserschaden oder ein Hardwaredefekt können den Betrieb lahmlegen, wenn keine durchdachte Ausfallsicherung besteht.
• Abwehrfähigkeit: Grosse Cloud-Anbieter beschäftigen spezialisierte Sicherheitsteams und schützen auch Banken und Grosskonzerne. Ein vergleichbares Schutzniveau lässt sich lokal kaum aufbauen.
• Kosten: Die Preise für Server und Endgeräte sind in den letzten Jahren deutlich gestiegen. Cloud-Lösungen verlagern Investitionen in laufende Kosten und sind bei korrekter Gesamtbetrachtung oft nicht teurer.

Ein häufiges Gegenargument ist der Datenschutz. Hier lohnt sich ein realistischer Blick: Viele Treuhandunternehmen nutzen bereits heute Cloud-Dienste für ihre E-Mails, über die Kunden regelmässig vertrauliche Unterlagen zustellen. Die grossen Anbieter ermöglichen zudem die Datenhaltung in Schweizer Rechenzentren. Ein Restrisiko besteht dennoch: Der US CLOUD Act erlaubt amerikanischen Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten von US-Anbietern, auch wenn diese in der Schweiz gespeichert sind. Dieses Risiko gilt es bewusst abzuwägen.

‍
KI sicher einsetzen

Mit dem Aufkommen von KI-Anwendungen hat sich die Datenschutzfrage zusätzlich verschärft. In der Praxis zeigen sich zwei Extreme: Die einen verzichten aus Unsicherheit ganz auf KI, die anderen lassen Mitarbeitende unkontrolliert mit privaten Accounts arbeiten. Beides ist problematisch.

Ein verantwortungsvoller Ansatz stellt allen Mitarbeitenden eine geprüfte, sichere Umgebung zur Verfügung. Dazu gehören:

‍

• vertragliche Zusicherungen des Anbieters, dass Daten nicht für andere Zwecke verwendet werden,
• möglichst kurze oder keine Speicherung der verarbeiteten Daten (Zero Retention),
• klare Regeln, welche Daten gar nicht verarbeitet werden dürfen, etwa Lohn- und Gesundheitsdaten oder private Steuererklärungen.

Eine Enterprise-Lizenz allein macht eine KI-Anwendung nicht sicher. Entscheidend ist, wie sie konfiguriert und genutzt wird.

Cybersecurity: Vorbereitet sein ist alles

Treuhandunternehmen sind wegen der Vielzahl sensibler Finanz- und Personendaten ein attraktives Ziel. Ein Angriff lässt sich nie ganz ausschliessen. Entscheidend ist, wie schnell er erkannt wird und wie gut das Unternehmen vorbereitet ist.

Die Angriffsmuster haben sich verändert. Statt Systeme sofort zu verschlüsseln, ziehen Angreifer zunehmend über Wochen oder Monate unauffällig Daten ab. Umso wichtiger ist eine wirksame Früherkennung.

Das gehört in ein Notfallkonzept

‍

• Kontaktdaten von IT-Provider und Cyberversicherung, ausserhalb der eigenen IT-Systeme zugänglich
• klare Rollen und Kompetenzen, z. B. wer berechtigt ist, alle Systeme abzuschalten
• alternative Kommunikationskanäle für den Fall, dass E-Mail und Kollaborationstools ausfallen
• regelmässige Überprüfung und Aktualisierung des Konzepts

Den richtigen IT-Provider wählen

Viele kleinere und mittlere Treuhandunternehmen arbeiten mit einem externen IT-Provider zusammen. Wichtig ist, dass Grösse und Komplexität zusammenpassen: Ein zu kleiner Provider stösst mit wachsenden Anforderungen an Grenzen, bei einem sehr grossen Anbieter läuft ein KMU Gefahr, nur ein kleines Rädchen zu sein.

Ein klarer Vorteil sind Branchenkenntnisse. Treuhandunternehmen nutzen ähnliche Systemlandschaften, von der Finanzbuchhaltung über die Steuersoftware bis zur revisionssicheren Datenablage. Ein Provider, der diese Umgebung kennt, versteht auch die besonderen Anforderungen an Datenschutz, E-Mail-Verschlüsselung und Schnittstellen.

Kritisch ist dagegen das Modell, bei dem ein Partner «nebenbei noch etwas IT macht» und dabei über Administratorrechte verfügt. Fehlt das Fachwissen, entstehen Sicherheitslücken. Wird ein solcher Account kompromittiert, sind die Folgen gravierend. Sinnvoll ist eine interne Koordinationsrolle, die versteht, was im Haus vorhanden ist, während die Umsetzung bei einem kompetenten Provider liegt, idealerweise mit Vier-Augen-Prinzip bei kritischen Zugriffen.

Drei Schritte zur Standortbestimmung

‍

• Identity Protection prüfen: Heute werden seltener Systeme direkt angegriffen als einzelne Benutzerkonten. Zwei-Faktor-Authentifizierung und weitere Schutzmechanismen sind die Basis.
• Notfallkonzept erarbeiten: Gemeinsam mit dem IT-Provider klären, was im Ernstfall zu tun ist. Dabei zeigen sich oft Lücken, die sich mit wenig Aufwand schliessen lassen.
• Aussensicht einholen: Eine unabhängige Drittpartei erkennt, was im Alltag übersehen wird, etwa bezahlte, aber nicht aktivierte Sicherheitsfunktionen. Es geht nicht darum, den bestehenden Provider in Frage zu stellen, sondern blinde Flecken sichtbar zu machen.

Eine solide IT-Infrastruktur ist kein Selbstzweck. Sie ist die Voraussetzung dafür, dass Treuhandunternehmen das Vertrauen ihrer Kunden auch in einer zunehmend digitalen und vernetzten Welt rechtfertigen können.

‍