Datenschutz und Sicherheit bei Steuersoftware: Worauf Sie achten sollten

Steuerdaten gehören zu den sensibelsten privaten Daten: Sie zeigen Einkommen, Familienstand, Gesundheitsausgaben und Vermögensverhältnisse. Bei der Wahl einer Steuersoftware sollten Sie deshalb prüfen, wo die Daten gespeichert werden, wer Zugriff hat, wie die Anmeldung geschützt ist und wann Daten gelöscht werden. Seriöse Anbieter unterliegen der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz und müssen Sie transparent informieren. Ihre eigene Sorgfalt bleibt aber wichtig, besonders bei Passwörtern und bei Nachrichten, die angeblich vom Finanzamt stammen.

Welche Daten im Spiel sind

Bei der Nutzung einer Steuersoftware verarbeiten Sie unter anderem:

Identifikationsdaten: Name, Anschrift, Steuernummer, Steuer-Identifikationsnummer.
Finanzdaten: Einkommen, Bankverbindung, Kapitalerträge.
Besonders sensible Daten: Gesundheitsausgaben, Religionszugehörigkeit (Kirchensteuer), Angaben zu Kindern.
Zugangsdaten: ELSTER-Zertifikat, Passwörter.

Für Gesundheitsdaten und Religionszugehörigkeit gelten nach der DSGVO erhöhte Anforderungen. Anbieter benötigen eine Rechtsgrundlage, in der Regel Vertragserfüllung oder Einwilligung.

Desktop oder Cloud: Unterschiede

Aspekt	Desktop-Programm	Online-Dienst oder App
Datenspeicherung	lokal auf Ihrem Gerät	beim Anbieter, oft auf Servern in Rechenzentren
Zugriff	nur Sie (bei sicherem Gerät)	über Konto, abhängig von Anbietersicherheit
Backup	Ihre Verantwortung	meist durch den Anbieter
Risiko	Diebstahl oder Verlust des Geräts, Schadsoftware	Datenpanne beim Anbieter, schwache Passwörter
Nutzung auf mehreren Geräten	eingeschränkt	einfach

Keines der Modelle ist grundsätzlich sicherer. Entscheidend ist, wie sorgfältig Sie mit Gerät und Zugangsdaten umgehen und wie seriös der Anbieter arbeitet.

Prüfpunkte vor der Nutzung

Datenschutzerklärung lesen: Welche Daten werden zu welchem Zweck verarbeitet, an wen weitergegeben?
Serverstandort: Werden Daten in Deutschland oder der EU verarbeitet? Bei Übermittlung in Drittländer müssen besondere Garantien bestehen.
Verschlüsselung: Übertragung und Speicherung sollten verschlüsselt sein.
Zwei-Faktor-Anmeldung: Wenn angeboten, aktivieren Sie sie.
Löschfristen: Wann werden Daten nach Vertragsende gelöscht, und können Sie sie vorher exportieren?
Werbung und Tracking: Wird Ihr Nutzungsverhalten ausgewertet? Prüfen Sie Cookie-Einstellungen.
Auftragsverarbeitung bei beruflicher Nutzung: Wenn Sie als Selbstständiger Daten Ihrer Kunden verarbeiten, benötigen Sie in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter.
Kontakt und Verantwortliche: Impressum und Datenschutzbeauftragter sollten erreichbar sein.

Ihre Rechte nach der DSGVO

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenn ein Anbieter Rechte nicht beachtet, können Sie sich an die zuständige Datenschutzaufsichtsbehörde wenden; die Behörden der Länder und der Bundesbeauftragte für den Datenschutz stellen Informationen bereit. Beachten Sie: Gesetzliche Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen, etwa bei Buchführungsunterlagen von Selbstständigen.

Phishing und Betrug

Betrüger verschicken E-Mails oder Nachrichten, die angeblich vom Finanzamt oder von ELSTER stammen und zur Eingabe von Zugangsdaten auffordern, etwa wegen einer „Steuererstattung“. Typische Merkmale sind Druck, Fristen, Links zu fremden Seiten und Rechtschreibfehler. Die Finanzverwaltung fordert nicht per E-Mail zur Eingabe von Passwörtern oder zum Versand von Zertifikatsdateien auf. Folgen Sie keinen Links in verdächtigen Nachrichten, rufen Sie das Portal über die selbst eingegebene Adresse auf und melden Sie Betrugsversuche bei den zuständigen Stellen. Informationen zu aktuellen Warnungen finden Sie beim Bundesamt für Sicherheit in der Informationstechnik und bei der Verbraucherzentrale.

Praktische Schutzmaßnahmen

Starkes, einzigartiges Passwort pro Dienst; ein Passwortmanager hilft.
Zwei-Faktor-Anmeldung aktivieren, wo möglich.
Zertifikatsdatei sicher speichern, nicht per E-Mail versenden, Passwort separat aufbewahren.
Geräte aktuell halten: Betriebssystem, Browser und Virenschutz.
Öffentliche WLANs meiden oder ein VPN nutzen.
Abmelden, besonders an fremden Geräten.
Backups verschlüsseln.
Ausdrucke sicher aufbewahren oder vernichten.

Beispiel (illustrativ)

Eine Nutzerin erhält eine Nachricht: „Ihre Steuererstattung wartet, bestätigen Sie Ihre Zugangsdaten.“ Statt auf den Link zu klicken, öffnet sie das ELSTER-Portal über die Adresszeile und findet dort keine Nachricht. Sie meldet die E-Mail als Phishing. Dieses Vorgehen entspricht den Empfehlungen offizieller Stellen: Nie über Links in verdächtigen Nachrichten anmelden.

Besonderheiten für Selbstständige

Wer als Unternehmer Daten Dritter verarbeitet, etwa Kundendaten in einer Buchhaltungssoftware, trägt Pflichten nach der DSGVO: Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, gegebenenfalls Auftragsverarbeitungsvertrag. Prüfen Sie bei der Auswahl, ob der Anbieter einen solchen Vertrag bereitstellt. Dazu kommen die Aufbewahrungsfristen; Sie finden sie im Beitrag Belege erfassen mit Steuersoftware.

Beim Anbieterwechsel

Vor einer Kündigung sollten Sie Daten exportieren und die Löschung verlangen. Bitten Sie um eine Bestätigung. Mehr dazu im Beitrag Steuersoftware wechseln. Beachten Sie, dass bei bestimmten Daten gesetzliche Aufbewahrungsfristen gelten.

Fragen an den Anbieter

Wenn die Datenschutzerklärung Fragen offenlässt, können Sie dem Anbieter schreiben. Sinnvolle Fragen lauten: In welchem Land werden meine Daten gespeichert und verarbeitet? Welche Unterauftragnehmer haben Zugriff? Werden Daten zu Analyse- oder Werbezwecken genutzt, und kann ich dem widersprechen? Wie lange speichern Sie Daten nach Kündigung? Wie läuft eine Löschanfrage ab, und wie bestätigen Sie sie? Wer ein Programm für berufliche Zwecke einsetzt, sollte zusätzlich nach einem Auftragsverarbeitungsvertrag fragen. Die Antwort sagt viel über die Professionalität des Anbieters aus; ausweichende Auskünfte sind ein Warnsignal.

Häufige Fragen

Sind Cloud-Steuerprogramme unsicher?

Nicht grundsätzlich. Entscheidend sind Anbieterseriosität, Verschlüsselung, Zugangsschutz und Ihre Passwortdisziplin.

Wo kann ich mich bei Datenschutzverstößen beschweren?

Bei der zuständigen Datenschutzaufsichtsbehörde Ihres Bundeslandes oder beim Bundesbeauftragten für den Datenschutz.

Soll ich meine ELSTER-Zertifikatsdatei in der Cloud speichern?

Nur verschlüsselt und mit starkem Passwort. Besser ist ein sicherer lokaler Speicher mit Sicherung.

Quellen

Bundesamt für Sicherheit in der Informationstechnik – Hinweise zu Passwörtern und Phishing
Bundesbeauftragter für den Datenschutz – DSGVO-Rechte
ELSTER – Sicherheitshinweise zum Portal