KI und Sicherheit für Treuhand und Steuerberatung
Mandantendaten, Berufsgeheimnis und eine Abschlusssaison, in der nichts stehen bleiben darf. Wo wir in Treuhandunternehmen konkret ansetzen. Und welche wiederkehrende Arbeit dort als Erstes wegfallen kann.
Die Lage
Ein Treuhandunternehmen verwaltet das, was Mandanten am wenigsten gern aus der Hand geben: Löhne, Steuern, Buchhaltung, Bankzugänge. Vieles davon läuft über Mail, Portale und Buchhaltungssoftware, und fast alles geht durch wenige Hände.
Genau das macht die Branche zum Ziel für Zahlungsbetrug. Eine gefälschte Zahlungsanweisung im Namen eines Mandanten, ein Lohnlauf mit geänderter Kontonummer, ein Anhang in einer Mail, die aussieht wie jede andere. Der Schaden trifft nicht nur das Unternehmen, sondern das Vertrauen des Mandanten.
Dazu kommt das Berufsgeheimnis. Es gilt unabhängig davon, welches Werkzeug im Einsatz ist, und es schliesst heute auch die Frage ein, welche Daten in welche Cloud und in welches KI-Werkzeug fliessen. Revisionsstellen und grössere Mandanten fragen inzwischen gezielt danach.
Für eine eigene Sicherheitsstelle ist ein Treuhandunternehmen mit zwölf oder dreissig Leuten zu klein. Die Rolle braucht es trotzdem. Wir übernehmen sie auf Mandatsbasis, beginnen mit dem, was den grössten Schaden verhindert, und bleiben, bis es im Alltag läuft.
Was wir in dieser Branche antreffen
- Zahlungsläufe und Bankzugänge in wenigen HändenWer Zahlungen für Mandanten freigibt, ist das lohnendste Ziel im Haus. Ohne Vier-Augen-Prinzip und saubere Zugänge reicht eine gut gemachte Mail.
- Mail ist der Hauptkanal, und Mail ist der HauptangriffswegBelege, Löhne, Steuererklärungen: fast alles kommt per Mail und geht per Mail. Phishing sieht in dieser Branche aus wie Alltag.
- Mandantendaten verteilt über Software, Portale und AblageBuchhaltung, Lohn, Dokumentenablage, Bankportale, Steuerportale der Kantone. Wer Zugriff auf was hat, ist historisch gewachsen und selten dokumentiert.
- Das Berufsgeheimnis gilt auch für Cloud und KIMitarbeitende kopieren Mandantendaten in Übersetzer und Chat-Werkzeuge, weil es schneller geht. Ohne Regel und ohne eine zugelassene Alternative passiert das weiter.
- Die Abschlusssaison verträgt keinen AusfallEin verschlüsselter Server im Februar ist etwas anderes als im August. Ob das Backup zurückgespielt werden kann, zeigt sich im schlechtesten Moment.
- Revisionsstellen und Mandanten fragen nach NachweisenGrössere Mandanten und Prüfer wollen belegt sehen, wie Daten geschützt sind. Jede Anfrage wird einzeln beantwortet, weil nichts bereitliegt.
Wo im Treuhand die Zeit hingeht, und was wir dort bauen
Das sind die Abläufe, nach denen wir im ersten Gespräch fragen, weil wir sie in Treuhand- und Steuerberatungsunternehmen immer wieder antreffen.
Wo die Zeit hingeht
- Belege einsammeln, jedes JahrDieselben Mandanten, dieselben Unterlagen, dieselbe Erinnerungsschleife.
- Monatsabschluss von Hand vorbereitetAbgleichen, Kontieren, Rückfragen stellen. Jeden Monat, für jeden Mandanten, von Leuten, die dafür zu teuer sind.
- Mandantenwissen bei einer PersonWer den Mandanten betreut, kennt die Geschichte. Sonst niemand.
- Fristen von Hand überwachtJedes Unternehmen hat seine Liste. Und jedes hat schon einmal eine Frist knapp erwischt.
- Rückfragen wiederholen sichDieselbe Auskunft zum fünften Mal, weil die Antwort nirgends abgelegt ist.
- Auswertungen auf AnfrageDer Mandant fragt, jemand baut die Auswertung. Jedes Mal neu.
Was wir bauen
- Unterlagen-Anforderung mit StatusWer hat was geliefert, was fehlt, wer wurde wann erinnert. Für alle im Team sichtbar.
- Monatsabschluss-VorbereitungOffene Posten, fehlende Belege und Rückfragen an den Mandanten liegen vorbereitet da. Deine Leute prüfen und buchen, statt zu suchen.
- Mandanten-DossierVor jedem Gespräch: Historie, offene Punkte, letzte Entscheide. Auch für die Vertretung lesbar.
- Antwortentwürfe für StandardfragenAus deinen früheren Antworten und deinen Unterlagen. Du prüfst und sendest.
Wo wir anfangen würden: Beginn mit der Monatsabschluss-Vorbereitung. Der Effekt ist beim nächsten Abschluss messbar, und die Baseline dafür hast du aus dem letzten. Mandantendaten und Berufsgeheimnis setzen den Rahmen: Wir klären vor dem Start, welche Daten welches Modell sehen darf, und halten das schriftlich fest.
Typischer Auslöser
Eine gefälschte Zahlungsanweisung kommt fast durch. Oder ein grosser Mandant schickt vor der Mandatserneuerung einen Sicherheitsfragebogen, und die Antworten müssen erst erarbeitet werden.
Der ODCUS-Unterschied
Wir verkaufen keine zusätzlichen Werkzeuge. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Viele Mandate beginnen damit, Kosten zu senken und den Schutz gleichzeitig zu verbessern.
Warum diese Leistungen dort greifen
Zuerst die Stellen schliessen, an denen Geld verloren geht
Zum Festpreis erheben wir den Stand: Zahlungsfreigaben, Mailschutz, Zugänge, Backup. Priorisiert nach dem, was in einem Treuhandunternehmen den grössten Schaden anrichtet, nicht nach Produktkatalog.
Was sich dabei an doppelten Werkzeugen und ungenutzten Lizenzen findet, finanziert oft einen Teil der Massnahmen.
Zugänge, Mail und Freigaben im Griff, ohne die Saison zu stören
Wir ordnen Konten und Berechtigungen, härten Microsoft 365, führen das Vier-Augen-Prinzip bei Zahlungen ein und regeln, welche Daten in welche Werkzeuge dürfen. Umgesetzt ausserhalb der Spitzenzeiten.
Deine Leute bleiben bei den Mandanten. Wir arbeiten den Rückstand ab und übergeben so, dass er nicht wieder entsteht.
Eine Antwort für Revisionsstellen und Mandanten, die bereitliegt
Ein schlankes ISMS dokumentiert einmal, wie Mandantendaten geschützt sind, und beantwortet damit Prüfer- und Mandantenfragen, ohne jedes Mal neu zu suchen.
Wo ein Mandant ISO 27001 verlangt, begleiten wir bis zum Zertifikat. In den meisten Fällen reicht der belegbare Stand.
Eine verantwortliche Person, die du nicht anstellen musst
Ein bis zwei Tage pro Monat: Prioritäten setzen, den IT-Dienstleister steuern, Mitarbeitende sensibilisieren, der Geschäftsleitung berichten. Die Rolle, die in Treuhandunternehmen fast immer fehlt.
Das Mandat lässt sich anpassen, wenn das Programm steht. Keine Stelle, keine langfristige Verpflichtung.
Für wen das passt
- Treuhand-, Steuer- und Buchhaltungsunternehmen ab etwa zehn Mitarbeitenden ohne eigene IT-Rolle
- Unternehmen, die Zahlungen und Lohnläufe für Mandanten ausführen
- Treuhänder, die Mandantendaten auch mit KI-Werkzeugen nutzen wollen, ohne das Berufsgeheimnis zu verletzen
- Unternehmen, bei denen Revisionsstellen oder grosse Mandanten Nachweise verlangen
Verwandte Mandate
- Microsoft-365-Härtung: Mailschutz und Zugänge bei einem Dienstleistungsunternehmen
- Privilegierte Zugänge geordnet: wer darf was, nachvollziehbar
- Ransomware-Recovery nach vollständiger Verschlüsselung
Anonymisierte Einblicke in echte Mandate. Nicht alle stammen aus dieser Branche, die Aufgabenstellung ist aber dieselbe.
Häufige Fragen
Wir sind zwölf Leute. Ist das nicht zu klein für Sicherheitsführung?
Für eine Vollzeitstelle ja. Die Rolle braucht ihr trotzdem, weil ihr das volle Risiko mit Mandantengeldern und Berufsgeheimnis tragt. Ein Tag pro Monat reicht oft, um die wichtigsten Lücken zu schliessen und den Dienstleister zu steuern.
Dürfen wir Mandantendaten überhaupt in KI-Werkzeuge geben?
Nur mit Regeln, die zum Berufsgeheimnis passen: welche Daten, welches Werkzeug, welcher Datenstandort, welcher Vertrag. Wir legen das vor dem ersten Einsatz fest. Für besonders heikle Daten gibt es den Betrieb im eigenen Haus.
Was ist das Erste, das wir tun sollten?
Zahlungsfreigaben mit Vier-Augen-Prinzip und ein zweiter Faktor auf jedem Konto, das an Mandantendaten kommt. Beides ist in Tagen umgesetzt und verhindert die Vorfälle, die in dieser Branche am häufigsten echtes Geld kosten.
Sprechen wir über deine Situation
Dreissig Minuten, kostenlos und unverbindlich. Wir sagen dir ehrlich, ob und wo wir helfen können.