Notebook für Kanzlei, Praxis und Steuerberatung: wenn fremde Daten auf dem Gerät liegen
In einer Kanzlei, einer Praxis oder in der Steuerberatung liegen keine eigenen Daten auf dem Rechner, sondern anvertraute. Mandanten, Patientinnen und Beschäftigte haben nicht entschieden, welches Notebook du kaufst – tragen aber die Folgen, wenn es abhandenkommt. Dazu kommen berufsrechtliche Verschwiegenheitspflichten und die Vorgaben des Datenschutzrechts an technische Maßnahmen. Ein Notebook für Kanzlei, ein Notebook für Praxis oder ein Laptop für Steuerberatung wird deshalb nicht nach Ausstattung ausgewählt, sondern danach, ob sich seine Konfiguration im Zweifel begründen lässt. Diese Seite zeigt, worauf es dabei ankommt – und was ausdrücklich nicht Aufgabe der Hardware ist.
Das Wichtigste vorweg: Fünf Maßnahmen bilden den Grundschutz: vollständige Datenträgerverschlüsselung, ein System mit zeitnahen Sicherheitsaktualisierungen, eine getestete Sicherung an einem getrennten Ort, getrennte Benutzerkonten ohne tägliche Administratorrechte und eine starke Anmeldung für externe Dienste. Alles Weitere – abwählbare Sensoren, Manipulationsschutz, besonders isolierende Systeme – hängt vom Einzelfall ab. Und keine Hardware ersetzt ein Datenschutzkonzept, sie kann es nur unterstützen.
Ein Hinweis vorweg, der auf dieser Seite besonders zählt: Wir sind keine Rechtsberatung. Was in deiner Praxis oder Kanzlei angemessen ist, hängt von der konkreten Verarbeitung ab und gehört mit fachkundiger Beratung geklärt – berufsrechtlich wie datenschutzrechtlich. Diese Seite ordnet die technische Seite ein.
Geräte, bei denen sich Verschlüsselung, System und Sensoren beim Bestellen festlegen lassen, gibt es bei unserem Partner NovaCustom: die Serien V54 und V56 sowie die vorkonfigurierten Datenschutzmodelle.
Inhalt dieser Seite
Notebook für Kanzlei und Praxis: was hier anders ist
Für Privatpersonen ist IT-Sicherheit eine Frage der eigenen Vorsicht. Für Berufsgeheimnisträger kommen drei Besonderheiten dazu.
Der Schaden trifft andere. Wenn ein Notebook mit Mandantenakten verloren geht, entsteht der Schaden bei Menschen, die keinen Einfluss auf deine Gerätewahl hatten. Diese Asymmetrie rechtfertigt Aufwand, der privat übertrieben wäre.
Es gibt Rechenschaftspflichten. Verantwortliche müssen darlegen können, welche technischen und organisatorischen Maßnahmen sie getroffen haben. Eine Konfiguration, die sich benennen und begründen lässt, ist deshalb mehr wert als eine, die zufällig zustande kam.
Berufsrecht und Datenschutzrecht wirken zusammen. Verschwiegenheitspflichten aus dem Berufsrecht bestehen unabhängig von der Datenschutz-Grundverordnung und können eigene Anforderungen stellen – etwa daran, wer Zugang zu Unterlagen erhält, auch bei Wartung und Reparatur.
Der rechtliche Rahmen in Kürze
Drei Anknüpfungspunkte aus der Datenschutz-Grundverordnung tauchen in diesem Zusammenhang regelmäßig auf.
← Tabelle seitlich scrollen →
| Vorgabe | Was sie verlangt | Bezug zum Gerät |
|---|---|---|
| Art. 5 Abs. 1 lit. c | Datenminimierung – Daten dem Zweck angemessen und auf das notwendige Maß beschränkt | Weniger lokale Datenhaltung, klare Löschpraxis |
| Art. 9 | Besondere Kategorien personenbezogener Daten, darunter Gesundheitsdaten | Erhöht das Schutzniveau in der Risikoabwägung, schreibt aber kein Modell vor |
| Art. 25 | Datenschutz soll bereits bei Auswahl und Gestaltung der Verarbeitung berücksichtigt werden; standardmäßig sollen nur die für den Zweck notwendigen Daten verarbeitet und zugänglich sein | Eine durchdachte Gerätekonfiguration kann das unterstützen |
| Art. 32 | Technische und organisatorische Maßnahmen, die dem Risiko angemessen sind | Verschlüsselung, Zugriffsschutz, Wiederherstellbarkeit, regelmäßige Überprüfung |
| Art. 33 | Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde | Grundsätzlich unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden |
| Art. 34 | Benachrichtigung der betroffenen Personen bei voraussichtlich hohem Risiko | Wirksame Verschlüsselung kann hier entlastend wirken |
Anknüpfungspunkte der Datenschutz-Grundverordnung. Was im Einzelfall angemessen ist, entscheidet die konkrete Verarbeitung – nicht diese Tabelle.
Was verlangt Art. 32 DSGVO für ein Notebook? Kein bestimmtes Gerät. Verantwortliche müssen abhängig vom Risiko ein angemessenes Schutzniveau herstellen. Die Verordnung nennt dafür unter anderem Verschlüsselung und Pseudonymisierung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur zeitnahen Wiederherstellung nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Ein DSGVO-Notebook im Sinne eines Produktmerkmals gibt es deshalb nicht – wohl aber eine Konfiguration, die sich an diesen Punkten messen lässt.
Ein verbreitetes Missverständnis: Es gibt kein datenschutzkonformes Notebook. Die Verordnung schreibt weder ein Modell noch einen Hersteller noch ein Betriebssystem vor. Ein datensparsam konfiguriertes Gerät kann Teil eines Schutzkonzepts sein und die Begründung erleichtern – Konformität begründet es für sich allein nicht. Wer mit einem Siegel wirbt, das etwas anderes suggeriert, verkauft ein Gefühl.
Notebook für Rechtsanwälte und Kanzleien: Mandantendaten und Berufsgeheimnis
Für eine Rechtsanwaltskanzlei gibt es kein vorgeschriebenes Notebookmodell. Entscheidend ist, dass Mandantendaten angemessen geschützt werden und die berufliche Verschwiegenheit auch bei Nutzung, Wartung, Fernzugriff und Weitergabe des Geräts gewahrt bleibt. Ein Laptop für Kanzlei-Einsatz wird also nicht durch das Typenschild geeignet, sondern durch eine Konfiguration, die sich benennen und begründen lässt.
Auf einem Kanzleirechner sammelt sich mehr als die Akte: Schriftsatzentwürfe, Korrespondenz, Fristnotizen, Gesprächsvermerke und Kalendereinträge, die allein durch Namen und Zeitpunkt aussagekräftig sind. Wer ein Notebook für Rechtsanwälte auswählt, sollte deshalb zuerst klären, wie viel davon lokal liegen muss und wie viel in der Kanzleisoftware bleiben kann.
Das besondere elektronische Anwaltspostfach. Mit dem beA existiert ein Kanzleisystem, dessen Zugang an persönliche Sicherheitsmittel gebunden ist. Für die Gerätewahl heißt das vor allem: Der Zugang gehört zur Person, nicht zum Gerät, und Zugangsmittel dürfen nicht dauerhaft am Rechner verbleiben. Die Bundesrechtsanwaltskammer aktualisiert die zugehörigen Vorgaben und unterstützten Zugriffsmittel laufend – ein Blick auf den aktuellen Stand gehört zur Beschaffungsentscheidung, wenn das Gerät für den Postfachzugang genutzt werden soll.
Elektronische Akte und lokale Ablage. Wo mit einer elektronischen Akte gearbeitet wird, liegt der Bestand idealerweise in der Fachanwendung und nicht als Dateisammlung auf dem Notebook. Das reduziert genau das Risiko, das ein Geräteverlust auslöst. Wo lokale Kopien unvermeidlich sind – etwa für Termine ohne Netzverbindung –, gehören sie auf einen verschlüsselten Datenträger und nach Gebrauch wieder heruntergenommen.
Mobile Arbeit. Gerichtstermine, Mandantenbesuche, Homeoffice: Ein Kanzlei-Notebook ist häufig unterwegs, und damit steigt das Verlustrisiko. Vollständige Verschlüsselung, ein eigenes Benutzerkonto je Person und das Herunterfahren statt Zuklappen sind hier die naheliegenden Maßnahmen.
Wartung und Weitergabe. Bei Berufsgeheimnisträgern reicht es nicht, den Datenschutz zu betrachten – die berufsrechtliche Verschwiegenheit besteht daneben und stellt eigene Anforderungen an die Einbindung von Dienstleistern. Kläre vor jeder Reparatur, ob dabei tatsächlich Zugriff auf geschützte Daten entsteht, und lass dir das vertraglich absichern, wo es sich nicht vermeiden lässt.
Notebook für Arztpraxis: Patientendaten und IT-Sicherheitsrichtlinie
Ein Notebook für Praxis-Einsatz unterliegt zusätzlich zur DSGVO einer eigenen Richtlinie: Für vertragsärztliche und vertragspsychotherapeutische Praxen gilt die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung auf Grundlage von § 390 SGB V. Sie enthält konkretere Vorgaben als die allgemeine Datenschutzdiskussion – und beantwortet damit viele Fragen, die sonst offenbleiben.
Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Das erhöht die Bedeutung einer risikogerechten technischen und organisatorischen Absicherung, macht aber kein bestimmtes Laptopmodell erforderlich.
Was die IT-Sicherheitsrichtlinie für mobile Geräte verlangt. Die Richtlinie nennt für Notebooks und andere mobile Endgeräte unter anderem eine dokumentierte sichere Grundkonfiguration, das Abschalten nicht benötigter Funktionen, die Beschränkung von Kommunikationsschnittstellen auf das dienstlich notwendige Maß, zeitnahe Aktualisierungen sowie ein Berechtigungskonzept nach dem Grundsatz, dass jede Person nur die Zugriffe erhält, die sie tatsächlich braucht. Für Webanwendungen sieht sie eine Zwei-Faktor-Anmeldung oder eine vergleichbar starke Authentisierung vor. Für größere Praxen kommen zusätzliche Anforderungen an die zentrale Verwaltung mobiler Geräte hinzu.
Der praktische Wert für die Gerätewahl: Aus dieser Richtlinie lässt sich eine Anforderungsliste ableiten, die es für Kanzleien und Steuerberatung in dieser Form nicht gibt. Wer ein Laptop für Praxis-Einsatz beschafft, kann die Punkte direkt abhaken – dokumentierte Grundkonfiguration, deaktivierte Schnittstellen, Updateverantwortung, Rechtekonzept – und hat damit zugleich die Dokumentation, die im Prüfungsfall verlangt wird.
Die Praxissysteme im Hintergrund. Ein Notebook für Arztpraxis-Einsatz steht selten allein: Praxisverwaltungssystem, Telematikinfrastruktur, KIM für die sichere Kommunikation, elektronischer Heilberufsausweis und die Institutionskarte SMC-B bilden das Umfeld. Für die Gerätewahl ist vor allem relevant, welche dieser Komponenten am mobilen Gerät überhaupt benötigt werden – und welche bewusst nur am stationären Arbeitsplatz laufen sollten.
Videosprechstunde und Sensoren. Wo Videosprechstunden geführt werden, sind Kamera und Mikrofon Arbeitsmittel und keine Angriffsfläche, die man wegkonfiguriert. Wo sie nicht gebraucht werden, spricht nichts dagegen, ihren Zugriff restriktiv einzustellen – das entspricht der Vorgabe, nicht benötigte Funktionen zu deaktivieren.
Notebook für Steuerberater: Mandantendaten und mobiles Arbeiten
Für ein Notebook für Steuerberatung gelten dieselben Grundsätze wie in der Kanzlei: verschlüsselter Datenträger, gepflegtes System, geregelter Zugriff, getestete Sicherung. Hinzu kommt die berufliche Verschwiegenheitspflicht, die neben dem Datenschutzrecht besteht – und in der Steuerberatung besonders häufig die Frage nach mobilem Arbeiten aufwirft.
Ein Notebook für Steuerberatung verarbeitet Mandantendaten, die wirtschaftlich hochsensibel sind: Umsätze, Löhne, Beteiligungen, teils auch personenbezogene Daten der Beschäftigten des Mandanten. Ein Verlust betrifft damit nicht nur die Kanzlei, sondern deren Mandanten und deren Beschäftigte.
Was die Berufskammer bereitstellt. Die Bundessteuerberaterkammer veröffentlicht eigene Datenschutzhilfen für die Kanzleiorganisation – darunter Hinweise zum Umgang mit personenbezogenen Daten, ein Muster für das Verzeichnis von Verarbeitungstätigkeiten, ein Löschkonzept, eine Zusatzvereinbarung zur Auftragsverarbeitung und eine Prüfliste zum Datenschutz im Homeoffice und beim mobilen Arbeiten. Wer ein Laptop für Steuerberatung beschafft, sollte diese Prüfliste vor der Entscheidung durchgehen: Sie beantwortet mehr Fragen als ein Datenblatt.
Homeoffice ist hier der Normalfall. Anders als in vielen Praxen wird in der Steuerberatung regelmäßig außerhalb der Kanzlei gearbeitet – in der Saison auch von mehreren Personen gleichzeitig. Das verlagert den Schwerpunkt von der Gerätewahl auf die Regelung: Wer darf was von wo, welche Daten dürfen lokal liegen, wie ist der Fernzugriff abgesichert, was passiert bei Verlust.
Das Löschkonzept betrifft auch die Hardware. Wo ein Löschkonzept besteht, endet es nicht bei den Daten in der Fachanwendung. Ein ausgemustertes Steuerberater-Notebook fällt darunter – und ein durchgängig verschlüsselter Datenträger vereinfacht diesen Schritt erheblich, weil das Unbrauchbarmachen des Schlüssels ein wirksamer Teil des Vorgangs sein kann.
Kanzlei, Arztpraxis und Steuerberatung im Vergleich
← Tabelle seitlich scrollen →
| Punkt | Rechtsanwaltskanzlei | Arztpraxis | Steuerberatung |
|---|---|---|---|
| Typische Daten | Mandanten- und Verfahrensdaten | Patienten- und Gesundheitsdaten | Mandanten-, Steuer- und Lohndaten |
| Berufsgeheimnis | ja | ja | ja |
| Besondere Datenkategorie | in der Regel nein | ja, Art. 9 DSGVO | in der Regel nein |
| Fachsysteme | beA, Kanzleisoftware, elektronische Akte | Praxisverwaltungssystem, Telematikinfrastruktur, KIM | Kanzlei- und Steuersoftware |
| Eigene IT-Richtlinie | allgemeine berufsrechtliche Anforderungen | IT-Sicherheitsrichtlinie der KBV | Hilfen und Prüflisten der Berufskammer |
| Mobile Nutzung | häufig, Termine und Gericht | eher begrenzt, meist stationär | häufig, Homeoffice und Saison |
| Reparatur und Fremdzugriff | Verschwiegenheit beachten | Schweigepflicht und Patientendaten | Mandantengeheimnis beachten |
Gegenüberstellung der Schwerpunkte. Die Tabelle ersetzt keine Prüfung des Einzelfalls und keine Rechtsberatung.
Die aufschlussreichste Zeile ist die fünfte: Nur für Arztpraxen existiert eine ausformulierte IT-Richtlinie mit konkreten Anforderungen. Kanzleien und Steuerberatung arbeiten mit allgemeineren Vorgaben – was die Freiheit erhöht und zugleich bedeutet, dass die Begründung der eigenen Konfiguration wichtiger wird.
Notebook verloren: wann wird daraus ein Datenschutzvorfall?
Ein verlorenes Kanzlei- oder Praxisnotebook ist nicht automatisch ein meldepflichtiger Datenschutzvorfall. Entscheidend ist, welche personenbezogenen Daten betroffen sind, ob Unbefugte darauf zugreifen können und welches Risiko daraus entsteht. Eine wirksame Verschlüsselung kann die Risikobewertung erheblich beeinflussen, ersetzt die Prüfung des Vorfalls aber nicht.
Der Ablauf in der Reihenfolge, in der er stattfinden sollte.
- Intern melden und dokumentieren. Wann ist das Gerät abhandengekommen, welche Daten waren darauf, war es verschlüsselt, war es ausgeschaltet oder nur gesperrt.
- Zugänge sperren. Angemeldete Konten abmelden, Sitzungen widerrufen, Zertifikate und Zugangsmittel sperren lassen.
- Risiko bewerten. Können Unbefugte auf die Daten zugreifen? Bei einem ausgeschalteten, vollständig verschlüsselten Gerät sieht das anders aus als bei einem entsperrten.
- Meldung prüfen. Nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst binnen 72 Stunden ab Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
- Betroffene informieren? Bei voraussichtlich hohem Risiko kommt zusätzlich Art. 34 in Betracht. Gerade hier kann eine wirksame Verschlüsselung entlastend wirken, weil die Daten für Unbefugte unverständlich bleiben.
Wichtig: Das ist kein Automatismus in beide Richtungen. Weder ist jeder Verlust meldepflichtig, noch entfällt die Prüfung, nur weil das Gerät verschlüsselt war. Den konkreten Ablauf solltest du vorher schriftlich festhalten – im Ernstfall fehlt die Zeit, ihn zu erfinden.
Notebook für Praxis und Kanzlei: was dokumentiert gehört
Der praktische Kern dieser Seite: Nicht das Gerät entscheidet, sondern die Nachvollziehbarkeit der Entscheidungen.
← Tabelle seitlich scrollen →
| Punkt | Was festgehalten wird |
|---|---|
| Betriebssystem | Version und Ende der Sicherheitsversorgung |
| Verschlüsselung | Verfahren und wo der Wiederherstellungszugang liegt |
| Benutzerkonten | Wer hat ein Konto, wer hat Administratorrechte |
| Starke Anmeldung | Für welche Dienste ein zweiter Faktor eingerichtet ist |
| Aktualisierungen | Wer verantwortet sie, automatisch oder geplant |
| Sicherung | Ziel, Häufigkeit, Datum des letzten Wiederherstellungstests |
| Lokale Daten | Was darf auf dem Gerät liegen, was nicht |
| Fernzugriff | Wer greift von wo zu und wie abgesichert |
| Sensoren und Schnittstellen | Benötigt, deaktiviert oder nicht verbaut |
| Reparatur | Vorgehen bei Fremdzugriff auf das Gerät |
| Verlust | Wer wird informiert, wer prüft, wer meldet |
| Ausmusterung | Löschverfahren und Nachweis |
Diese Übersicht ist in einer Stunde ausgefüllt und beantwortet die Fragen, die im Prüfungsfall zuerst gestellt werden.
Die fünf Basismaßnahmen für jedes Gerät
Unabhängig von Fachrichtung und Größe gehören diese fünf Maßnahmen zu einem belastbaren Grundschutz und lassen sich in nahezu jeder kleinen Kanzlei oder Praxis sinnvoll prüfen.
Vollständige Verschlüsselung
Der Datenträger verschlüsselt, das Gerät heruntergefahren statt zugeklappt, wenn es die Praxis verlässt. Der Wiederherstellungsschlüssel getrennt aufbewahrt.
Aktualisierungen
Ein System, das noch Sicherheitsupdates bekommt – und ein Blick auf das Enddatum, bevor die Versorgung still ausläuft.
Getestete Sicherung
An einem getrennten Ort, verschlüsselt, und mindestens einmal wiederhergestellt. Eine ungetestete Sicherung ist eine Hoffnung.
Zugriff regeln
Getrennte Benutzerkonten statt eines gemeinsamen, keine Administratorrechte im Alltag, Zugriffe nur im tatsächlich benötigten Umfang.
Starke Anmeldung
Für Mail, Cloud und Fernzugriff ein zweiter Faktor, wo verfügbar möglichst ein phishingresistentes Verfahren. Ein Passwortmanager erleichtert lange, einzigartige Zugangsdaten und den geordneten Entzug beim Personalwechsel.
Zur Verschlüsselung gehört ein Detail, das in Praxen häufig übersehen wird: Sie schützt das ausgeschaltete Gerät. Ein zugeklapptes Notebook im Bereitschaftsmodus hat den Schlüssel weiterhin im Arbeitsspeicher. Wenn das Gerät die Praxis verlässt oder über Nacht bleibt, gehört es ausgeschaltet. Wie das Verfahren funktioniert, steht auf unserer Seite Festplatte verschlüsseln.
Praxis-Notebook und Kanzlei-IT: was je nach Fall dazukommt
Diese Punkte sind nicht für alle nötig – aber für manche naheliegend.
Kamera und Mikrofon. Werden sie am vorgesehenen Arbeitsplatz nicht gebraucht, sind restriktive Berechtigungen oder eine Deaktivierung der naheliegende Schritt – das entspricht auch der Vorgabe, nicht benötigte Funktionen abzuschalten. Eine physische Entfernung ab Werk ist eine zusätzliche Möglichkeit für besondere Bedrohungsmodelle, aber kein allgemeiner Grundschutz. Wer Videosprechstunden führt, braucht die Sensoren ohnehin.
Getrennte Geräte. Ein Rechner für die Fachanwendung, ein anderer für Recherche und Alltag kann bestimmte Arbeitsbereiche sehr klar isolieren. Ob das praktikabler ist als ein durchdachtes Rechtekonzept auf einem Gerät, hängt vom Arbeitsablauf ab.
Manipulationsschutz. Relevant, wenn gezielte unbemerkte Veränderungen an einem unbeaufsichtigten Gerät realistisch zum Bedrohungsmodell gehören. Publikumsverkehr allein begründet das noch nicht.
Reparatur und Wartung ohne Datenzugriff. Ein Punkt, der berufsrechtlich wie datenschutzrechtlich zählt: Wer ein Gerät zur Reparatur gibt oder Fernwartung zulässt, sollte klären, ob dabei Zugriff auf geschützte Daten entsteht. Bei vielen Hardwarearbeiten ist das nicht nötig, und ein entfernter Datenträger reduziert den möglichen Zugriff erheblich – vollständig gelöst ist die Frage damit aber nicht, weil Diagnose oder Auftragsumfang zusätzliche Zugriffe erfordern können. Wo ein Dienstleister tatsächlich Zugriff erhält, ist die vertragliche Grundlage zu prüfen – bei Berufsgeheimnisträgern gelten dafür zusätzliche berufsrechtliche Anforderungen, die du mit fachkundiger Beratung klärst.
Laptop für Praxis und Kanzlei im Homeoffice
Ein Thema, das in kleinen Einheiten oft nebenbei entsteht und selten sauber geregelt ist.
Das Gerät verlässt die Praxis. Damit ändert sich die Risikolage: Verlust, Diebstahl und Zugriff durch Haushaltsangehörige kommen dazu. Vollständige Verschlüsselung und getrennte Benutzerkonten gehören bei mobilen Geräten mit vertraulichen Daten zu den Maßnahmen, die in der Risikobewertung besonders naheliegen. Und das Gerät gehört heruntergefahren, wenn es nicht genutzt wird.
Privatgeräte sind ein eigener Fall. Wenn Beschäftigte eigene Rechner nutzen, entsteht eine Konstellation, die geregelt sein will – von der Frage, wer Zugriff auf das Gerät hat, bis zur Rückgabe von Daten beim Ausscheiden. Eine klare Regelung ist hier wichtiger als jede technische Maßnahme.
Fernzugriff auf die Fachanwendung. Wer von außen auf Praxis- oder Kanzleisysteme zugreift, sollte eine dem Risiko angemessene Authentisierung wählen und protokollieren, wer wann verbunden war. Mehrfaktor-Authentisierung ist dabei eine wichtige zusätzliche Schutzebene; für Webanwendungen in Praxen sieht die IT-Sicherheitsrichtlinie sie ausdrücklich vor.
Wenn doch etwas passiert: Für Verletzungen des Schutzes personenbezogener Daten bestehen Melde- und Dokumentationspflichten mit knappen Fristen. Wer erst im Ernstfall anfängt zu klären, wer was zu tun hat, verliert genau die Zeit, die dafür vorgesehen ist. Ein kurzer schriftlicher Ablauf – wer wird informiert, wer prüft, wer meldet – gehört zur Vorbereitung.
Laptop für die Kanzlei: woran du ein geeignetes Gerät erkennst
Sechs Punkte, die sich vor dem Kauf klären lassen und in einer Dokumentation der Maßnahmen brauchbar sind.
← Tabelle seitlich scrollen →
| Kriterium | Warum es zählt |
|---|---|
| Verschlüsselung ab Werk einrichtbar | Der Schutz greift ab dem ersten Tag statt nach guter Absicht |
| Enddatum für Sicherheitsupdates | Getrennt für Betriebssystem und Firmware prüfen – das macht die Nutzungsdauer planbar |
| Ersatzteilverfügbarkeit mit Zeitraum | Ein defektes Gerät fällt nicht sofort ganz aus |
| Sensoren abwählbar | Option für Räume mit vertraulichen Gesprächen |
| Auslieferung ohne Zusatzsoftware | Weniger Komponenten, deren Verhalten zu prüfen wäre |
| Service- und Vertragsstandort | Relevant für Support, Reparatur und Vertragsabwicklung – sagt allein nichts darüber aus, wo später Daten verarbeitet werden |
Kriterien, die sich dokumentieren lassen. Sie ersetzen keine Bewertung der konkreten Verarbeitung.
Der zweite Punkt wird leicht unterschätzt. Ein Gerät ohne Sicherheitsupdates ist im Berufsumfeld schwer zu begründen. Wer vor dem Kauf prüft, wie lange Betriebssystem und Firmware versorgt werden, kann den Austausch planen statt ihn zu erleiden.
Was ein Notebook für Kanzlei oder Praxis nicht löst
Der ehrliche Teil, ohne den die Kaufentscheidung zu viel Gewicht bekommt.
Kontosicherheit. Phishing, gestohlene Zugangsdaten und übernommene Konten sind Angriffspfade, die unabhängig von der Hardware bestehen. Wie das selbst mit Zwei-Faktor-Anmeldung funktioniert, zeigt unser Beitrag zu Angriffen, die ein Konto ohne Passwort kapern.
Wo die Daten liegen. Fachanwendung, Dokumentenablage, Mail und Kalender entscheiden mit, wer Zugriff hat – oft mehr als das Endgerät. Worauf es bei einem Speicherdienst ankommt, ordnet unser Beitrag zu datenschutzfreundlichem Cloudspeicher ein.
Organisation. Wer darf was, wie lange werden Unterlagen aufbewahrt, wer bekommt bei Ausscheiden welchen Zugang entzogen. Das sind organisatorische Fragen, die kein Gerät beantwortet – und genau die, nach denen im Ernstfall gefragt wird.
Die vernünftige Reihenfolge: Erst klären, welche Daten wo verarbeitet werden und wer Zugriff hat. Dann die fünf Basismaßnahmen umsetzen. Und erst danach über Gerätemerkmale nachdenken. Wer umgekehrt vorgeht, kauft Ausstattung und hat trotzdem Lücken an den Stellen, die zuerst geprüft werden.
Anschaffung, Betrieb, Personalwechsel, Ausmusterung
Vier Phasen, in denen jeweils andere Fehler passieren.
Bei der Anschaffung. Verschlüsselung gleich einrichten, Wiederherstellungsschlüssel getrennt sichern, Sicherung aufsetzen, bevor die ersten Daten daraufkommen. Wie ein Backup aussieht, das trägt, steht in unserem Beitrag zu Festplatte sichern und System-Image erstellen.
Im Betrieb. Aktualisierungen zeitnah einspielen, Zugriffsrechte prüfen, wenn sich das Team ändert, und bei jedem Gerät wissen, wo es steht. Ein vergessenes Zweitgerät im Schrank ist ein Risiko, das in keiner Übersicht auftaucht.
Beim Personalwechsel. Ein Punkt, der in kleinen Einheiten leicht untergeht: Benutzerkonto deaktivieren, Zugangsmittel und Zertifikate zurücknehmen, Zugriff auf den Passwortmanager entziehen, Mail- und Cloudzugänge sperren, überlassene Geräte zurückholen und das Geräteverzeichnis aktualisieren. Wer das erst Wochen später merkt, hat währenddessen einen offenen Zugang.
Bei der Ausmusterung. Hier entsteht ein besonderes Risiko, weil das Gerät die kontrollierte Umgebung dauerhaft verlässt. Was verkauft, verschenkt oder eingetauscht wird, muss frei von lesbaren Daten sein – Löschen und Formatieren reicht dafür nicht. Warum, erklärt Daten sicher löschen bei Festplatte, SSD und ganzem PC. Bei einem durchgängig verschlüsselten Datenträger ist die Lage entspannter, entbindet aber nicht von einem sauberen Vorgehen.
Begriffe kurz erklärt
Berufsgeheimnisträger
Berufsgruppen mit besonderer Verschwiegenheitspflicht, etwa in Rechtsberatung, Heilberufen und Steuerberatung.
Technische und organisatorische Maßnahmen
Die Summe aus Technik und Abläufen, mit denen personenbezogene Daten geschützt werden. Beides gehört zusammen.
Rechenschaftspflicht
Die Pflicht, getroffene Maßnahmen darlegen zu können. Deshalb zählt eine begründbare Konfiguration.
Datenminimierung
Nur so viele Daten verarbeiten wie für den Zweck nötig. Gilt auch für das, was lokal auf dem Gerät liegt.
Auftragsverarbeitung
Wenn Dienstleister personenbezogene Daten in deinem Auftrag verarbeiten, braucht es eine vertragliche Grundlage. Betrifft Cloudspeicher, Fachanwendungen, Fernwartung und teilweise Reparaturdienste.
Versorgungszeitraum
Wie lange es Sicherheitsupdates und Ersatzteile gibt. Im Berufsumfeld ein Planungswert, kein Detail.
Häufige Fragen
Welches Notebook eignet sich für Kanzlei, Praxis oder Steuerberatung?
Eines, dessen Konfiguration sich begründen lässt: verschlüsselter Datenträger, System mit laufenden Sicherheitsupdates, dokumentierter Versorgungszeitraum und – je nach Räumlichkeiten – abwählbare Sensoren. Wichtiger als das Modell ist, dass diese Punkte bewusst entschieden und festgehalten sind.
Gibt es ein DSGVO-konformes Notebook?
Nein. Die Verordnung schreibt weder Modell noch Hersteller noch Betriebssystem vor. Ein datensparsam konfiguriertes Gerät kann Teil eines Schutzkonzepts sein und die Begründung erleichtern – Konformität entsteht aber aus der gesamten Verarbeitung, nicht aus der Hardware.
Muss ich Mandanten- oder Patientendaten verschlüsseln?
Die Verordnung nennt Verschlüsselung ausdrücklich als mögliche technische Maßnahme, schreibt sie aber nicht pauschal vor – maßgeblich ist die Angemessenheit im Einzelfall. In der Praxis ist die Datenträgerverschlüsselung bei mobilen Geräten die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung und entsprechend leicht zu begründen.
Was ist bei der Reparatur zu beachten?
Kläre vorab, ob die Werkstatt Zugriff auf die Daten braucht – bei vielen Hardwarearbeiten ist das nicht der Fall. Ein ausgebauter Datenträger oder ein durchgängig verschlüsseltes System entschärft die Frage. Wo ein Dienstleister tatsächlich Zugriff auf personenbezogene Daten erhält, ist die vertragliche Grundlage zu prüfen.
Brauche ich ein Gerät ohne Kamera und Mikrofon?
Werden Kamera und Mikrofon am vorgesehenen Arbeitsplatz nicht gebraucht, sind restriktive Berechtigungen oder eine Deaktivierung der naheliegende Schritt. Eine physische Entfernung ist eine zusätzliche Option für besondere Bedrohungsmodelle, aber kein allgemeiner Grundschutz. Wer Videosprechstunden führt, braucht die Sensoren ohnehin.
Wie lange darf ein Praxis-Notebook genutzt werden?
Eine feste Grenze gibt es nicht. Entscheidend ist, ob das System noch Sicherheitsupdates bekommt – ein Gerät ohne Versorgung ist im Berufsumfeld schwer zu begründen. Deshalb lohnt es sich, beim Kauf auf ein konkretes Enddatum für Updates und Ersatzteile zu achten.
Was muss beim Ausmustern passieren?
Das Gerät muss frei von lesbaren Daten sein, bevor es weitergegeben wird. Löschen und Formatieren reicht dafür nicht. Ein durchgängig verschlüsselter Datenträger entspannt die Lage, ersetzt aber kein sauberes Vorgehen – und der Vorgang gehört dokumentiert.
Welcher Laptop eignet sich für Steuerberater?
Dieselben Kriterien wie für Kanzlei und Praxis: verschlüsselter Datenträger, laufende Sicherheitsupdates mit dokumentiertem Enddatum, getestete Sicherung und geregelter Zugriff. Wer zusätzlich mit Fernzugriff auf die Fachanwendung arbeitet, sollte den Zugang mit einem zweiten Faktor absichern.
Darf ich im Homeoffice mit Mandantendaten arbeiten?
Das ist keine reine Technikfrage und gehört mit fachkundiger Beratung geklärt – berufsrechtlich wie datenschutzrechtlich. Technisch gilt: vollständige Verschlüsselung, eigenes Benutzerkonto, Gerät herunterfahren statt zuklappen und ein abgesicherter Fernzugriff. Bei Privatgeräten von Beschäftigten braucht es zusätzlich eine klare Regelung.
Was tun bei Verlust eines Praxisgeräts?
Für Verletzungen des Schutzes personenbezogener Daten bestehen Melde- und Dokumentationspflichten mit knappen Fristen. Ein verschlüsseltes, ausgeschaltetes Gerät verändert die Risikobewertung erheblich – deshalb ist die Verschlüsselung hier so wertvoll. Den konkreten Ablauf solltest du vorher schriftlich festhalten, nicht erst im Ernstfall klären.
Weiterlesen
Verschlüsselte E-Mail und die Kriterien im BSI-Check – für Berufsgeheimnisträger ist der Mailverkehr oft die heikelste Stelle, weil dort Namen, Sachverhalte und Anhänge zusammenkommen. Der Beitrag ordnet ein, worauf es bei einem ernstzunehmenden Dienst ankommt. Das ist der Baustein neben der Gerätewahl, der am schnellsten wirkt. Und der leicht übersehen wird.
Support-Ende und der sichere Umzug auf einen neuen Rechner – im Berufsumfeld ist ein System ohne Sicherheitsupdates schwer zu rechtfertigen. Der Beitrag ordnet die Möglichkeiten ein, von der Verlängerung bis zum Systemwechsel, und beschreibt den Umzug ohne Datenverlust. Wer die Fristen kennt, plant den Austausch statt ihn zu erleiden. Das spart Geld und Nerven.
Laptop Ersatzteile: reparieren statt ersetzen – Reparatur ohne Datenzugriff ist für Berufsgeheimnisträger ein eigenes Thema. Der Beitrag zeigt, was dabei zu klären ist.
PrivacyGuard von NovaCustom: das Datenschutzpaket – ein vorkonfiguriertes Gerät nach genau diesen Kriterien, wenn die eigene Konfiguration zu aufwendig wäre.