IT-Betreuung für Buchhaltungsbüros: Praxisplan

Die kurze Antwort: Die IT-Betreuung eines Buchhaltungsbüros muss Buchhaltungs- und Lohndaten schützen und zugleich Abschlüsse, Meldungen sowie Updates gesetzlich relevanter Programmversionen berücksichtigen. Legen Sie vorab fest, wer die Anwendung und die Datenbank verwaltet, wann keine Änderungen vorgenommen werden dürfen, wie viel Arbeit bei einer Störung verloren gehen darf und wer nach einem Eingriff die fachliche Richtigkeit der Buchhaltung prüft.

Beginnen Sie mit den Arbeitsabläufen, nicht mit einer Computerliste

Ein Verzeichnis der Notebooks, Monitore und Drucker ist nützlich, zeigt aber allein nicht, was den Betrieb des Büros tatsächlich zum Stillstand bringen kann. Der Administrator muss zunächst den Weg eines Belegs vom Eingang über die Verbuchung und Archivierung bis zur Übergabe an den Mandanten verstehen.

Erfassen Sie mindestens:

• wo die Buchhaltungs- und Lohnanwendung betrieben wird;
• wo sich ihre Datenbank befindet und wer administrativen Zugriff darauf hat;
• über welche Wege Belege eingehen und wo sie gespeichert werden;
• wer mit Datové schránky (tschechischen elektronischen Behördenpostfächern), Bankzugängen und Mandantenportalen arbeitet;
• wie Steuererklärungen, Meldungen, Lohnabrechnungen und Zahlungsaufträge übermittelt werden;
• welche Tätigkeiten von einem bestimmten Computer, Zertifikat oder einer bestimmten Person abhängen;
• welche Arbeiten bei einem Ausfall des Internets, Servers oder Buchhaltungsprogramms möglich bleiben.

Bestimmen Sie für jeden wichtigen Aufgabenbereich einen Prozesseigner und einen technischen Administrator. Der Prozesseigner erkennt, ob das Ergebnis fachlich richtig ist. Der Administrator verantwortet den technischen Betrieb. Diese Rollen dürfen nicht verwechselt werden: Eine erfolgreich installierte Aktualisierung bestätigt noch nicht, dass Lohnberechnung, Berichtsausgabe oder Bankexport korrekt funktionieren.

Legen Sie für jeden Aufgabenbereich Datenverlust und Wiederherstellungszeit fest

Die Aussage „Die Daten werden gesichert“ ist zu ungenau. Das Büro muss zwei praktische Fragen beantworten:

• Wie viel bereits erledigte Arbeit darf bei einer Störung verloren gehen?
• Wie lange darf der jeweilige Aufgabenbereich nicht verfügbar sein?

Wird die Datenbank nur nach Ende der Arbeitszeit kopiert, kann eine Störung am Nachmittag dazu führen, dass die Belege des gesamten Tages erneut erfasst werden müssen. Ein kürzeres Intervall setzt jedoch voraus, dass die verwendete Buchhaltungsanwendung und die Datenbank konsistente Sicherungen im laufenden Betrieb unterstützen. Das bloße Kopieren einer geöffneten Datenbankdatei erzeugt nicht zwangsläufig eine verwendbare Sicherung.

Dokumentieren Sie deshalb für jedes System:

Die Prioritäten ändern sich im Jahresverlauf. In einer bestimmten Woche kann die Lohnabrechnung wichtiger sein als die laufende Rechnungsverarbeitung. Der Wiederherstellungsplan darf daher nicht nur ein technisches Dokument des Administrators sein, sondern muss sich nach dem tatsächlichen Kalender des Büros richten.

Das Backup muss Fehler, Angriffe und Anbieterausfälle überstehen

Der grüne Status eines Sicherungsauftrags bestätigt lediglich, dass ein bestimmter Vorgang ausgeführt wurde. Er sagt weder aus, ob die Kopie die richtige Datenbank enthält und lesbar ist, noch ob Passwörter, Verschlüsselungsschlüssel und Installationsdateien verfügbar sind.

Verlangen Sie für eine Buchhaltungsumgebung:

• automatische Sicherungen in einem Intervall, das sich am akzeptablen Arbeitsverlust orientiert;
• eine Kopie, die von den gewöhnlichen Benutzer- und Administratorkonten getrennt ist;
• einen Versionsverlauf, den ein kompromittiertes Konto nicht ohne Weiteres vollständig löschen kann;
• ein dokumentiertes Verfahren zur Wiederherstellung von Anwendung, Datenbank und Berechtigungen;
• die Überwachung von Fehlern und Speicherkapazität;
• regelmäßige praktische Wiederherstellungstests an einem getrennten Ort.

Der Test endet nicht mit dem Herunterladen einer Datei aus dem Backup. Die wiederhergestellte Datenbank muss in der passenden Anwendungsversion geöffnet werden. Anschließend sind die Anmeldung eines normalen Benutzers sowie ein ausgewählter Aufgabenbereich, eine Auswertung und das zugehörige Dokument zu prüfen. Datum, verwendete Kopie, Ergebnis und festgestellte Mängel gehören in das Testprotokoll. Eine ausführliche Anleitung bietet der Artikel Backup-Wiederherstellung testen: durchführen und dokumentieren.

Ein synchronisierter Ordner ist für sich genommen kein Backup. Fehlerhaftes Überschreiben, massenhaftes Löschen oder die Verschlüsselung von Dateien kann auf weitere Geräte synchronisiert werden. Schutz bieten erst ein eigenständiger Versionsverlauf, getrennte Berechtigungen und eine nachweislich funktionierende Wiederherstellung.

Updates des Buchhaltungssystems müssen genehmigt und geprüft werden

Der Hersteller der Buchhaltungsanwendung kann eine gesetzlich bedingte oder fehlerbereinigte Version veröffentlichen. Damit ist jedoch noch nicht geklärt, wer die Verantwortung für ihre Installation in einem konkreten Büro trägt. Legen Sie im Voraus fest:

• wer neue Versionen und Hinweise des Herstellers verfolgt;
• wer über den Installationstermin entscheidet;
• wer vor der Änderung ein Backup erstellt und überprüft;
• wer den technischen Ablauf kontrolliert;
• wer die Buchhaltungsfunktionen fachlich testet;
• wie das System in den vorherigen Zustand zurückversetzt wird, falls die Prüfung fehlschlägt.

Es genügt nicht zu prüfen, ob das Programm startet. Die Kontrolle muss den konkreten Bürobetrieb abdecken: Benutzeranmeldung, Öffnen eines ausgewählten Unternehmens und Zeitraums, Bearbeitung eines Belegs, Auswertungen, Druck oder PDF-Erstellung sowie den verwendeten Export. Eine Testdatei für Zahlungen darf nicht versehentlich an die Bank gesendet werden, und eine probeweise Meldung darf keine tatsächliche Einreichung auslösen.

Von einer Änderung können außerdem der Datenbankserver, das Betriebssystem, das Lohnmodul, die elektronische Signatur, Drucker, der Virenschutz oder Erweiterungen von Drittanbietern betroffen sein. Die genauen Abhängigkeiten unterscheiden sich je nach Produkt, Edition und Installationsart. Der Administrator darf deshalb nicht davon ausgehen, dass das in einem Büro verwendete Verfahren unverändert auf ein anderes übertragbar ist.

Der Änderungskalender muss Abschlusstermine berücksichtigen

Ein festgelegter Wartungsabend allein reicht nicht aus. Derselbe Eingriff kann in einer ruhigen Woche Routine sein, unmittelbar vor einem Abschluss jedoch unvertretbar.

Sicherheitsupdates können nicht grundsätzlich bis zu einem arbeitsfreien Zeitraum aufgeschoben werden. Der Administrator muss die Kritikalität der Korrektur, die Erreichbarkeit des Systems aus dem Internet, die Möglichkeit eines Missbrauchs und die Auswirkungen der Ausfallzeit bewerten. Das Ergebnis muss eine konkrete Entscheidung sein und darf nicht auf die dauerhafte Regel „Während der Saison wird nichts geändert“ hinauslaufen.

Fernarbeit darf nicht auf öffentlich erreichbarem RDP beruhen

Veröffentlichen Sie den Port des Remote-Desktop-Dienstes nicht direkt im Internet. Führen Sie den Fernzugriff über ein verwaltetes VPN oder ZTNA, aktivieren Sie die Mehrfaktor-Authentifizierung und weisen Sie jeder Person ein eigenes Konto zu. Die praktischen Unterschiede erläutert der Vergleich von RDP, VPN und ZTNA für Unternehmen.

Der Administrator muss wissen, welche Geräte auf Buchhaltungsdaten zugreifen dürfen. Prüfen Sie bei einem zugelassenen Notebook, ob es eine unterstützte Systemversion, aktuelle Updates, Festplattenverschlüsselung, Endgeräteschutz und eine automatische Sperre verwendet. Ein nicht verwalteter privater Computer darf nicht zu einer unkontrollierten Kopie der Bürodaten werden.

Beim Ausscheiden eines Mitarbeiters genügt es nicht, das Passwort im Buchhaltungsprogramm zu ändern. Aktive Sitzungen müssen beendet, Fernzugänge aufgehoben, E-Mail-Tokens entzogen, Eigentumsrechte an Dateien übertragen und delegierte Berechtigungen geprüft werden. Verwenden Sie bei Datové schránky, Banken und Mandantenportalen persönliche Identitäten und die verfügbaren Rollen anstelle eines gemeinsamen Kontos.

Änderungen von Bankverbindungen außerhalb der E-Mail prüfen

Ein E-Mail-Filter kann nicht entscheiden, ob die Kontonummer auf einer Rechnung korrekt ist. Eine betrügerische Nachricht kann aus einem tatsächlich kompromittierten Postfach stammen und an die bisherige Kommunikation anknüpfen.

Führen Sie deshalb ein einfaches Betriebsverfahren ein:

1. Eine Kontenänderung oder einen ungewöhnlichen Zahlungsauftrag führt ein Mitarbeiter nicht allein aufgrund einer E-Mail aus.
2. Die Angabe wird über einen zweiten Kommunikationsweg und einen bereits bekannten Kontakt überprüft.
3. Die in der verdächtigen Nachricht angegebene Telefonnummer wird nicht verwendet.
4. Eine weitere berechtigte Person kontrolliert die Änderung der Zahlungsdaten.
5. Das Prüfergebnis wird entsprechend den internen Regeln des Büros dokumentiert.

Dieselbe Vorsicht gilt bei Telefonaten, Sprachnachrichten und Videoanrufen. Eine bekannte Stimme allein bestätigt nicht die Identität des Anrufers. Konkrete Szenarien beschreibt der Artikel Deepfake-Stimme des Geschäftsführers und CEO-Fraud.

Technische Schutzmaßnahmen müssen diesen Prozess ergänzen. Dazu gehören MFA, die Kontrolle automatischer Weiterleitungen, Warnungen bei riskanten Anmeldungen und Einschränkungen für Änderungen an sensiblen Regeln. Auch eine korrekt konfigurierte E-Mail-Domain bestätigt jedoch nicht die Echtheit von Zahlungsdaten in einer Nachricht, die aus einem kompromittierten Konto gesendet wurde.

Prüfen Sie auch den Zugang des externen Administrators

Ein externer IT-Dienstleister kann über umfangreichere Berechtigungen verfügen als die meisten Beschäftigten des Büros. Verlangen Sie deshalb bei der Auswahl oder Übernahme der Betreuung konkrete Antworten:

• Verfügt jeder Techniker über ein eigenes Konto und MFA?
• Verwendet er getrennte Standard- und Administratorkonten?
• Lassen sich Fernverbindungen und vorgenommene Änderungen nachvollziehen?
• Wie wird der Zugang eines Technikers entzogen, der den Dienstleister verlässt?
• Wer verwaltet den Notfallzugang, und wie wird seine Nutzung kontrolliert?
• Erhält das Büro eine aktuelle Übersicht der Dienste, Geräte und Verantwortlichkeiten?
• Wer kommuniziert bei einem Datenbankfehler mit dem Support der Buchhaltungsanwendung?
• Wie erhält das Büro bei einem Anbieterwechsel die benötigte Dokumentation?

Dauerhafte Vollberechtigungen sind ungeeignet, wenn eine eingeschränkte Rolle oder ein befristeter Zugang für einen konkreten Eingriff ausreicht. Die Zusicherung „Wir haben alles abgesichert“ ersetzt weder ein beschriebenes Verfahren noch einen nachvollziehbaren Nachweis.

Was ein Angebot für IT-Betreuung enthalten sollte

Vergleichen Sie den Leistungsumfang anhand von Verantwortlichkeiten und Ergebnissen, nicht anhand der Anzahl genannter Werkzeuge. Für ein Buchhaltungsbüro sind insbesondere folgende Punkte wichtig:

• Verzeichnis der Geräte, Konten, Lizenzen und verwalteten Dienste;
• Aktualisierung von Arbeitsstationen und Servern;
• Schutz von Endgeräten und E-Mail-Konten;
• Überwachung der Datensicherung und Wiederherstellungstests;
• Verwaltung von Identitäten, MFA und Fernzugriff;
• Verfahren für Eintritt, Rollenwechsel und Austritt von Mitarbeitern;
• Dokumentation der Konfiguration und der Notfallkontakte;
• Koordination mit dem Hersteller des Buchhaltungssystems;
• Störungsmeldung und Eskalation in kritischen Zeiträumen.

Trennen Sie ausdrücklich die Aufgaben des IT-Administrators vom Anwendungssupport. Der Administrator kann Server und Datenbank wiederherstellen, muss aber nicht in der Lage sein, die Richtigkeit einer Lohnberechnung zu beurteilen. Der Anwendungssupport wiederum verwaltet möglicherweise weder das Netzwerk und den Backup-Speicher noch die Zugänge zu Microsoft 365.

Wenn Sie Ihre konkrete Umgebung erfassen und ihre Betreuung übergeben möchten, bieten wir IT-Dienstleistungen für Unternehmen einschließlich der Verwaltung von Konten, Geräten und Backups sowie der Koordination mit Anwendungsanbietern an. Für die Festlegung des Leistungsumfangs müssen wir die verwendeten Systeme, die Zahl der Arbeitsplätze, die Art der Fernarbeit und die Zeiträume kennen, in denen der Bürobetrieb nicht eingeschränkt werden darf. Die Angaben können Sie uns über die unverbindliche Anfrage senden.

Was vor der Übernahme der Betreuung vorzubereiten ist

Stellen Sie für die erste technische Übernahme eine Liste der Personen, Geräte, Anwendungen, Anbieter, Domains, E-Mail-Dienste, Datenspeicher und bekannten Probleme zusammen. Ergänzen Sie den Kalender der Abschlusstermine sowie die Namen der Personen, die Änderungen genehmigen und das Buchhaltungssystem prüfen dürfen.

Unbekannte Administratorkonten, Fernzugänge ohne MFA, ungeprüfte Backups und Dienste, die von einer einzigen Person abhängen, haben höchste Priorität. Erst nachdem diese Punkte abgesichert wurden, ist es sinnvoll, Notebookmodelle zu vereinheitlichen, das Erscheinungsbild der Dokumentation zu ändern oder zusätzliche Komfortwerkzeuge einzuführen.

Eine gute IT-Betreuung für ein Buchhaltungsbüro ist keine Programmliste. Sie ist eine Vereinbarung darüber, wer Entscheidungen trifft, was vor einer Änderung geprüft wird, woran ein korrektes Ergebnis zu erkennen ist und wie das Büro weiterarbeitet, wenn ein Teil des Systems ausfällt.

Häufig gestellte Fragen

Was sollte die IT-Betreuung eines Buchhaltungsbüros umfassen?

Mindestens die Erfassung von Geräten und Konten, Updates, den Schutz der Arbeitsstationen, Datensicherungen mit Wiederherstellungstests, MFA, sicheren Fernzugriff, Dokumentation sowie Verfahren für den Eintritt und Austritt von Mitarbeitern. Ebenso erforderlich ist eine klare Aufgabenteilung zwischen dem IT-Administrator und dem Support der Buchhaltungsanwendung.

Wie oft sollte die Wiederherstellung der Buchhaltungsdatenbank getestet werden?

Legen Sie das Intervall anhand des akzeptablen Arbeitsverlusts, der erforderlichen Wiederherstellungszeit und der Häufigkeit von Systemänderungen fest. Ein weiterer Test empfiehlt sich nach Änderungen an Datenbank, Backup-Lösung, Verschlüsselung oder Infrastruktur sowie nach einem Anbieterwechsel. Die Meldung über einen erfolgreich ausgeführten Sicherungsauftrag weist allein keine funktionierende Wiederherstellung nach.

Lässt sich das Buchhaltungssystem sicher von zu Hause verwenden?

Ja, sofern der Zugang über ein verwaltetes VPN oder ZTNA erfolgt, MFA verlangt wird und ein zugelassenes Gerät mit unterstütztem System, aktuellen Updates und verschlüsselter Festplatte zum Einsatz kommt. Direkt im Internet erreichbares RDP und ein gemeinsames Konto für mehrere Personen sind keine geeigneten Lösungen.

Reicht ein synchronisierter Ordner als Backup aus?

Nein. Durch die Synchronisierung können Löschungen, Überschreibungen oder die Verschlüsselung von Dateien auf weitere Geräte übertragen werden. Sie benötigen einen getrennten Versionsverlauf, eingeschränkte Berechtigungen und ein praktisch geprüftes Wiederherstellungsverfahren.

Woran erkennt man einen guten externen Administrator?

Er kann seine Verantwortlichkeiten genau beschreiben, verwendet persönliche Administratorkonten mit MFA, dokumentiert Eingriffe und übergibt aktuelle Unterlagen. Zugleich erklärt er klar, welche Aufgaben der Hersteller der Buchhaltungsanwendung übernehmen muss und wie beide Dienstleister bei einer Störung zusammenarbeiten.

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).