E-Mail ist kein sicherer Belegkanal — aber was dann? Die Praxis-Anleitung 2026

Wenn Sie Belege sicher übermitteln wollen, ersetzen Sie die offene E-Mail durch einen Kanal, der Daten bei Übertragung und Speicherung verschlüsselt, den Zugriff auf Berechtigte beschränkt und die Übermittlung nachvollziehbar macht. In der Praxis leistet das am zuverlässigsten ein Mandantenportal mit App — weil es sicher und zugleich so einfach ist, dass Mandanten es wirklich nutzen.

Dass E-Mail als Belegkanal problematisch ist, wissen inzwischen die meisten Kanzleien. Die Frage ist nicht mehr „ob", sondern „was jetzt". Also der Reihe nach: die realistischen Alternativen im Aufwand-Nutzen-Vergleich, ein Umstellungspfad, der ohne Reibungsverluste mit den Mandanten funktioniert — und ein Textbaustein für die Ansprache.

Kurz zur Erinnerung: warum E-Mail nicht reicht

Die ausführliche Begründung finden Sie im Beitrag Warum E-Mail kein sicherer Belegkanal mehr ist. In einem Satz: Eine Standard-E-Mail ist wie eine Postkarte — TLS sichert nur den Transportweg, auf den Servern liegt die Nachricht im Klartext. Die DSGVO verlangt in Art. 32 und Art. 5 Abs. 1 lit. f ein zum Risiko passendes Schutzniveau, und die Datenschutzkonferenz stuft das Berufsgeheimnis in ihrer Orientierungshilfe zur E-Mail-Verschlüsselung als Hoch-Risiko-Indikator ein. Für vertrauliche Steuerdaten ist einfache TLS-Mail daher in der Regel nicht ausreichend. Die Verantwortung bleibt bei der Kanzlei — auch bei Einwilligung des Mandanten.

Bleibt die eigentliche Aufgabe: den passenden Ersatz wählen und einführen.

Die drei Alternativen im Aufwand-Nutzen-Vergleich

Es gibt im Wesentlichen drei Wege, die offene E-Mail zu ersetzen. Sie unterscheiden sich weniger in der Sicherheit als in der Alltagstauglichkeit — und die entscheidet darüber, ob Mandanten mitziehen.

Option	Sicherheit	Aufwand Kanzlei	Aufwand Mandant	Struktur der Belege
Verschlüsselte E-Mail (PGP/S/MIME)	hoch	hoch	hoch	keine (bleibt Postfach)
Secure-Transfer-Dienst	hoch	niedrig	mittel	gering
Mandantenportal/App	hoch	mittel	niedrig	hoch

Verschlüsselte E-Mail: sicher, aber klobig

PGP und S/MIME verschlüsseln Ende zu Ende. Technisch ist das dicht, praktisch scheitert es an der Einrichtung: Schlüssel und Zertifikate müssen auf beiden Seiten verwaltet werden. Für einen technisch versierten Firmenmandanten machbar, für den Großteil der Mandanten eine Hürde, an der die Umstellung hängen bleibt. Und selbst wenn es läuft, bleiben die Belege in einem unsortierten Postfach.

Secure-Transfer-Dienst: sicher, aber generisch

Dienste für sicheren Datei-Upload oder verschlüsselte Transfer-Links sind schnell eingeführt und deutlich sicherer als offene E-Mail. Ihr Nachteil: Sie transportieren nur Dateien. Es entsteht kein Kontext, keine Zuordnung zum Mandat, kein Status, keine Kommunikation daneben. Sie lösen das Sicherheitsproblem, nicht das Ordnungsproblem — Belege landen zwar sicher, aber wieder unstrukturiert bei Ihnen.

Mandantenportal/App: sicher und strukturiert

Ein Mandantenportal verschlüsselt bei Übertragung und Speicherung, ohne dass der Mandant etwas konfigurieren muss. Der entscheidende Unterschied: Belege werden direkt dem richtigen Vorgang zugeordnet, statt in einem Postfach zu landen. Und wenn die App so einfach ist wie ein Messenger, nutzen sie auch technisch weniger versierte Mandanten. Diese Kombination aus Sicherheit und Einfachheit ist der Grund, warum das Portal in der Praxis am zuverlässigsten funktioniert. Einen breiteren Marktüberblick gibt der Vergleich von Mandantenkommunikations-Software, die grundsätzliche Gegenüberstellung liefert Mandantenportal versus E-Mail.

Ein Wort zu WhatsApp, das als „einfache Lösung" oft im Raum steht: Für die geschäftliche Mandantenkommunikation ist es datenschutzrechtlich grundsätzlich problematisch — mehr dazu und zu tragfähigen Alternativen im Beitrag WhatsApp in der Steuerkanzlei.

Der Umstellungspfad in 5 Schritten

Die Umstellung scheitert selten an der Technik, sondern an der Kommunikation mit den Mandanten. Dieser Pfad hält die Reibung klein.

1. Bestand sichten. Notieren Sie, welche Daten heute per E-Mail laufen und wie sensibel sie sind. Das schärft die Priorität — Jahresabschlüsse und Steuererklärungen zuerst.
2. Kanal festlegen und Standard setzen. Entscheiden Sie sich für einen verbindlichen Kanal und machen Sie ihn zum Standard für neue Belege. Wie Sie Daten dabei durchgehend sicher übertragen, fasst der Beitrag Mandantendaten sicher übertragen zusammen.
3. Neue Mandate direkt umstellen. Jedes neue Mandat startet ohne E-Mail-Belege — das ist der einfachste Hebel, weil hier keine Gewohnheit umgestellt werden muss.
4. Bestandsmandanten in Wellen migrieren. Beginnen Sie mit den aktiven, digital-affinen Mandanten und arbeiten Sie sich vor. Ein kurzer Anruf beim ersten Login senkt die Hürde spürbar.
5. Entscheidung dokumentieren. Halten Sie fest, welchen Kanal Sie aus welchen Gründen gewählt haben und welche Schutzmaßnahmen greifen — das gehört zu Ihren technischen und organisatorischen Maßnahmen.

Textbaustein für die Mandanten-Ansprache

Diesen Baustein können Sie als E-Mail oder Nachricht anpassen und für die Umstellung verwenden:

Sehr geehrte/r [Name],

zum Schutz Ihrer Daten stellen wir den Austausch von Belegen und Unterlagen auf einen sicheren, verschlüsselten Weg um. Der bisherige Versand per E-Mail erfüllt die Anforderungen an den Schutz sensibler Steuerdaten nicht mehr zuverlässig.

Künftig läuft die Übermittlung über [Portal/App-Name]. Für Sie ändert sich wenig: Sie erhalten eine Einladung, richten in wenigen Minuten Ihren Zugang ein und übermitteln Belege danach direkt aus dem Browser oder per App — Belege können Sie einfach mit dem Smartphone abfotografieren. Ihre Unterlagen sind dabei durchgehend verschlüsselt und landen automatisch am richtigen Ort.

Ihre Einladung geht Ihnen in den nächsten Tagen zu. Bei Fragen zum ersten Login rufen Sie uns gern kurz an.

Mit freundlichen Grüßen [Kanzlei]

Wo Taxaro passt

Wenn die dritte Option — sicher und strukturiert — Ihr Ziel ist, brauchen Sie ein Werkzeug, das Verschlüsselung, Belegzuordnung und Einfachheit in einem vereint. Genau dafür ist Taxaro gebaut: Mandanten übermitteln Belege über einen verschlüsselten Kanal, scannen sie mit der Handykamera und landen direkt im richtigen Vorgang — so einfach wie eine Messenger-Nachricht, aber DSGVO-konform, in EU-Rechenzentren, mit 2FA. Für die Kanzlei entsteht Ordnung statt Postfach-Chaos. Taxaro ist die Kommunikations- und Belegaustausch-Schicht vor Ihrer bestehenden Software wie DATEV oder Agenda — kein Ersatz Ihrer Kanzleisoftware, sondern der sichere Kanal davor. Sie führen es Mandat für Mandat ein, genau in den Wellen aus dem Umstellungspfad oben. Für kleine Kanzleien (1–9 Personen) ist das der pragmatische Weg weg von der E-Mail; wer ausschließlich einzelne Dateien sicher versenden will, kommt auch mit einem reinen Transferdienst aus.

Häufige Fragen

Ist der unverschlüsselte E-Mail-Versand von Belegen erlaubt? Für vertrauliche Steuerdaten ist unverschlüsselte E-Mail datenschutzrechtlich riskant. Die DSGVO verlangt in Art. 32 ein zum Risiko passendes Schutzniveau, und Steuerdaten gelten als hochsensibel. Einfache TLS-Transportverschlüsselung reicht dafür in der Regel nicht aus. Ein pauschales gesetzliches Verbot gibt es nicht, aber die Verantwortung und das Haftungsrisiko liegen bei der Kanzlei.

Wie tausche ich Unterlagen DSGVO-konform mit Mandanten aus? DSGVO-konform tauschen Sie Unterlagen über einen Kanal aus, der bei Übertragung und Speicherung verschlüsselt ist, den Zugriff auf Berechtigte beschränkt und nachvollziehbar dokumentiert. In der Praxis erfüllt das am zuverlässigsten ein Mandantenportal mit App, weil es die Sicherheit einbaut und zugleich einfach genug ist, dass Mandanten es tatsächlich nutzen.

Was ist die sicherste Alternative zur E-Mail? Die sicherste praxistaugliche Alternative ist ein verschlüsseltes Mandantenportal mit App. Es schützt die Daten durchgehend, ordnet Belege direkt dem richtigen Vorgang zu und ist für den Mandanten so einfach zu bedienen wie ein Messenger. Verschlüsselte E-Mail und generische Transferdienste sind sicherer als offene E-Mail, aber umständlicher oder weniger strukturiert.

Das Wichtigste in Kürze

• Die Frage ist nicht mehr, ob E-Mail als Belegkanal problematisch ist, sondern was konkret an ihre Stelle tritt.
• Drei Alternativen stehen zur Wahl: verschlüsselte E-Mail (sicher, aber klobig), Secure-Transfer-Dienst (sicher, aber unstrukturiert), Mandantenportal/App (sicher und strukturiert).
• Die Alltagstauglichkeit entscheidet über den Erfolg — nur was Mandanten wirklich nutzen, ersetzt die E-Mail auch.
• Der Umstellungspfad führt über neue Mandate zuerst und Bestandsmandanten in Wellen; ein Textbaustein senkt die Reibung in der Ansprache.
• Werkzeuge wie Taxaro vereinen Verschlüsselung, Belegzuordnung und Einfachheit in einer App und lassen sich Mandat für Mandat neben der bestehenden Kanzleisoftware einführen.