Testen Sie Ihre Adresse:
Ein Treuhandunternehmen ist keine Bank, verarbeitet aber zahlreiche sensible Daten: die Buchhaltung von Dutzenden Kunden, Lohn- und Gehaltsdaten, Mehrwertsteuerunterlagen sowie Dokumente, die zehn Jahre lang aufbewahrt werden müssen. Wie jedes Unternehmen, das Daten im Auftrag Dritter verarbeitet, muss seine IT-Architektur diese Daten schützen, ihre Aufbewahrung sicherstellen und im Falle einer Kontrolle oder eines Vorfalls den Zugriff darauf ermöglichen. Entscheidend ist dabei, die IT-Architektur von den tatsächlichen gesetzlichen Anforderungen her zu denken und nicht von den verfügbaren Produkten.
Bevor es um Server und Backups geht, müssen zunächst die Anforderungen des Schweizer Rechts geklärt werden. Drei Bereiche bilden dabei die Grundlage für alles Weitere.
Artikel 958f des Schweizerischen Obligationenrechts verpflichtet Unternehmen, Geschäftsbücher, Buchungsbelege und Geschäftsberichte während zehn Jahren ab Ende des Geschäftsjahres aufzubewahren. Die Verordnung über die Führung und Aufbewahrung der Geschäftsbücher, auf Deutsch GeBüV, präzisiert die entsprechenden Vorgaben.
Mit der Überarbeitung wurde die digitale Archivierung modernisiert. Sie ist unter drei Voraussetzungen zulässig. Erstens die Integrität: Änderungen dürfen nicht möglich sein, ohne dass sie nachvollziehbar dokumentiert werden; dies entspricht Artikel 3 GeBüV. Zweitens die Lesbarkeit: Das Format muss während der gesamten Aufbewahrungsdauer lesbar bleiben, weshalb sich beispielsweise PDF/A eignet. Drittens die Verfügbarkeit: Die Dokumente müssen bei einer Kontrolle rasch bereitgestellt werden können. Auch für mehrwertsteuerrelevante und sozialrechtliche Unterlagen gilt grundsätzlich eine Aufbewahrungsdauer von zehn Jahren.
Ein Treuhandunternehmen verarbeitet laufend personenbezogene Daten, die nicht seine eigenen sind: Daten von Mitarbeitenden seiner Kunden, Lieferanten und teilweise auch Privatpersonen. Seit dem Inkrafttreten des revidierten Datenschutzgesetzes (DSG) im Jahr 2023 muss ein Unternehmen seine Datenbearbeitungen angemessen schützen und die Rechte der betroffenen Personen respektieren. Die Nichteinhaltung dieser Pflichten kann verschiedene Folgen haben, darunter Bussen, Reputationsschäden und Kosten im Zusammenhang mit der Bewältigung eines Vorfalls.
Nicht jedes Treuhandunternehmen gilt als Finanzintermediär. Treuhandunternehmen, die berufsmässig Vermögenswerte Dritter verwalten oder halten, können jedoch dem Schweizer Geldwäschereigesetz unterstehen. In diesem Fall müssen sie sich beispielsweise einer anerkannten Selbstregulierungsorganisation wie FIDUCIAIRE|SUISSE, ARIF, VQF oder PolyReg anschliessen. Zu ihren Pflichten gehört unter anderem die gesetzlich vorgesehene Aufbewahrung von Unterlagen während zehn Jahren. Da diese Selbstregulierungsorganisationen von der FINMA beaufsichtigt werden, erfolgt die FINMA-Aufsicht über das Treuhandunternehmen indirekt.
Zwei Grundsätze reichen aus, um die gesamte Architektur zu strukturieren: Sie ergeben sich direkt aus den oben genannten gesetzlichen Anforderungen.
Der erste ist die Trennung. Die Dossiers eines Kunden, seine Buchhaltung, Mehrwertsteuerunterlagen und Lohndaten sollten voneinander abgeschottet und die Zugriffsrechte nach dem Need-to-know-Prinzip vergeben werden. Ein Mitarbeitender muss nicht auf sämtliche Daten zugreifen können, und ein kompromittierter Arbeitsplatz darf nicht den Zugang zu allen Kundendossiers ermöglichen. Diese Segmentierung begrenzt die Auswirkungen eines Vorfalls und schützt gleichzeitig die Vertraulichkeit der einzelnen Mandate.
Der zweite Grundsatz ist die Unveränderbarkeit. Um die DSG-Konformität sicherzustellen, wird die Integrität der Daten technisch durch die Protokollierung von Zugriffen, die Versionierung von Dokumenten und die Verwendung geeigneter Formate wie PDF/A unterstützt. Ziel ist nicht, jede Änderung zu verhindern, sondern sicherzustellen, dass keine Änderung unbemerkt vorgenommen werden kann. Dies entspricht der Vorgabe der Verordnung, wonach Änderungen nachvollziehbar sein müssen.
Hinzu kommt die Kontrolle der Zugriffsrechte. Mehrfaktor-Authentifizierung bei Fernzugriffen, auf das Notwendige beschränkte Berechtigungen und die sofortige Deaktivierung von Konten beim Austritt eines Mitarbeitenden schliessen typische Zugangspunkte bei einem Sicherheitsvorfall. Es handelt sich um einfache Massnahmen, deren Fehlen sich meist erst im Ernstfall bemerkbar macht.
Eine böswillige Verschlüsselung von Daten oder ein Bedienfehler kann für ein Treuhandunternehmen gravierende Folgen haben. Ohne Zugriff auf seine Dossiers kommt der Betrieb schnell zum Stillstand. Backups gehören deshalb zu den kritischsten Bestandteilen der IT-Architektur – insbesondere, um die Auswirkungen von Sicherheitsvorfällen zu begrenzen und nach einem Ransomware-Angriff eine rasche Wiederaufnahme des Betriebs zu ermöglichen.
Als Referenz gilt weiterhin die 3-2-1-Regel: drei Kopien der Daten auf zwei unterschiedlichen Medientypen, davon eine Kopie ausserhalb des Standorts. Sie schützt vor Hardwareausfällen, menschlichen Fehlern und lokal begrenzten Schäden.
Bei Ransomware kommt ein weiterer Faktor hinzu: die Unveränderbarkeit. Ein Backup, das ein Angreifer gleichzeitig mit den Produktionsdaten verschlüsseln oder löschen kann, bietet keinen ausreichenden Schutz. Mechanismen wie WORM-Speicher, Object Lock oder die physische und logische Isolation, beispielsweise durch einen Air Gap, sollen eine Kopie ausserhalb der Reichweite eines Angriffs halten. Dieser Punkt sollte bei der Auswahl einer Lösung ausdrücklich berücksichtigt werden. Die Verschlüsselung der Daten im Ruhezustand und bei der Übertragung ergänzt diese Grundlage.
In diesem Bereich sichert das Backup as a Service von Celeste virtuelle und physische Umgebungen bis hin zu SQL-, Exchange- und Active-Directory-Datenbanken. Die Lösung verschlüsselt die Daten bei der Sicherung, Übertragung und Speicherung, lagert sie in eine sichere Cloud aus und repliziert sie zwischen mehreren Schweizer Datacentern. So bleiben die Backups auch verfügbar, wenn der Hauptstandort betroffen ist.
Ein letzter Schritt unterscheidet ein zuverlässiges Backup von einem trügerischen Sicherheitsgefühl: regelmässige Wiederherstellungstests. Eine nie getestete Wiederherstellung bleibt eine Annahme. Erst im Ernstfall zeigt sich, ob Kopien tatsächlich lesbar und vollständig sind.
Wo Daten gespeichert werden, ist ebenso wichtig wie deren Schutz. Für ein Treuhandunternehmen bietet das Hosting in der Schweiz sowohl die gewünschte Diskretion gegenüber den Mandanten als auch eine bessere Kontrolle über den rechtlichen Rahmen der Datenverarbeitung.
Besondere Aufmerksamkeit verdient die E-Mail-Kommunikation. E-Mails eines Treuhandunternehmens enthalten Buchungsbelege, Lohnabrechnungen und personenbezogene Daten und fallen damit in den Bereich der Archivierung und des Datenschutzes. Ein in der Schweiz gehostetes, geografisch redundantes und regelmässig gesichertes Hosted Exchange hält diese sensiblen Informationen in einer kontrollierten Umgebung, statt sie über öffentliche oder nicht kontrollierte Maildienste zu verteilen.
Auch die Buchhaltungsumgebung sollte möglichst nicht von einem lokalen Arbeitsplatz abhängig sein. Wird die Geschäftsanwendung – beispielsweise Abacus, Bexio oder Sage – auf einem Managed Cloud Server in der Schweiz betrieben, werden die Daten zentralisiert, gesichert und in ein Business-Continuity-Konzept eingebunden. Dadurch hängen sie nicht mehr von einem einzelnen Gerät oder der zuständigen Person ab.
Nicht jedes Treuhandunternehmen hat dieselben Anforderungen. Wie bei jedem Unternehmen hängt die Dimensionierung von der Grösse des Betriebs, einem allfälligen Status als Finanzintermediär und dem Umfang der verarbeiteten Daten ab. Ein Unternehmen mit drei Mitarbeitenden und ein Treuhandunternehmen mit fünfzig Mitarbeitenden haben weder dieselbe Angriffsfläche noch dieselben Ressourcen.
Für die DSG-Konformität gibt es jedoch eine gemeinsame Grundlage. Dazu gehören eine unveränderbare Archivierung über zehn Jahre, ausgelagerte und regelmässig getestete Backups, die Verschlüsselung der Daten, eine konsequente Kontrolle der Zugriffsrechte, ein kontrolliertes Hosting sowie ein Verfahren zur Meldung von Datenschutzverletzungen. Darüber hinaus sollte jede Massnahme auf Grundlage des tatsächlichen Risikos und nicht nach einem standardisierten Produktkatalog ausgewählt werden.
Nehmen wir ein Treuhandunternehmen mit zwölf Mitarbeitenden, das nicht als Finanzintermediär tätig ist. Zu seinem Grundschutz gehören eine unveränderbare Archivierung, ein ausgelagertes und getestetes Backup, eine in der Schweiz gehostete E-Mail-Umgebung und kontrollierte Zugriffe. Ein grösseres Unternehmen oder ein Unternehmen, das dem Geldwäschereigesetz untersteht, kann zusätzliche Anforderungen wie eine verstärkte Protokollierung und eine strengere Trennung der Umgebungen benötigen.
Der richtige Ansatz beginnt mit der Kartierung der Daten und der geltenden Pflichten. Anschliessend werden nur die technischen Bausteine ausgewählt, die diesen Anforderungen entsprechen. So lassen sich sowohl eine unzureichende Ausstattung als auch unnötige Ausgaben vermeiden.
Die Compliance eines Treuhandunternehmens hängt nicht von einem einzelnen Produkt ab, sondern von einem konsistenten Gesamtkonzept: klare Anforderungen, getrennte und unveränderbare Daten, geschützte Backups sowie eine in der Schweiz gehostete E-Mail- und Geschäftsumgebung.
Celeste vereint diese Bausteine als Schweizer Betreiber und Hosting-Anbieter mit seinen Backup- und Messaging-Diensten sowie vier Schweizer Datacentern, die sich ausschliesslich in der Schweiz befinden und deren Premium-Angebot ISO- und FINMA-zertifiziert ist. So lässt sich eine auf das jeweilige Treuhandunternehmen abgestimmte IT-Architektur aufbauen, die den geltenden Anforderungen entspricht, ohne sie unnötig zu überdimensionieren.
Unsere Datenschutzbestimmungen einschliesslich unserer Online-Datenschutzerklärung sowie die Möglichkeiten zum Widerruf der Datenverarbeitung oder zur Abbestellung von Newslettern finden Sie hier: Datenschutzbestimmungen
Unsere Datenschutzbestimmungen einschliesslich unserer Online-Datenschutzerklärung sowie die Möglichkeiten zum Widerruf der Datenverarbeitung oder zur Abbestellung von Newslettern finden Sie hier: Datenschutzbestimmungen
