Mandantenunterlagen sicher versenden

Zuletzt aktualisiert: 4. August 2026

Jede Kanzlei löst dieses Problem irgendwie. Meistens per E-Mail, weil es der einzige Weg ist, den auch der Mandant ohne Erklärung bedient. Dieser Text beschreibt die vier Wege, die es praktisch gibt, und woran sie jeweils scheitern.

Das eigentliche Problem ist nicht die Technik

Sichere Übertragung ist technisch seit Jahrzehnten gelöst. Das Problem ist, dass an einem Ende der Leitung jemand sitzt, der kein Interesse an Software hat, mitten in der Steuererklärung steckt und schon genug Passwörter vergessen hat. Jede Lösung, die von diesem Menschen Mitarbeit verlangt, verliert gegen den E-Mail-Anhang. Nicht weil der Mandant nachlässig wäre, sondern weil die E-Mail bereits offen ist.

Deshalb ist die richtige Frage nicht, welches Verfahren am sichersten ist, sondern welches sicher genug ist und trotzdem benutzt wird.

Weg 1: E-Mail mit Anhang

Der Standard. Funktioniert immer, kostet nichts, jeder kann es. Und er hat drei Eigenschaften, die in einer Kanzlei unangenehm sind.

Eine E-Mail ist nicht Ende-zu-Ende verschlüsselt. Zwischen Absender und Empfänger liegen in der Regel mehrere Server, und auf jedem davon liegt die Nachricht im Klartext. Dass die Verbindung zwischen den Servern meist mit TLS gesichert ist, ändert daran nichts: geschützt ist der Weg, nicht der Inhalt. Details dazu stehen unter Unterlagen per E-Mail und die DSGVO.

Eine E-Mail hat kein Ablaufdatum. Der Jahresabschluss von 2019 liegt in Postfächern, die längst niemand mehr kontrolliert, auf Geräten, die verkauft wurden, in Sicherungen, an die niemand denkt.

Eine E-Mail sortiert sich nicht. Der Anhang heißt scan_0001.pdf und landet in einem Postfach, in dem ihn jemand von Hand ablegen muss. Das ist der Teil, der in der Kanzlei tatsächlich Zeit kostet.

Weg 2: Mandantenportal mit Zugang

Fachlich die sauberste Lösung, und in der Praxis die mit der höchsten Ausfallquote. Jeder Mandant braucht einen Zugang, muss ihn einrichten, das Passwort behalten und beim nächsten Mal wiederfinden.

Was in der Kanzlei dann passiert, kennt jeder: der Mandant ruft an, weil er sich nicht anmelden kann. Die Mitarbeiterin setzt das Passwort zurück. Beim nächsten Quartal dasselbe. Irgendwann sagt jemand entnervt, schicken Sie es mir einfach per Mail. Damit ist das Portal gescheitert, aber es steht weiter im Angebot und kostet weiter.

Portale funktionieren gut bei Mandanten mit regelmäßigem, hohem Belegvolumen. Bei allen anderen sind sie ein Reibungspunkt, der die Kanzlei mehr Zeit kostet als die manuelle Ablage.

Weg 3: Cloud-Speicher und Übertragungsdienste

Dropbox, Google Drive, WeTransfer. Bequem, schnell eingerichtet, und genau deshalb im Alltag verbreiteter, als den meisten Kanzleileitungen lieb ist.

Das Problem ist selten die Verschlüsselung, die ist bei allen genannten Diensten ordentlich. Das Problem ist, dass der Anbieter den Schlüssel hat, dass die Daten regelmäßig außerhalb der EU verarbeitet werden und dass es keine Löschfrist gibt, die zur Kanzlei passt. Ausführlicher unter WeTransfer und Dropbox in der Kanzlei.

Weg 4: Einmaliger Link ohne Zugang

Die Kanzlei erzeugt einen Link, der zu genau einem Mandanten und genau einer Anfrage gehört. Der Mandant klickt, zieht die Dateien hinein, fertig. Kein Konto, kein Passwort, nichts zu merken.

Der Link selbst ist der Schlüssel. Damit das trägt, muss er lang genug sein, um nicht erraten werden zu können, er muss befristet sein, und die hochgeladenen Dateien müssen so verschlüsselt sein, dass auch der Anbieter sie nicht lesen kann. Sind diese drei Bedingungen erfüllt, ist das Verfahren dem Portal in der Sicherheit ebenbürtig und im Alltag deutlich überlegen, weil der Mandant nichts falsch machen kann.

Die vier Wege nebeneinander

	E-Mail	Portal	Cloud	Link
Mandant muss nichts einrichten	ja	nein	nein	ja
Inhalt für den Anbieter unlesbar	nein	je nach Anbieter	nein	je nach Anbieter
Automatische Löschung	nein	ja	nein	ja
Automatische Zuordnung zum Mandanten	nein	ja	nein	ja
Nachweisbar, wer wann was übergeben hat	eingeschränkt	ja	nein	ja
Verarbeitung in der EU	je nach Anbieter	je nach Anbieter	meist nicht	je nach Anbieter

Woran Sie einen brauchbaren Anbieter erkennen

Unabhängig davon, wofür Sie sich entscheiden, sind das die Fragen, die eine Antwort haben müssen. Wenn ein Anbieter bei einer davon ausweicht, ist das die Antwort.

Wo genau stehen die Server, und wo liegen die Dateien? Nicht Europa, sondern welches Land und welche Stadt.
Kann der Anbieter den Inhalt einer Datei lesen? Wenn er entschlüsseln kann, dann kann er es auch dann, wenn er verspricht, es nicht zu tun.
Gibt es eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO, und steht sie öffentlich zum Nachlesen?
Welche Unterauftragnehmer sind beteiligt, und wo verarbeiten die?
Wann wird gelöscht, und wer stellt das sicher? Eine Frist ohne einen Vorgang, der sie durchsetzt, ist eine Absichtserklärung.
Was passiert, wenn der Mandant den Link weiterleitet oder das Postfach des Mandanten übernommen wird?

FileDock ist der vierte Weg. Anfrage erstellen, Link versenden, Mandant lädt hoch, Dateien landen beim richtigen Mandanten und löschen sich nach Ablauf der eingestellten Frist von selbst. Die Verschlüsselung passiert im Browser des Mandanten, bevor irgendetwas übertragen wird. Wie das im Einzelnen abläuft, steht offen unter Datenfluss im Detail.

Weiterlesen

Dieser Text ist eine fachliche Einordnung und keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls ist Ihre Kammer oder ein Berufsrechtler die richtige Adresse.

Zurück zum Ratgeber