Wer als Broker oder Treuhänder arbeitet, kennt die Situation aus dem Alltag: Ein Kunde schickt seinen Lohnausweis, eine Kopie der ID oder einen ausgefüllten Gesundheitsfragebogen kurzerhand als E-Mail-Anhang. Schnell, bequem – und aus Sicherheitssicht oft heikel. Kundendaten sicher austauschen ist längst keine Kür mehr, sondern Teil der Sorgfaltspflicht gegenüber den eigenen Kunden. Dieser Beitrag zeigt, wo die Risiken von E-Mail-Anhängen liegen, was E-Mail-Verschlüsselung leisten kann – und wo ein Kundenportal die praktikablere Lösung ist.
Warum E-Mail-Anhänge für sensible Unterlagen riskant sind
E-Mails werden auf ihrem Weg vom Absender zum Empfänger über mehrere Server geleitet. Die Verbindung zwischen diesen Servern ist heute meist per TLS verschlüsselt – das ist aber keine durchgängige Ende-zu-Ende-Verschlüsselung: Sobald die Nachricht auf einem Mailserver oder im Postfach liegt, ist sie dort in aller Regel unverschlüsselt lesbar. Dazu kommen ganz praktische Probleme. Anhänge bleiben oft unbegrenzt im Posteingang, im Gesendet-Ordner und in Backups liegen, ohne dass jemand noch genau weiss, wie lange und wo. Ein Tippfehler in der Adresse genügt, und die Unterlagen landen bei der falschen Person. Und einmal verschickt, hat der Absender keine Kontrolle mehr darüber, ob ein Anhang weitergeleitet, heruntergeladen oder gespeichert wird.
Für einzelne, unkritische Mitteilungen mag das zu verschmerzen sein. Bei Lohnausweisen, Ausweiskopien, Gesundheitsdaten oder Vertragsunterlagen sieht die Lage anders aus – und genau solche Dokumente tauschen Broker und Treuhänder im Alltag laufend aus.
E-Mail-Verschlüsselung: Möglichkeiten und Grenzen
Es gibt technische Verfahren, um E-Mails tatsächlich Ende-zu-Ende zu verschlüsseln, etwa PGP oder S/MIME. Beide setzen voraus, dass Absender und Empfänger vorab Schlüssel austauschen und ihre Mail-Programme entsprechend einrichten. Unter Fachpersonen ist das machbar. Für den durchschnittlichen Privatkunden, der einmal im Jahr eine Police erneuert, ist der Aufwand in der Praxis meist zu hoch – die wenigsten richten sich für eine einzelne Übermittlung einen PGP-Schlüssel ein.
Ein gängiger Behelf ist das passwortgeschützte ZIP-Archiv. Das Problem dabei: Wird das Passwort per E-Mail, SMS oder Telefon auf demselben unsicheren Weg mitgeteilt, ist der Sicherheitsgewinn gering. Wer die eine Nachricht abfangen kann, findet meist auch die andere. E-Mail-Verschlüsselung ist also technisch möglich, für den wiederkehrenden Austausch mit vielen Kunden aber aufwendig und fehleranfällig – und das Problem der unbegrenzten Aufbewahrung im Postfach löst sie ohnehin nicht.
Die Alternative: ein Kundenportal mit Login und Zugriffsprotokoll
Statt Dokumente durch verschiedene Postfächer zu schicken, legt der Kunde sie direkt in einem geschützten Portal ab. Der Zugang ist an einen persönlichen Login gebunden, die Daten liegen verschlüsselt und mandantengetrennt auf Servern in der Schweiz. Wer wann auf welches Dokument zugegriffen hat, lässt sich über ein Zugriffsprotokoll nachvollziehen – ein Punkt, den weder eine normale E-Mail noch ein offener Cloud-Link bietet.
Für den Kunden ist der Ablauf einfacher, als er klingt: Eine Anforderungs-Checkliste zeigt genau, welche Unterlagen noch fehlen, der Live-Status ersetzt die sonst üblichen Nachfrage-Mails, und wo eine Bestätigung nötig ist, kann der Kunde diese direkt im Portal digital freigeben. Für den Broker oder Treuhänder entfällt das mühsame Nachhaken per Telefon oder E-Mail – die Unterlagen liegen geordnet nach Dossier an einem Ort, statt über Jahre verstreut in Mail-Verläufen. Welche Funktionen ein solches Portal im Einzelnen mitbringt, zeigt die Übersicht unter /funktionen.
Worauf es bei einem Kundenportal für den Dokumentenaustausch ankommt
Nicht jedes Portal bietet denselben Schutz. Für den sicheren Austausch sensibler Kundendaten lohnt sich ein Blick auf folgende Punkte:
- Zugang nur per persönlichem Login, nicht über einen frei teilbaren Link
- Verschlüsselung der abgelegten Dokumente, nicht nur der Übertragung
- Klare Mandantentrennung, wenn mehrere Kunden und Berater dasselbe System nutzen
- Ein Zugriffsprotokoll, das nachvollziehbar macht, wer wann welches Dokument eingesehen hat
- Hosting in der Schweiz und ein Anbieter, der DSG-konform arbeitet
- Eine für den Kunden vertraute, auf das eigene Büro zugeschnittene Oberfläche statt eines anonymen Fremdsystems
Diese Punkte lassen sich in einem einzelnen, auf Broker- und Treuhandbüros zugeschnittenen Werkzeug meist einfacher umsetzen als über mehrere lose Insellösungen aus Mail-Programm, Cloud-Speicher und Passwort-Manager.
finra wurde genau für diesen Alltag von Schweizer Broker- und Treuhandbüros entwickelt: ein sicheres Kundenportal mit eigener Subdomain, in dem Kunden Unterlagen zu einer Anforderungs-Checkliste hochladen, den Status live verfolgen und Freigaben direkt im Portal erteilen – inklusive Zugriffsprotokoll, Verschlüsselung und Mandantentrennung, gehostet ausschliesslich in der Schweiz. Wer es im eigenen Büro ausprobieren möchte, kann finra 30 Tage kostenlos und ohne Kreditkarte unter /register testen.