Verschlossene Server-Rack-Tür mit Sicherheitsschloss, dahinter blaue Statusleuchten und ein angedeutetes Schutzschild aus Licht

Sicherheit & Rechenzentrum

Sicherheit im Kanzlei-Hosting: Schutz für Mandantendaten

Eigene virtuelle Server je Kanzlei, Anmeldung nur mit Zwei-Faktor-Schutz und nächtliche verschlüsselte Sicherung – und was wir bewusst nicht behaupten.

Vertragsunterlagen Beratung vereinbaren
tägliche, wöchentliche und monatliche Sicherungsstände, bis etwa ein halbes Jahr zurück
7 · 4 · 6
Verschlüsselung der Sicherung schon vor der Übertragung
AES-256
für jede Anmeldung, nur über VPN oder RD-Gateway
2FA
Filterschichten zwischen den Systemen, eingehend ist alles gesperrt
bis zu 5

Kurz erklärt

Wie sicher ist Kanzlei-Hosting bei KLBX Cloud?

Ihre Kanzlei-Umgebung läuft auf unserem eigenen Server-Cluster im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Vogtland, Sachsen), zertifiziert nach ISO/IEC 27001; Ihre Daten liegen ausschließlich in Deutschland, auch die Sicherungen. Jede Kanzlei erhält eigene virtuelle Server mit eigener Firewall, angemeldet wird nur über VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung, und jede Nacht sichern wir alle Systeme AES-256-verschlüsselt mit Ständen bis etwa sechs Monate zurück. Auf derselben Plattform läuft unsere eigene Kanzlei-IT (Buchmeister, eine Steuerkanzlei-Gruppe mit rund 50 Mitarbeitenden).

Sicherheit beim Kanzlei-Hosting – oft auch Kanzlei-Cloud genannt – entsteht nicht aus einem Siegel, sondern aus vielen einzelnen Maßnahmen: wo die Server stehen, wie Kanzleien voneinander getrennt sind, wer sich wie anmelden darf, wie gesichert und überwacht wird. Wir orientieren uns dabei an den BSI-Bausteinen für Terminalserver (SYS.1.9), Datensicherung (CON.3) und Outsourcing (OPS.2.3). Auf dieser Seite steht, was wir konkret tun – und was wir ausdrücklich nicht behaupten.

  • Eigener Server-Cluster auf dedizierter Hardware, keine geteilte Massen-Cloud.
  • Eigene virtuelle Server und eigene Firewall für jede Kanzlei.
  • Anmeldung nur über VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung.
  • Tägliche, clientseitig verschlüsselte Sicherung mit geschützter Zweitkopie.

Wo stehen die Server?

Unsere Server stehen im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Vogtland, Sachsen), zertifiziert nach ISO/IEC 27001. Der Betreiber stellt Gebäude, Stromversorgung und Netzanbindung. Alles, was darüber liegt – Virtualisierung, Windows-Server, Fachsoftware, Sicherung und Überwachung – betreiben wir selbst.

  • Zertifizierung nach ISO/IEC 27001 durch den Betreiber des Rechenzentrums, nicht durch KLBX Cloud.
  • Datenstandort: ausschließlich in Deutschland, auch die Sicherungen.
  • Deutscher Rechenzentrumsbetreiber, kein US-Hyperscaler.

Ein eigener Cluster statt geteilter Cloud

Ihre Kanzlei-Server laufen auf unserem eigenen Virtualisierungs-Cluster (Proxmox VE) aus mehreren dedizierten Servern. Fällt einer davon aus, bleibt der Cluster arbeitsfähig. Ab dem Paket Professional wird Ihre Umgebung zusätzlich alle 15 Minuten auf einen zweiten Server gespiegelt, sodass wir sie nach einem Hardware-Ausfall dort aus der Spiegelung starten; in Basis und Start stellen wir sie aus der täglichen Sicherung wieder her. Wie schnell der Wiederanlauf erfolgt, steht je Paket auf der Preisseite.

  • Mehrere Server-Knoten; der Ausfall eines Knotens wird abgefangen.
  • NVMe-SSDs im Spiegelverbund (ZFS, RAID 1) mit Prüfsummen gegen unbemerkte Datenfehler.
  • Ab Professional Spiegelung Ihrer Umgebung alle 15 Minuten auf einen zweiten Server.
  • Wir betreiben über 40 Server und virtuelle Maschinen selbst; die IT unserer Kanzleigruppe läuft auf diesem Cluster.

Wie sind Kanzleien voneinander getrennt?

Jede Kanzlei erhält eigene virtuelle Server. Es gibt keine Windows-Installation, auf der mehrere Kunden gemeinsam arbeiten. Zwischen den Systemen stehen bis zu fünf Filterschichten, und überall gilt dieselbe Grundregel: Eingehende Verbindungen sind verboten, solange sie nicht ausdrücklich freigegeben sind. Öffentlich erreichbare Dienste haben keinen Weg ins interne Netz.

  • Firewall des Rechenzentrums vor jedem Server.
  • Firewall auf Cluster-Ebene und eigene Firewall je virtuellem Server.
  • Bindung an IP- und MAC-Adresse gegen vorgetäuschte Absender im internen Netz.
  • Firewall im Betriebssystem und automatische Sperre nach wiederholten Fehlanmeldungen.
  • Öffentliche Portale getrennt in einer DMZ ohne Zugang zum internen Netz.

Wer kommt wie an Ihre Daten?

Ihre Mitarbeitenden melden sich über einen verschlüsselten Zugang (VPN oder RD-Gateway) mit Zwei-Faktor-Anmeldung an. Einen frei aus dem Internet erreichbaren Remotedesktop-Port, ein bekanntes Einfallstor für Angriffe, gibt es in unseren Paketen nicht. Die Administration läuft über getrennte Wege, die von außen nicht erreichbar sind.

  • Zwei-Faktor-Anmeldung für alle Benutzer, auch im Homeoffice und unterwegs.
  • Kein offener RDP-Port (3389) im Internet.
  • Administration nur mit persönlichen Schlüsseln über einen gesicherten Sprungserver, kein direkter Zugang aus dem Internet.
  • Zugriff durch uns erst nach Abschluss von Auftragsverarbeitungsvertrag und Verschwiegenheitsvereinbarung.

Wie werden Ihre Daten gesichert?

Jede Nacht sichern wir alle virtuellen Server vollständig auf einen eigenen Sicherungsserver außerhalb des Clusters. Die Daten werden schon vor der Übertragung mit AES-256-GCM verschlüsselt; der Sicherungsspeicher sieht nur verschlüsselte Blöcke. Eine Zweitkopie liegt in einem getrennten Speicher mit eigenen Tagesständen.

  • Aufbewahrung: 7 tägliche, 4 wöchentliche und 6 monatliche Stände, also bis etwa ein halbes Jahr zurück.
  • Der Cluster darf Sicherungen schreiben, aber nicht löschen – Schutz, falls ein Server kompromittiert würde.
  • Wöchentliche Prüfung aller Prüfsummen; Fehler erscheinen im Monitoring.
  • Einzelne Dateien lassen sich gezielt aus der Sicherung zurückholen.
  • Ganze Server stellen wir auf einem separaten System wieder her; das laufende System wird dabei nie überschrieben.

Monitoring & Updates

Was überwachen wir – und wie oft?

Unser Monitoring haben wir selbst entwickelt. Auf jedem Server meldet ein Agent im Minutentakt den Zustand von System, Sicherheit, Spiegelung und Sicherung. Die Überwachung läuft rund um die Uhr automatisiert; Auffälligkeiten lösen bei uns einen Alarm aus. Jede Änderung an der Überwachung wird protokolliert.

  • Windows-Firewall, Virenschutz (Microsoft Defender), ausstehende Updates und Neustartbedarf.
  • Fehlanmeldungen und Angriffe auf den Remotedesktop.
  • Prüfung, ob Remotedesktop-Verbindungen die vorgeschaltete Anmeldung (NLA) verlangen und ob die Windows-Version noch Sicherheitsupdates erhält.
  • Regelmäßige Prüfung von außen, ob ein unerwarteter Port offen ist.
  • Webdienste minütlich von außen geprüft, Warnung 21 und 7 Tage vor Ablauf eines Zertifikats.

Wie schnell schließen wir Sicherheitslücken?

Ein Beispiel aus unserem Betrieb: Als eine kritische Lücke in PHP mit einer CVSS-Bewertung von 9,2 von 10 bekannt wurde, haben wir noch am selben Tag alle Server darauf geprüft, am Abend Sofortmaßnahmen umgesetzt und am nächsten Tag alle betroffenen Systeme aktualisiert. Reguläre Windows- und Fachsoftware-Updates spielen wir außerhalb Ihrer Arbeitszeit ein, abgestimmt auf Fristen und Abrechnungstage.

Architektur

Der Weg Ihrer Daten im Überblick

Vom Arbeitsplatz in der Kanzlei oder im Homeoffice geht die Verbindung verschlüsselt über VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung zu unseren Firewalls. Dahinter liegen die virtuellen Server Ihrer Kanzlei im eigenen Cluster, ab Professional gespiegelt auf einen zweiten Server. Jede Nacht wandert eine verschlüsselte Sicherung auf den separaten Sicherungsserver, von dort in eine Zweitkopie.

  1. Arbeitsplatz Büro, Homeoffice, unterwegs
  2. VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung
  3. Firewall bis zu fünf Filterschichten
  4. Kanzlei-Server im Cluster eigene virtuelle Server je Kanzlei
  5. Sicherungsserver täglich, AES-256 verschlüsselt, außerhalb des Clusters
Der Weg Ihrer Daten: Vom Arbeitsplatz über den gesicherten Zugang und die Firewall zu den Kanzlei-Servern im Cluster; die Sicherung liegt verschlüsselt auf einem eigenen Server außerhalb des Clusters.

Was wir nicht behaupten

Wir schreiben nur, was wir belegen können. Deshalb steht hier auch, was wir nicht haben oder bewusst anders machen – damit Sie Angebote fair vergleichen können.

  • KLBX Cloud selbst ist nicht nach ISO/IEC 27001 zertifiziert und hat kein C5-Testat des BSI; zertifiziert ist das Rechenzentrum des Betreibers.
  • Kein automatischer Failover: Nach einem Hardware-Ausfall starten wir Ihre Umgebung bewusst kontrolliert aus der Spiegelung bzw. der Sicherung, damit kein ungeprüfter Datenstand hochfährt.
  • Keine 24/7-Hotline: Rund um die Uhr läuft die automatische Überwachung. Eine Notfallnummer bei Systemausfällen außerhalb der Bürozeiten gibt es im Paket Premium und als Zusatzleistung.
  • Die Datensicherung ist keine revisionssichere Archivierung und ersetzt kein GoBD-Archiv.
  • Kein „DSGVO-Siegel“ und kein „kammergeprüft“: Was zählt, sind Auftragsverarbeitungsvertrag, Verschwiegenheitsvereinbarung und die hier beschriebenen Maßnahmen.

FAQ

Häufige Fragen

In welchem Rechenzentrum liegen die Daten meiner Kanzlei?

Im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Vogtland, Sachsen), zertifiziert nach ISO/IEC 27001. Dort betreiben wir unseren eigenen Server-Cluster auf dedizierter Hardware. Ihre Daten liegen ausschließlich in Deutschland, auch die Sicherungen.

Ist KLBX Cloud nach ISO 27001 zertifiziert?

Nein. Nach ISO/IEC 27001 zertifiziert ist der Betreiber des Rechenzentrums, in dem unsere Server stehen. KLBX Cloud selbst hat kein eigenes ISO-27001-Zertifikat und kein C5-Testat. Welche Maßnahmen wir selbst umsetzen, beschreiben wir auf dieser Seite und in den technischen und organisatorischen Maßnahmen zum Auftragsverarbeitungsvertrag.

Wie oft werden meine Daten gesichert und wie lange aufbewahrt?

Jede Nacht vollständig. Aufbewahrt werden 7 tägliche, 4 wöchentliche und 6 monatliche Stände, also bis etwa ein halbes Jahr zurück. Mit der Zusatzleistung Backup Plus (im Paket Premium enthalten, sonst einzeln buchbar) sind es 30 tägliche und 12 monatliche Stände.

Wer kann die Sicherungen lesen?

Niemand ohne unseren Schlüssel: Die Sicherungen werden vor der Übertragung mit AES-256-GCM verschlüsselt, Sicherungsserver und Zweitkopie speichern nur verschlüsselte Daten. Außerdem darf der Cluster Sicherungen zwar schreiben, aber nicht löschen; ein kompromittierter Server kann die Sicherungen also nicht vernichten.

Was passiert, wenn ein Server im Rechenzentrum ausfällt?

Der Cluster bleibt arbeitsfähig. Ab dem Paket Professional starten wir Ihre Umgebung auf einem zweiten Server aus der Spiegelung, die alle 15 Minuten läuft; in Basis und Start stellen wir sie aus der täglichen Sicherung wieder her. Das geschieht bewusst kontrolliert und nicht automatisch, damit kein veralteter Datenstand ungeprüft hochfährt. Die Wiederanlaufzeit je Paket steht auf der Preisseite.

Wie melden sich meine Mitarbeitenden von zu Hause an?

Über VPN oder RD-Gateway mit Zwei-Faktor-Anmeldung, aus der Kanzlei genauso wie aus dem Homeoffice. Einen offenen Remotedesktop-Port im Internet gibt es bei uns nicht.

Können andere Kunden auf meine Daten zugreifen?

Nein. Jede Kanzlei erhält eigene virtuelle Server mit eigener Firewall. Eingehende Verbindungen sind standardmäßig verboten, und es gibt keine Windows-Installation, die sich mehrere Kunden teilen.

Wie erfüllen Sie die Verschwiegenheitspflicht nach § 203 StGB?

Vor dem ersten Zugriff auf Ihre Daten schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und eine gesonderte Verschwiegenheitsvereinbarung ab, die die Anforderungen an Dienstleister von Berufsgeheimnisträgern (§ 43e BRAO, § 62a StBerG) aufgreift. Eine Übersicht finden Sie unter Vertragsunterlagen. Eine Rechtsberatung ersetzt das nicht.

Weiterlesen: Kanzlei-IT auslagern und Berufsrecht, Hosting für Rechtsanwälte, Hosting für Steuerberater.

Beratung

Prüfen Sie uns, bevor Sie sich entscheiden

Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen und Verschwiegenheitsvereinbarung erhalten Sie vor Vertragsschluss zur Prüfung; eine Übersicht steht unter Vertragsunterlagen. Offene Fragen zur Sicherheit oder zum Berufsrecht klären Sie in 30 Minuten mit Stefan Kleebauer, der Betrieb und Infrastruktur verantwortet – kostenlos, per Video oder Telefon.

  • 30 Minuten, kostenlos
  • Per Video oder Telefon
  • Bestandsaufnahme vorab kostenlos

Stefan Kleebauer, Geschäftsführer
089 244 182 380 · Mo–Fr 8–18 Uhr

Beratung vereinbaren Vertragsunterlagen