Das Problem: Mandantendaten dürfen sich nie vermischen
Für Rechtsanwälte, Notare und Steuerberater ist die Mandantentrennung keine optionale Komfortfunktion – sie ist gesetzliche Pflicht. Das Anwaltsgeheimnis, das Berufsgeheimnis nach Art. 321 StGB und das Schweizer Datenschutzgesetz (DSG) verlangen, dass kein Mandant Einblick in die Daten eines anderen erhält. Auch intern.
Das klingt einfach. In der Praxis scheitert es regelmässig: Eine falsch gesetzte Berechtigung, ein geteilter Teams-Kanal, ein Dokument im falschen Ordner – und schon liegt ein Vertrag von Mandant A im Sichtbereich von Mandant B. In einem klassischen Netzwerklaufwerk passiert das täglich, ohne dass es jemand merkt.
SharePoint kann dieses Problem dauerhaft lösen. Aber nur, wenn die Struktur von Anfang an stimmt.
Die zwei Architekturen für Mandantentrennung
Variante 1: Eine Site pro Mandant (maximale Isolation)
Jeder Mandant erhält eine eigene SharePoint-Site mit eigenen Berechtigungen, eigenen Dokumentenbibliotheken und eigener Teams-Gruppe. Mitarbeitende der Kanzlei werden als Mitglieder hinzugefügt. Externe Mandanten können als Gäste eingeladen werden – mit zeitlich begrenztem Zugriff und nur auf explizit freigegebene Dokumente.
Vorteile:
- Vollständige technische Isolation: keine geteilten Bibliotheken, keine Berechtigungsüberschneidungen
- Jeder Mandant hat seinen eigenen Bereich, der unabhängig verwaltet werden kann
- Gastfreigabe für mandantenseitige Anwälte oder Treuhänder möglich
- Einfache Archivierung beim Mandatsabschluss (Site in Read-only oder archiviert)
Nachteile:
- Bei vielen Mandanten entstehen viele Sites – Verwaltungsaufwand steigt
- Kanzleiwissen (Musterverträge, Vorlagen) muss zentral bereitgestellt werden
Variante 2: Zentrale Site mit Ordner-/Metadaten-Trennung (für kleinere Kanzleien)
Alle Mandantendokumente liegen in einer zentralen Bibliothek, getrennt durch Metadaten-Spalten («Mandant», «Aktenzeichen») und Ansichten. Die Berechtigung erfolgt auf Bibliotheksebene – nur Kanzleimitarbeitende haben Zugriff, externe Mandanten gar nicht.
Diese Variante ist administrativ einfacher, bietet aber keine technische Isolation zwischen den Mandantendaten. Geeignet, wenn keine externe Gastfreigabe nötig ist und alle Sachbearbeitenden Zugriff auf alle Mandate haben dürfen.
Berechtigungskonzept: Was Sie unbedingt vermeiden müssen
| Fehler | Risiko | Lösung |
|---|---|---|
| Einzelne Berechtigungen auf Dokumentebene | Unübersichtlich, schwer auditierbar | Immer Gruppen statt Einzelpersonen berechtigen |
| «Alle ausser Gäste»-Freigaben | Interne Mandantendaten sichtbar für alle | Explizite Gruppen pro Mandant definieren |
| Berechtigungsvererbung aufbrechen | Unvorhersehbare Zugriffskaskaden | Strukturell trennen statt manuell überschreiben |
| Keine Zugriffsprüfung nach Mitarbeiterwechsel | Ex-Mitarbeitende haben weiter Zugriff | Entra ID-Lifecycle-Management mit automatischem Offboarding |
Microsoft Entra ID als Fundament
Berechtigungen in SharePoint funktionieren am besten, wenn sie an Microsoft Entra ID (ehemals Azure AD) Gruppen hängen – nicht an Einzelpersonen. Das bedeutet: Wenn ein Sachbearbeiter die Kanzlei verlässt, wird sein Account in Entra ID deaktiviert, und er verliert automatisch alle SharePoint-Zugriffsrechte. Kein manuelles Entfernen aus 30 verschiedenen Sites nötig.
Für Kanzleien empfehlen wir folgende Gruppenstruktur:
- Kanzlei-Alle: Alle Mitarbeitenden – Zugriff auf Kanzleibibliothek (Vorlagen, Muster, interne Richtlinien)
- Mandat-[ID]-Sachbearbeiter: Die dem Mandat zugewiesenen Personen
- Mandat-[ID]-Partner: Partner mit Vollzugriff inkl. Verwaltungsrechten
- Mandat-[ID]-Extern: Gastnutzer (Mandant selbst, externe Berater)
Prüfpfade und Compliance-Anforderungen
SharePoint und Microsoft 365 bieten umfangreiche Audit-Möglichkeiten – aber sie müssen konfiguriert sein:
- Microsoft Purview Audit (Standard): Protokolliert alle Dateioperationen (Öffnen, Herunterladen, Teilen, Löschen) mit Benutzer und Zeitstempel. Logs werden 90 Tage aufbewahrt.
- Microsoft Purview Audit (Premium): Bis zu 1 Jahr Aufbewahrung, detailliertere Ereignisse. Relevant für Kanzleien mit erhöhten Compliance-Anforderungen (FINMA, Anwaltsaufsichtsbehörden).
- Retentions-Policies: Definieren Sie pro Mandatstyp, wie lange Dokumente aufbewahrt werden müssen und wann sie gelöscht werden dürfen. Für Steuerberater gelten in der Schweiz 10 Jahre für Buchhaltungsunterlagen.
Was CNEXT für Kanzleien und Steuerberater umsetzt
Wir haben Mandantentrennung für mehrere Schweizer Kanzleien und Steuerberatungsunternehmen implementiert – von der Konzeption über die Entra-ID-Gruppenstruktur bis zum fertigen SharePoint-Aufbau mit Audit-Konfiguration. Typische Projektdauer: 4–8 Wochen je nach Kanzleigrösse und bestehendem IT-Setup.
Wenn Sie heute noch auf Netzwerklaufwerken oder unsortiertem OneDrive-Storage arbeiten: Es gibt einen besseren Weg. Sprechen Sie mit uns – wir zeigen Ihnen, wie eine rechtskonforme Lösung für Ihre Kanzlei konkret aussieht.