Website einer Steuerkanzlei: AML-Aufsicht und Onboarding

Ein potenzieller Mandant einer Steuerkanzlei fragt selten, welche Stelle die Kanzlei in puncto Geldwäscheprävention beaufsichtigt. Ihm fällt eher auf, wenn das Onboarding nachlässig wirkt: eine E-Mail, die um einen angehängten Scan des Reisepasses bittet, ein Formular, das nicht sagt, wohin die Daten gehen, oder kein Hinweis darauf, dass die Kanzlei überhaupt irgendwo registriert ist. Die Website ist der Ort, an dem beide Probleme gelöst werden, und beide hängen zusammen. Aufsichtsbehörden erwarten, dass Sie beaufsichtigt werden und ordentliche Prüfungen durchführen; Mandanten erwarten, dass die Prüfungen so sorgfältig behandelt werden wie ihre Steuererklärung.

Dieser Ratgeber richtet sich an kleine Kanzleien, von denen viele von HMRC statt von einer Berufsorganisation beaufsichtigt werden. Er erklärt, wie Sie herausfinden, welche Aufsicht Sie brauchen, was sie kostet, was Sie auf der Website dazu sagen sollten und wie Sie einen Onboarding-Weg gestalten, der den Hinweisen des National Cyber Security Centre zu Phishing und Kontosicherheit folgt. Zum weiteren Leistungskontext lesen Sie unsere Seiten zu Webdesign und zur DSGVO-konformen Website.

GOV.UK nennt die Unternehmen, die für Zwecke der Geldwäscheprävention als Anbieter von Buchhaltungsleistungen gelten: Abschlussprüfer, die gesetzliche Prüfungen durchführen, Buchhalter, die Mandanten Buchhaltungsleistungen erbringen, Steuerberater und Berater, die Mandanten zu ihren Steuerangelegenheiten beraten, Lohnbuchhaltungsdienstleister, die Buchhaltungsleistungen oder Steuerberatung erbringen, sowie Zollagenten oder Spediteure, wenn sie Buchhaltungs- oder Steuerleistungen erbringen. Zu den Leistungen zählen das Erfassen, Prüfen, Analysieren, Berechnen und Berichten von Finanzinformationen für andere, konkrete Steuerberatung für einen Kunden, Hilfe beim Ausfüllen und Einreichen von Steuererklärungen und die Beratung zur Höhe der geschuldeten Steuer.

Zwei Punkte dieser Leitlinien betreffen Website-Projekte unmittelbar. Erstens: Wenn Sie diese Leistungen virtuell oder über einen automatisierten Dienst erbringen, müssen Sie dennoch die Sorgfaltspflichten gegenüber Ihrem Kunden erfüllen. Ein Selbstbedienungsprodukt für Steuererklärungen ist daher nicht allein deshalb ausgenommen, weil keine Person mit dem Kunden spricht. Zweitens: Die Leitlinien besagen, dass Anbieter, die Kunden grundlegende Steuerinformationen geben oder darauf verlinken, die für alle gleich wären, etwa den Grundsteuersatz der Income Tax, sich möglicherweise nicht registrieren müssen. Ein rein informativer Blog liegt auf der sicheren Seite dieser Grenze; ein interaktiver Rechner, der eine Zahl für die Umstände einer einzelnen Person liefert, verdient einen zweiten Blick.

Wird Ihre Kanzlei nicht von einer Berufsorganisation beaufsichtigt, ist HMRC die Aufsichtsstelle. GOV.UK erklärt, dass ein Insolvenzverwalter stattdessen von seiner zulassenden Stelle beaufsichtigt wird. Nennen Sie auf der Website, welche Stelle Sie beaufsichtigt, denn das beantwortet eine Frage, die sorgfältige Mandanten und Banken gleichermaßen stellen.

Gebühren gehören zur Wirtschaftlichkeitsrechnung, wenn ein Einzelpraktiker entscheidet, ob er eine neue Leistungslinie hinzufügt. Laut der GOV.UK-Gebührenseite, die am 22. Dezember 2025 aktualisiert wurde, um Änderungen ab dem 1. Dezember 2025 abzubilden, fallen im Wesentlichen folgende Kosten an.

Das Hinzufügen von Betriebsstätten im Laufe des Jahres wird nach dem Zeitpunkt bepreist: In den ersten sechs Monaten zahlen Sie die volle Gebühr je Betriebsstätte, in den zweiten sechs Monaten die Hälfte, und das Entfernen einer Betriebsstätte bringt keine Erstattung. HMRC erklärt außerdem, dass es einen Antrag erst prüft, wenn die Gebühren bezahlt sind, und dass es eine Registrierung löschen kann, wenn die jährliche Erklärungsgebühr nicht fristgerecht bezahlt wird.

Warum ist das für eine Website wichtig? Eine Kanzlei mit einer Coworking-Adresse, einem Heimbüro und einer Filiale mit Mandantenkontakt hat drei mögliche Betriebsstätten. Kontaktseite der Website, Registrierungsunterlagen und angegebene Betriebsstätten müssen übereinstimmen. Behandeln Sie die Kontaktseite als Teil der Compliance-Dokumentation und aktualisieren Sie die Registrierung, bevor Sie einen neuen Standort eröffnen.

Die Leitlinie zum Registrieren oder Aktualisieren legt eine klare Reihenfolge fest. Vor dem Antrag sollten Sie eine Risikobewertung zu Geldwäsche, Terrorismusfinanzierung und Proliferationsfinanzierung durchführen, Richtlinien, Kontrollen und Verfahren zur Steuerung der erkannten Risiken einführen, alle wirtschaftlich Berechtigten, Geschäftsführer oder Manager (im Registrierungssystem „responsible persons“ genannt) dem Antrag hinzufügen und alle Betriebsstätten angeben, an denen beaufsichtigte Tätigkeiten stattfinden. HMRC erklärt, dass es den Antrag ablehnen oder verweigern kann, wenn dies nicht vorhanden ist.

Die Prüfung neuer Anträge kann laut derselben Seite bis zu 45 Tage dauern, und HMRC kann Sie in der Zwischenzeit per E-Mail oder Telefon kontaktieren, nachdem es einen Hinweis auf die Risiken der Korrespondenz per E-Mail gesendet hat. Nach der Registrierung müssen Sie jährlich eine Erklärung einreichen, dass Ihre Angaben korrekt sind, und die Jahresgebühr zahlen. HMRC sendet 30 Tage vor Fälligkeit von Erklärung und Zahlung eine Nachricht an Ihr Online-Konto. Beide Schritte müssen abgeschlossen werden, sonst wird die Registrierung gelöscht.

Eine praktische Folge: Der Starttermin einer Website sollte nicht der erste Tag sein, an dem Sie jemandem sagen, dass Sie Leistungen erbringen, die einer Aufsicht bedürfen. Schließen Sie die Registrierung ab und veröffentlichen Sie dann. Ist die Website bereits live, ergänzen Sie die Aufsichtserklärung, sobald die Registrierung bestätigt ist.

Die Aufsichtserklärung

Setzen Sie eine kurze Erklärung in den Footer und auf die Seite „Über uns“. Sie sollte die Aufsichtsstelle nennen, die von HMRC vergebene Registrierungsnummer angeben und sagen, was die Erklärung abdeckt. Halten Sie die Formulierung sachlich, zum Beispiel: Die Kanzlei wird zu Zwecken der Geldwäscheprävention von HMRC unter der Registrierungsnummer X beaufsichtigt. Deuten Sie nicht an, die Aufsicht sei ein Qualitätssiegel; es handelt sich um eine Registrierung nach den Vorschriften.

Eine kurze Erklärung für Mandanten

Fügen Sie eine allgemeinverständliche Seite hinzu, etwa mit dem Titel „Warum wir einen Ausweis verlangen“. Schreiben Sie, dass das Gesetz von Anbietern von Buchhaltungsleistungen Sorgfaltspflichten gegenüber Kunden verlangt, dass die Prüfungen vor Beginn der Arbeit stattfinden, welche Dokumente in der Regel nötig sind, wie sie sicher eingeholt werden und wie lange sie aufbewahrt werden. Eine kurze Seite erspart Stunden telefonischer Erklärungen und signalisiert Professionalität.

Was nicht veröffentlicht werden sollte

• Eine E-Mail-Adresse mit der Bezeichnung „Hier Ihren Reisepass senden“.
• Registrierungsnummern, die Sie nicht besitzen, oder das Logo einer Stelle, das Sie nicht verwenden dürfen.
• Jede Aussage, Mandanten seien durch die Prüfungen der Kanzlei „zugelassen“ oder „freigegeben“.
• Namen von Mandanten oder die Branchen, in denen sie tätig sind, was die Vertraulichkeit verletzen würde.

Die Hinweise des NCSC zur Abwehr von Phishing richten sich an Organisationen jeder Größe und sind für eine Kanzlei, die Ausweisdokumente einholt, unmittelbar relevant. Mehrere seiner Empfehlungen lassen sich in Gestaltungsentscheidungen übersetzen.

1. Dateien über ein zugriffsgeschütztes Konto teilen, nicht als Anhänge. Das NCSC nennt das Teilen von Dateien über ein zugriffsgeschütztes Cloud-Konto statt als Anhänge als Beispiel dafür, Prozesse widerstandsfähiger gegen Phishing zu machen. Bauen Sie den Mandanten-Upload in ein Portal ein und lassen Sie die Onboarding-E-Mail nur einen Link darauf enthalten.
2. Wichtige Anfragen über einen zweiten Kanal überprüfen. Dieselbe Seite rät, alle wichtigen E-Mail-Anfragen über eine zweite Art der Kommunikation zu überprüfen, etwa SMS, einen Telefonanruf, die Anmeldung in einem Konto oder die Bestätigung per Post oder persönlich. Wenn ein Mandant per E-Mail neue Bankdaten mitteilt oder um die Änderung einer Zahlungsanweisung bittet, sollte der Prozess einen Rückruf verlangen.
3. Mandanten sagen, was Sie nie tun werden. Das NCSC schlägt vor, Kunden zu sagen, worauf sie achten sollen, etwa „Wir fragen Sie nie nach Ihrem Passwort“ oder „Unsere Bankverbindung ändert sich zu keinem Zeitpunkt“. Setzen Sie diese Zeilen auf die Onboarding-Seite und in die Willkommens-E-Mail.
4. Zugänge von Mitarbeitern und Mandanten mit Multi-Faktor-Authentifizierung schützen. Das NCSC erklärt, dass ein zweiter Faktor verhindert, dass ein Angreifer allein mit einem gestohlenen Passwort in ein Konto gelangt. Aktivieren Sie ihn für das Portal, für E-Mail und für das Kanzleimanagementsystem.
5. Das Melden einer verdächtigen Nachricht leicht machen. Das NCSC rät, ein Umfeld zu schaffen, das Nutzer zum Melden von Phishing ermutigt, und eine Kultur der Bestrafung oder Schuldzuweisung zu vermeiden. Fügen Sie im Portal einen gut sichtbaren Kontakt „Ist diese E-Mail echt?“ hinzu.

Nichts davon erfordert Individualsoftware. Viele Portale unterstützen diese Funktionen von Haus aus; die Website ergänzt die Erklärung und das einheitliche Erscheinungsbild, an dem ein Mandant das Echte erkennt.

Die Reihenfolge ist wichtig, weil sie das Einholen von Dokumenten in einem authentifizierten Bereich hält und die späteren Schritte von den früheren abhängig macht. Der Schritt, den Kanzleien am häufigsten weglassen, ist der Rückruf, und er ist zugleich die günstigste Abwehr gegen Betrug durch umgeleitete Zahlungen.

Die meisten kleinen Kanzleien kaufen ein Kanzleimanagement- oder Mandantenportal-Produkt, statt eines zu bauen. Die Website hat dann zwei Aufgaben: den Ablauf zu erklären und den Mandanten an die Anmeldung des Produkts zu übergeben. Prüfen Sie vor der Auswahl eines Produkts vier Dinge: ob das Portal Multi-Faktor-Authentifizierung für Mandanten unterstützt, ob hochgeladene Dokumente in einem zugriffsgeschützten Konto gehalten werden, statt per E-Mail verschickt zu werden, ob das Produkt ein Protokoll führt, wer was angesehen hat, und wo die Daten gehostet werden. Tragen Sie die Antworten in Ihre Datenschutzerklärung ein.

Verlinken Sie von der Website auf das Portal über eine klar gestaltete Adresse auf Ihrer eigenen Domain, damit Mandanten eine Adresse kennenlernen, der sie vertrauen können. Braucht Ihre Website dafür einen schlanken Neuaufbau, beginnt eine einfache Broschüren-Website ab EUR 300 zuzüglich Mehrwertsteuer, siehe Preise; größere Integrationen fallen unter Webentwicklung.

Die Leitlinien zur Aufsicht wurden wiederholt überarbeitet: Die hier verwendeten GOV.UK-Seiten zeigen Aktualisierungen in den Jahren 2023, 2025 und 2026, darunter Gebührenänderungen ab dem 1. Dezember 2025. Bauen Sie die Aufsichtserklärung so, dass sie sich an einer Stelle leicht ändern lässt, und überprüfen Sie sie, wann immer HMRC seine Leitlinien ändert. Führen Sie eine datierte Notiz der Seiten, auf die Sie sich gestützt haben, und beauftragen Sie eine namentlich benannte Person, sie jedes Quartal zu prüfen.

Eine kurze vierteljährliche Checkliste hält die Website ehrlich:

• Zeigt der Footer weiterhin die richtige Aufsichtsstelle und Registrierungsnummer?
• Stimmen die Betriebsstätten auf der Kontaktseite mit denen der Registrierung überein?
• Wurde die jährliche Erklärung eingereicht, und wurde die Zahlungsreferenz angegeben?
• Beschreibt die Onboarding-Seite weiterhin die Prüfungen, die Sie tatsächlich durchführen?
• Ist die Multi-Faktor-Authentifizierung für jedes Portal und jedes E-Mail-Konto aktiviert?
• Stimmen die Gebührenbeträge auf Budgetierungsseiten mit der aktuellen GOV.UK-Seite überein?

Wenn Sie eine neue Website oder die Übergabe an ein Portal planen möchten, nutzen Sie die Seite Angebot anfordern und nennen Sie uns, welches Kanzleimanagement-Produkt Sie verwenden.

• GOV.UK: Fees you'll pay for money laundering supervision
• GOV.UK: Check if you need to register as an accountancy service provider
• GOV.UK: Register or update your money laundering supervision with HMRC
• NCSC: Phishing attacks, defending your organisation