Datensicherheit in der Vermieter-Software — verschlüsselt, gesichert, migrierbar.
Deine Vermieter-Software hält 10 Jahre Belege, Mietverträge und Bankdaten — verschlüsselt oder nicht? Und was passiert, wenn der Anbieter morgen pleite ist? Ein Prüf-Fahrplan, mit dem du den Unterschied zwischen Marketing und echter Sicherheit erkennst.
Eine sichere Vermieter-Software erfüllt drei Bedingungen: Alle Daten werden verschlüsselt gespeichert (mindestens AES-256), es gibt automatische tägliche Backups mit mehrfacher Aufbewahrung, und die Klausel zur Insolvenz des Anbieters garantiert dir einen vollständigen Datenexport innerhalb weniger Tage. Fehlt eines dieser drei Punkte, betreibst du Blindflug mit den Daten deiner Mieter.
Warum das Thema für Vermieter besonders zählt
In der Vermieter-Software liegen personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO — Name, Adresse, oft Bankverbindung und Bonitäts-Informationen deiner Mieter. Kommen sie abhanden, drohen Bußgelder nach Art. 83 DSGVO bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro (je nach höherem Wert). Für Privat-Vermieter praktisch keine 20 Millionen, aber die 500-Euro-Anzeige ist realistisch.
Dazu kommen die Aufbewahrungspflichten: Verträge, Belege und Nebenkostenabrechnungen unterliegen der 10-jährigen Aufbewahrung nach § 147 AO — die Software muss also nicht nur heute sicher sein, sondern auch in acht Jahren noch funktionieren.
Die drei Sicherheits-Ebenen
| Ebene | Was gemeint ist | Standard |
|---|---|---|
| Verschlüsselung in Ruhe | Daten auf der Festplatte im Rechenzentrum | AES-256 |
| Verschlüsselung in Bewegung | Daten unterwegs zwischen Server und Browser | TLS 1.2 oder höher |
| Verschlüsselung auf Datei-Ebene | einzelne Belege mit eigenem Schlüssel | AES-256-GCM Envelope |
Ebene 1 und 2 sind Mindeststandard — jeder seriöse Anbieter erfüllt sie. Ebene 3 ist der Unterschied zwischen „solide“ und „Fort-Knox-Niveau“: Bei Envelope-Verschlüsselung bekommt jede Datei einen eigenen Schlüssel, der wiederum mit einem Master-Schlüssel gesichert wird. Kommt ein Server abhanden, sind einzelne Dateien nicht lesbar, selbst wenn die Datenbank kompromittiert wäre.
Backup-Strategie: 3-2-1 als Minimum
- Drei Kopien der Daten (Original + zwei Backups)
- Auf zwei verschiedenen Medientypen
- Davon eine Kopie außerhalb des Rechenzentrums
Konkret heißt das: Die Software macht mindestens täglich ein automatisches Backup, die Backups liegen zusätzlich in einem zweiten Rechenzentrum in einem anderen Erdbeben-Perimeter, und mindestens ein Backup wird 30 Tage aufbewahrt. Wer alles nur „in der Cloud“ sagt, ohne diese Details, hat das Konzept nicht verstanden.
Rentprime fährt automatische verschlüsselte Backups zweimal wöchentlich pro Konto — Restore läuft über einen Admin-Vorgang per Mail-Ticket, damit ein einzelner kompromittierter Zugang kein ganzes Datenlager wiederherstellen kann.
Rechenbeispiel: Kosten eines Datenverlusts
Angenommen, ein Vermieter mit 20 Einheiten verliert alle digitalen Belege der letzten drei Jahre. Was kostet die Wiederbeschaffung?
- Neue Beleg-Kopien anfordern (Handwerker, Versorger, Versicherung): 15 Stunden à 25 € = 375 €
- Nachträgliches Sortieren und Buchen: 20 Stunden à 25 € = 500 €
- Steuerberater-Mehraufwand für unstimmige Vorjahre: 800 €
- Mögliche Steuernachzahlung wegen nicht mehr belegbarer Werbungskosten: 500–2.500 €
- Gesamtschaden: 2.175–4.175 € — pro Vorfall
Das Insolvenz-Szenario
- Datenexport in offenem Format (CSV, PDF) muss jederzeit möglich sein
- Bei Insolvenz: mindestens 30 Tage Zeit zum Datenexport
- Idealerweise Software-Escrow: Der Quellcode liegt bei einem Notar
- Alternative: Selbst-Hosting-Option — auch wenn du sie nie nutzt
Zwei-Faktor-Authentifizierung als Pflicht
Alle Sicherheit auf Datenbank-Ebene ist wertlos, wenn dein Login-Passwort im Darknet steht. Nach dem BSI-Grundschutz-Kompendium (Baustein ORP.4) ist 2-Faktor-Authentifizierung für Zugänge zu personenbezogenen Daten Stand der Technik. Für Vermieter-Software heißt das: Passwort plus zweiter Faktor per App (TOTP) oder Hardware-Schlüssel (FIDO2).
| Faktor | Sicherheitsniveau | Praxistauglichkeit |
|---|---|---|
| Nur Passwort | niedrig | hoch |
| SMS-Code | mittel (SIM-Swapping) | hoch |
| TOTP-App (Google Authenticator, Authy) | hoch | hoch |
| Hardware-Schlüssel FIDO2 | sehr hoch | mittel |
| Passkey | sehr hoch | hoch (in Entwicklung) |
SMS ist besser als nichts, aber SIM-Swapping ist inzwischen ein Massen-Angriffs-Vektor: Kriminelle rufen bei deinem Mobilfunkbetreiber an, geben sich als du aus und übernehmen deine Nummer. Die SMS mit dem Login-Code landet bei ihnen. TOTP-Apps sind resistent dagegen, weil der Code auf deinem Gerät erzeugt wird und nicht per Netz übertragen.
Häufige Fragen
Wie erkenne ich, ob die Software wirklich verschlüsselt?
Frag nach dem Zertifikat: ISO 27001-Hoster ist ein guter Ausgangspunkt, TLS 1.2+ überall und AES-256 in Ruhe sind Standard. Steht auf der Website nur „SSL-verschlüsselt“ ohne Details, ist das zu wenig. Frag konkret nach der Verschlüsselung der Belege auf Datei-Ebene.
Wie oft sollten Backups laufen?
Mindestens täglich, besser stündlich bei aktiven Systemen. Kritisch ist zusätzlich die Aufbewahrungsdauer: Ein Backup, das nach 24 Stunden überschrieben wird, hilft dir bei Ransomware nicht. Standard sind 30 Tage rollierend plus monatliche Kopien für 12 Monate.
Muss ich als Vermieter selbst zusätzlich sichern?
Sinnvoll ist ein monatlicher Voll-Export als PDF oder CSV auf deinen eigenen Rechner. Damit hast du im Fall der Fälle eine eigene Kopie außerhalb des Anbieter-Systems — unabhängig davon, wie sicher der Anbieter ist. § 147 AO verlangt, dass du die Belege 10 Jahre lang lesbar aufbewahrst.
Was ist ein AV-Vertrag und brauche ich einen?
Der Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO regelt, dass der Software-Anbieter Daten in deinem Auftrag verarbeitet. Ohne AV-Vertrag verstößt jede Datenübergabe gegen die DSGVO. Seriöse Anbieter stellen ihn digital unterschriftsreif — dauert 3 Minuten und ist Pflicht.
Sind meine Daten auf US-Servern noch DSGVO-konform?
Seit dem EU-US Data Privacy Framework (DPF) 2023 ist die Übertragung an DPF-zertifizierte US-Anbieter grundsätzlich zulässig. Für Vermieter-Software ist trotzdem EU-Hosting die einfachere Wahl — kein zusätzliches Aufsichtsbehörden-Risiko, kein Umstellungs-Aufwand bei künftigen Gesetzesänderungen.
Wie oft sollte ich einen Restore-Test machen?
Mindestens einmal jährlich. Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall wertlos — die häufigste Fehlerquelle sind unvollständige Backup-Läufe, die niemand bemerkt hat. Gute Anbieter dokumentieren automatische Restore-Tests; frag konkret nach dem letzten Testprotokoll.