Die meisten KMU in Polen tauschen Dokumente mit ihrem externen Steuerbüro auf eine Weise aus, die spätestens bei der ersten DSGVO-Prüfung, dem ersten erfolgreichen Phishing oder dem ersten vollen Postfach richtig teuer wird. Die Alternative — Ordnung zwischen Unternehmen und Steuerbüro — ist weder kompliziert noch teuer. Sie erfordert nur eine Entscheidung.
Dieses Thema kommt in unseren Gesprächen erstaunlich oft vor. Der Inhaber ruft wegen etwas anderem an — etwa einer E-Commerce-Anbindung an das ERP — und im Nebensatz stellt sich heraus, dass die Gehaltsabrechnungen aus einem privaten Gmail-Konto ans Steuerbüro gehen und die Eingangsrechnungen in einem geteilten Dropbox-Ordner liegen, auf den neun Personen Zugriff haben, darunter der Praktikant, der im März gegangen ist.
Woher das Chaos kommt
Es ist selten böser Wille. Historisch fuhr man einmal im Monat mit einer Mappe zum Steuerbüro. Irgendwann zwischen 2010 und 2015 wurde die Mappe vom Scanner und der E-Mail abgelöst. Die Belegmengen wuchsen — Werkverträge, Gehaltslisten, JPK-Dateien, Urlaubsanträge, Berichte aus Comarch Optima oder Subiekt, Kontoauszüge, Überweisungsbelege, Allegro-Rechnungen, Spesenabrechnungen. Die Bearbeitung ist nicht mitgewachsen. Es ist immer noch „anhängen und senden".
Niemand hat sich hingesetzt und gefragt: „In welchem Modus tauschen wir das eigentlich aus?" Weil es funktioniert hat. Bis es aufhört zu funktionieren.
Drei klassische, schlechte Muster
- Anhang an das Postfach des Steuerbüros. Mehrere Mitarbeitende schicken tagsüber. Eine Kopie bleibt beim Absender und beim Empfänger. Anhänge heißen
rechnung_final_final2.pdf. Wenn die Sachbearbeiterin im Urlaub ist, weiß niemand, was noch auf Bearbeitung wartet. - Ein geteilter Dropbox-/Google-Drive-Ordner „für alle". Irgendwann ad hoc entstanden. Zugriff haben der ganze Vertrieb, das gesamte Rechnungswesen, eine ehemalige Mitarbeiterin, ein Praktikanten-Konto und der Link „für jeden, der den Link hat". Kein Audit, wer wann was heruntergeladen hat.
- Ein USB-Stick einmal pro Woche. Häufig bei Firmen mit „Freitagssachbearbeiterin". Ein verlorener Stick mit den Gehaltsdaten von 30 Personen ist eine DSGVO-Meldung und ein Gespräch mit der Aufsichtsbehörde.
Was du wirklich riskierst
Das ist kein theoretisches Risiko. Es sind Dinge, die jedes Jahr in polnischen KMU tatsächlich passieren:
- DSGVO. Gehaltslisten enthalten PESEL-Nummer, Adresse, Kontonummer, Gehalt. Art. 32 DSGVO verlangt „geeignete technische Maßnahmen" — in der Praxis mindestens Transportverschlüsselung und Zugriffskontrolle. Ein unverschlüsselter E-Mail-Anhang erfüllt das nicht.
- Kein Audit-Trail. Einen Monat später kannst du nicht mehr rekonstruieren, wer die Gehaltsliste des Vertriebs geöffnet hat. In einem arbeitsrechtlichen Streit ist das eine schmerzhafte Lücke.
- Versionierung. Der Klassiker: das Steuerbüro hat die Version vor der Korrektur, das Unternehmen die danach, die Jahresabschlusszahlen stimmen nicht überein. Zwei Tage Suche, wo es auseinandergelaufen ist.
- Wissensverlust. Die Sachbearbeiterin oder die Assistentin, die „den Versand macht", geht — und mit ihr die mentale Karte, wo was liegt. Statt Ordnern hast du hunderte Outlook-Threads.
- Gezielter Phishing-Angriff. Ein Postfach wie
rechnungen@firma.plist ein bekanntes, leichtes Ziel. Ausgetauschte Bankdaten in einer Mail „vom Steuerbüro" — und plötzlich landen 40 000 PLN dort, wo sie nicht hingehören.
Was tatsächlich funktioniert
Du brauchst kein teures DMS und kein Sechs-Monats-Projekt. In den meisten KMU reicht eine sinnvolle Kombination aus drei Kanälen:
- Das Portal des Steuerbüros. SaldeoSMART, Symfonia iBiuro, Comarch iBiuro, enova365 Kadry i Płace online, MojeBiuro24 — jedes ernsthafte polnische Steuerbüro bietet heute ein Portal an. Du lädst den Scan im Browser hoch, die Kanzlei greift ihn auf ihrer Seite ab. Versionierung, Historie, Zugriffskontrolle — direkt aus der Schachtel. Wenn dein Steuerbüro so etwas nicht hat, lohnt sich die Frage (oder ein Wechsel).
- Ein geteilter Ordner in Microsoft 365 oder Google Workspace mit granularen Berechtigungen. Die Sachbearbeiterin als Gast, Zugriff nur auf diesen einen Ordner, MFA erzwungen, Zugriffslog. Kein „Team-Laufwerk für alle" — ein Ordner, eine Person. In denselben Kanal gehören HR-Verträge, Zeitnachweise, Kontoauszüge.
- KSeF für Rechnungen — je nachdem, wie weit das polnische E-Invoicing-System bei euch etabliert ist, landen Rechnungen direkt beim Steuerbüro, ohne dass du sie verschickst. Mail-Rechnungen einstellen, sobald es dein Setup erlaubt.
Drei Kanäle sind keine „Komplexität" — das ist Ordnung. Ein Kanal pro Belegstrom. Rechnungen via Portal oder KSeF, HR via SharePoint, alles andere über einen benannten Ort — nicht über das Postfach des Inhabers.
Ein konkreter Fall
Bei einem unserer Kunden — einem 24-köpfigen Elektro-Großhändler in Großpolen mit rund 28 Mio. PLN Jahresumsatz — sah es so aus. Monatlich gingen etwa 800 Eingangsrechnungen ans Steuerbüro (Scans aus dem Empfang), rund 1 200 Ausgangsrechnungen aus Comarch Optima, 24 Gehaltsabrechnungen, ein Dutzend Werkverträge und einige Kassenberichte. Alles über rechnungen@firma.pl, ein Sammelpostfach mit Zugriff für vier Personen, plus WeTransfer freitagabends, sobald das 25-MB-Limit erreicht war.
Beim Jahresabschluss 2025 meldete die Sachbearbeiterin drei fehlende Scans. Es stellte sich heraus: eine Rechnung war beim Steuerbüro im Spam-Filter gelandet, eine zweite war wegen eines vollen Postfachs zurückgekommen (der Bounce wurde übersehen), die dritte war vom privaten Konto des Lagerleiters verschickt worden und nie angekommen. Vier Tage Suche.
Wir haben das auf zwei Schienen sortiert. Rechnungen — das Portal des Steuerbüros (SaldeoSMART mit automatischer OCR und Ablage nach Geschäftspartner). Verträge, Gehaltslisten, Auszüge — ein eigener SharePoint-Ordner, die Sachbearbeiterin als Gast mit erzwungenem MFA, wöchentliches Zugriffslog an den Inhaber. Der Monatsabschluss ist von rund fünf Arbeitstagen auf zwei gesunken. Die „mach das jetzt, ich muss es heute schicken"-Mails sind auf null gefallen. Drei Postfächer, die nur für den Steuerbüro-Verkehr existierten, konnten geschlossen werden.
Wie du es Schritt für Schritt umsetzt
- Ruf dein Steuerbüro an und frag, welche Portale es unterstützt. Die meisten haben ein bevorzugtes, manche unterstützen mehrere.
- Liste alle Belegströme auf. Eingangs- und Ausgangsrechnungen, Korrekturen, Gehaltslisten, Verträge, Kassenberichte, Kontoauszüge, Spesen, Zeitnachweise. Eine Zeile pro Strom.
- Ein Ort pro Strom. Nie zwei. „Rechnungen immer über das Portal", „Verträge immer über den HR-Ordner". Die Regel muss eindeutig sein.
- Alte Kanäle hart abschalten. Das Postfach
rechnungen@bekommt einen Autoresponder mit Link zum Portal. Der geteilte Dropbox wird binnen zwei Wochen umgezogen und geschlossen. Sonst schaltet niemand um. - MFA erzwungen für das Konto der Sachbearbeiterin und das gesamte Rechnungswesen. Das ist nicht verhandelbar.
- Ein einseitiges Merkblatt. Wer schickt was wohin bis wann. In der Küche aushängen.
- Nach einem Monat in die Sachbearbeiter-Mailbox schauen: Was ist trotzdem per Mail zurückgekommen und warum. In der Regel sind es ein bis zwei Personen und ein Belegtyp. Klärst du und fertig.
Wie geht es weiter
Früher oder später wird dich irgendetwas zu dieser Änderung zwingen: eine Prüfung, ein Phishing-Angriff, ein Postfach-Ausfall oder der Austritt der Person, die „wusste, wo was liegt". Besser in einem ruhigen Quartal, als unter Termindruck einer Behörde.
Wenn du nicht weißt, mit welchem Strom du in deinem Unternehmen anfangen sollst — eine halbe Stunde mit jemandem, der das in einem Dutzend ähnlicher Häuser aufgeräumt hat, spart dir einen Monat im Kreis laufen.
Der Dokumentenaustausch mit dem Steuerbüro ist niemands Konferenzthema. Es ist das Thema, an dem ein solides Unternehmen einmal im Jahr auf die Nase fällt. Die Reparatur ist billig, wenn du sie machst, bevor du stürzt.