Claude Code sicher in der Steuerkanzlei: Anonymisierung und Rechte

In einer Steuerkanzlei liegt der Gedanke nahe, vor der Übergabe einer Summen- und Saldenliste oder einer Lohnabrechnungs-CSV an Claude Code einfach den Firmennamen zu löschen. Bei der späteren Kontrolle tauchen jedoch weitere Spuren auf: Name des Geschäftsführers, E-Mail-Adresse, Kontonummer, Geschäftspartner oder Identifikationsnummer stehen noch in einer anderen Spalte oder sogar im Dateinamen. Daraus lässt sich weiterhin ableiten, zu welchem Mandanten die Unterlagen gehören. Der erste Ansatzpunkt ist deshalb nicht der Prompt, sondern die Grenze zwischen dem Ordner mit Originaldaten und dem Arbeitsordner für die KI.

Für einen Monatskommentar muss Claude Code zum Beispiel nicht die ursprüngliche CSV öffnen. Die Kontrollfragen lassen sich aus einer Arbeits-JSON erstellen, in der das Unternehmen „Mandant A“ heißt und der Umsatz als Bandbreite wie „10 bis 15 Millionen Yen“ vorliegt. Steuerbetrag, Deklarationsentscheidung und Versand bleiben beim Menschen.

Dieser Artikel zeigt, wie eine Steuerkanzlei Mandantendaten von den Originalen trennt, eine anonymisierte Arbeitskopie erstellt und ausschließlich diese an Claude Code übergibt. Wir behandeln Zugriffsrechte nicht als alleinigen Sicherheitsnachweis, sondern ergänzen sie um eine Eingangsprüfung und menschliche Freigabe. Der einzige Call-to-Action führt zu Schulung und Beratung, wo auch Rollen und Freigabeabläufe der Kanzlei festgelegt werden.

Das Wichtigste in Kürze

• Lege Originale in raw-client-data/ und die Kopie für die KI in ai-work/ ab. Claude Code erhält keine Leserechte auf die Originale.
• Bei der Anonymisierung reicht es nicht, Namen zu entfernen. Prüfe auch Kontaktdaten, Konten, Identifikationsnummern, Geschäftspartner, zu genaue Beträge und Freitext.
• Claude Code übernimmt nach der Anonymisierung das Sortieren, Differenztabellen, Kontrollfragen und Entwürfe. Steuerliche Entscheidungen, Versand, Aufbewahrungsdauer und Ausnahmefreigaben trifft ein Mensch.
• Die drei Anwendungsfälle sind Monatskommentar, E-Mail zu fehlenden Unterlagen und Checkliste vor der Steuererklärung.
• Miss den ROI anhand der Vorbereitungszeit pro Vorgang, der Rückläufer, der Stopps in der Eingangsprüfung und der Freigabeminuten.

Arbeitsablauf: Vor dem Öffnen des Originals eine Arbeitskopie erstellen

Teile die Arbeitsordner der Steuerkanzlei in vier Bereiche: Originale, Transformation, KI-Arbeit und freigegebene Ergebnisse. In den Originalordner gehören Buchhaltungs-CSV, Lohnkonten, Steuerunterlagen und Mandanten-E-Mails. Im KI-Arbeitsordner liegen ausschließlich JSON-, Markdown- oder CSV-Dateien mit den für den jeweiligen Zweck notwendigen Feldern. Freigegebene Ergebnisse werden getrennt mit dem Namen des Prüfers und dem Prüfdatum gespeichert.

Ordner	Inhalt	Umgang in Claude Code
raw-client-data/	Vom Mandanten erhaltene Originale	Lesen und Schreiben verweigern
transform/	Anonymisierungsskript und Feldtabelle	Inhalt durch einen Menschen prüfen und ausführen
ai-work/	Pseudonymisierte und in Bandbreiten überführte Arbeitskopie	Lesen und Schreiben erlauben
approved-output/	Von einem Menschen freigegebene Texte und Checklisten	Durch menschliche Aktion speichern und versenden

Schreibe zuerst in einem Satz auf, wofür die KI eingesetzt wird. „Den Monatsbericht schreiben“ ist zu weit gefasst. Begrenze das Ziel stattdessen auf: „Aus Umsatzband, monatlicher Veränderung der Rohertragsmarge und Anzahl offener Posten drei Fragen an die Geschäftsführung ableiten.“ Je enger der Zweck, desto weniger Felder müssen weitergegeben werden.

Erstelle danach eine Feldtabelle. Firmenname, Personenname, Adresse, Telefon, E-Mail, Konto und Identifikationsnummer werden entfernt. Geschäftspartner, eine seltene Branche, exakter Umsatz und Freitext werden durch Aliasnamen oder Bandbreiten ersetzt. Dokumentiere außerdem, wer die Umwandlung wann und nach welcher Regel vorgenommen hat.

Die japanische Datenschutzbehörde nennt in ihrem Hinweis zur Nutzung von Cloud-Diensten Punkte, die etwa dann zu beachten sind, wenn die Nutzung eines Dienstes einer Auftragsverarbeitung personenbezogener Daten entspricht. Die Kanzlei muss die Sicherheitsmaßnahmen des Dienstes, die vertragliche Rollenverteilung und die Überwachung des Dienstleisters prüfen. Für besondere personenbezogene Daten mit der japanischen My-Number-Identifikationsnummer gelten gesondert zu prüfende Leitlinien für Unternehmen. Die Konfigurationsbeispiele in diesem Artikel ersetzen keine rechtliche oder vertragliche Prüfung.

Was Claude Code übernimmt und was ein Mensch entscheidet

Claude Code darf anonymisierte Unterlagen sortieren, mögliche Lücken finden sowie Kontrollfragen und Entwürfe erstellen. Aus Tatsachen wie „Das Umsatzband ist gegenüber dem Vormonat gestiegen, die Rohertragsmarge aber gefallen“ oder „Die Zahl offener Posten ist um zwei gestiegen“ kann es Fragen erzeugen, die der Sachbearbeiter mit dem Mandanten klärt. Der echte Firmenname und der exakte Kontostand werden dafür nicht benötigt.

Ein Mensch entscheidet über steuerliche Schlussfolgerungen, Zahlen, die Formulierung gegenüber dem Mandanten, Empfänger, Aufbewahrungsdauer, Löschung und Ausnahmefälle. Behauptungen der KI werden nicht direkt verschickt. Ein Steuerberater prüft die Belege und die anzuwendenden Voraussetzungen und gibt das Ergebnis frei.

Auch die Rechte bestehen aus zwei Ebenen. Read/Edit-Ablehnungen von Claude Code beziehen sich auf die integrierten Werkzeuge. Die offizielle Dokumentation zur Rechtekonfiguration erklärt, dass damit Unterprozesse von Bash nicht zwangsläufig auf dieselbe Weise gestoppt werden; für Beschränkungen auf Betriebssystemebene ist zusätzlich die Sandbox einzusetzen. Die Regeln werden in der Reihenfolge deny, ask, allow ausgewertet. Lehne zuerst die Originale ab und erlaube danach ausschließlich den Arbeitsordner.

Drei Anwendungsfälle

Anwendungsfall 1: Kontrollfragen für den Monatskommentar erstellen

• Eingabe: Mandanten-ID, Umsatzband, monatliche Änderung der Rohertragsmarge, Zahl offener Posten und sachliche Notizen des Bearbeiters.
• Ausgabe: drei Fragen an den Mandanten, ein Entwurf des Monatskommentars und die als Grundlage verwendeten Eingabefelder.
• Menschliche Kontrolle: Buchhaltungswerte, steuerliche Bewertung, mandantenspezifische Umstände, Versandtext und Empfänger freigeben.

Die Struktur des Kommentars lässt sich ohne exakten Umsatz und Firmennamen erstellen. Weise Claude Code an: „Leite keine Ursache für die Veränderung ab, ergänze keine in der Eingabe fehlende Begründung und formuliere stattdessen eine Kontrollfrage.“ Der Sachbearbeiter priorisiert die Fragen anhand der Originale. Den Aufbau des vollständigen Berichts behandelt der Artikel zum Monatsbericht einer Steuerkanzlei.

Anwendungsfall 2: E-Mail-Entwurf zu fehlenden Unterlagen erstellen

• Eingabe: Mandant A, betroffener Monat, Arten der fehlenden Unterlagen, gewünschtes Antwortdatum und mögliche Übermittlungswege.
• Ausgabe: Betreff, Nachricht, Liste der fehlenden Unterlagen und Hinweise für die Antwort.
• Menschliche Kontrolle: Tatsächlich fehlende Unterlagen, Frist, Empfänger, Anhänge und versehentlich enthaltene Namen anderer Unternehmen prüfen.

Bei einer E-Mail zu fehlenden Unterlagen richten ein falscher Empfänger oder ein stehen gebliebener Mandantenname mehr Schaden an als eine holprige Formulierung. Die KI-Arbeitskopie enthält deshalb keinen echten Namen. Dieser wird erst nach der Freigabe im E-Mail-System eingefügt. Diese Eingabegrenze liegt vor der Texterstellung aus dem Beitrag über Mandanten-E-Mails und Prüf-Checklisten.

Anwendungsfall 3: Lücken in der Checkliste vor der Erklärung finden

• Eingabe: pseudonymisierte Gesellschaftsart, betroffener Vorgang, Dokumentkategorien, Eingangskennzeichen und Rolle des Prüfers.
• Ausgabe: Checklistenentwurf mit nicht eingegangenen Unterlagen, Rückfragen an den Bearbeiter und Freigabefeldern.
• Menschliche Kontrolle: Erklärungspflicht, Fristen, notwendige Unterlagen, Anwendungsvoraussetzungen, elektronische Übermittlung und endgültige Abgabe entscheiden.

Auch hier entscheidet Claude Code nicht, ob eine Erklärung abgegeben werden kann. Die Checklistenpunkte werden mit dem bestehenden Verfahren abgeglichen, damit Claude Code mögliche Lücken nennt. Ein Mensch prüft anhand der Originale Steuerart, Wirtschaftsjahr, Verfahrensstand und Voraussetzungen besonderer Regelungen. Die Ausgabe enthält weiterhin Felder für „Prüfer“, „Prüfdatum“ und „Nachweis“.

Prompt zum Kopieren

Der folgende Prompt setzt voraus, dass ausschließlich anonymisierte Unterlagen aus ai-work/ gelesen werden. Ergänze im Prompt weder echte Namen noch genaue Identifikationsnummern.

Du unterstützt eine Steuerkanzlei bei der monatlichen Prüfung.
Lies ausschließlich ./ai-work/client-C017.json und gib die Antwort in dieser Reihenfolge aus.

1. In der Eingabe enthaltene Tatsachen
2. Punkte, die sich allein aus der Eingabe nicht beurteilen lassen
3. Drei Fragen an den Mandanten
4. Entwurf des Monatskommentars
5. Punkte, die ein Mensch anhand der Originale prüfen muss

Einschränkungen:
- Keine steuerliche Beurteilung als feststehend darstellen
- Keine Firmennamen, Personennamen, Beträge oder Gründe ergänzen, die nicht in der Eingabe stehen
- Keine E-Mails versenden, Dateien löschen oder externe Verbindungen herstellen
- Bei einem Wert, der wie personenbezogene Information aussieht, Verarbeitung stoppen und nur den Feldnamen melden
- Die Ausgabe mit „Vor Steuerberaterprüfung - nicht versenden“ beenden

Vor dem Prompt wird maschinell geprüft, ob die Arbeitskopie nur die vorgesehenen Felder enthält. Das zu diesem Artikel gehörende Skript scripts/check-tax-accountant-ai-input.mjs durchsucht JSON, CSV, Markdown und Text. Es beendet sich mit Exit-Code 1, wenn es Feldnamen erkennt, die nach Personen- oder Kontaktdaten aussehen, oder wenn es E-Mail-Adressen, Telefonnummern, zwölfstellige Identifikationsnummern oder Postleitzahlen findet.

node scripts/check-tax-accountant-ai-input.mjs
node scripts/check-tax-accountant-ai-input.mjs ./ai-work
if ($LASTEXITCODE -ne 0) { throw "AI入力前チェックで停止しました" }

Diese Prüfung garantiert keinen Schutz vor Datenabfluss. Sie kann die Bedeutung von Freitext und eine mögliche Reidentifikation durch die Kombination mehrerer Felder nicht vollständig beurteilen. Deshalb öffnet und prüft ein Mensch die Arbeitskopie auch nach dem maschinellen Test.

Funktionsfähige Rechtekonfiguration

In der projektbezogenen .claude/settings.json werden die Originale zuerst abgelehnt und ausschließlich der KI-Arbeitsordner erlaubt. Der führende / in /raw-client-data/** bezieht sich in der Claude-Code-Konfiguration auf die Projektwurzel. Ein absoluter Pfad ab der Wurzel des PCs beginnt mit //; verwechsle diese Schreibweisen nicht.

{
  "permissions": {
    "deny": [
      "Read(/raw-client-data/**)",
      "Edit(/raw-client-data/**)",
      "Read(/secrets/**)",
      "Edit(/secrets/**)",
      "Bash(git push *)"
    ],
    "allow": [
      "Read(/ai-work/**)",
      "Edit(/ai-work/**)",
      "Bash(node scripts/check-tax-accountant-ai-input.mjs *)"
    ]
  },
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "filesystem": {
      "denyRead": ["./raw-client-data", "./secrets"],
      "denyWrite": ["./raw-client-data", "./secrets"]
    }
  }
}

Laut offizieller Sandbox-Dokumentation wird standardmäßig nach einer Warnung ohne Sandbox weitergearbeitet, wenn diese nicht gestartet werden kann. Hier stoppt failIfUnavailable: true die Verarbeitung; allowUnsandboxedCommands: false schaltet die Umgehungsmöglichkeit ab. Die Sandbox-Unterstützung setzt macOS, Linux oder WSL2 voraus. Eine Kanzlei mit Windows führt den Prozess innerhalb von WSL2 aus und verarbeitet auf Geräten, auf denen die Konfiguration nicht greift, keine Mandantendaten.

Teste nach der Konfiguration auch, dass ein Zugriff tatsächlich abgelehnt wird. Lege nur erfundene Daten in einem Testordner ab und prüfe, ob das Lesen von raw-client-data/ verweigert wird und ausschließlich die Arbeitskopie in ai-work/ zugänglich ist. Das bloße Vorhandensein der Konfigurationsdatei ist noch kein bestandener Test. Der Leitfaden zu Claude-Code-Rechten erläutert die Denkweise hinter deny-Regeln zusätzlich.

Fallstricke: Wann Anonymisierung und Rechte versagen

Der erste Fallstrick ist die Annahme, nach dem Löschen des Firmennamens sei die Datei anonymisiert. Geschäftsführername, eine ungewöhnliche Transaktion, ein genauer Betrag oder ein Freitext können die Identifikation weiterhin ermöglichen. Lege für jeden Zweck erlaubte Felder fest und exportiere ausschließlich die transformierte Datei nach ai-work/.

Der zweite Fallstrick ist die Annahme, eine Read-Ablehnung stoppe auch Bash. Die integrierten Read/Edit-Regeln und die Einschränkung von Unterprozessen sind zwei verschiedene Ebenen. Ergänze in der Sandbox denyRead und denyWrite und beende den Prozess mit failIfUnavailable, falls die Sandbox nicht gestartet werden kann.

Der dritte Fallstrick ist die Schlussfolgerung, null Treffer bedeuteten Sicherheit. Reguläre Ausdrücke übersehen Bilder, Text in PDF-Dateien, Schreibvarianten und personenbezogene Informationen, die erst aus dem Inhalt erkennbar werden. Nutze eine Positivliste erlaubter Felder und kombiniere Eingangsprüfung, menschliche Sichtkontrolle, Verarbeitungsprotokoll und Löschfrist.

Der vierte Fallstrick ist ein Funktionstest mit echten Daten. Während des Tests können Werte in Logs oder Screenshots zurückbleiben. Prüfe Ablehnungen und Freigaben mit erfundenen Daten und dokumentiere den Ablauf zum Stoppen eines Vorfalls auf einer Seite.

ROI im kleinen Rahmen messen

Miss in den ersten zwei Wochen nur eine Art Monatskommentar für einen Mandanten. Erfasse vor der Einführung fünfmal die „Minuten von der Prüfung der Originale bis zum fertigen Entwurf“, die „Anzahl der Korrekturen durch den Bearbeiter“ und die „Anzahl der Rückgaben durch den Kanzleileiter“. Nimm nach der Einführung dieselben Werte auf und ergänze die Anzahl der Vorgänge, die durch die Eingangsprüfung gestoppt wurden.

Ein Beispiel: Sinkt bei 20 Vorgängen pro Monat die Vorbereitung von 18 auf 11 Minuten je Vorgang, werden monatlich 140 Minuten eingespart. Steigt aber die Freigabezeit, muss sie abgezogen werden. Erfasse neben dem Zeitwert auch verhinderte Fehlversendungen, die Übernahme eines fremden Firmennamens und vorab blockierte Zugriffe auf Originale. Wer nur auf Geschwindigkeit achtet, erzeugt Druck, die Anonymisierung zu überspringen.

Stelle vor und nach der Einführung Anzahl der Vorgänge × (Vorbereitungsminuten + Freigabeminuten + Rücklaufminuten) und die Zahl der Stopps gegenüber. So werden Tempo und Sicherheit gemeinsam sichtbar.

Häufige Fragen

F. Kann ich die Daten direkt verwenden, wenn ich den Mandantennamen durch ein Pseudonym ersetze?

Nein. Prüfe auch Geschäftsführername, Anschrift, E-Mail, Konto, My Number, Geschäftspartner, genaue Beträge und Freitext. Ein Mensch muss abschließend beurteilen, ob der Mandant durch die Kombination mehrerer Werte erkennbar bleibt.

F. Ist die Verarbeitung sicher, wenn alles lokal läuft?

Der lokale Ausführungsort allein entscheidet das nicht. Prüfe Datenverarbeitung des Dienstes, Authentifizierung, Endgerät, Protokolle, externe Kommunikation, Rechte und Vertrag. Schaffe zuerst eine Grenze, die den Zugriff auf Originale verhindert.

F. Prüft das Skript auch PDF-Dateien und Bilder?

Nein. Das Skript in diesem Artikel unterstützt nur JSON, CSV, Markdown und Text. PDF-Dateien und Bilder werden als nicht unterstützte Formate gestoppt und müssen ein separates, freigegebenes Transformationsverfahren durchlaufen. Unbekannte Formate dürfen nicht stillschweigend passieren.

F. Darf ich eine My Number anonymisieren und dann an die KI übergeben?

Dieser Artikel trifft keine Einzelfallentscheidung. Nimm sie grundsätzlich nicht in die Arbeitskopie auf. Der Verantwortliche der Kanzlei muss die Leitlinien der japanischen Datenschutzbehörde, den Vertrag, den Verwendungszweck und die internen Regelungen prüfen.

Die Grenze in Schulung und Beratung festlegen

Wenn eine Steuerkanzlei Claude Code nutzt, reicht das Anlegen einer Konfigurationsdatei nicht. Bleibt unklar, wer anonymisiert, wer Ausnahmen genehmigt und wo Ergebnisse gespeichert werden, bricht die Grenze im täglichen Betrieb. Für Originale, Arbeitskopie, KI-Ausgabe und freigegebenen Text müssen Verantwortliche bestimmt werden.

In Schulung und Beratung entwerfen wir Feldtabelle, Ordnergrenzen, Rechte, Eingangsprüfung und Freigabeformular, ohne echte Daten einzubringen. Im ersten Gespräch prüfen wir nur die Namen der bestehenden Ordner und das gewünschte Arbeitsergebnis; die Originale selbst werden nicht geteilt.

Ergebnis des praktischen Tests

Für diesen Artikel wurde der Selbsttest von scripts/check-tax-accountant-ai-input.mjs ausschließlich mit einer erfundenen Mandanten-JSON ausgeführt. Die sichere Probe erzeugt null Treffer. Die riskante Probe mit Geschäftsführername, E-Mail-Adresse und zwölfstelliger Identifikationsnummer ist so ausgelegt, dass sie den Prozess stoppt. Code, Befehle, interne Links, offizielle URLs, Call-to-Action, Frontmatter und Titelbild wurden ebenfalls in die Prüfung vor der Veröffentlichung einbezogen.

Die erste Aufgabe für heute lautet: Leere Ordner raw-client-data/ und ai-work/ anlegen und mit erfundenen Dateien testen, ob „die Originalseite abgelehnt wird und nur die Arbeitskopie lesbar ist“. Auch nach bestandenem Test beginnt jeder Arbeitsablauf mit einer anonymisierten Kopie.