Freelancer und Berater: So schützen Sie die Daten Ihrer Kunden ohne IT-Abteilung

Sie nehmen einen neuen Kunden an. Nach einer Woche liegen auf Ihrem Laptop seine Finanztabellen, ein Ordner mit Verträgen, ein paar Tausend Wörter Strategienotizen, einige Screenshots aus seinen internen Werkzeugen und vielleicht ein Datenbankexport, den er Ihnen „nur um Zeit zu sparen“ gemailt hat. Ob Sie es wollten oder nicht: Sie verwahren jetzt die sensiblen Daten eines anderen Unternehmens. Und anders als dieses haben Sie keine IT-Abteilung, kein Sicherheitsteam, keine Compliance-Beauftragte. Es gibt nur Sie und einen Laptop, der mit ins Café geht.

Das ist das stille Risiko im Zentrum der Arbeit als Freelancer und Berater. Kunden geben Ihnen Zugang, weil sie Ihnen persönlich vertrauen, aber das rechtliche Risiko und das für Ihren Ruf sind real. Wird Ihr Laptop gestohlen, gerät ein Synchronisierungsordner nach außen oder wird ein Cloud-Konto gehackt, dann sind die Daten Ihres Kunden in Umlauf und Ihr Name hängt am Vorfall. Dieser Artikel ist ein praktischer Leitfaden zum Schutz von Kundendaten, wenn Sie allein arbeiten. Kein Fachjargon, keine Angstmacherei und eine ehrliche Darstellung dessen, was wirklich etwas bewirkt, im Unterschied zu dem, was sich nur produktiv anfühlt.

Kurze Antwort

Als Freelancer oder Berater können Sie Kundendaten ohne IT-Abteilung auf einem wirklich professionellen Niveau schützen, indem Sie vier Dinge tun: Ihr Gerät mit Festplattenverschlüsselung schützen (FileVault, BitLocker oder LUKS), die Arbeitskopien der Kundendateien in einer clientseitig verschlüsselnden App aufbewahren, damit die Dateien selbst dann unlesbar bleiben, wenn ein Synchronisierungsdienst gehackt wird, einen Passwortmanager mit einmaligen Passwörtern und Zwei-Faktor-Authentifizierung für jedes Konto nutzen und Kundendaten am Ende des Auftrags löschen oder zurückgeben. Verschlüsselung ist Ihre wirksamste Einzelmaßnahme, denn sie macht aus einem verlorenen Laptop oder einem gehackten Cloud-Konto statt einer meldepflichtigen Datenpanne ein Nicht-Ereignis. Für sich allein macht sie Sie nicht DSGVO-konform, das hängt von Ihrer gesamten Arbeitsweise ab, aber sie ist das Fundament, auf dem alles andere steht.

Warum das Freelancern den Schlaf raubt

Die Sorge ist nicht irrational. Einige Dinge machen Selbstständige in der Beratung besonders angreifbar.

Sie bündeln das Risiko. Eine Angestellte im Unternehmen Ihres Kunden berührt die Daten eines Unternehmens. Sie halten vielleicht gleichzeitig die Daten von fünf Kunden aus verschiedenen Branchen auf demselben Rechner. Ein einziger Vorfall kann mehrere Kunden auf einmal treffen.

Sie sind die gesamte Angriffsfläche. Es gibt keinen separaten Arbeitslaptop, der im Büro eingeschlossen ist, kein verwaltetes Gerät mit durchgesetzten Richtlinien, keine Firewall, die jemand anderes pflegt. Ihr persönlicher Rechner, Ihre persönlichen Cloud-Konten und Ihre Gewohnheiten sind die ganze Verteidigungslinie.

Sie haften rechtlich. Nach der DSGVO sind Sie in der Regel Auftragsverarbeiter, wenn ein Kunde (der Verantwortliche) Ihnen personenbezogene Daten zur Verarbeitung in seinem Auftrag anvertraut. Art. 28 verlangt, dass dieses Verhältnis durch einen Vertrag geregelt wird, meist einen Auftragsverarbeitungsvertrag (AVV), und Art. 32 verlangt, dass Sie „geeignete technische und organisatorische Maßnahmen“ zur Sicherheit der Daten treffen. Verschlüsselung wird in Art. 32 ausdrücklich als Beispiel für eine solche Maßnahme genannt. Einfach gesagt: Der Schutz von Kundendaten ist kein nettes Extra, das Sie abtun können, weil Sie klein sind. Er ist eine rechtliche Pflicht, die auch für Sie gilt.

Und der Ernstfall ist für Freelancer brutal. Ein großes Unternehmen übersteht eine Schlagzeile über eine Datenpanne. Ein Berater, dessen Ruf sein ganzes Geschäft ist, übersteht „Der externe Dienstleister hat unsere Kundenliste verloren“ nicht so leicht.

Dieser Artikel ist keine Rechtsberatung und kann Ihnen Ihre genauen Pflichten nicht nennen; die hängen von Ihren Kunden, Ihrer Rechtsordnung und den betroffenen Daten ab. Was er kann: Ihnen die technischen Maßnahmen zeigen, die Ihr Risiko verlässlich senken, und wo die ehrlichen Grenzen liegen.

Die vier Maßnahmen, auf die es wirklich ankommt

Die meisten Sicherheitsratschläge für Kleinstbetriebe sind eine Wand aus Tipps. Sie brauchen keine vierzig Gewohnheiten. Sie brauchen vier Maßnahmen, richtig umgesetzt, ungefähr in dieser Reihenfolge der Wirkung.

1. Das Gerät selbst verschlüsseln

Fangen Sie hier an, denn es ist kostenlos, eingebaut und schützt vor dem häufigsten Vorfall überhaupt: einem verlorenen oder gestohlenen Laptop. Festplattenverschlüsselung bedeutet, dass das Laufwerk ohne Ihre Anmeldung unlesbar ist, wenn jemand den Rechner stiehlt. Schalten Sie FileVault unter macOS ein, BitLocker unter Windows Pro (oder die Geräteverschlüsselung unter Home), und nutzen Sie LUKS unter Linux. Das dauert zehn Minuten und schließt eine ganze Kategorie von Katastrophen à la „Laptop im Zug liegen gelassen“ aus.

Verstehen Sie aber, was die Festplattenverschlüsselung nicht leistet. Sie schützt die Daten, wenn der Rechner aus ist. Sobald Sie sich anmelden, ist alles entschlüsselt und für jede App lesbar, die unter Ihrem Benutzer läuft, und für Dateien, die Sie in die Cloud synchronisieren oder auf einen USB-Stick kopieren, bringt sie nichts. Sie ist notwendig und bei Weitem nicht ausreichend. Den Unterschied zwischen Schutz auf Festplatten- und auf Dateiebene sollte man wirklich verstehen; er wird in dieser Anleitung zu Festplatten- und clientseitiger Verschlüsselung für Notizen und Dateien gut erklärt.

2. Kundendateien in einer clientseitig verschlüsselnden App aufbewahren

Diese Maßnahme trennt Hobby-Niveau von professionellem Niveau. Die Festplattenverschlüsselung schützt den Laptop; die clientseitige Verschlüsselung schützt die Dateien selbst, wohin sie auch gehen.

Die Grundidee: Die Datei wird auf Ihrem Gerät mit einem Schlüssel verschlüsselt, den nur Sie besitzen, bevor sie überhaupt einen Synchronisierungsserver erreicht. Selbst wenn Ihr Cloud-Anbieter gehackt wird, eine behördliche Anfrage erhält oder einfach nachlässig ist, gelangt nur unlesbarer Chiffretext nach außen und nicht die echten Verträge Ihres Kunden. Das ist der Unterschied zwischen einem peinlichen, aber harmlosen Vorfall und einer meldepflichtigen Datenpanne. Was konkret auf dem Spiel steht, zeigt dieser Vergleich klar, was bei einer Datenpanne in klassischem Cloud-Speicher nach außen gelangt und was bei lokaler Verschlüsselung: Im einen Fall sind es lesbare Dokumente, im anderen Rauschen.

Hier gibt es wichtige Begriffe, die Anbieter absichtlich verwischen. „Im Ruhezustand verschlüsselt“ heißt oft nur, dass der Anbieter Ihre Daten mit Schlüsseln verschlüsselt, die er selbst hält; das schützt vor einer gestohlenen Festplatte aus seinem Rechenzentrum, aber nicht vor dem Anbieter selbst, einem Mitarbeiter, der seine Rechte missbraucht, oder einer behördlichen Anfrage. „Zero-Knowledge“ oder echte Ende-zu-Ende-Verschlüsselung heißt, dass der Anbieter Ihre Daten strukturell nicht lesen kann, weil er den Schlüssel nie hat. Für Kundendaten wollen Sie die zweite Art. Wenn Sie nur eine Erklärung lesen, dann diese Gegenüberstellung von Zero-Knowledge, Ende-zu-Ende und Verschlüsselung im Ruhezustand, denn die meisten „sicheren“ Werkzeuge stecken still in der schwächsten Kategorie.

3. Konten mit Passwortmanager und Zwei-Faktor-Authentifizierung absichern

Die Verschlüsselung auf dem Gerät ist wertlos, wenn sich ein Angreifer einfach in Ihre Konten einloggt. Die zwei Gewohnheiten, die zählen: ein Passwortmanager, damit jedes Konto ein einmaliges, starkes Passwort hat, und Zwei-Faktor-Authentifizierung für alles, was Kundendaten enthält oder darauf zugreift, besonders Ihre E-Mail, denn über Ihre E-Mail wird alles andere zurückgesetzt. Das ist unspektakulär und der höchste Ertrag, den Sie je aus zehn Minuten Aufwand ziehen werden. Ein geleaktes Passwort von irgendeiner fremden Website darf nie den Projektordner Ihres Kunden öffnen können.

4. Einen Ausstiegsplan für die Daten haben

Daten, die Sie nicht mehr haben, können nicht nach außen gelangen. Wenn ein Auftrag endet, löschen Sie die Dateien des Kunden oder geben Sie sie zurück, und entfernen Sie seinen Zugang aus allen gemeinsam genutzten Systemen. Aufbewahrung ist nicht nur eine Frage der Ordnung: Nach den Grundsätzen der Datenminimierung und der Speicherbegrenzung der DSGVO sollten Sie personenbezogene Daten nicht länger aufbewahren, als Sie sie brauchen. Als Auftragsverarbeiter sollte Ihr Vertrag mit dem Kunden außerdem regeln, was am Ende mit seinen Daten geschieht. Eine einfache Gewohnheit, ein Ordner pro Kunde, den Sie verschlüsseln, archivieren und dann sauber löschen können, macht das schmerzlos. Jeden Kunden vom ersten Tag an sauber getrennt zu halten, ist viel einfacher, als später die Dateien von fünf Kunden aus einem großen Desktop-Chaos herauszusortieren.

Ihre realistischen Optionen im Vergleich

Wo sollten die Arbeitsdateien Ihrer Kunden eigentlich liegen? Hier ein ehrlicher Vergleich der gängigen Lösungen, zu denen Freelancer greifen.

Lösung	Schützt bei gestohlenem Laptop	Schützt bei gehackter Cloud	Anbieter kann Dateien lesen	Kostenloser Einstieg	Realistisch für Selbstständige
Einfache Ordner + Dropbox/Drive	Nein	Nein	Ja	Kostenloser Tarif	Sehr einfach, aber am schwächsten
Nur Festplattenverschlüsselung	Ja (im ausgeschalteten Zustand)	Nein	Entfällt (keine Synchronisierung)	Kostenlos	Einfach, aber kein Schutz in der Cloud
Verbreitete Cloud „im Ruhezustand verschlüsselt“	Teilweise	Nein	Ja	Unterschiedlich	Einfach, falsches Sicherheitsgefühl
Clientseitig / Zero-Knowledge verschlüsselnde App	Ja	Ja	Nein	Lokal oft kostenlos	Einfach, sobald eingerichtet
Selbst betriebener Server	Kommt darauf an	Hängt von Ihrer Einrichtung ab	Kommt darauf an	Serverkosten + Ihre Zeit	Sie werden zur IT-Abteilung

Die Zeile, die man unterschätzt, ist „Verbreitete Cloud im Ruhezustand verschlüsselt“. Es klingt sicher und wird als sicher beworben, aber der Anbieter hält die Schlüssel, und so versagt es genau in dem Szenario, das Sie am meisten fürchten. Die Zeile zum Selbsthosten ist die umgekehrte Falle: Es kann hervorragend sein, aber einen eigenen Server zu betreiben heißt, dass Sie still die IT-Abteilung wieder eingestellt haben, der Sie entkommen wollten, samt Updates, Sicherungen und Verfügbarkeit. Für die meisten selbstständigen Berater ist eine clientseitig verschlüsselnde App mit optionaler Synchronisierung der ideale Punkt zwischen starkem Schutz und geringem Betriebsaufwand.

Wie das in einer normalen Woche aussieht

Theorie ist billig. Hier der Ablauf, übersetzt in das, was Sie tatsächlich tun würden.

Wenn ein Projekt beginnt, legen Sie für jeden Kunden einen eigenen Bereich an, damit seine Notizen und Dateien nie in die eines anderen oder in Ihre privaten Sachen hineinlaufen. Legen Sie alles für diesen Kunden dort ab: das Briefing, die Verträge, die Arbeitsdokumente, die Screenshots, die Schmierzettel. Weil der ganze Bereich auf Ihrer Festplatte verschlüsselt ist, treffen Sie keine Sicherheitsentscheidung Datei für Datei; der Standard ist sicher.

Verknüpfen Sie bei der Arbeit Dinge miteinander, statt in Ordnern zu suchen. Eine Besprechungsnotiz verweist auf das PDF, aus dem sie stammt; ein Arbeitsergebnis verlinkt auf die Ausgangsdaten. Das ist nicht nur Ordnung: Es bedeutet, dass Sie sechs Monate später tatsächlich nachvollziehen können, warum Sie eine Entscheidung getroffen haben, und das ist eine eigene Form beruflicher Absicherung. Wenn Sie sehen möchten, wie sich diese Verknüpfung von Notizen und Dokumenten auszahlt, führt dieser Leitfaden zum gemeinsamen Ordnen von Notizen und Dateien mit einem Graphen durch.

Wenn Sie einem Kunden eine Datei schicken müssen, vermeiden Sie es, sensible Anhänge per E-Mail zu verschicken, denn E-Mail ist nicht vertraulich. Nutzen Sie lieber einen Link, bei dem der Entschlüsselungsschlüssel nie den Server erreicht, sodass der Anbieter nicht lesen kann, was Sie geteilt haben. Und wenn der Auftrag abgeschlossen ist, archivieren Sie diesen einen Kundenbereich, liefern, was Sie schulden, und löschen Ihre Arbeitskopie nach dem vereinbarten Zeitplan.

Nichts davon braucht eine IT-Abteilung. Es braucht Werkzeuge, deren sicheres Verhalten der Standard ist, sodass Sicherheit der Weg des geringsten Widerstands ist und keine Disziplin, die Sie dauerhaft aufbringen müssen.

Wo Filarr ehrlich gesagt hineinpasst

Filarr ist eine Option für die zweite Maßnahme oben: ein verschlüsselter Local-first-Arbeitsbereich, in dem Ihre Notizen und Dateien zusammen auf Ihrem eigenen Rechner liegen. Jede Datei wird einzeln mit AES-256-GCM verschlüsselt, unter dem Hauptschlüssel Ihres Kontos und mit einem neuen Zufallswert pro Datei; dieser Hauptschlüssel ist seinerseits von einem Schlüssel umhüllt, der aus Ihrem Passwort abgeleitet wird (PBKDF2-SHA512 mit 600.000 Iterationen). Filarr funktioniert vollständig offline ohne Pflichtkonto, und die Cloud-Synchronisierung ist optional: Wenn Sie synchronisieren, werden die Dateien bereits verschlüsselt hochgeladen, und der Server speichert nur undurchsichtige Datenblöcke, die er nicht lesen kann. Die Wiederherstellung läuft über eine BIP-39-Phrase aus 24 Wörtern, ein vergessenes Passwort bedeutet also nicht den Verlust der Daten. Mehrere Arbeitsbereiche erlauben Ihnen, jeden Kunden sauber getrennt zu halten. Für die lokale Nutzung ist Filarr dauerhaft kostenlos, die Synchronisierung ist bis 5 GB kostenlos, bezahlte Tarife gibt es ab 4 €/Monat, und der Quellcode des Desktop-Clients ist unter der BSL 1.1 öffentlich (Source-available, nicht Open Source im Sinne der OSI). Wenn Sie die ganze Architektur sehen möchten: Das Team hat beschrieben, wie die optionale Cloud-Synchronisierung Zero-Knowledge bleibt.

Jetzt die ehrlichen Grenzen, denn Sie sollten kein Werkzeug wegen seines Marketings wählen. Filarr ist ein junges Projekt (2026), die Android-App ist erst seit Oktober 2026 verfügbar, eine iPhone-App gibt es nicht, und das Plugin-Ökosystem ist weit kleiner als etwa das von Obsidian. Wichtiger noch, und diesen Teil sollte Sie kein Werkzeug vergessen lassen: Verschlüsselung ist eine Maßnahme, keine Compliance. Filarr verschlüsselt Ihre Dateien. Es schließt keinen Auftragsverarbeitungsvertrag für Sie ab, es macht Sie nicht von allein DSGVO-konform, und es ist keine Rechtsberatung. Ihre Compliance hängt von Ihrer gesamten Arbeitsweise ab, Ihren Verträgen, Ihren Aufbewahrungsgewohnheiten, Ihrem Umgang mit Anfragen von Kunden, nicht von einer einzelnen App. Betrachten Sie Verschlüsselung als das starke Fundament, das sie ist, und bauen Sie den Rest Ihrer Praktiken darauf auf.

Praktische Checkliste

Schalten Sie heute die Festplattenverschlüsselung ein (FileVault, BitLocker oder LUKS). Zehn Minuten, null Kosten.
Bewahren Sie die Arbeitsdateien Ihrer Kunden in einer clientseitig verschlüsselnden App auf, nicht in einfachen Ordnern bei einem verbreiteten Cloud-Speicher.
Lernen Sie den Unterschied zwischen „im Ruhezustand verschlüsselt“ (der Anbieter hält die Schlüssel) und Zero-Knowledge (nur Sie halten sie), und bevorzugen Sie für Kundendaten Letzteres.
Nutzen Sie einen Passwortmanager plus Zwei-Faktor-Authentifizierung für jedes Konto, besonders für Ihre E-Mail.
Trennen Sie jeden Kunden vom ersten Tag an in einen eigenen Bereich.
Verschicken Sie sensible Anhänge nie per E-Mail; teilen Sie über Links, bei denen der Schlüssel bei Ihnen bleibt.
Schließen Sie mit Kunden einen Auftragsverarbeitungsvertrag, wenn Sie in deren Auftrag personenbezogene Daten verarbeiten, und vereinbaren Sie, was am Ende mit den Daten geschieht.
Löschen Sie Kundendaten am Ende des Auftrags oder geben Sie sie zurück; horten Sie sie nicht.
Denken Sie daran, dass Verschlüsselung das Risiko drastisch senkt, für sich allein aber weder Compliance noch Rechtsberatung ist.

Häufige Fragen

Habe ich als selbstständiger Freelancer wirklich Pflichten nach der DSGVO?

Sehr wahrscheinlich ja, wenn Sie im Auftrag von Kunden personenbezogene Daten verarbeiten. Klein zu sein befreit Sie nicht davon. Wenn ein Kunde Ihnen personenbezogene Daten zur Verarbeitung in seinem Auftrag anvertraut, sind Sie in der Regel Auftragsverarbeiter, was einen Auftragsverarbeitungsvertrag nach Art. 28 und geeignete Sicherheitsmaßnahmen nach Art. 32 bedeutet, wobei Verschlüsselung ausdrücklich als Beispiel genannt wird. Der genaue Umfang hängt von Ihrer Arbeit und Ihrer Rechtsordnung ab; verstehen Sie das also als Anstoß, die Einzelheiten zu klären, nicht als Rechtsberatung.

Reicht die Festplattenverschlüsselung nicht allein aus?

Nein. Sie ist unverzichtbar und schützt einen verlorenen oder gestohlenen Laptop, wenn der Rechner aus ist, aber sobald Sie sich anmelden, sind die Daten entschlüsselt, und für Dateien, die Sie in die Cloud synchronisieren oder anderswohin kopieren, bringt sie nichts. Sie brauchen zusätzlich eine clientseitige Verschlüsselung auf Dateiebene, um Daten unterwegs und bei der Synchronisierung zu schützen.

Mein Cloud-Anbieter sagt, meine Daten seien verschlüsselt. Bin ich damit abgesichert?

Prüfen Sie, wer die Schlüssel hält. „Im Ruhezustand verschlüsselt“ heißt meist, dass der Anbieter Ihre Daten mit Schlüsseln verschlüsselt, die er kontrolliert, was Sie nicht vor dem Anbieter selbst schützt, nicht vor einem Insider, der seine Rechte missbraucht, und nicht vor einem Einbruch, bei dem auch die Schlüssel offengelegt werden. Für Kundendaten wollen Sie Zero-Knowledge oder echte Ende-zu-Ende-Verschlüsselung, bei der der Anbieter Ihre Dateien strukturell nicht lesen kann.

Wie schicke ich einem Kunden eine sensible Datei sicher?

Vermeiden Sie E-Mail-Anhänge für alles Vertrauliche, denn E-Mail ist kein privater Kanal. Nutzen Sie eine Methode zum Teilen, bei der der Entschlüsselungsschlüssel außerhalb der Reichweite des Servers bleibt, sodass der Anbieter immer nur verschlüsselte Daten sieht. Zusammen mit einem starken, einmaligen Passwort auf beiden Seiten bleibt die Datei so nur für Sie und Ihren Kunden lesbar.

Sollte ich selbst hosten, um die volle Kontrolle zu haben?

Nur wenn Sie wirklich einen Server betreiben und pflegen wollen, mit Updates, Sicherungen, Verfügbarkeit und allem. Für die meisten selbstständigen Berater erschafft das Selbsthosten still die IT-Abteilung neu, der sie entkommen wollten. Eine clientseitig verschlüsselnde App mit optionaler Zero-Knowledge-Synchronisierung gibt Ihnen die meisten Vorteile des Besitzes bei einem Bruchteil des Betriebsaufwands.