[DE] Kassensicherheitsverordnung
Haftungsausschluss
Wir sind keine Anwaltskanzlei und auch kein Steuerberater und bieten keine Rechtsberatung an. Die bereitgestellten Informationen und Dokumente dienen nur zu Informationszwecken und stellen keine rechtsverbindliche Auskunft oder Rechtsberatung dar. Auch bieten die von uns bereitgestellten Informationen lediglich einen allgemeinen Überblick und gehen nicht auf individuelle Einzelfälle ein. Sämtliche von uns zur Verfügung gestellten oder zusammengetragenen Informationen werden ohne Gewährleistung zur Verfügung gestellt. Bei juristischen oder steuerrechtlichen Fragen wenden Sie sich bitte an Ihren Rechtsanwalt oder Steuerberater.
Finanzamt Sachens spezifiziert Fristerlängerung nach § 148 AO: "Für eine cloud-basierte TSE ist der Kassenhersteller spätestens bis 31. Mai 2021 zu beauftragen. Die Aufrüstung muss jedoch unabhängig von der konkreten technischen Lösung nach derzeitiger Regelung bis spätestens 30. September 2021 abgeschlossen sein."
Sachsens Finanzminister bezieht Stellung: "... Manipulationssichere Kassensysteme bleiben wichtig, aber wenn jemand unverschuldet im Rückstand ist, können wir mit einer Terminverschiebung helfen"
Basierend auf den Erfahrungswerten vom Herbst gehen wir gegenwärtig davon aus, dass dies in den anderen Bundesländern sehr ähnlich gehandhabt wird. Wir empfehlen also weiterhin allen unseren Kunden, bis spätestens 31. März, einen Antrag nach § 148 AO zu stellen.
Der TSE-Anbieter A-Trust hat eine Mitteilung an seine Partner ausgeschickt, dass vom BSI nun scheinbar auch TSEs genehmigt werden können, welche das Vorhandensein einer TPM (Trusted Platform Module) technisch nicht mehr überprüfen. Die Sicherheit soll in diesem Fall durch einen erhöhten Umgebungsschutz sichergestellt werden. Nähere Informationen dazu sollen morgen (Freitag) folgen.
(Anm. Hotelmeister: Sollte sich das so Bewahrheiten, so gibt es eine realistische Chance, dass Cloud-TSEs doch noch rechtskonform ausgerollt werden können.)
Hotelmeister hat heute Informationsschreiben mit einem Bestellformular und der Preisstruktur an alle betroffenen Kunden verschickt.
Diverse Medien berichten über den drohenden Fristablauf
Die DFKA (Deutscher Fachverband für Kassen- und Abrechnungssystemtechnik im bargeld- und bargeldlosen Zahlungsverkehr e.V.) teilt mit, dass nach dem 31. März 2021 nur zertifizierte TSE gesetzeskonform eingesetzt werden können. https://dfka.net/nur-zertifizierte-tses-sind-gesetzeskonform/
Sowohl Fiskaly als auch Fiskaltrust haben uns mitgeteilt, dass vom Finanzamt bis zum 31. März 2021 auch die Verwendung von in Zertifizierung befindlichen TSEs gedulded wird.
Fiskaly empfiehlt auf jeden Fall eine TSE einzusetzen, denn damit hat der Steuerpflichtige alles wirtschaftlich und technisch mögliche getan um dem Gesetz zu entsprechen.
Dehoga Pressemeldung "Kassenführung" - verlinkt ZDH Handreichung Kassenführung - darin wird ebenfalls ein Rücksprache mit dem Steuerberater und ein Antrag nach § 148 AO emfpohlen.
Fiskaly teilt uns telefonisch mit, dass man davon ausgeht, dass die Cloud-TSE noch rechtzeitig zeritifziert wird und der Umgebugnsschutz voraussichtlich hardwareunabhängig umgesetzt werden kann.
Fürhende Branchenverbände haben eine Praxishilfe zur Stellung eines Antrags nach § 148 AO - Verlängerung der Frist zur vollständigen Implementierung einer Cloud-TSE erstellt. https://www.zdh.de/fileadmin/user_upload/_Relaunch/Steuern_Finanzen/Praxishilfe_Antrag_148_AO_Cloud-TSE.pdf
Die zentrale Sicherheitskomponente von fiskaly wurde vom BSI zertifiziert. Die Zertifizierung der TSE steht jedoch noch aus.
Die Lösungen von Fiskaltrust werden in der EU von mehr als 24 000 Unternehmen im Bereich Kassen-Compliance genutzt. Darüber hinaus ist die Audicon Gruppe (Hersteller der Prüfsoftware für die deutschen Finanzämter) seit 2019 an der fiskaltrust GmbH beteiligt und hat mit der fiskaltrust GmbH eine exklusive Partnerschaft im Bereich Kassen-Compliance. (Die Audicon ist jenes Unternehmen welches die Prüfsoftware für die deutschen Finanzämter entwickelt.)
Die bisher einzige zertifizierte "Cloud-TSE" von Swissbit bzw. Deutsche Fiskal (gleiches Produkt unter anderem Namen) ist leider nicht hardwareunabhängig und damit für nahezu alle Online- oder Tablet-Kassen nicht nutzbar.
Es wird allen betroffenen Unternehmen empfohlen ein Antrag nach §148a AO beim zuständigen Finanzamt zu stellen.
Eigentlich wollen wir abwarten, welche Cloud-TSEs die Zertifizierung schaffen. Da bisher aber nur eine einzige (vorläufige und auf wenige Monate befristete) Zertifizierung vorliegt, haben wir uns für die TSEs des Anbieters fiskaly entschieden, da dieser die bestmögliche Integration in eine webbasierte Software anbietet.
Um unsere Investition entsprechend abzusichern entschieden wir uns für eine Anbindung über die Middleware fiskaltrust - dadurch ist, wenn auch mit etwas Vorlaufzeit, ein Wechsel auf eine TSE eines anderen Anbieters möglich.
Eine Technische Sicherheitseinrichtung (TSE) wird im Rahmen der Kassensicherheitsverordnung (KassenSichV) als Manipulationsschutz eingesetzt. Dabei werden aufzeichnungspflichtige Geschäftsvorfalle signiert um eine nachträgliche Manipulation zu verhindern.
Wir arbeiten mit Fiskaltrust, dem führenden Anbieter für Fiskalisierungslösungen in Österreich, Deutschland und Frankreich, zusammen. Fiskaltrust ist seinerseits Partner von Audicon, dem Hersteller der Prüfsoftware für die deutschen Finanzbehörden. Dadurch wird eine rechtskonforme Erfüllung der KassenSichV mit den unzähligen Berichtsanforderungen sichergestellt.
Ja, wenn Sie mit der Hotelsoftware aufzeichnungspflichtige Daten erfassen, dann müssen diese mittels einer TSE abgesichert werden.
Sofern Sie das Modul zur Erfassung von (zumindest teilweise baren) Zahlungen in Hotelmeister aktiviert haben, müssen alle aufzeichnungspflichtigen Vorgänge mit einer TSE abgesichert werden.
Web-Anwendungen (oder auch App-Kassen) sind zwingend auf die Verwendung einer Cloud-TSE angewiesen, da kein Zugriff auf lokal installierte Hardware möglich ist und meist ein geräteunabhängiges Arbeiten der Kunden gewünscht wird.
Um das ganze noch komplizierter zu machen hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Februar die Anforderungen an die Zertifizierung von cloud-basierten TSEs verschärft. Trotz dieser kurzfristigen Änderung wurden die Fristen seitens der Finanzämter leider nicht verlängert.
Ja, einzig der QR-Code ist optional, vereinfacht aber eine etwaige Prüfung durch das Finanzamt und wird deshalb empfohlen.
Viele Branchenverbände fordern jedoch eine Vereinfachung des Belegs, da dieser momentan viele Informationen mehrfach (in maschinenlesbarem und in für Menschen lesbarem Format) enthält.
Für jeden Geschäftsvorfall gilt eine Belegausgabepflicht, diese kann jedoch auch in elektronische Form (z.B. per E-Mail als PDF-Datei). Bei einer elektronischen Übermittlung kann der Papierausdruck also entfallen. Für die elektronische Übermittlung ist jedoch die vorherige Zustimmung des Gastes notwendig.
Die Gründe hierfür sind vielfältig, das Hauptproblem ist die Tatsache, dass zwingend eine TPM (Trusted Platform Module) - vereinfacht gesprochen - ein spezieller Hardwarebauteil, benötigt wird. Dadurch ist der Betrieb auf Cloud-Servern nicht möglich, sondern man benötigt Server mit ganz bestimmten Hardwareanforderungen.
Diese müssen zwingend in der gleichen Betriebsumgebung (in der Regel - gleiches Rechenzentrum) stehen wie die Cloud-Server auf denen die Anwendung läuft. Das ist bei vielen Anbietern schon mal nicht möglich, da die Cloud-Server häufig getrennt von Bare-Metal-Servern betrieben werden. Für die Buchführung ist auch zwingend ein Serverstandort in Deutschland vorgeschrieben, dadurch wird die Auswahlmöglichkeit der möglichen Anbieter noch kleiner. Für viele Cloud-Software-Anbieter wäre hier ein kompletter Umzug der Anwendung notwendig. Dieser wäre mit massiven Kosten und evtl. Komplikationen mit anderen Anforderungen verbunden.
Sämtliche Peripherie-Komponenten (Netzwerkkarte, Maus, Tastatur, KVM-Konsole, ...) müssen einzeln geprüft wird. Einzeln bedeutet hier wirklich das einzelne Gerät und nicht das Modell. Dadurch scheidet die Möglichkeit ienen Server zu mieten aus, sondern man muss einen eigenen Server in einem fremdem Rechenzentrum betreiben ("Co-Location"). Die Co-Location-Server befinden sich aber (fast) immer in physisch getrennten Rechenzentren von den Cloud-Servern.
Um alle Peripherie-Komponenten zu überprüfen muss man aber die Server selbst vor Ort physisch installieren. Das ist in Corona-Zeiten mit Quarantäne bei Grenzübertritten, aber nicht ohne weiteres möglich. Auch bei einem Ausfall, welcher einen physischen Austausch von Komponenten erfordert, würde der Ausfall mehrere Tage dauern, weil unser Techniker nach Einreise womöglich erstmal in Quarantäne müsste.
Um auch im Falle eines Hardware-Defekts auf andere Hardware ausweichen zu können müssten alle physischen Server mehrfach vorgehalten werden. Durch die Vorschrift der gleichen Betriebsumgebung wäre das aber bei einem Rechenzentrumsbrand (wie kürzlich bei OVH in Straßburg) aber mit einem längeren Totalausfall der TSE (und möglicherweise sogar einem erheblichen Datenverlust) verbunden.
Weiters wird gefordert, dass das Betriebssystem jede Nacht (sobald die Patches zur Verfügung stehen) automatisch aktualisiert werden, und bei Bedarf automatisch neugestartet, werden muss. Da aber auch BIOS/UEFI-Kennwörter vorgeschrieben sind - müsste sich jede Nacht ein Mitarbeiter um 2 oder 3 Uhr in der Früh mit allen Servern einzeln verbinden um das Kennwort neu einzugeben. Bis die Kennwörter manuell eingegeben wurden, kommt es somit jede Nacht zu einem Ausfall aller TSEs.
Darüber hinaus gibt es noch diverse andere Anforderungen die nicht oder nur schwer umzuestezen sind.
Selbst wenn man es schaffen wrüde die Anforderungen umzusetzen, würden die Kosten für den Betrieb der SMAERS-Komponente (sichers Kommunikationsmodul der Cloud-TSE) die Kosten der Hotelsoftware selbst übersteigen. Eine Verwendung der Swissbit Cloud TSE ist somit zum gegenwärtigen Zeitpunkt technisch und wirtschaftlich unmöglich.
