AKTUELLE INFORMATION per 5.7.2019 – NOCH NICHT OFFIZIELL BESTÄTIGT!

Die bisherige Richtlinie des BSI beinhaltet die Sicherung folgender Vorgangs-Elemente:

• „Start Transaction“
  Hiermit soll der Zeitpunkt des Start des Vorgangs („erster Tastendruck“, Artikelcan, …) an die TSE gesendet und von dieser mit einem Zeitstempel signiert werden.
  Im Normalfall werden hierbei keine Belegdaten übermittelt. Von der TSE wird eine TransactionID zurückgesendet.
  Die genaue Definition des Beginns der Transaktion
• DAS BISHER GEFORDERTE „Update Transaction“ – spätestens 45 nach einer neuen Information zu dieser Transaktion – ist nach unseren informellen Informationen NICHT mehr gefordert.
  Sobald uns offiziell bestätigte Informationen (des BSI bzw. BMF) vorliegen, informieren wir natürlich darüber.
• „Finish Transaction“ 
  Das Ende des Vorgangs wird mit den Belegdaten entsprechend unserer international standardisierten Interface-Doku an das fiskaltrust.Service gesendet. https://github.com/fiskaltrust/interface-doc

AKTUELLE INFORMATION per 5.7.2019 – NOCH NICHT OFFIZIELL BESTÄTIGT!

• Es soll keine Gesetzesänderung geben.
  Der 1.1.2020 soll als gesetzlich vorgegebene Termin unbedingt gehalten werden.
• Möglicherweise wird es jedoch einen allgemeinen Erlass des BMF geben, nach dem die verspätete Verwendung einer zertifizierten TSE (bis zum 30.9.2020?) nicht bestraft wird. (Dies ist noch nicht offiziell bestätigt.)
  Die Anbindung an die fiskaltrust.Service (iPos-Interface, API) ist bereits jetzt möglich. Damit ist man zukunftssicher auf die Verwendung einer TSE – sowohl offline, als auch online – vorbereitet!
• Nach dem 25.11.2010 und vor dem 01.01.2020 angeschaffte Registrierkassen, welche die Anforderungen des BMF-Schreibens vom 26.11.2010, BStBl I 2010, 1342 erfüllen, aber bauartbedingt nicht aufrüstbar sind, so dass sie die Anforderungen des § 146a AO nicht erfüllen, dürfen längstens bis zum 31.12.2022 weiterhin verwendet werden (Art. 97 § 30 Abs. 3 EGAO). Die Nachweise des Vorliegens dieser Voraus­setzungen sind für die jeweils eingesetzte Registrierkasse der Verfahrensdokumen­tation beizufügen. Von der Ausnahmeregelung des Art. 97 § 30 Abs. 3 EGAO sind PC-Kassensysteme nicht umfasst.

Die Mitteilung nach § 146a Abs. 4 AO ist für elektronische Aufzeichnungssysteme, die unter den Anwendungsbereich des § 146a AO i. V. m. § 1 Satz 1 KassenSichV fallen und vor dem 01.01.2020 angeschafft wurden, bis spätestens zum 31.01.2020 zu erstatten.

Der Begriff des Vorgangs i. S. d. KassenSichV ist nachfolgend als ein zusammengehörender Aufzeichnungsprozess zu verstehen, der bei Nutzung oder Konfiguration eines elektronischen Aufzeichnungssystems eine Protokollierung durch die zertifizierte technische Sicherheits­einrichtung auslösen muss (vgl. § 2 KassenSichV). Ein Vorgang kann einen oder mehrere Geschäftsvorfälle sowie andere Vorgänge umfassen (vgl. AEAO zu § 146a, Nr. 1.7 und Nr. 1.8). Aus Gründen der besseren Lesbarkeit wird der Begriff „Vorgang“ im Folgenden als Oberbegriff für Geschäftsvorfälle und andere abzusichernde Vorgänge genutzt.

Im Rahmen der Protokollierung eines Vorgangs (vgl. AEAO zu § 146a, Nr. 3.3) muss nach § 2 KassenSichV innerhalb der zertifizierten technischen Sicherheitseinrichtung mindestens eine Transaktion erzeugt werden.

1. Der Hersteller des Kassen- bzw. Aufzeichnungssystems (PosCreator) verwendet das fiskaltrust.Interface um es mit dem fiskaltrust.Service zu verbinden. Der PosCreator legt seine PosSysteme im fiskaltrust.Portal an.*)
2. Der PosCreator lädt seine Kassenhändler (PosDealer) in das fiskaltrust.Portal ein und stellt die Verbindung zwischen den beiden Unternehmern her.
   Dadurch kann der PosDealer für das PosSystem des PosCreator im fiskaltrust.Portal aktiv werden.
3. Der PosDealer lädt seine Kunden bzw. Anwender (PosOperator) in das fiskaltrust.Portal ein und stellt die Verbindung mit den gewüschten Berechtigungen zur Verwaltung zwischen den beiden Unternehmern her.
   Dadurch kann der PosDealer die technischen Sicherungseinrichtungen (TSE) der von ihm administrierten Kassen- bzw. Aufzeichnungssysteme seiner PosOperator verwalten.*)
4. Der PosOperator soll sich bereits möglichst frühzeitig im fiskaltrust.Portal registrieren um sich möglichst gut auf den 1.1.2020 vorzubereiten. Wir empfehlen, dass sich alle PosOperator im fiskaltrust.Portal und dadurch dokumentieren, dass sie als steuerpflichtige alles mögliche beigetragen haben um eine gesetzeskonformen TSE zu verwenden.*)
5. fiskaltrust wird hierüber eine Bestätigung ausstellen, welche dem Finanzamt im Falle einer Überprüfung vorgelegt werden kann.*)
6. Die CashBoxen können sodann über das fiskaltrust.Portal konfiguriert und im Kassen- und Aufzeichnungssysteme des PosOperator in Betrieb genommen werden.
   Das lokale fiskaltrust.Service kann bereits damit – auch ohne einer zertifizierten TSE – zur Protokollierung der Transaktionen verwendet werden.*)
   Somit kann der wichtigste Schritt zur Fiskalisierung des Systems bereits vor dem 1.1.2020 gesetzt werden.
7. Mit Verfügbarkeit der TSE werden diese vom PosDealer über das fiskaltrust.Portal in die bestehende CashBox des PosOperator konfiguriert und danach entweder lokal (z.B. USB-Stick) oder online (CloudTSE) integriert.

Wichtige Zusatzprodukte:

1. Die Meldung des Kassen- bzw. Aufzeichnungsystem sowie der TSE beim Finanzamt (§ 146a (4) AO) erfolgt automatisiert über das fiskaltrust.Portal.
2. Die gesetzlich geforderte Archivierung der Daten erfolgt automatisiert über das fiskaltrust.Portal
   1. TAR-Files aus der TSE
   2. GoBD mit den Belegdaten

*) Diese Funktionen und Komponenten werden von fiskaltrust dauerhaft kostenfrei zur Verfügung gestellt. (Freemium)

Aktuell wird darüber diskutiert, ob die Richtlinien des BSI eine TSE zulassen deren Komponenten

• vollständig online in der Cloud „laufen“ und daher
• keine Komponenten in der lokalen Infrastruktur installiert werden muss.

Relevante Komponenten einer TSE welche vom Hersteller gesondert zertifiziert werden müssen:

CSP (cryptographic service provider):

Der CSP wird voraussichtlich nicht ohne Hardware auskommen. Diese Hardware kann jedoch in Form eines HSM (hardware security module; Kosten voraussichtlich > EUR 20.000) in der sicheren Umgebung eines Rechenzentrums zertifiziert und daher online (in der Cloud) betrieben werden. An den Kriterien der Zertifizierung wird vom BSI aktuell noch etwas geändert, daher wird die Zertifizierung in dieser Variante noch nicht abgeschlossen. (Stand 16.7.2019)
Der CSP könnte demnach
a) in einem Rechenzentrum eines Dienstleisters (fiskaltrust) oder
b) in der Infrastruktur des Unternehmens betrieben werden.

SMA (security module application):
Die SMA kann voraussichtlich ohne Hardware und ausschließlich als Software betrieben werden. Sie kann jedoch auch als lokale Hardware (z.B. in einem Hardware-Bauteil (Chip-Karte) oder als Software-Komponente) betrieben werden.
Jedoch soll die SMA nach Meinung des BSI bzw. BMF in der lokalen Infrastruktur am Standort des Unternehmens betrieben werden.
Warum? Die Kommunikation zwischen der Kassa und der TSE würde über das Internet laufen und die hierbei verwendete Verschlüsselung ist nach Meinung des BSI nicht ausreichend.

Varianten:

1. Cloud-TSE – Online-CSP+Online-SMA:
CSP (cryptographic service provider) und SMA (security module application) werden in einem Rechenzentrum eines Dienstleisters betrieben.
Vorteil: Keine Software oder Hardware – daher die perfekte Lösung für

• Cloud-Kassen
• Kassen mit „schwacher“ Hardware oder Software (zB Waagen-Kassen)
• Die von einem Dienstleister angebotete TSE läuft in der sicheren Infrastruktur eines professionellen Rechenzentrums und ist daher vor Manipulations-Angriffen besser geschützt als Komponenten, welche ich der Infrastruktur eines Anwenders laufen.
  Die vollständige entspricht möglicherweise nicht den Vorstellungen des BSI!
  – Die Begründungen sind zum heutigen Stand nicht nachvollziehbar.

2. Hybrid-TSE – Online-CSP+Lokale-SMA:
Dies würde bedeuten, dass die SMA am Standort des Unternehmens betrieben werden muss. Hierfür gibt wiederum die zwei Optionen, dass eine Hardware oder eine Software lokal notwendig ist.
Nachteil ist, dass jedenfalls eine „fremde“ (Software-)Komponente bei der Einrichtung der TSE in der lokalen Infrastruktur installiert werden muss. Diese Installation ist vom jeweiligen Betriebsystem (inkl. Stand der Service-Packs) abhängig und führt in der Praxis dazu, dass es keine Standardisierung gibt und mit sehr hohen Service-Kosten zu rechnen ist.

Fazit:

Liebes BSI und BMF. Bitte treten Sie den sicheren Möglichkeiten der 100%-igen Cloud-TSE näher. Die Sicherheit wird dadurch eher erhöht und nicht gefährdet.

Falls Sie diesen Wunsch nach einer 100%-igen Cloud-TSE unterstützen wollen, freue ich mich auf Ihre Nachricht.
Axel Kutschera