Kasse vor Cyberangriffen schützen: Grundmaßnahmen
Kurz gesagt
Für vernetzte Kassensysteme sind Mindeststandard: zeitnahe Updates, starke individuelle Passwörter statt Standardpasswörter, Schutz vor Schadprogrammen, getrennte Netze für Gäste, verschlüsselter Fernzugriff und regelmäßig getestete Datensicherungen. Diese Grundmaßnahmen sind BSI-Empfehlungen, keine Gesetzespflicht. Gesetzlich gegen Manipulation geschützt sind die Aufzeichnungen elektronischer Aufzeichnungssysteme: in Deutschland durch die zertifizierte TSE (§ 146a AO, seit 1. Januar 2020; die offene Ladenkasse ohne elektronische Erfassung ist ausgenommen), in Österreich durch die RKSV-Sicherheitseinrichtung (§ 131b BAO, registrierkassenpflichtige Betriebe).
Das Wichtigste
- Deutschland: Ein elektronisches Aufzeichnungssystem nach § 146a AO ist mit einer zertifizierten technischen Sicherheitseinrichtung (TSE) zu schützen, anzuwenden seit 1. Januar 2020; die offene Ladenkasse ohne elektronische Erfassung ist ausgenommen.
- Österreich: In registrierkassenpflichtigen Betrieben ist das elektronische Aufzeichnungssystem gegen Manipulation zu schützen, mit kryptographischer Signatur oder Siegel jedes Barumsatzes (§ 131b Abs. 2 BAO).
- PCI DSS ist ein Industriestandard des PCI Security Standards Council, kein Gesetz; die aktive Fassung ist v4.0.1, und ob Konformität nachzuweisen ist, bestimmen die Kartenmarken und Acquirer.
- Das IT-Grundschutz-Kompendium des BSI (Edition 2023) bindet nur, wo Gesetz oder Vertrag darauf verweist; seine Basis-Anforderungen dienen hier als Grundmaßnahmen.
- Zugriffsrechte nur nach Bedarf vergeben und entfernte Zugriffe nur über verschlüsselte Kanäle verringern den Datenabfluss (BSI-Grundschutz ORP.4 und NET.1.1).
Kassensysteme stehen im Netz des Betriebs, verarbeiten Kundendaten und tragen die Aufzeichnungen, die Finanzbehörden später prüfen. Über ein infiziertes Kassengerät können Angreifende nach dem BSI weitere IT-Systeme erreichen, Daten einsehen oder verschlüsseln. Dieser Artikel ordnet die Grundmaßnahmen, mit denen ein Betrieb dagegen ansetzt; verbindlich sind sie nur dort, wo Gesetz oder Vertrag es sagen.
Welche Pflichten bei der Kasse gelten
In Deutschland ist ein elektronisches Aufzeichnungssystem nach § 146a AO (Kassensystem oder Registrierkasse; die offene Ladenkasse ohne elektronische Erfassung ist ausgenommen) zusammen mit seinen digitalen Aufzeichnungen durch eine zertifizierte technische Sicherheitseinrichtung (TSE) zu schützen (§ 146a Abs. 1 Satz 2 AO, anzuwenden seit 1. Januar 2020). In Österreich ist das elektronische Aufzeichnungssystem registrierkassenpflichtiger Betriebe gegen Manipulation zu schützen, gesichert durch die kryptographische Signatur oder das Siegel jedes Barumsatzes (§ 131b Abs. 2 BAO).
Beide Vorschriften schützen die Aufzeichnungen gegen Manipulation. Zugänge, Netzgestaltung und Datensicherung im laufenden Betrieb regeln sie nicht; dafür steht in Deutschland zudem die Pflicht, die digitalen Aufzeichnungen zu sichern und für Nachschauen und Außenprüfungen verfügbar zu halten (§ 146a Abs. 1 Satz 4 AO).
Wer Kartenzahlung anbietet, fällt zusätzlich in den Anwendungsbereich des Industriestandards PCI DSS des PCI Security Standards Council, wenn er Kartendaten speichert, verarbeitet oder überträgt oder deren Sicherheit beeinflussen kann. Der Standard ist kein Gesetz; ob und wie ein Betrieb die Konformität nachweist, bestimmen die Kartenmarken und Acquirer in ihren Programmen. Aktive Fassung ist PCI DSS v4.0.1, die seit dem 31. Dezember 2024 einzige aktive Fassung.
Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) formuliert Anforderungen an Institutionen. Es bindet nur, wo Gesetz oder Vertrag darauf verweist. Dass wir seine Basis-Anforderungen als Grundmaßnahmen auf Kassensysteme übertragen, ist unsere redaktionelle Empfehlung.
Die Grundmaßnahmen nach Priorität
Die Reihenfolge der Tabelle ist unsere redaktionelle Einschätzung: Zuerst stehen die Basis-Anforderungen des IT-Grundschutzes, danach die Standard-Anforderungen. Die Spalte „Grundlage“ nennt die Anforderung im Kompendium (Edition 2023); „B“ und „S“ stehen für Basis- und Standard-Anforderung.
| Nr. | Maßnahme | So setzen Sie sie um | Grundlage |
|---|---|---|---|
| 1 | Updates zeitnah einspielen | Autoupdate für Kassensoftware, Betriebssystem und Router aktivieren oder feste Wartungstermine vereinbaren; Geräte und Software, für die es keine Sicherheitsupdates mehr gibt, nur weiter betreiben, wenn Sie den sicheren Betrieb geprüft haben | OPS.1.1.3.A3, OPS.1.1.3.A15 (B); BSI-Basistipp Softwareupdates |
| 2 | Standardpasswörter ersetzen | Vor dem ersten Einsatz Passwörter aller Geräte und Dienste ändern (Kasse, Kartenterminal, Router, Herstellerportale); je System ein eigenes, langes Passwort, das es nirgends sonst gibt | ORP.4.A9, ORP.4.A22, ORP.4.A23 (B); BSI-Basistipp Passwörter |
| 3 | Schutz vor Schadprogrammen | Auf Kassen-PCs und Servern ein Virenschutzprogramm mit Echtzeitsuche installieren, aktualisieren und gegen Änderungen durch Anwendende sichern; auf geschlossenen Geräten die Schutzmechanismen nutzen, die der Hersteller vorsieht | OPS.1.1.4.A2, A3, A5, A6 (B); BSI-Basistipp Virenschutz & Firewall |
| 4 | Kennungen trennen, Rechte begrenzen | Kein gemeinsames Konto für Verwaltung und Verkauf; jede Kennung einer Person zuordnen, Rechte nur im Umfang der Aufgabe vergeben | ORP.4.A1, ORP.4.A2 (B) |
| 5 | Gäste-Netz trennen | Gast-WLAN und Geräte der Kundschaft in ein eigenes Netzsegment legen; Internetverkehr nur über die Firewall führen; WLAN mit WPA2 oder besser WPA3 sichern, WEP nicht verwenden | NET.1.1.A5, NET.1.1.A8 (B); BSI-Basistipp WLAN & LAN |
| 6 | Fernzugriff regeln | Wartungszugriffe des Anbieters nur nach Zusage und nur über verschlüsselte Kanäle, etwa ein VPN, erlauben | NET.1.1.A11 (B) |
| 7 | Datensicherung mit Wiederherstellungstest | Kassendaten regelmäßig sichern, Speichermedien getrennt vom Kassensystem aufbewahren; regelmäßig testen, ob sich eine Sicherung fehlerfrei und in angemessener Zeit zurückspielen lässt | CON.3.A5, CON.3.A12, CON.3.A15 (B) |
| 8 | Zwei-Faktor-Schutz für Verwaltungskonten | Für Herstellerportale und Konten mit weitreichenden Rechten die angebotene Zwei-Faktor-Authentisierung aktivieren | ORP.4.A10 (S); BSI-Basistipp Zwei-Faktor-Authentisierung |
Zu Zeile 3 gehört auch das Wissen der Mitarbeitenden: Dateien und Anhänge aus nicht vertrauenswürdigen Quellen öffnen sie nicht, und sie wissen, wen sie bei Verdacht auf eine Infektion ansprechen (OPS.1.1.4.A7, Basis-Anforderung).
Ein Beispiel aus dem Betrieb
Beispiel: Ein Café betreibt zwei PC-Kassen und ein Tablet am Nebentisch. Gast-WLAN und Kassennetz laufen über denselben Router ohne Trennung, alle Geräte nutzen noch das beim Hersteller eingestellte Passwort, ein Virenschutz ist nur auf dem Bürorechner installiert. Aus der Tabelle ergeben sich drei Änderungen: Zeile 2 für die Passwörter, Zeile 5 für die Netztrennung und Zeile 3 für die beiden Kassen-PCs. Die Kassensoftware selbst bleibt dabei unverändert.
Was dieser Mindeststandard nicht leistet
Die Grundmaßnahmen ersetzen keine gesetzliche Schutzpflicht. In Deutschland prüfen Sie die TSE-Zertifizierung Ihres Systems gesondert, in Österreich die RKSV-Tauglichkeit; beides beschreiben TSE-Zertifizierung einer Kasse prüfen und RKSV-Tauglichkeit prüfen.
Gegen jeden Befall schützt auch ein Virenschutzprogramm nicht: Das BSI weist darauf hin, dass eine Infektion von Computersystemen jederzeit möglich bleibt, auch bei Schutzprogrammen. Deshalb gehört zu Zeile 7 der Test der Wiederherstellung; ein vollständiges Backup-Konzept entwickelt Kassendaten sichern: Backup-Konzept für die Kasse. Physische Zugriffe auf die Geräte behandelt Kassenhardware gegen Diebstahl und Manipulation sichern.
So gehen Sie vor
- Listen Sie alle Geräte und Dienste auf, die Umsatz- oder Kartendaten berühren: Kassen, Tablets, Kartenterminals, Router, Herstellerportale.
- Prüfen Sie die Zeilen 1 bis 3 der Tabelle für jeden Eintrag und notieren Sie, was fehlt.
- Fragen Sie Ihren Kassenanbieter, wie Gast-WLAN und Kassennetz getrennt sind und wie Fernwartung abläuft (Zeilen 5 und 6).
- Testen Sie regelmäßig, ob sich eine Wiederherstellung aus Ihrer Datensicherung fehlerfrei und in angemessener Zeit durchführen lässt (Zeile 7).
- Wiederholen Sie die Prüfung der Zeilen 1 bis 8 in festen Abständen, etwa einmal im Kalenderjahr, und dokumentieren Sie das Ergebnis.