Kassendaten sichern: Backup-Konzept für die Kasse

Ein Kassensystem kann ausfallen, Daten können überschrieben werden, ein Cloud-Anbieter kann die Historie löschen. Verlangt dann das Finanzamt die Kassendaten und nichts ist vorlegbar, gelten die Bücher in Deutschland nach den GoBD (Randziffer 104, Fassung vom 14. Juli 2025) als formell nicht mehr ordnungsmäßig. Ein Backup-Konzept für die Kasse besteht deshalb aus vier Entscheidungen: welche Daten gesichert werden, wie oft, auf welchem Medium und wie die Wiederherstellung getestet wird.

Was Sie vorab brauchen

• eine Liste Ihrer Systeme mit Kassendaten: Kassensystem oder Kassen-App, Warenwirtschaft, Buchhaltungsprogramm, Cloud-Speicher des Anbieters
• die Zugänge zu diesen Systemen und die Stelle, an der sich der Export oder die Backup-Funktion befindet
• die Aufbewahrungsfristen Ihres Landes: Aufbewahrungsfristen für Kassendaten in Deutschland, Aufbewahrungspflichten in Österreich, Aufbewahrung in der Schweiz
• ein Sicherungsmedium außerhalb des Kassengeräts: externe Festplatte, USB-Stick oder Online-Speicher
• einen festen Termin pro Quartal für den Restore-Test aus Schritt 5

Schritt für Schritt: Der Backup-Plan für Ihre Kasse

Schritt 1: Kassendaten und Speicherorte erfassen

Tragen Sie zusammen, welche Daten anfallen und wo sie liegen: die Belege und Kassenbons, die Tages- und Monatsabschlüsse, in Österreich das DEP der Registrierkasse, dazu die Stammdaten und Einstellungen des Systems. In Deutschland gehört auch die Beschreibung der Vorgehensweise zur Datensicherung in die Verfahrensdokumentation (GoBD Randziffer 106).

Trennen Sie zwei Orte: Daten beim Anbieter und Daten bei Ihnen. Arbeitet Ihr Kassensystem in der Cloud, sichern Sie zusätzlich eine eigene Kopie über den Export. Was dafür im Vertrag stehen sollte, lesen Sie in Datenexport im Kasse-Vertrag, wie Sie sich gegen einen Anbieterausfall absichern, unter Vorsorge bei Kassenanbieter-Insolvenz.

Schritt 2: Aufbewahrungsfristen Ihres Landes zuordnen

Die Fristen bestimmen, wie lange die aufbewahrten Kassendaten lesbar bleiben müssen. Sie gelten für die Aufbewahrung der Unterlagen selbst, nicht für jede tägliche Sicherung: Arbeitssicherungen dürfen Sie nach Ablauf ihres Sicherungszyklus überschreiben oder rotieren, solange die aufbewahrten Daten jederzeit verfügbar und lesbar bleiben. Unter den geöffneten Vorschriften dieses Artikels nennt nur § 7 Abs. 3 RKSV eine Sicherung, die selbst aufzubewahren ist: die vierteljährliche DEP-Sicherung in Österreich. Die Tabelle zeigt die in Kassenbetrieben üblichen Unterlagen.

Land	Rechtsgrundlage	Grundfrist für Kassendaten	Fristbeginn
Deutschland, Bücher und Aufzeichnungen	§ 147 Abs. 3 Satz 1 Nr. 1 und 4a AO	10 Jahre	Schluss des Kalenderjahres (Abs. 4)
Deutschland, Buchungsbelege	§ 147 Abs. 3 Satz 1 Nr. 4 AO	8 Jahre	Schluss des Kalenderjahres (Abs. 4)
Deutschland, sonstige Unterlagen	§ 147 Abs. 3 Satz 1 AO	6 Jahre	Schluss des Kalenderjahres (Abs. 4)
Österreich	§ 132 Abs. 1 BAO	7 Jahre	Schluss des Kalenderjahres; bei abweichendem Wirtschaftsjahr des Kalenderjahres, in dem es endet
Schweiz	Art. 958f Abs. 1 OR	10 Jahre	Ablauf des Geschäftsjahres

Es sind Grundfristen. In Deutschland läuft die Aufbewahrungsfrist nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist; die verlängerten Festsetzungsfristen bei Steuerhinterziehung (zehn Jahre) und leichtfertiger Steuerverkürzung (fünf Jahre) zählen dafür nicht (§ 147 Abs. 3 Satz 5 und § 169 Abs. 2 Satz 2 AO). In Österreich sind Bücher, Aufzeichnungen und Belege darüber hinaus so lange aufzubewahren, als sie für die Abgabenerhebung betreffende anhängige Verfahren von Bedeutung sind (§ 132 Abs. 1 BAO).

Die Schweizer Frist gilt für Betriebe, die nach Art. 957 OR zur Buchführung verpflichtet sind. Die deutschen Fristen gelten unabhängig davon, ob Sie elektronisch kassieren; Sonderfristen für beaufsichtigte Institute und Versicherer sind hier nicht dargestellt. Wer in Deutschland mit einem elektronischen Aufzeichnungssystem nach § 146a AO kassiert, wozu die offene Ladenkasse nicht zählt, erzeugt damit Aufzeichnungen und Belege, die unter diese Fristen fallen.

Die Aufbewahrung geschieht in allen drei Ländern auf Datenträgern unter Bedingungen: In Deutschland müssen die Daten jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein (§ 147 Abs. 2 AO). Bei einer Außenprüfung kann das Finanzamt Einsicht nehmen und Auswertung oder Überlassung in einem maschinell auswertbaren Format verlangen (§ 147 Abs. 6 AO). In der Schweiz dürfen Geschäftsbücher und Buchungsbelege elektronisch aufbewahrt werden, wenn die Übereinstimmung mit den Geschäftsvorfällen gewährleistet ist und sie jederzeit wieder lesbar gemacht werden können (Art. 958f Abs. 3 OR).

Schritt 3: Häufigkeit und Form der Sicherung festlegen

Nur eine der geöffneten Vorschriften dieses Artikels (AO, GoBD, RKSV, OR, GeBüV) schreibt einen Sicherungsrhythmus vor: In Österreich sind die Daten des Datenerfassungsprotokolls zumindest vierteljährlich auf einem elektronischen externen Medium unveränderbar zu sichern; die Sicherung ist nach § 132 BAO aufzubewahren (§ 7 Abs. 3 RKSV). Die Pflicht trifft Betriebe, die der Registrierkassenpflicht in Österreich unterliegen. Das DEP muss sich außerdem jederzeit ins Exportformat DEP übertragen lassen (§ 7 Abs. 5 RKSV).

Für Deutschland und die Schweiz schreiben die geöffneten Quellen (AO, GoBD, OR, GeBüV) kein Sicherungsintervall vor. Sie verlangen aber die dauerhafte Verwendbarkeit: GoBD Randziffer 110 hält fest, dass die bloße Ablage in einem Dateisystem die geforderte Unveränderbarkeit ohne zusätzliche Maßnahmen regelmäßig nicht erfüllt; in der Schweiz sind veränderbare Datenträger wie Festplatten nur mit Integritätsverfahren, nachweisbarem Speicherzeitpunkt, dokumentierten Abläufen und mitaufbewahrten Protokollen zulässig (Art. 9 GeBüV), und die Träger sind regelmäßig auf Integrität und Lesbarkeit zu prüfen, eine Migration ist zu protokollieren (Art. 10 GeBüV).

Wie oft Sie daneben sichern, ist Ihre Entscheidung. Als Empfehlung dieser Redaktion: täglich außerhalb der Verkaufszeit, damit der Verlust im Ausfallfall auf einen Tag begrenzt bleibt; zusätzlich eine Sicherung nach jeder größeren Änderung an Stammdaten oder Einstellungen.

Schritt 4: Sicherungsorte festlegen

Der Baustein CON.3 Datensicherungskonzept des IT-Grundschutz-Kompendiums des BSI (Edition 2023) bindet unmittelbar nur, wo Gesetz oder Vertrag auf ihn verweist; als Orientierung nennt er:

• Datensicherungen immer auf einem separaten Speichermedium halten, das nicht das Produktivsystem ist (CON.3.A2)
• die Speichermedien räumlich getrennt von den gesicherten Systemen aufbewahren, nach Möglichkeit in einem anderen Brandabschnitt (CON.3.A12)
• Sicherungen gegen unbefugten Zugriff und gegen Überschreiben schützen (CON.3.A14)
• eine Festplattenspiegelung über RAID zählt nicht als Datensicherung, weil gespiegelte Daten gleichzeitig verändert werden

Für einen Online-Speicher empfiehlt CON.3.A9 schriftliche Regelungen zu Vertrag, Speicherort, Verfügbarkeit und Verschlüsselung; Datenschutzfragen behandelt Datenschutz und Auftragsverarbeitung bei der Cloud-Kasse.

Schritt 5: Den Restore-Test durchführen

Eine Sicherung, die sich nicht einspielen lässt, ist keine. CON.3.A15 verlangt, regelmäßig zu testen, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Gehen Sie so vor:

1. Wählen Sie die jüngste Sicherung und zusätzlich eine ältere, mindestens ein Quartal alte.
2. Spielen Sie die Sicherung auf einem Testgerät ein, nicht auf der Produktivkasse.
3. Öffnen Sie einen Tagesabschluss aus der eingespielten Sicherung.
4. Prüfen Sie die Summen gegen einen zugehörigen Beleg aus derselben Sicherung.
5. Prüfen Sie den Export: In Deutschland die maschinelle Auswertbarkeit der Daten, in Österreich die Übertragbarkeit des DEP ins Exportformat.
6. Notieren Sie Datum, gesicherten Stand und Ergebnis.

Diesen Test können Sie mit dem vierteljährlichen DEP-Sicherungstermin in Österreich verbinden; als allgemeiner Rhythmus empfiehlt diese Redaktion dasselbe Quartal.

Schritt 6: Den Backup-Plan als Tabelle dokumentieren

Die Tabelle ist eine Vorlage; tragen Sie Ihre Werte ein. Die Häufigkeiten außer der österreichischen DEP-Sicherung sind Empfehlungen, die Fristen sind Gesetz.

Kassendaten	Aufbewahrungsfrist	Wie oft sichern	Wo sichern	Restore-Test am
Belege, Bons, Kassenabschlüsse	DE 10/8/6 Jahre, AT 7 Jahre, CH 10 Jahre (jeweils Grundfristen)	täglich (Empfehlung)	externe Festplatte plus Online-Speicher	Beispiel: 14. Dezember 2026
DEP (nur Österreich)	7 Jahre (§ 132 BAO)	mindestens vierteljährlich (§ 7 Abs. 3 RKSV)	externes elektronisches Medium, unveränderbar	mit der Quartalssicherung
Stammdaten und Einstellungen	wie die zugehörigen Aufzeichnungen	nach jeder Änderung (Empfehlung)	gemeinsam mit der Tagessicherung	bei der nächsten Quartalsprüfung
Verfahrensdokumentation (Deutschland)	solange wie die Unterlagen, zu deren Verständnis sie erforderlich ist (GoBD Randziffer 154)	bei jeder Änderung	gemeinsam mit der Tagessicherung	bei der nächsten Quartalsprüfung

So prüfen Sie das Ergebnis

Gehen Sie die Liste durch, bevor Sie den Plan als fertig betrachten:

• Jede Zeile der Tabelle nennt ein reales System in Ihrem Betrieb, keine leere Zeile.
• Die Grundfrist jeder Zeile passt zum Land Ihrer Betriebsstätte, und Sie haben geprüft, ob eine Verlängerung greift (Deutschland: laufende Festsetzungsfrist, § 147 Abs. 3 Satz 5 AO; Österreich: anhängiges Abgabenverfahren, § 132 Abs. 1 BAO).
• Das Sicherungsmedium liegt physisch oder logisch getrennt vom Kassensystem; nach CON.3.A2 genügt das Produktivsystem nicht als Sicherungsort.
• Der letzte Restore-Test liegt nicht länger als ein Quartal zurück (Empfehlung) und ist datiert.
• Bei einem elektronischen Aufzeichnungssystem nach § 146a AO (Deutschland) und für das DEP (Österreich) ergibt der Export eine strukturierte, maschinell auswertbare Datei; die offene Ladenkasse ist kein Aufzeichnungssystem. Für empfangene Buchungsbelege erkennen die GoBD auch Aufbewahrung im PDF- oder Bildformat an (Randziffer 131, Fassung vom 14. Juli 2025), wenn sie in dem Format aufbewahrt werden, in dem sie empfangen wurden.

Wenn etwas nicht klappt

Symptom	Mögliche Ursache	Lösung
Export bricht ab oder bleibt unvollständig	Zeitfenster zu klein oder Datenmenge zu groß	Export in Teilen je Monat oder Jahr anstoßen, außerhalb der Verkaufszeit
Sicherung lässt sich nicht einspielen	Fremdformat oder fehlendes Anbieterwerkzeug	Wiederherstellung über das Tool des Anbieters laufen lassen; Vorgehen im Vertrag festhalten lassen
Summen nach dem Einspielen falsch	Unvollständiger Sicherungsstand	Sicherungszeitpunkt und beigefügte Belege vergleichen, Lücke mit nächster Sicherung schließen
Kein Zugriff auf die Cloud-Sicherung	Zugang liegt nur beim scheidenden Betreuer	Zweitzugriff für Sie selbst im Vertrag verankern und testen

Wann Sie Hilfe holen sollten

Holen Sie Ihre Steuerberatung dazu, welche Unterlagen in Ihrem Fall zu welchen Fristen aufzubewahren sind, etwa bei Betriebsstätten in mehreren Ländern. Technische Fragen zum Export und zur Wiederherstellung beantwortet der Kassenanbieter schriftlich. Wie belastbar Anbieter und ihre Server sind, bewerten Sie mit den Kriterien zur Ausfallsicherheit der Kasse.