Kassenhardware gegen Diebstahl und Manipulation sichern

Kassengeräte stehen dort, wo Kundschaft vorbeikommt, und enthalten die Daten, die das Finanzamt später prüft. Zwei Fragen sind getrennt zu beantworten: Wer trägt das Gerät oder ein Bauteil fort, und wer verändert, was die Kasse aufzeichnet? Der Artikel ordnet beides den Stellen zu, an denen ein Betrieb handeln kann. Die Maßnahmen stammen aus dem IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI, Edition 2023, Stand Februar 2023). Es ist für Institutionen geschrieben und bindet nur, wo Gesetz oder Vertrag darauf verweist. Dass wir es auf einen Verkaufsraum übertragen, ist unsere redaktionelle Empfehlung.

Was das Recht verlangt

In Deutschland ist jedes elektronische Aufzeichnungssystem (Kassensystem, Registrierkasse) durch eine zertifizierte technische Sicherheitseinrichtung (TSE) zu schützen (§ 146a Abs. 1 Satz 2 AO). Das Schutzziel nennt der Anwendungserlass: Integrität, Authentizität und Vollständigkeit der digitalen Grundaufzeichnungen (AEAO Nr. 1.7). Eine offene Ladenkasse ohne elektronisches Aufzeichnungssystem braucht keine TSE. Als Ordnungswidrigkeit nennt § 379 Abs. 1 Satz 1 Nr. 5 AO, ein solches System vorsätzlich oder leichtfertig entgegen § 146a Abs. 1 Satz 2 AO nicht oder nicht richtig zu schützen und dadurch zu ermöglichen, Steuern zu verkürzen oder nicht gerechtfertigte Steuervorteile zu erlangen. Die Geldbuße kann nach § 379 Abs. 6 AO bis zu 25.000 Euro betragen, wenn die Handlung nicht nach § 378 AO geahndet werden kann.

In Österreich ist das elektronische Aufzeichnungssystem durch eine technische Sicherheitseinrichtung gegen Manipulation zu schützen; die Unveränderbarkeit gewährleistet die Signatur oder das Siegel jedes Barumsatzes (§ 131b Abs. 2 BAO). Die Pflicht gilt für Betriebe, die nach § 131b Abs. 1 BAO ein solches System verwenden müssen.

Beide Vorschriften verlangen Schutz durch Technik für die Aufzeichnung. Eine Vorschrift zur Diebstahlsicherung von Kassengeräten haben wir in ihnen nicht gefunden. Verlorene Teile können aber Pflichten auslösen: In Österreich ist Diebstahl oder Verlust der Signatur- oder Siegelerstellungseinheit oder der Registrierkasse ohne unnötigen Aufschub über FinanzOnline oder beim Finanzamt zu melden, mit Bezeichnung der Komponenten, Grund und Beginn (§ 17 Abs. 1 und 2 RKSV). Der Erlass nennt dafür im Allgemeinen längstens eine Woche (Abschnitt 3.6). In Deutschland gilt der Untergang oder das Abhandenkommen eines elektronischen Aufzeichnungssystems, also etwa einer gestohlenen Kasse, als Außerbetriebnahme (AEAO Nr. 1.16.1.2); die Mitteilung nach § 146a Abs. 4 Satz 2 AO ist innerhalb eines Monats zu erstatten.

Checkliste: Schutzstellen und Maßnahmen

Die Spalte „Grundlage“ nennt den Baustein des BSI. Die Maßnahmen sind Empfehlungen. „Basis“, „Standard“ und „erhöht“ bezeichnen die Einstufung im Kompendium: Basis-Anforderungen sollen vorrangig erfüllt werden, Standard-Anforderungen entsprechen zusammen mit ihnen dem Stand der Technik, Anforderungen bei erhöhtem Schutzbedarf gehen darüber hinaus.

Schutzstelle	Maßnahme	Grundlage
Raum und Zutritt	Zutritt zu schutzbedürftigen Bereichen regeln und kontrollieren; beim Verlassen Türen abschließen, besonders bei Publikumsverkehr; Einbruchschutz fachkundig begutachten lassen	INF.1.A7 (Basis), INF.7.A2 (Basis), INF.1.A27 (Standard)
Gerät am Platz	In Bereichen mit Publikumsverkehr Diebstahlsicherungen benutzen	INF.7.A8 (erhöht)
Anmeldung	Bildschirmsperre bei unbeaufsichtigtem Betrieb, Entsperren nur nach Authentisierung; Tablets mit Gerätesperrcode schützen	SYS.2.1.A1 und SYS.3.2.1.A4 (Basis)
Schnittstellen	Nicht benötigte Schnittstellen und Hardware deaktivieren; externe Schnittstellen nur restriktiv freigeben; auf Tablets Kommunikationsschnittstellen nur bei Bedarf aktivieren	SYS.2.1.A16, SYS.2.1.A24, SYS.3.2.1.A16 (Standard)
Kabel und Verteiler	Kabel und Verteiler gegen unbefugte Zugriffe sichern, Zugriffsstellen zu Strom und Datennetz möglichst gering halten; Bodenkabel abdecken	INF.12.A15 (erhöht), INF.7.A3 (Standard)
Updates	Autoupdate aktivieren, sofern nicht regelmäßige Wartung die Updates liefert; Tablets ohne Sicherheitsupdates des Herstellers aussondern	SYS.2.1.A3 (Basis), SYS.3.2.1.A5 (Basis)
Hardware-TSE oder Signaturkarte	Platz festlegen, an dem Verlust auffällt; bei Verlust Meldewege kennen (siehe oben und unten)	Eigene Empfehlung (siehe Hinweis unter der Tabelle)
Außerbetriebnahme	Vor Entsorgung oder Verkauf benötigte Daten sichern und alle schutzbedürftigen Daten löschen	SYS.2.1.A27 (Standard); Aufbewahrung der Aufzeichnungen nach § 146a Abs. 1 Satz 4 AO

Die Zeile zur Hardware-TSE und Signaturkarte ist unsere Empfehlung. Zum Vergleich: Der Baustein SYS.4.5.A2 verlangt für Wechseldatenträger, Verlust, Diebstahl und Manipulationsverdacht umgehend zu melden. Ob eine TSE oder Signaturkarte unter diesen Baustein fällt, sagt er nicht.

Wenn etwas abhandenkommt

Welche Schritte sich ergeben, hängt vom Land und vom Teil ab.

Fall	Schritte
Deutschland: Hardware-TSE (USB-Stick, SD-Karte) gestohlen	Sperrantrag des Steuerpflichtigen beim TSE-Hersteller; ein Löschen des Schlüssels ist nicht möglich (BSI TR-03153-1, Anhang A.3, Tabelle 20, informativ)
Deutschland: Zugangsdaten einer lokalen Komponente der Cloud-TSE kompromittiert	Sperrantrag des Steuerpflichtigen beim TSE-Betreiber; bei kompromittierten Zugangsdaten der Server-Komponente sperrt der Betreiber die potenziell betroffenen TSE beim PKI-Betreiber (Tabelle 21, informativ)
Deutschland: Kassensystem gestohlen	Außerbetriebnahme im Sinn der Mitteilung nach § 146a Abs. 4 AO, binnen eines Monats (AEAO Nr. 1.16.1.2); für das Ersatzsystem gilt die Anschaffungsmitteilung
Österreich: Signatur- oder Siegelerstellungseinheit gestohlen	Meldung über FinanzOnline oder beim Finanzamt ohne unnötigen Aufschub (§ 17 Abs. 1 Z 1 RKSV); Barumsätze auf einer anderen Registrierkasse mit funktionierender Einheit erfassen, sonst Hinweis „Sicherheitseinrichtung ausgefallen“ und später signierter Sammelbeleg (§ 17 Abs. 4 RKSV)
Österreich: Registrierkasse gestohlen	Meldung wie oben (§ 17 Abs. 1 Z 1 RKSV); Barumsätze auf anderen Registrierkassen erfassen, sonst händisch erfassen, Zweitschriften der Belege aufbewahren und nach der Fehlerbehebung nacherfassen (§ 17 Abs. 5 RKSV)

Details zum Ausfall stehen in TSE fällt aus: Was tun und Ausfall von Kasse oder Signatureinheit; die deutsche Meldung beschreibt Kassenmeldung in Mein ELSTER.

So gehen Sie vor

1. Listen Sie alle Teile auf, die die Aufzeichnung berühren: Kassengerät, Drucker, Netzwerkgeräte, TSE oder Signatureinheit, Zugangsdaten.
2. Ordnen Sie jedem Teil eine Zeile der Checkliste zu und notieren Sie, wer die Maßnahme umsetzt.
3. Legen Sie fest, wo Hardware-TSE oder Signaturkarte steckt oder liegt und wer sie überprüft.
4. Halten Sie die Meldewege für Verlust und Diebstahl schriftlich fest: Hersteller, Finanzamt oder FinanzOnline.
5. Prüfen Sie mit Kasse vor Cyberangriffen schützen und Netzwerk für die Kasse planen die Netzseite.