Signaturkarte läuft ab: Zertifikatstausch bei RKSV

Wann ein Tausch fällig wird

Eine Signaturkarte ist eine Bauform der Signaturerstellungseinheit; nach dem BMF-Erlass (Abschnitt 3.3.1) kommen Signaturchip (Smartcard) oder Hardware-Sicherheitsmodul in Frage. Zwei Dinge sind zu trennen: das Ende der Gültigkeit des Zertifikats und das Ende der Zertifizierung des Kartenprodukts.

Das Gültigkeitsende steht im Zertifikat (§ 15 Abs. 3 Z 3 RKSV). Es zwingt nicht zum sofortigen Tausch: Das Zertifikat darf über sein Ende hinaus verwendet werden, sofern der Signaturalgorithmus laut Anlage Z 2 der RKSV als sicher gilt (§ 15 Abs. 3 RKSV).

Der zweite Fall betrifft die Karte selbst. Nach einer Information des BMF hat die französische Zertifizierungsstelle wegen einer Sicherheitslücke die Zertifizierung des Chips ACOS-ID 2.1 nicht verlängert. Deshalb entsprechen diese Karten seit dem 7. Juni 2025 nicht mehr den gesetzlichen Vorgaben für Registrierkassen. Weil neue Karten nicht sofort verfügbar waren, darf die bisherige Karte über die Gültigkeit des Zertifikats hinaus weiterverwendet werden; der Tausch samt Implementierung in der Registrierkasse hat spätestens bis Mai 2027 zu erfolgen. Das BMF weist außerdem darauf hin, dass spätestens bis Mai 2027 auch der Kartentyp ATOS CardOS 5.3 betroffen sein soll. Die BMF-Seite trägt kein Datum; prüfen Sie dort, ob es neuere Hinweise gibt.

Ereignis	Folge	Grundlage
Gültigkeit des Zertifikats endet	Weiterverwendung zulässig, solange der Signaturalgorithmus als sicher gilt	§ 15 Abs. 3 RKSV
Zertifizierung eines Kartenchips wird nicht verlängert (ACOS-ID 2.1: seit 7. Juni 2025)	Karte entspricht nicht mehr den Vorgaben; Tausch spätestens bis Mai 2027, bis dahin Weiterverwendung	BMF-Information
Karte ist defekt, verloren oder gestohlen	Meldung ohne unnötigen Aufschub, siehe Ausfall von Kasse oder Signatureinheit	§ 17 Abs. 1 RKSV

Geschlossene Gesamtsysteme mit mehr als 30 Kassen und Feststellungsbescheid brauchen keine Signaturerstellungseinheit (§ 20 Abs. 2 RKSV); für sie gilt dieser Artikel nicht.

Das halten Sie bereit

• die Seriennummer des neuen Signaturzertifikats, wie sie der Vertrauensdiensteanbieter im Vertrag mitteilt;
• die Art der neuen Signaturerstellungseinheit (Karte, eigenes oder fremdes HSM) und den Namen des Vertrauensdiensteanbieters;
• Zugang zu FinanzOnline für die Funktion Registrierkassen, als Unternehmer oder über einen Parteienvertreter mit steuerlicher Vertretungsvollmacht und Vollmacht nach § 90a BAO (Erlass 3.3.3);
• die Seriennummer der alten Karte, den Grund und den Zeitpunkt der Außerbetriebnahme.

So gehen Sie vor

1. Prüfen Sie Kartentyp und Zertifikat. Das Gültigkeitsende steht im Zertifikat. Welchen Chip Ihre Karte hat, erfahren Sie beim Vertrauensdiensteanbieter oder Kassenanbieter.
2. Bestellen Sie die neue Karte bei einem Vertrauensdiensteanbieter mit qualifizierten Zertifikaten. Die Kosten trägt der Unternehmer (§ 15 Abs. 1 RKSV). Im Zertifikat muss ein der Abgabenbehörde bekannter Ordnungsbegriff stehen, also Steuernummer, UID-Nummer oder Global Location Number (§ 15 Abs. 2 RKSV, Erlass 3.3.2.2.2).
3. Registrieren Sie die neue Karte in FinanzOnline (§ 16 Abs. 1 RKSV). Nach dem BMF-Handbuch (Stand 7. Jänner 2021) geben Sie Art der Einheit, Vertrauensdiensteanbieter und Seriennummer des Zertifikats an. FinanzOnline prüft dabei beim Vertrauensdiensteanbieter, ob das Zertifikat vorhanden und gültig ist und zu Ihrem Ordnungsbegriff passt (Erlass 3.3.3.2). Schlägt die Prüfung fehl und ist die Sicherheitseinrichtung mit diesem Zertifikat schon in Betrieb genommen, ist eine neue Einheit zu beschaffen und zu registrieren und die Sicherheitseinrichtung neuerlich in Betrieb zu nehmen.
4. Stellen Sie die Kasse auf die neue Karte um. Der Wechsel zwischen mehreren Signaturerstellungseinheiten ist nach dem Erlass (Abschnitt 3.3.4) jederzeit möglich, wenn die jeweilige Einheit über FinanzOnline registriert und nicht außer Betrieb genommen ist. Wie die Umstellung in der Kassensoftware erfolgt, hängt vom Kassenanbieter ab.
5. Nehmen Sie die alte Karte außer Betrieb. Melden Sie in FinanzOnline eine endgültige Außerbetriebnahme mit Grund und Beginn (§ 17 Abs. 1 Z 3 und Abs. 2 RKSV; Handbuch 3.2.4). Die Meldung erfolgt ohne unnötigen Aufschub, nach dem Erlass (Abschnitt 3.6) im Allgemeinen längstens binnen einer Woche.
6. Kontrollieren Sie das Ergebnis. Erstellen Sie nach der Umstellung testweise einen Beleg mit Betrag null und kontrollieren Sie, ob er mit der neuen Seriennummer signiert ist. Das ist eine redaktionelle Empfehlung, keine Vorschrift.

Im regulären Kartentausch ohne Fehler bei der Zertifikatsprüfung melden Sie die Registrierkasse selbst nicht neu an: Signaturzertifikate und Registrierkassen werden unabhängig voneinander registriert, ihre Verbindung wird nicht dokumentiert (Erlass 3.3.3.1). Ob die Kassensoftware nach dem Wechsel einen neuen Startbeleg verlangt, hängt von der Software ab; fragen Sie beim Kassenanbieter nach. Wie ein Startbeleg erstellt und geprüft wird, beschreibt RKSV-Startbeleg erstellen und prüfen.

Solange die Karte noch nicht getauscht ist

Die alte Karte darf bis zum Tausch weiter signieren, auch wenn das Zertifikat abgelaufen ist, solange der Signaturalgorithmus als sicher gilt (§ 15 Abs. 3 RKSV); die Frist Mai 2027 gilt für den Tausch von Karten des Typs ACOS-ID 2.1. Bestellen Sie früh, denn die BMF-Information begründet die Verlängerung gerade mit der Verfügbarkeit neuer Karten. Fällt die Karte vorher aus, gilt § 17 Abs. 4 RKSV: Barumsätze auf einer anderen Kasse mit funktionierender Einheit erfassen, sonst den Hinweis „Sicherheitseinrichtung ausgefallen“ anbringen (siehe RKSV-Signatureinheit).

Checkliste

• Gültigkeitsende des Zertifikats und Kartentyp sind bekannt.
• Die neue Karte ist bestellt, der Ordnungsbegriff im Zertifikat stimmt.
• Die neue Karte ist in FinanzOnline registriert, die Prüfung des Zertifikats war erfolgreich.
• Die Kasse signiert mit der neuen Karte.
• Die alte Karte ist in FinanzOnline als außer Betrieb gemeldet, möglichst binnen einer Woche.
• Die Frage, ob ein neuer Startbeleg nötig ist, ist mit dem Kassenanbieter geklärt.