TSE-Zertifikat läuft ab: Was jetzt zu tun ist
Kurz gesagt
Endet in Deutschland die BSI-Zertifizierung einer TSE, finden wir im Anwendungserlass zu § 146a AO (Stand 17. März 2026) keine Regel dafür, wie lange Sie sie danach einsetzen dürfen. § 146a Abs. 1 Satz 2 AO verlangt eine zertifizierte TSE. Prüfen Sie das Enddatum im BSI-Eintrag, klären Sie Ersatz mit dem Hersteller und exportieren Sie die Daten vor dem Tausch.
Das Wichtigste
- Das BSI befristet die Konformitätszertifizierung einer TSE im Regelfall auf höchstens 8 Jahre (BSI TR-03153-1, Kapitel 8.1.1).
- Für nach TR-03153 Version 1.0.1 zertifizierte TSE sind seit 30. April 2025 keine Laufzeitverlängerungen durch Rezertifizierung mehr möglich (TR-03153-1 Anhang A, Nr. 2.1.5).
- Ausnahmezertifikate nach TR-03153-2 gelten höchstens 18 Monate (Regelung 1) oder 30 Monate (Regelung 2) und nur in begründeten Ausnahmefällen.
- Aufzeichnungen, die die TSE mit einem zum Signaturzeitpunkt gültigen Zertifikat gesichert hat, bleiben prüfbar (TR-03153-1, Kapitel 10.2.2).
- Der Anwendungserlass regelt den Ausfall der TSE (Nr. 1.14), nicht ausdrücklich das Ende ihrer Zertifizierung.
Was das Ende einer TSE-Zertifizierung bedeutet
§ 146a Abs. 1 Satz 2 AO verlangt für elektronische Aufzeichnungssysteme eine zertifizierte technische Sicherheitseinrichtung. Die Zertifizierung ist befristet. Das Gesetz selbst nennt in § 146a Abs. 3 Satz 2 AO nur, dass die Anforderungen an Sicherheitsmodul, Speichermedium und Schnittstelle durch eine Zertifizierung des Bundesamts für Sicherheit in der Informationstechnik (BSI) nachzuweisen sind, „die fortlaufend aufrechtzuerhalten ist“. Der Anwendungserlass zu § 146a AO regelt den Ausfall der TSE (Nr. 1.14, siehe TSE fällt aus), aber nicht, was mit einer eingesetzten TSE nach dem Ende ihrer Zertifizierung gilt. Wir haben in den gelesenen Fassungen auch keine Auskunft zur Weiternutzung gefunden. Rechnen Sie deshalb mit dem Enddatum als Stichtag für den Ersatz (redaktionelle Einschätzung).
Welche Laufzeiten es gibt
Drei Dinge laufen getrennt voneinander ab:
- Die Konformitätszertifizierung nach BSI TR-03153. Sie ist im Regelfall auf den früheren Zeitpunkt begrenzt, zu dem die Zertifikate nach den Schutzprofilen für Krypto-Kern und Sicherheitsmodulanwendung enden, höchstens aber auf 8 Jahre (TR-03153-1, Kapitel 8.1.1). Ein Beispiel: Der BSI-Eintrag BSI-K-TR-0393-2020 nennt als Ausstellungsdatum den 20. Februar 2020 und als „Gültig bis“ den 19. Februar 2028.
- Die Sicherheitszertifizierungen nach Common Criteria. Sie sind in der Regel auf acht Jahre befristet, verlangen nach fünf Jahren eine Neubewertung, und im Rahmen von SOGIS-MRA oder CCRA ausgestellte Zertifikate gelten höchstens fünf Jahre (Kapitel 8.2.2).
- Das Zertifikat über den öffentlichen Schlüssel der TSE, mit dem Dritte die Signaturen prüfen. Es muss für die gesamte Betriebsdauer und die steuerlichen Aufbewahrungsfristen nutzbar sein, außer es wird sicherheitsbedingt gesperrt (Kapitel 8.3).
Die Prüfung der Signaturen beruht auf dem Hybridmodell: Ein Zertifikat muss zum Zeitpunkt der Prüfwerterstellung gültig gewesen sein (Kapitel 10.2.2). Ein später erreichtes Enddatum macht frühere Aufzeichnungen deshalb nicht ungültig. Das gilt für die Prüfung der Signaturen; die Frage, ob Sie die TSE danach noch einsetzen dürfen, beantwortet es nicht.
Fälle und Maßnahmen im Überblick
Die Tabelle gilt für Kassensysteme und Registrierkassen in Deutschland, die eine TSE nach § 146a AO einsetzen. Eine offene Ladenkasse hat keine TSE. Die Zeilen zu Sperrung und Schlüssellöschung stammen aus einer informativen Übersicht der Richtlinie (Appendix A.3) und sind keine Betreiberpflicht im Gesetz.
| Fall | Was die Quelle sagt | Was Sie tun |
|---|---|---|
| Enddatum „Gültig bis“ im BSI-Eintrag naht, TSE nach TR-03153 Version 1.0.1 zertifiziert | Seit 30. April 2025 keine Laufzeitverlängerung durch Rezertifizierung; jede Rezertifizierung endet spätestens mit dem vorherigen Zertifikat (Anhang A, Nr. 2.1.5) | Enddatum notieren, Ersatz-TSE rechtzeitig planen |
| Enddatum naht, TSE nach TR-03153 Version 1.1.x zertifiziert | Befristung im Regelfall höchstens 8 Jahre (Kapitel 8.1.1); die Quelle nennt keine Betreiberfrist | Hersteller fragen, ob und wie eine Verlängerung vorgesehen ist |
| Hersteller erhält ein Ausnahmezertifikat nach TR-03153-2 | Regelung 1: höchstens 18 Monate; Regelung 2: höchstens 30 Monate je Zertifikat, nur in begründeten Ausnahmefällen. Der Hersteller muss sich verpflichten, direkte Kunden, Steuerpflichtige und Finanzbehörden spätestens 6 Monate (Regelung 1) oder 9 Monate (Regelung 2) vor Ablauf zu informieren, wenn bis dahin keine Folgezertifizierung abgeschlossen ist | Mitteilung des Herstellers abwarten und Ersatz einleiten |
| Zertifizierung wird aus wirtschaftlichen Gründen nicht verlängert (Hardware-TSE) | Keine Zertifikatssperrung; der Steuerpflichtige „sollte“ die Funktion disableSecureElement an der TSE aufrufen (Appendix A.3) | Daten exportieren und archivieren, TSE nach Anweisung des Herstellers deaktivieren |
| Zertifizierung wird aus Sicherheitsgründen nicht verlängert oder zurückgezogen (Hardware-TSE) | Sperrung des TSE-Zertifikats durch Hersteller, PKI-Betreiber oder BSI; der Steuerpflichtige „muss“ disableSecureElement aufrufen (Appendix A.3) | Sofort Hersteller kontaktieren, Daten sichern, TSE tauschen |
| Online-TSE (Cloud-TSE): Vertrag gekündigt oder Betreiber beendet die Nutzung | Der TSE-Betreiber löscht den Schlüssel und erzeugt die Log-Nachricht disableSecureElement (Appendix A.3, Tabelle 21) | Vor Vertragsende Daten exportieren, Nachfolger beschaffen |
| Neue TSE ist eingebaut | Die Art der TSE (Zertifizierungs-ID und Seriennummer) gehört zur Mitteilung nach § 146a Abs. 4 AO (Nr. 1.16.2.2) | Mitteilung aktualisieren, siehe Kassenmeldung in Mein ELSTER |
Schritt für Schritt: So bereiten Sie den Wechsel vor
- Ermitteln Sie die Zertifizierungs-ID Ihrer TSE und lesen Sie im BSI-Eintrag das „Gültig bis“. Seit der Änderung vom 3. März 2025 kann die ID auch den Zusatz „-MA-ZZ“ tragen (Maintenance; Nr. 1.16.2.2).
- Fragen Sie den Hersteller schriftlich, ob eine Rezertifizierung oder ein Ausnahmezertifikat vorgesehen ist und bis wann er Sie informiert.
- Planen Sie die Ersatz-TSE so, dass sie vor dem Enddatum läuft. Kriterien für die Wahl stehen in Hardware-TSE oder Cloud-TSE, den Ablauf der Beschaffung beschreibt TSE bestellen und einbinden.
- Exportieren Sie vor dem Wechsel die Daten aus der alten TSE. Die digitalen Aufzeichnungen sind nach § 146a Abs. 1 Satz 4 AO auf dem Speichermedium zu sichern und für Nachschauen und Außenprüfungen durch elektronische Aufbewahrung verfügbar zu halten. Wird für den Export ein Auslese-Tool benötigt, muss es nach der Richtlinie Prüfern kostenfrei bereitgestellt werden (Kapitel 10.6).
- Deaktivieren Sie die alte TSE nach den Vorgaben des Herstellers, damit keine weiteren Signaturen mit ihrem Schlüssel entstehen. Die Richtlinie verlangt dafür eine Funktion zum dauerhaften Deaktivieren oder Löschen des Schlüsselpaars (Kapitel 3.9.4).
- Aktualisieren Sie die Mitteilung an das Finanzamt und legen Sie Herstellerauskunft, Rechnung und Exportnachweis ab.
Was zu den Folgen eines Versäumnisses bekannt ist
Wer ein erfasstes System vorsätzlich oder leichtfertig entgegen § 146a Abs. 1 Satz 1 oder 2 AO nicht oder nicht richtig verwendet oder schützt und dadurch ermöglicht, Steuern zu verkürzen, kann mit einer Geldbuße bis zu 25.000 Euro belegt werden (§ 379 Abs. 1 Satz 1 Nr. 4 und 5, Abs. 6 AO). Ob eine TSE nach dem Zertifizierungsende „nicht richtig“ schützt, sagen die geöffneten Quellen nicht.