"Kassengesetz"

Imple­men­tierung einer Cloud-TSE

Praxishilfe für Unternehmen. Antrag nach § 148 AO – Verlängerung der Frist zur vollständigen Implementierung einer Cloud-TSE. Stand: Februar 2021.

Vorbemerkung

Mit dem Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen (sog. Kassengesetz) wurde der Einsatz einer zertifizierten technischen Sicherheitseinrichtung (TSE) zum Schutz der Kassenaufzeichnungen grundsätzlich ab dem 1. Januar 2020 eingeführt. Derzeit besteht allerdings in der Praxis ein Problem für die Unternehmen, die nicht auf eine hardwarebasierte Sicherung setzen, sondern sich für eine cloudbasierte TSE-Lösung entschieden haben. In den Fällen, in denen die von den Bundesländern veröffentlichten Nichtbeanstandungsregelungen zur Aufrüstung elektronischer Aufzeichnungssysteme mit einer TSE in Anspruch genommen werden, muss eine cloudbasierte TSE bis spätestens zum 31. März 2021 implementiert und müssen die Anforderungen an den Schutz der Anwenderumgebung umgesetzt werden. Vielfach wird es den Unternehmen nicht möglich sein, diese Vorgaben fristgerecht umzusetzen.
Betroffene Unternehmen sollten daher in Absprache mit ihrem steuerlichen Berater umgehend einen Antrag nach § 148 AO zur Verlängerung der Frist bei ihrem Finanzamt stellen. Der Betrieb einer ungeschützten Kasse wäre ansonsten nach diesem Zeitpunkt nicht rechtmäßig und es drohen empfindliche Schätzungen sowie die Einleitung eines Ordnungswidrigkeitsverfahrens.
Hinweis: Betroffen sind Sachverhalte, in denen die Cloud-TSE zwar vor 31. März 2021 zertifiziert wird, aber der Roll-out der Cloud-TSE im Unternehmen noch einige Wochen dauert. Alternativ soll eine Cloud-TSE eingesetzt werden und die Zertifizierung wird kurzfristig erwartet und wurde bis zum 31. März 2021 noch nicht veröffentlicht.
Die Finanzbehörden können gem. § 148 AO bestimmte Erleichterungen bewilligen, wenn die Einhaltung der durch die Steuergesetze begründeten Buchführungs-, Aufzeichnungs- und aufbewahrungspflichten Härten mit sich bringt und die Besteuerung durch die Erleichterung nicht beeinträchtigt wird. Dieses gilt auch hinsichtlich einer Verlängerung der Frist über den 31. März 2021 hinaus zur Implementierung einer zertifizierten Cloud-TSE und der Umsetzung der Anforderungen an die Betriebsumgebung der Cloud-TSE.
Unternehmen müssen in einem entsprechenden Antrag individuell und substantiiert darlegen, warum im konkreten Einzelfall eine zeitgerechte Implementierung nicht möglich ist und eine unbillige sachliche Härte gegeben ist. Dem Antrag sind ggf. weitere Unterlagen des Cloud-TSE-Anbieters beizufügen oder entsprechende leicht recherchierbare Fundstellen anzugeben.
Aufgrund dessen, dass die Begründung des Antrages die individuellen Verhältnisse in dem jeweiligen Unternehmen enthalten muss, können in dieser Praxishilfe lediglich Hinweise gegeben werden, welche Aspekte in der Begründung dargelegt werden sollten. Die genaue Formulierung und Antragstellung sollten gemeinsam mit Ihrem steuerlichen Berater abgestimmt werden.

Musterformulierung

Sehr geehrte Damen und Herren,
hiermit beantrage ich/ beantragen wir die Verlängerung der durch den Erlass/ Allgemeinverfügung vom _____ eingeräumten Frist über den 31. März 2021 hinaus gemäß § 148 AO wegen Vorliegens unbilliger sachlichen Härte bis zum ____________.
Hinweis: Ist eine Implementierung einer Cloud-TSE/mehrerer Cloud-TSEs bereits erfolgt, beschränkt sich die beantragte Erleichterung auf die Gewährung einer Verlängerung zur Umsetzung der Anforderungen an die Anwenderumgebung. In den Fällen, in denen eine Implementierung noch nicht erfolgt ist (z. B. bei sog. Spätentscheidern oder Wechselkunden) umfasst der Antrag sowohl eine Verlängerung zur Implementierung als auch zur Umsetzung der Anforderungen an die Anwenderumgebung (sog. abschließendes Roll-Out).

Variante 1 – Implementierung einer zertifizierten Cloud-TSE ist bereits erfolgt:

Ich/wir beabsichtigen zur Einhaltung der Anforderungen des § 146a AO die Implementierung einer cloudbasierten TSE in die in meinem/unserem Unternehmen betriebenen Kassen. Wie nachfolgend näher erläutert, habe ich/ haben wir uns für die Cloud-TSE des Anbieters ____ (Deutsche Fiskal/D-Trust) entschieden und bereits eine Implementierung einer Cloud-TSE/ mehrerer Cloud-TSEs vorgenommen. Damit sind Anforderungen an die Betriebsumgebung verbunden, die nicht fristgerecht bis zum 31. März 2021 umgesetzt werden können.
Hinweis: Bis zum 19. Februar 2021 ist nur die cloudbasierte TSE-Lösung der Anbieter Deutsche Fiskal/ D-Trust durch das BSI zertifiziert worden.

Variante 2 – Implementierung einer zertifizierten Cloud-TSE ist noch nicht erfolgt

Alle Anbieter:

Ich/wir beabsichtigen zur Einhaltung der Anforderungen des § 146a AO die Implementierung einer cloudbasierten TSE in die in meinem/unserem Unternehmen betriebenen Kassen. Bereits jetzt ist erkennbar, dass die Implementierung einer cloudbasierten TSE-Lösung und der Umsetzung der Anforderungen an die Betriebsumgebung nicht vollständig innerhalb der Frist bis zum 31. März 2021 abgeschlossen werden kann. Maßgebliche Ursache ist zum einen

Alternativformulierung 1:

die noch ausstehende Zertifizierung der Cloud-TSE-Lösung des Anbieters ________

Alternativformulierung 2:

die erst späte Zertifizierung der Cloud-TSE-Lösung des Anbieters ___________
sowie insbesondere die komplexen Herausforderungen bei der Umsetzung der erhöhten Anforderungen im Bereich der Anwenderumgebung.

Variante 3 – Implementierung einer nicht (vollständig) zertifizierten Cloud-TSE zu Evaluierungszwecken wurde vorgenommen, eine Umsetzung der Anforderungen an die Betriebsumgebung steht noch aus

Anbieter fiskaly

Ich/wir beabsichtigen zur Einhaltung der Anforderungen des § 146a AO die Implementierung einer cloudbasierten TSE in die in meinem/unserem Unternehmen betriebenen Kassen. Wie nachfolgend näher erläutert, habe ich/ haben wir uns für die Cloud-TSE des Anbieters ____ (fiskaly) entschieden und bereits eine Cloud-TSE zum Zwecke der Evaluierung implementiert. Den Einsatz einer bisher nicht zertifizierten Cloud-TSE ist auf den Kassenbelegen kenntlich gemacht. Bereits jetzt ist erkennbar, dass die Implementierung einer cloudbasierten TSE-Lösung und der Umsetzung der Anforderungen an die Betriebsumgebung nicht vollständig innerhalb der Frist bis zum 31. März 2021 abgeschlossen werden kann.
Maßgebliche Ursache ist ….

Alternativformulierung 1:

zum einen die noch ausstehende Zertifizierung der Cloud-TSE-Lösung sowie insbesondere die komplexen Herausforderungen bei der Umsetzung der erhöhten Anforderungen im Bereich der Anwenderumgebung.

Alternativformulierung 2:

die erst späte Zertifizierung der Cloud-TSE sowie insbesondere die komplexen Herausforderungen bei der Umsetzung der erhöhten Anforderungen im Bereich der Anwenderumgebung.
Hinweis: Nach dem Kenntnisstand der Verfasser haben einige Unternehmen bereits bisher nicht zertifizierte Cloud-TSEs des Anbieters fiskaly implementiert. Die beiden Alternativformulierungen sollen beide aktuell in Betracht kommenden Fallgestaltungen – Zertifizierung ist bei Antragstellung bereits erfolgt bzw. Zertifizierung ist noch nicht erfolgt – abdecken.

Hinweise zur weiteren Begründung des Antrags:

  • Führen Sie auf, welche und wie viele Kassen Sie aktuell im Einsatz haben (Hersteller. Modell-Nummer; Serien-Nummer, Datum der ersten Inbetriebnahme, aktuelle Version des Betriebssystems).
  • Erläutern Sie, von welchem Anbieter Sie eine cloudbasierte TSE-Lösung implementiert haben bzw. implementieren wollen.
  • Legen Sie dar, dass Sie die Anforderungen zur Inanspruchnahme der bisher durch das jeweilige Bundesland gewährten Erleichterung (verlängerte Frist bis zum 31. März 2021) erfüllen und fügen Sie die erforderlichen Nachweise bei. Ist eine Beauftragung des jeweiligen Anbieters mit dem Einbau einer cloudbasierten TSE-Lösung Voraussetzung für die Erleichterung nach § 148 AO in dem maßgeblichen Bundesland, ist diese dem Antrag beizufügen.
In den Bundesländern Rheinland-Pfalz und Thüringen waren die Unternehmen verpflichtet, die Inanspruchnahme der Nichtbeanstandungsregelung gegenüber dem zuständigen Finanzamt mitzuteilen. Diese Mitteilung ist beizufügen bzw. die Begründung sollte hierzu Angaben enthalten.

Befindet sich der Sitz Ihres Unternehmens in Bremen, war die individuelle Antragstellung nach § 148 AO erforderlich. Wurde einem entsprechenden Antrag stattgegeben, verweisen Sie darauf. Sollte bisher kein Antrag gestellt worden sein, so ist ggf. mit dem steuerlichen Berater zu prüfen, ob ein Antrag auch rückwirkend für den Zeitraum nach dem 30. September 2020 gestellt werden soll.
Hinweis: Der ZDH hat eine Aufstellung über die Regelungen der einzelnen Bundesländer zum kostenfreien Abruf auf der Internetseite zur Verfügung gestellt.
Je nachdem, für welchen Anbieter Sie sich entschieden haben, ist die Begründung für den Antrag unterschiedlich aufzusetzen. Dies liegt zum einen darin begründet, dass aktuell nur die Cloud-TSE der Anbieter Deutsche Fiskal/D-Trust über die notwendigen Zertifikate des Bundesamtes für Sicherheit in der Informationstechnik (BSI) verfügt und die anderen Zertifizierungsverfahren nach Auskunft der Anbieter fiskaly und A-Trust erst im Laufe des Monats März 2021 voraussichtlich abgeschlossen werden. Zum anderen unterscheiden sich die jeweiligen Lösungen in dem gewählten Schutzkonzept der Anwenderumgebung. Diese Anforderungen an die Anwenderumgebung in Ihrem Unternehmen leiten sich aus dem Schutzprofil SMAERS 1.0 ab, welches das BSI mit Datum vom 28. Juli 2020 am 03. August 2020 auf seiner Website publiziert hat. Die Sicherheitsanforderungen an die Anwenderumgebung beim Steuerpflichtigen sind je nach Hersteller der TSE unterschiedlich ggf. durch das Unternehmen umzusetzen. Zum einen ist dies im Rahmen der zu zertifizierenden Komponenten der TSE möglich oder Sie müssen in Ihrem Unternehmen ein zusätzliches, vom Hersteller erstelltes Umgebungsschutzkonzept umsetzen.
Unabhängig von der Erfüllung der Anforderungen an die Anwenderumgebung wird aber bereits durch den Betrieb einer TSE in einer bestehenden Infrastruktur Ihres Unternehmens ein hohes Sicherheitsniveau der Besteuerung erreicht.
Die nachfolgenden Darstellungen beschränken sich auf die cloudbasierten TSE-Lösungen, die den Verfassern dieser Praxishilfe bekannt sind. Es kann nicht ausgeschlossen werden, dass weitere Anbieter von cloudbasierten TSE-Lösungen noch hinzukommen werden. In diesen Fällen können die folgenden Ausführungen jedoch Anhaltspunkte für eine Begründung eines Antrages geben. Daher ist neben der Einbindung Ihres Steuerberaters auch eine Unterstützung durch den Anbieter der jeweiligen Cloud-TSE-Lösung bzw. des Kassenfachhändlers zu empfehlen.

Deutsche Fiskal/D-Trust

Ist der Einsatz einer cloudbasierten TSE-Lösung der Anbieter Deutsche Fiskal/D-Trust vorgesehen, dann ist eine Verfügbarkeit der TSE aufgrund der abgeschlossenen Zertifizierung seit dem 30. September 2020 und der erfolgreichen Rezertifizierung am 29. Januar 2021 gegeben. Von Bedeutung ist, dass für den gesetzmäßigen Betrieb einer Cloudlösung vier Zertifikate notwendig sind. Die Deutsche Fiskal/D-Trust hat alle vier Zertifikate erhalten. Auf dieser Basis ist davon auszugehen, dass die Finanzverwaltung im Grundsatz die Verwendung der TSE bis zum Ende der Frist fordern wird.

Legen Sie dar, dass die Implementierung der Cloud-TSE in Ihr Aufzeichnungssystem bereits erfolgt ist und seit wann sie bereits produktiv genutzt wird, oder im Piloteinsatz ist.
Hinweis: In den Fällen, in denen eine Implementierung noch nicht erfolgt ist (z. B. bei sog. Spätentscheidern und Wechselkunden) entfällt diese Ausführung. Stattdessen müssen in einem ersten Schritt die Gründe dargelegt werden, auf die eine fehlende Implementierung zurückzuführen sind und bis wann eine Implementierung erfolgen soll. Die Anbieter haben zur Unterstützung der Unternehmen besondere Vorkehrungen getroffen (vgl. Informationen der Deutschen Fiskal vom 29. Januar 2021).
In einem nächsten Schritt muss aufgezeigt werden, welche Schritte noch offen sind, um die Anforderungen an den Schutz der Anwenderumgebung vollständig umzusetzen und wann mit einem Abschluss der Arbeiten zu rechnen ist.
Die nachfolgenden Ausführungen wurden gemeinsam mit den Anbietern Deutsche Fiskal/D-Trust erstellt.
Folgende Sicherheit der Aufzeichnungen vor Manipulationen wird bereits durch die Einbindung der Cloud-TSE der Deutschen Fiskal/D-Trust erreicht:
Die Aufgabe einer TSE ist es, mögliche Manipulationen an Aufzeichnungssystemen erkennbar zu machen. Diese Aufgabe wird durch die TSE zusammen mit weiteren vorgeschriebenen Maßnahmen - insbesondere die Belegausgabepflicht - im Rahmen von Belegprüfungen, Kassennachschauen, Kassensturz und weiteren Prüfmethoden unter Einbeziehung von TSE-Logdaten, Belegen und DSFinV-K-Daten gewährleistet.
Die TSE nutzt aufgrund ihrer Architektur diverse Sicherheitsmechanismen, u.a. einen Signaturzähler. Diese wird bei Cloud-TSE der Deutschen Fiskal/D-Trust zentral im geschützten Rechenzentrum verwaltet und kann dementsprechend nicht kompromittiert werden.
In Kombination mit dem Zeitstempel, der jederzeit für Prüfungen zur Verfügung steht, können alle uns bisher bekannten Manipulationsversuche an der lokalen Komponente der TSE unterbunden werden.
Zur Gewährleistung des durch das BSI aktuell vorgegebenen Umgebungsschutzes nutzt die Fiskal Cloud ein Rechte- und Rollenkonzept, welches den administrativen Zugriff auf die lokale Komponente im Aufzeichnungssystem nur einem kleinen Kreis vertrauenswürdiger Administratoren ermöglicht.
Mit den beschriebenen Mechanismen und Maßnahmen wird bereits mit der aktuellen Implementierung, d.h., ohne vollständig umgesetzten BSI-Umgebungsschutz, eine starke Absicherung der TSE erreicht.
Parallel zum bereits zertifiziert vorliegenden Umgebungsschutzkonzept arbeiten die Deutsche Fiskal/D-Trust aktuell an weiteren Umsetzungsvarianten, welche einen wirksamen, zertifizierten Umgebungsschutz ohne Einbindung von Hardwarekomponenten sicherstellen wird.
Nach einer ersten Abschätzung gehen die Deutsche Fiskal/D-Trust von einer Umsetzung (inklusive Entwicklung, Zertifizierung und Rollout) vor dem geplanten Rezertifizierungstermin am 31. Juli 2022 aus.

fiskaly

Ist die Implementierung einer cloudbasierten TSE-Lösung des Anbieters fiskaly vorgesehen, dann ist aktuell noch offen, ob das Zertifizierungsverfahren noch innerhalb der Frist vollständig abgeschlossen wird. Nach Auskunft der fiskaly rechnet diese mit einem weitgehenden Abschluss des Verfahrens im Laufe des Monats März 2021. Daher wird Ausrollung einer vollständig zertifizierten cloudbasierten TSE-Lösung ggf. nicht in jedem Fall bis zum 31. März 2021 möglich sein. Fiskaly hat schon in einigen Unternehmen Cloud-TSEs zur Evaluierung im Einsatz. In diesen Fällen weisen die Kassenbelege aus, dass es sich um eine TSE zur Evaluierung handelt.
Legen Sie dar, welche Schritte zur Ausrollung der cloudbasierten TSE von fiskaly bereits unternommen wurden. In einem nächsten Schritt muss aufgezeigt werden, welche Schritte noch offen sind, um die Anforderungen an den Schutz der Anwenderumgebung vollständig umzusetzen und wann mit einem Abschluss der Arbeiten zu rechnen ist.
Die nachfolgenden Ausführungen wurden gemeinsam mit dem Anbieter fiskaly erstellt:
Folgende Sicherheit der Aufzeichnungen vor Manipulationen wird bereits durch die Einbindung der aktuellen (nicht zertifizierten) Cloud-TSE erreicht:
Bereits jetzt werden durch die digitalen Signaturen der Kassen-Bons unserer Kunden die Schutzmaßnahmen vor Manipulation deutlich erhöht.
Jede Form von Manipulation eines signierten Kassenbons lässt sich bereits mit dem aktuellen System eindeutig nachvollziehen. Die Erhöhung der Signatur-Qualitäten, durch den Einsatz der voll zertifizierten Variante wird hierbei dann auch alle BSI-Anforderungen erfüllen.
Folgende Schritte der Implementierung sind noch vorzunehmen, um die Anforderungen an den Umgebungsschutz vollständig umzusetzen:
Hierzu müssen nach Abschluss der Zertifizierung von fiskaly SIGN v2 software-seitige Maßnahmen am Kassensystem umgesetzt werden. Diese Eingriffe am Kassensystem brauchen kompetente Planungs- und Zeitvorgaben.
Der “SMAERS-Server” kann in bekannten Cloud-Umgebungen, wie auch in privaten Rechenzentren der Händler / Kassenhersteller oder auch der Filiale meines/unseres Unternehmens betrieben werden. Hierzu muss das am besten zur Kassenarchitektur passende Konzept mit fiskaly abgestimmt werden.
Folgender zeitliche Aufwand ist mit der Umsetzung verbunden:
….
Hinweis: Ein Upgrade von Version 1 auf Version 2 ist stark abhängig von der Komplexität des Filial- und Kassensystems Ihres Unternehmens. Daher ist eine Rücksprache mit dem Anbieter fiskaly bzw. Ihrem Kassenfachhändler zur weiteren Begründung des Antrags dringend zu empfehlen.

A-Trust

Ist die Implementierung einer cloudbasierten TSE-Lösung des Anbieters A-Trust vorgesehen, dann ist aktuell noch offen, ob das Zertifizierungsverfahren noch innerhalb der Frist abgeschlossen wird. Nach Auskunft der A-Trust GmbH rechnet diese mit dem Abschluss des Verfahrens im Laufe des Monats März 2021.
Legen Sie dar, dass der Einbau bereits erfolgt ist bzw. bis wann dieser erfolgen soll. In einem nächsten Schritt muss aufgezeigt werden, welche Schritte noch offen sind, um die Anforderungen an den Schutz der Anwenderumgebung vollständig umzusetzen und wann mit einem Abschluss der Arbeiten zu rechnen ist.
Die nachfolgenden Ausführungen wurden gemeinsam mit dem Anbieter A-Trust erstellt:
Folgende Sicherheit der Aufzeichnungen vor Manipulationen wird bereits durch die Einbindung der Cloud-TSE erreicht:
„Die Einbindung der A-Trust Online-Lösung bietet höchstmöglichen Manipulationsschutz: Die Aufzeichnungen werden wie im Protection Profile gefordert mit einem streng monoton steigenden Transaktionszähler versehen und durch einen in der Cloud betriebenen CSPL signiert. CSPL ist ein Hardware Security Modul welches die dem jeweiligen Aufzeichnungssystem zugeordneten Schlüssel sicher verwahrt.
Durch diese Signatur kann kryptographisch sichergestellt werden, dass die Aufzeichnung nach der Signatur nicht verändert werden kann. Die Daten werden sicher in der Cloud gespeichert und können jederzeit exportiert werden.
PP: Protection Profile BSI-CC-PP-0105-V2-2020
CSPL Crypto Service Provider Light BSI-CC-PP-0111-2019
Folgende Schritte der Implementierung sind noch vorzunehmen, um die Anforderungen an den Umgebungsschutz vollständig umzusetzen:
„Der Arbeitsplatz muss in der Regel durch den Integrator der Kassensoftware gemäß des Umgebungsschutzkonzeptes abgesichert werden, hier werden gerade mit BSI die finalen Anforderungen fixiert.
Die Anforderungen umfassen übliche Sicherheitsanforderungen (Best-Practices) an einen PC-Arbeitsplatz wie regelmäßige Aktualisierung des Arbeitsplatzes, Trennung der administrativen Rolle und der Rolle des Steuerpflichtigen. Weitere best practices umfassen: Virenschutz, lokale Firewall, etc., welche mit Betriebssystem-Mitteln eingerichtet werden können und die Sicherheit des Arbeitsplatzes gewährleisten.“
Hinweis: Zum Zeitpunkt der Erstellung dieser Ausarbeitung war das Zertifizierungsverfahren noch nicht abgeschlossen. Daher sind die konkreten Anforderungen an die Umsetzung der Anforderungen gemäß des Umgebungsschutzkonzeptes noch nicht bekannt. Wir empfehlen daher, dass Sie sich bitte vor Einreichung des Antrages an die A-Trust GmbH bzw. Ihren Kassenfachhändler, um den aktuellen Stand zu erfahren.
Aktuell liegen den Verfassern ferner keine Informationen vor, mit welchem zeitlichen Aufwand die Umsetzung der Anforderungen einhergehen wird. Da der Antrag Angaben darüber enthalten muss, wann mit einem Abschluss der Arbeiten gerechnet wird, ist insoweit ebenfalls Rücksprache mit der A-Trust GmbH bzw. dem Kassenfachhändler sowie dem Steuerberater zu empfehlen.
Diese Ausarbeitung wurde mit größter Sorgfalt erstellt. Die Verfasser übernehmen keine Haftung für die Richtigkeit und Vollständigkeit dieser Ausarbeitung. Alle Angaben und Informationen stellen weder eine Rechtsberatung noch eine steuerliche Beratung dar. Bitte wenden Sie sich an Ihren Steuerberater, der Sie bei der Beantragung unterstützen wird.
Quelle: Deutscher Industrie- und Handelskammertag (DIHK), Berlin