Registrierkassen

Registrierkassensicherheitsverordnung RKSV – Manipulationssicherheit

Achtung – Grundsätzlich wurden die Fristen für die Umsetzung der Registrierkassensicherheitsverordnung für geschlossene Systeme vom Bundesministerium für Finanzen von 1. Jänner 2017 auf 1. April 2017 verlängert. Teile der RKSV (§§ 21 und 22) sind bereits seit 1. Juli 2016 gültig.

Diese Paragraphen beziehen sich auf die Erstellung des Sachverständigen Gutachtens für geschlossene Gesamtsysteme und den Feststellungsbescheid.
Anträge dafür können bereits gestellt werden, und auch beim Finanzamt kann schon der passende Feststellungsbescheid erwirkt werden.

Der entsprechende Gesetzestext kann via RIS eingesehen werden. Gerne stehen wir für die Erstellung der Gutachten bereit! Wir freuen uns auf Ihr Mail oder Ihren Anruf!

 

Gutachtenerstellung gemäß §21 RKSV für die Registrierkassenpflicht ab 1. Jänner 2017 für geschlossene Systeme gemäß §20 Abs. 1 RKSV und § 131b Abs. 4 BAO

 

Von welchem Gesetz geht dies aus
Laut Artikel 8 Steuerreformgesetz 2015/2016 sind alle Unternehmer ab 01. Jänner 2016 verpflichtet, ihre Barumsätze einzeln zu erfassen. Dies kann mittels einer elektronischen Registrierkasse, einem Kassensystem oder mit anderen elektronischen Aufzeichnungssystemen geschehen. Des Weiteren ist es ab 01. Jänner 2017 erforderlich, die Registrierkasse durch eine geeignete Sicherheitseinrichtung gegen Manipulationen abzusichern.

 

Es müssen folgende Punkte ab 01. Jänner 2017 gewährleistet werden:
– Korrekte und manipulationssichere Datenerfassung
– Verschlüsselung der Daten gemäß Signaturengesetz und Signaturenverordnung
– Darstellung der Belege lt. ISO/IEC 15417:2007 (Belegerteilungspflicht für Barzahlung)
– Korrekte und manipulationssichere Speicherung der Daten
– Einrichtung einer Verbindung zum Bundesministerium für Finanzen

Zusätzlich müssen Betriebe ab 30 Kassen in einem geschlossenen System die Erstellung eines Gutachtens durch einen gerichtlich zertifizierten Sachverständigen nachweisen. Ich, Michael Meixner, eingetragener allgemein beeideter und gerichtlich zertifizierter Sachverständiger bin ich der Lage, dieses vom Gesetzgeber geforderte Gutachten für Ihr Unternehmen zu erstellen. Mit diesem Nachweis, dass es sich um ein „geschlossenes System“ handelt, kann man beim Bundesministerium für Finanzen den Feststellungsbescheid für geschlossene Systeme beantragen.

Zielsetzung und somit Sichtmerkmale der RKSV aus der Sicht des Unternehmers ab 01. Jänner 2017
Als Unternehmer sind Sie verpflichtet, ab 01. Jänner 2017 gemäß der Registrierkassen-Sicherheitsverordnung auf jedem einzelnen Kassenbeleg die folgenden Informationen elektronisch anzugeben:

• Kassenidentifkationsnummer
• fortlaufende Nummer des Barumsatzes
• Datum und Uhrzeit der Belegausstellung
• Betrag der Barzahlung nach Steuersätzen getrennt gemäß § 10 des Umsatzsteuergesetzes 1994 UStG 1994, BGBl. Nr. 663/1994, in der jeweils geltenden Fassung
• Verschlüsselte Darstellung des Umsatzzählers (mit AES256)
• Seriennummer Signaturzertifikat
• Signaturwert des vorhergehenden Barumsatzes (Verkettung der Belege)

Diese Informationen sind in einem maschinenlesbaren Format auszugeben. Hierfür stellt Ihnen der Gesetzgeber zwei Möglichkeiten. Einerseits als sogenannter QR-Code (Quick Response) oder in einer Zeichenkette. Sämtliche Daten müssen im UTF-8 Format kodiert sein, und als Trennzeichen zwischen den einzelnen Werten ist ein „_“ ohne Leerzeichen zu verwenden.

Vorgabe des Aufbaues der Daten für den QR-Code laut RKSV:

„Wert(Kassen-ID)_Wert(Belegnummer)_Wert(Beleg-Datum-Uhrzeit)_ Wert(Betrag-Satz-Normal)_Wert(Betrag-Satz-Ermaessigt-1)_Wert(Betrag-Satz-Ermaessigt- 2)_Wert(Betrag-Satz-Null)_Wert(Betrag-Satz-Besonders)_ Wert(Stand-Umsatz-Zaehler-AES256-ICM)_Wert(Zertifikat-Seriennummer)_ Wert(Sig-Voriger-Beleg)“

Weiterführende Informationen zum QR_Code finden Sie weiter unten in diesem Artikel.

Welche Unternehmen sind davon betroffen?
Eine Gutachtenerstellung ist für Betriebe ab 30 Kassen in einem geschlossenen System erforderlich.

Bestätigungsstelle für den Feststellungsbescheid gemäß RKSV
Vom Bundesministerium für Finanzen wurde laut Signaturgesetz § 18 als Bestätigungsstelle die A-SIT genannt. Da die A-SIT maßgeblich an der technischen Realisierung der Registrierkassensicherheitsverordnung beteiligt ist, ist aus meiner Sicht die gewählte Bestätigungsstelle bestens geeignet, die Privatgutachten der Allgemein beeideten und gerichtlich zertifizierten Sachverständigen zu beurteilen.

Gutachtenumfang für die Registrierkassenpflicht
Ist-Analyse Ihres Kassensystems
Falls notwendig – Projektbegleitung der erforderlichen Sicherheitseinrichtungen gemäß RKSV, dazu zählen: Verkettung der Barumsätze, digitale Signatur der Rechnung, Zugriffskontrolle, Umsatzzähler verschlüsselt, Ausfallsplan.

Ausstellung des Gutachtens als gerichtlich beeideter Sachverständiger als Grundlage für den Antrag für den Feststellungsbescheid für geschlossene Systeme beim Bundesministerium für Finanzen.

Da ein Gutachten für den Feststellungsbescheid vollumfänglich auszufertigen ist, müssen die folgenden Hauptkategorien abgebildet und beschrieben werden. Mein bereits ausgearbeitetes und detailliertes Grundgerüst für das Privatgutachten Ihres Feststellungsbescheids kann persönlich bei mir angefragt werden.

Auszug aus meinem Privatgutachten – Hauptkategorien:

• Gesetzesgrundlage
• Gewähltes Implementierungsszenario – Beschreibung des geschlossenen Systems mit Bezug auf § 244 UGB
• Prozessbeschreibung des geschlossenen Systems gemäß §21 Abs. 2 und 3 RKSV
• Signaturerstellungseinheiten in Bezug auf § 18 Signatur Gesetz, § 6 der Signaturverordnung 2008, § 13 RKSV,
• Source Code Implementierung
• Kassensystem in Bezug auf § 131b Abs. 2 BAO, § 6 RKSV,
• Umgang mit Storno- und Trainingsbuchungen § 10 Abs. 3 RKSV
• Datenerfassungsprotokoll § 7 RKSV in Bezug auf § 132a Abs. 3 BAO
• Umsetzung der Verschlüsselung des Umsatzzählers § 9 Abs. 2 Z 5 RKSV
• Implementierung Signatur Zertifikate (Ausstellung, Verwendung, Austausch)
• Umsetzung der Registrierung von Signaturerstellungseinheiten § 16 Abs. 1 RKSV

Mein detailliertes Gutachten kann persönlich bei mir angefragt werden.

Was sind laut RKSV „geschlossene Systeme“?
Eine spezielle Regelung ist für Betriebe ab 30 Kassen möglich, bei denen die Warenwirtschafts- Buchhaltungs- und Kassensysteme mittels eines geschlossenen elektronischen Aufzeichnungssystems miteinander verbunden sind. Die Verknüpfung der Umsätze ist unbedingt erforderlich. Des Weiteren muss ein Gutachten für ein „geschlossenes System“ von einem gerichtlich zertifizierten Sachverständigen erstellt werden. Per Antrag ist es erforderlich, einen positiven Feststellungsbescheid beim Bundesministerium für Finanzen einzuholen.

Technische und organisatorische Anforderungen

Die Manipulationssicherheit in geschlossenen Gesamtsystemen gemäß § 131b Abs. 4 BAO ist durch eine Sicherheitseinrichtung zu gewährleisten, die aus einer Verkettung der Barumsätze mit Hilfe der aufbereiteten Daten nach § 9 Abs. 2 im Signaturformat der Anlage besteht.

Für geschlossene Gesamtsysteme gilt diese Verordnung mit Ausnahme der §§ 5 Abs. 2, 12, 15 und 17 Abs. 4. Die §§ 4 Abs. 1, 6 Abs. 4, 8 Abs. 2, 9, 16 Abs. 1 und 2, 17 Abs. 1 bis 3, 17 Abs. 7 und 18 sowie die Anlage sind mit der Maßgabe anzuwenden, dass weder eine Signaturerstellungseinheit noch ein Signaturzertifikat erforderlich sind, und dass einer Kassenidentifikationsnummer auch mehrere Registrierkassen mit einem gemeinsamen Datenerfassungsprotokoll zugeordnet werden dürfen.

Bei geschlossenen Gesamtsystemen ist anstelle der Seriennummer des Signaturzertifikates (§ 9 Abs. 2 Z 6 und § 10 Abs. 2 Z 6) der Ordnungsbegriff des Unternehmers zu verwenden. Der Ordnungsbegriff des Unternehmers muss gegebenenfalls durch geeignete Zusätze (z. B. Ziffern) ergänzt werden, um eindeutige Signaturprüfdaten zu ermöglichen. In der Datenbank gemäß § 18 sind anstelle der Seriennummer des Signaturzertifikates die Signaturprüfdaten zu erfassen. Der Ordnungsbegriff des Unternehmers sowie die Signaturprüfdaten müssen aus dem Gutachten gemäß § 21 hervorgehen.

Antragsbefugt im Sinne § 131b Abs. 4 BAO sind nur Unternehmer, die ein geschlossenes Gesamtsystem als elektronisches Aufzeichnungssystem verwenden, das mit mehr als 30 Registrierkassen verbunden ist.

Belegerstellung
Auf dem Beleg sind neben den Belegdaten des § 132a Abs. 3 BAO folgende Daten anzuführen:

1. Kassenidentifikationsnummer
2. Datum und Uhrzeit der Belegausstellung
3. Betrag der Barzahlung getrennt nach Steuersätzen
4. Inhalt des maschinenlesbaren Codes

Wenn der maschinenlesbare Code nicht als QR-Code am Beleg aufgedruckt werden kann, sind die Daten entweder in Form eines Links in maschinenlesbarer Form, als Barcode oder OCR bereitzustellen und dementsprechend auf dem Beleg auszuweisen oder als anlagenfestgelegte Codierung auf dem Beleg auszuweisen.

Belege betreffend Trainings- und Stornobuchungen sind dementsprechend zu bezeichnen.

Anforderungen an die Signaturerstellungseinheiten

Allgemeine Anforderungen
Die technischen Anforderungen an die Signaturerstellungseinheit entsprechen den Anforderungen an Signaturerstellungseinheiten für qualifizierte Signaturen nach § 18 SigG in der jeweils geltenden Fassung und nach § 6 der Signaturverordnung 2008 – SigV 2008, BGBl. II Nr. 3/2008, in der jeweils geltenden Fassung. Anstelle der in § 6 Abs. 3 letzter Satz SigV 2008 vorgesehenen Prüfung kann eine Prüfung in Bezug auf die inhaltlichen Anforderungen der Registrierkassensicherheitsverordnung erfolgen, wobei die Anforderung der alleinigen Kontrolle und deren Auswirkungen auf den Betrieb auf Grund der Verkettung nicht Gegenstand dieser Prüfung sind.

Signaturschlüsselpaar und Signaturerstellung
Bezüglich anwendbarer Signaturalgorithmen sowie Schlüssel sind die Regelungen der SigV 2008 zu den Algorithmen und Parametern für qualifizierte Signaturen aus dem Anhang zur SigV 2008, Punkte 1 bis 7 „Algorithmen und Parameter für qualifizierte elektronische Signaturen“ anzuwenden.

Verifizierbarkeit der Signaturen
Der Signaturwert des betreffenden Barumsatzes muss anhand des auf dem Beleg aufgebrachten maschinenlesbaren Codes verifizierbar sein. Dazu müssen insbesondere die bereits angeführten Daten auf dem Beleg enthalten sein.

Beschaffung und Registrierung der Signaturerstellungseinheit
Unternehmer, die der Registrierkassenpflicht nach § 131b BAO unterliegen, haben die erforderliche Anzahl von Signaturerstellungseinheiten bei einem im EU-/EWR-Raum oder in der Schweiz niedergelassenen Zertifizierungsdienstanbieter, der qualifizierte Signaturzertifikate anbietet, zu erwerben.

Die Kosten für die Beschaffung der Signaturerstellungseinheit trägt der Unternehmer.

Der Unternehmer hat zur Erlangung des Signaturzertifikates einen der Abgabenbehörde bekannten, dem Unternehmer zugeordneten Ordnungsbegriff und als Wert des OID „Österreichische Finanzverwaltung Registrierkasseninhaber“ nach Maßgabe des § 5 Abs. 1 Z 8 SigG in seinem Signaturzertifikat eintragen zu lassen.

Der Zertifizierungsdiensteanbieter vergibt für jede Signaturerstellungseinheit ein Signaturzertifikat, das folgende Angaben beinhaltet:

1. Typ und Wert des der Signaturerstellungseinheit zugeordneten Ordnungsbegriffs des Unternehmers
2. Seriennummer des Signaturzertifikates und
3. Beginn und Ende der Gültigkeit des Zertifikats.

Eine Verwendung des Zertifikates über das Ende seiner Gültigkeit hinaus ist zulässig, sofern der im Zertifikat vorhandene Signaturalgorithmus als sicher gilt.

Registrierung der Signaturerstellungseinheit
Der Unternehmer hat den Erwerb seiner Signaturerstellungseinheiten über FinanzOnline https://finanzonline.bmf.gv.at/fon/ zu melden. Anzugeben sind die Seriennummer des Signaturzertifikates, die Art der Signaturerstellungseinheit und die Kassenidentifikations-nummern der mit der Signaturerstellungseinheit zu verbindenden Registrierkassen. Zusätzlich muss der frei wählbare Benutzerschlüssel für die Entschlüsselung der verschlüsselten Daten im maschinenlesbaren Code über FinanzOnline bekanntgegeben werden.

Ist dem Unternehmer die Meldung über FinanzOnline mangels technischer Voraussetzungen unzumutbar, hat die Meldung unter Verwendung des amtlichen Vordrucks zu erfolgen.

Erst nach Prüfung, ob für jede gemeldete Signaturerstellungseinheit unter der angegebenen Seriennummer des Signaturzertifikates und dem gültigen Ordnungsbegriff des Unternehmers der Zertifizierungsdiensteanbieter (kurz:ZDA) in der öffentlichen Trust-List und das Signaturzertifikat im Verzeichnis des Zertifizierungsdiensteanbieter vorhanden sind, werden diese Daten an die Datenbank über Sicherheitseinrichtungen in Registrierkassen (§ 18) übergeben.

Die Kassa ab 1. Jänner 2017 gemäß RKSV
Jede Kassa muss ab den 1. Jänner 2017 online beim Bundesministerium für Finanzen angemeldet, registriert und freigeschaltet werden. Dies setzt voraus, dass jede Registrierkasseneinheit über eine eindeutige Kassenidentifikationsnummer verfügt. Der Gesetzgeber stellt den Unternehmen mehrere Optionen für die Registrierung zur Verfügung.

Jede Registrierkasse muss ausgestattet sein mit einem sogenannten Datenerfassungsprotokoll und einem Drucker zum Ausdrucken eines Beleges oder einer elektronischen Möglichkeit zur Übermittlung von Zahlungsbelegen.

Eine Schnittstelle zu einer Sicherheitseinrichtung mit Signaturerstellungseinheit muss vorhanden sein. Es können auch mehrere Registrierkassen mit einer Signaturerstellungseinheit verbunden sein.

Die Registrierkasse muss über einen frei verfügbaren Verschlüsselungsalgorithmus verfügen, um die für den maschinenlesbaren Code erforderlichen Verschlüsselungen durchführen zu können. Der Gesetzgeber erwartet sich eine AES-256 Bit starke Verschlüsselung.

Kassenidentifikationsnummern sind anzuführen.

Eine Umgehung der Sicherheitseinrichtung ist auszuschließen.

Bei Nutzung einer Registrierkasse durch mehrere Unternehmer ist sicherzustellen, dass jeder Unternehmer ein ihm zugeordnetes Zertifikat verwendet und die Registrierkasse für jeden Unternehmer ein gesondertes Datenerfassungsprotokoll führen kann.

Inbetriebnahme der Sicherheitseinrichtung

Die Inbetriebnahme der Sicherheitseinrichtung besteht aus folgenden Punkten:
– Einrichtung des Datenerfassungsprotokolls
– Ablage der Kassenidentifikationsnummer als Bestandteil der zu signierenden Daten des ersten Barumsatzes mit Betrag Null (Startbeleg) im Datenerfassungsprotokoll.
– Datenerfassungsprotokoll

Für jede Registrierkasse ist ein Datenerfassungsprotokoll zwingend. Jeder einzelne Barumsatz ist zu erfassen und zu speichern. Für jeden Barumsatz sind zumindest die Belegdaten gemäß § 132a Abs. 3 BAO festzuhalten.

Die Daten des Datenerfassungsprotokolls sind zumindest vierteljährlich auf einem elektronischen externen Medium unveränderbar zu sichern. Diese Sicherung ist gemäß § 132 BAO aufzubewahren.

Mit den Barumsätzen sind die Informationen des maschinenlesbaren Codes im Datenerfassungsprotokoll zu speichern.

Das Datenerfassungsprotokoll einer Registrierkasse muss ab 01. Jänner 2017 jederzeit auf einen externen Datenträger exportiert werden können.

Die Vorschriften des Datenerfassungsprotokolls laut RKSV
Die Initialaufgabe jedes Datenerfassungsprotokolls ist es, den Startbeleg von FinanzOnline zu hinterlegen und diese Werte für den ersten offiziellen Beleg der Kassa bereitzustellen. Technisch betrachtet wird das Protokoll in einer vordefinierten JSON-Datenstruktur verarbeitet.

Mindestanforderung pro Beleg in einer JSON-Datenstruktur:
– JWS-Kompakt: Der Wert dieses Feldes entspricht der kompakten Darstellung einer Signatur nach dem JWS-Standard, JSON-Format String.

– Signaturzertifikat (optional): Der Wert dieses Feldes ist der BASE64-kodierte Wert des im DER-Format kodierten Signaturzertifikats, JSON-Format String.

– Zertifizierungsstellen (optional): Der Wert dieses Feldes ist ein JSON-Array. Die Elemente des JSON-Arrays entsprechen der Kette aller Zertifizierungsstellen, die für die Ausstellung des Signaturzertifikats verwendet wurden. Der Wert eines Elements entspricht dem BASE64-kodierten Wert des im DER-Format kodierten Zertifikats.

Sicherheitseinrichtung (Verkettungswert)
Die Sicherheitseinrichtung besteht aus einer Verkettung der Barumsätze unter Zuhilfenahme einer elektronischen Signatur. Die letzte im Datenerfassungsprotokoll gespeicherte Signatur wird mit der aktuellen Signatur durch die Angabe einer Kassenidentifikationsnummer abgeglichen.

Technische Zusammensetzung des Sicherheitsverfahrens

• Hashverfahren, um die Datenintegrität zu gewährleisten
• AES-Verschlüsselung Ihres fortlaufenden Umsatzzählers aus dem Daten-erfassungsprotokoll
• SIGNATUR als digitale Unterschrift jedes Kassabeleges

Alle drei Merkmale des Sicherheitsverfahrens werden auf meiner Webseite nachfolgend noch näher erläutert und mit Demo-Datensätzen veranschaulicht.

Verschlüsselung des laufenden Kassaumsatzes auf dem QR-Code
Die Anwendung einer Verschlüsselung (AES-256) dient zur Integrität Ihres Unternehmens. Der Gesetzgeber verpflichtet Sie, auf jedem QR Code Bestandteile Ihres Kassenumsatzes aus dem Datenerfassungsprotokoll in verschlüsselter Form anzufügen. A-SIT hat ein Verfahren diesbezüglich implementiert, das gewährleisten soll, dass Ihre Umsatzdaten durch Dritte nicht auslesbar gemacht werden können. Hierfür schreibt auch der Gesetzgeber die aktuell stärkste Verschlüsselung vor (Stand 2016).

Summenspeicher
Umsatzzähler:
Sämtliche erfassten Barumsätze sind laufend zu summieren.

Monatszähler:
Am Monatsende werden die Zwischenstände des Umsatzzählers ermittelt und in Form eines Monatsbeleges mit elektronischer Signatur der Signaturerstellungseinheit im Datenerfassungsprotokoll der Registrierkasse gespeichert.

Jahresbeleg:
Zum Ende des Kalenderjahres ist der Monatsbeleg mit dem Zählerstand zum Jahresende auszudrucken, zu prüfen und gemäß § 132 BAO aufzubewahren.

Signaturerstellung durch die Signaturerstellungseinheit
Zur Gewährleistung des Manipulationsschutzes im Sinne des § 131b Abs. 2 BAO müssen von der Registrierkasse über eine geeignete Schnittstelle zur Signaturerstellungseinheit elektronische Signaturen angefordert und übernommen werden können. Jeder einzelne Barumsatz und Monats-, Jahres- und Schlussbeleg sowie jede Trainings- und Stornobuchung sind elektronisch zu signieren.

In die Signaturerstellung sind folgende Daten einzubeziehen:

• Kassenidentifikationsnummer
• fortlaufende Nummer des Barumsatzes
• Datum und Uhrzeit der Belegausstellung
• Betrag der Barzahlung getrennt nach Steuersätzen gemäß § 10 des Umsatzsteuergesetzes 1994 UStG 1994, BGBl. Nr. 663/1994, in der jeweils geltenden Fassung
• mit dem Verschlüsselungsalgorithmus AES 256 der anlagenverschlüsselte Stand des Umsatzzählers
• Seriennummer des Signaturzertifikates
• Signaturwert des vorhergehenden Barumsatzes des Datenerfassungsprotokolls (Verkettungswert)

Die aufbereiteten Daten müssen durch die Signaturerstellungseinheit automatisiert elektronisch signiert werden.

Die von der Signaturerstellungseinheit erstellte Signatur ist auf dem Beleg als Teil des maschinenlesbaren Codes abzudrucken und im Datenerfassungsprotokoll mit den Belegdaten der Anlage dauerhaft zu speichern.

Source Code
Source Code Beispiele können von der Github-Webseite, welche von A-SIT zur Verfügung gestellt wird, bezogen werden. https://github.com/a-sit-plus/at-registrierkassen-mustercode

Digitale Signatur
Die Registrierkassensicherheitsverordnung (RKSV) des BMF schreibt vor, dass jeder Beleg digital signiert werden muss. In welcher technischen Art und Weise die digitale Signatur implementiert wird, obliegt dem Unternehmen.

Signaturzertifikat
Bei einem Wechsel des Signaturzertifikats muss garantiert sein, dass weitere Belege nicht mehr mit dem vor dem Wechsel verwendeten Zertifikat signiert werden.

Verschlüsselung des kodierten Umsatzzählers mit AES 256
Bei der Verschlüsselung des kodierten Umsatzzählers wird folgendermaßen agiert:

BGBl. II – Ausgegeben am 11. Dezember 2015 – Nr. 410 4 von 6 www.ris.bka.gv.at

– Algorithmen: Es wird der AES-256 im ICM (CTR) Mode verwendet. Für die Verschlüsselung wird kein „Padding“ verwendet.

– Initialisierungsvektor: Der Initialisierungsvektor (IV) für den Verschlüsselungsalgorithmus ist ein Byte-Array mit der Länge 16. Für die Berechnung des IVs werden die UTF-8 kodierte Kassen-identifikationsnummer (Wert des Feldes „Kassen-ID“) und die UTF-8- kodierte Belegnummer (Wert des Feldes „Belegnummer“) in dieser Reihenfolge zusammengefügt.

Das Ergebnis ist eine UTF-8 kodierte Zeichenkette, die als Eingabewert für die im Registrierkassenalgorithmuskennzeichen definierte Hash-Funktion verwendet wird. Das Ergebnis der Hash-Funktion ist der Hash-Wert, abgebildet in einem Byte-Array. Die Bytes 0-15 werden daraus extrahiert und als IV verwendet.

Anmerkung: Es muss garantiert sein, dass für jede Verschlüsselungsoperation, die mit einem gegebenen AES-Schlüssel durchgeführt wird, niemals der gleiche IV verwendet wird.

– Kodierung des Umsatzwertes: Die Block-Größe von AES-256 entspricht einem Byte-Array der Länge 16. Für die Kodierung des Umsatzzählers im Klartext wird dabei ein Byte-Array der Länge 16 erstellt. Jedes Element des Byte-Arrays wird mit 0 initialisiert. Der Umsatzzähler mit der Byte Anzahl „N“ wird startend mit Byte 0 im BIG-ENDIAN (wörtlich „Groß-Ender“, wird das höchstwertige Byte zuerst gespeichert) Format als Zweier-Komplement Darstellung („signed“) gespeichert. „N“ entspricht der Anzahl der Bytes, die für die Kodierung des Umsatzzählers notwendig sind.

Es müssen mindestens 5 Byte lange Umsatzzähler verwendet werden. Das Resultat der Verschlüsselung ist ein Byte-Array der Länge 16. Startend mit Byte 0 werden N Bytes aus dem Array extrahiert, in Format BASE64-kodiert und im Beleg abgelegt.

Der QR Code – Der maschinenlesbare Code
Das Wort QR-Code stammt aus dem Englischen und bedeutet „Quick Response“-Code. Dieses Verfahren zur Darstellung von Daten wurde von einer japanischen Firma im Jahr 1994 entwickelt .

Nach Ermittlung jedes Signaturwertes muss die Registrierkasse für die Belegerstellung und die Speicherung im Datenerfassungsprotokoll einen maschinenlesbaren Code erstellen.

Der maschinenlesbare Code muss nach RKSV folgende Daten enthalten:

1. Kassenidentifikationsnummer
2. fortlaufende Nummer des Barumsatzes
3. Datum und Uhrzeit der Belegausstellung
4. Betrag der Barzahlung getrennt nach Steuersätzen
5. der mit dem Verschlüsselungsalgorithmus AES 256 anlagenverschlüsselte Stand des Umsatzzählers
6. Seriennummer des Signaturzertifikates
7. Signaturwert des vorhergehenden Barumsatzes des Datenerfassungsprotokolls (Verkettungswert)
8. Signaturwert des betreffenden BarumsatzesTrainings- und Stornobuchungen müssen im maschinenlesbaren Code zusätzlich durch die Bezeichnung „Trainingsbuchung“ oder „Stornobuchung“ gekennzeichnet sein.

Musterbeleg, welcher den Anforderungen entspricht.

_R1-AT0_CFM001-BOX004_871211_2016-01-30T15:25:12_66,78_42,50_88,11_20,32_70,76_U1RP_-65479143161342025123_uMAoAZjhZTv=_sXyIjcbzt/6t123obhtcz9b6Y2p4aBWXlPoWOmd0Udc3tMHrqg3UaDeuQ0nx9bRcWfupXaB/ReAptMSM+4nmuZ==

Der Gesetzgeber akzeptiert entweder den oberhalb beispielhaft angeführten Musterbeleg oder den unterhalb daraus generierten QR-Code. In der Verordnung sollten alle QR-Code-fähigen Drucker auch den QR-Code entsprechend andrucken.

(QR-Code für den Rechnungsbeleg mit den oben angeführten Demodaten)

Der QR-Code aufgeschlüsselt:

Schematische Darstellung des QR-Codes

 

Schematische Darstellung des QR-Codes mit Demodaten

 

Welche Manipulationen sollen gemäß der RKSV verhindert werden?
Das nachträgliche Einfügen oder Entfernen von Belegen durch die Verkettung von Belegen.

Mit der eingefügten Signatur ist die Zuordnung zum Unternehmen zurückverfolgbar.

Mit dem im QR-Code verschlüsselten Umsatzzähler kann jede Rechnung mit dem Datenerfassungsprotokoll jederzeit verifiziert werden.

Welche Registrierkassenkonfigurationen sind nach RKSV möglich?
Die drei nachfolgenden Registrierkassenkonfigurationen müssen im Vorfeld mit Ihnen besprochen und das Bestmögliche für Ihr Unternehmen zur Anwendung gebracht werden. Die Entscheidungsfindung und Umsetzung ist ebenfalls Bestandteil meines Gutachtens.

• Kasse mit allen Sicherheitsfunktionen kombiniert (Kassa, Geldlade, Drucker, Sicherheitseinrichtung, Datenerfassungsprotokoll)
• Kasse mit separater Sicherheitseinrichtung (Kassa, Geldlade, Drucker, Datenerfassungsprotokoll). Die Sicherheitseinrichtung ist via TCP/IP Netzwerk verfügbar. Dies kann entweder aus dem lokalen oder aus dem zentralen Netzwerk zur Verfügung gestellt werden.
• Kasse mit separater Sicherheitseinrichtung und Datenerfassungsprotokoll (Kassa, Geldlade, Drucker). Das Datenerfassungsprotokoll und die Sicherheitseinrichtung sind via TCP/IP Netzwerk verfügbar.

Der mögliche Einsatz eines Kreditkartenterminals ist selbstverständlich ebenfalls umsetzbar.

Die folgenden Faktoren sind entscheidend bei der Wahl des zu implementierenden Modelles der Registrierkassenkonfiguration:

• Anzahl der Kassen pro Sicherheitseinrichtung
• TCP/IP Netzwerk-Infrastruktur (Ausfallsicherheit)
• Auswahl der Sicherheitseinrichtung
• Einsatz eines Hardware-Sicherheitsmoduls kurz:HSM

Der Gesetzgeber sieht auch noch den Einsatz einer „Vereinfachung bei geschlossenen Gesamtsystemen“ vor. Diese Vereinfachung kann je nach Anwendungsfall zur Anwendung gebracht werden und obliegt der freien Entscheidung des Unternehmens. Die entsprechenden Vor- und Nachteile dieser Vereinfachung sind ebenfalls Bestandteil meines Leistungsumfanges zur Gutachtenerstellung.

 

Bekanntgabe der Außerbetriebnahme der Sicherheitseinrichtung für die Registrierkasse
Der Unternehmer muss über FinanzOnline oder bei dem für die Erhebung der Umsatzsteuer zuständigen Finanzamt jeden nicht nur vorübergehenden Ausfall und jede Außerbetriebnahme der Sicherheitseinrichtung in der Registrierkasse unverzüglich bekanntgeben im Falle von

1. Diebstahl oder sonstigem Verlust der Signaturerstellungseinheit oder Registrierkasse
2. Funktionsverlust der Signaturerstellungseinheit oder Registrierkasse
3. Außerbetriebnahme der Signaturerstellungseinheit oder Registrierkasse

Dazu sind folgende Angaben erforderlich:

1. Bezeichnung der betroffenen Komponenten der Sicherheitseinrichtung
2. Grund des Ausfalles oder der Außerbetriebnahme
3. Beginn des Ausfalles oder der Außerbetriebnahme.

 

Alle über FinanzOnline gemeldeten, nicht nur vorübergehenden Ausfälle und Außerbetriebnahmen werden in der Datenbank über Sicherheitseinrichtungen für die Registrierkasse vermerkt.

 

Bei einem Ausfall der Signaturerstellungseinheit müssen die Barumsätze auf einer anderen Registrierkasse erfasst werden, die über eine aufrechte Verbindung zu einer Signaturerstellungseinheit verfügt. Sollte dies nicht möglich sein, hat der Unternehmer bei der Aufbereitung und Verwendung des maschinenlesbaren Codes an Stelle des Signaturwertes des betreffenden Barumsatzes die Zeichenkette „Sicherheitseinrichtung ausgefallen“ im Ergebnis der Signaturerstellung der Anlage zu verwenden. Der Hinweis „Sicherheitseinrichtung ausgefallen“ ist zusätzlich gut sichtbar auf dem Beleg anzubringen. Nach Wiederinbetriebnahme der Signaturerstellungseinheit ist zusätzlich über die Belege, die während des jeweiligen Ausfalles mit dem Hinweis „Sicherheitseinrichtung ausgefallen“ zu versehen waren, ein signierter Sammelbeleg mit Betrag Null zu erstellen und im Datenerfassungsprotokoll zu speichern.

Bei jedem Ausfall einer Registrierkasse sind die Barumsätze auf anderen Registrierkassen zu erfassen. Sollte dies nicht möglich sein, sind die Barumsätze händisch zu erfassen und Zweitschriften der Belege aufzubewahren. Nach der Fehlerbehebung sind die Einzelumsätze anhand der aufbewahrten Zweitschriften nachzuerfassen und die Zweitschriften dieser Zahlungsbelege aufzubewahren (§ 132 BAO).

Wenn nach dem Ausfall einer Registrierkasse ein neues Datenerfassungsprotokoll eingerichtet werden muss, ist als Signaturwert des vorhergehenden Barumsatzes (§ 10 Abs. 2 Z 7 RKSV) der Signaturwert des zuletzt verfügbaren Barumsatzes bzw. der Signaturwert des Startbeleges im Datenerfassungsprotokoll zu verwenden.

Das Ende des Ausfalles oder der Außerbetriebnahme ist über FinanzOnline bekanntzugeben.
Ist dem Unternehmer die Meldung über FinanzOnline mangels technischer Voraussetzungen unzumutbar, hat die Meldung unter Verwendung des amtlichen Vordrucks zu erfolgen.

Ist eine Wiederinbetriebnahme der Signaturerstellungseinheit nicht mehr möglich, hat der Unternehmer eine neue Signaturerstellungseinheit zu beschaffen, zu registrieren und eine neuerliche Inbetriebnahme der Sicherheitseinrichtung durchzuführen.

Ist der zuletzt getätigte Barumsatz aus dem Datenerfassungsprotokoll feststellbar, entfällt die Inbetriebnahme der Sicherheitseinrichtung, und es gelten die Bestimmungen zum Sammelbeleg. Während des Ausfalles händisch erfasste Barumsätze sind jedenfalls nach-zuerfassen.

Im Falle einer planmäßigen Außerbetriebnahme einer Registrierkasse ist ein Schlussbeleg mit Betrag Null zu erstellen. Dieser Schlussbeleg ist auszudrucken und gemäß § 132 BAO aufzubewahren.

 

Datenbank über Sicherheitseinrichtungen für die Registrierkassen
Das Bundesministerium für Finanzen führt zur internen Dokumentation über die einem Unternehmer zugeordneten Signaturerstellungseinheiten eine Datenbank über Sicherheitseinrichtungen für die Registrierkassen.

Diese enthält folgende Daten:

1. Namen der Unternehmer
2. Ordnungsbegriff der Unternehmer
3. Art der Sicherheitseinrichtung
4. Seriennummern der Signaturzertifikate
5. Identifikationsnummern der Registrierkassen
6. Anzahl der an die Sicherheitseinrichtungen angeschlossenen Registrierkassen
7. Benutzerschlüssel für die Entschlüsselung der mit dem Verschlüsselungsalgorithmus AES 256 verschlüsselten Daten
8. Datum der Registrierung
9. Beginn und Ende von Ausfällen oder Außerbetriebnahmen der Sicherheitseinrichtungen
10. Betroffene Komponenten von Ausfällen oder Außerbetriebnahmen der Sicherheitseinrichtungen
11. Grund des Ausfalles oder der Außerbetriebnahme der Sicherheitseinrichtungen
12. Daten aus Kontrollen.

Analog zum Bundesministerium für Finanzen ist bei geschlossenen Systemen eine eigene Datenbank zu führen.

Kontrolle und Prüfung der Datensicherheit für die Registrierkassen
Auf Verlangen der Abgabenbehörde hat der Unternehmer einen Barumsatz mit Betrag Null zu erfassen und den dafür ausgefertigten Beleg zu übergeben. Bei Registrierkassen mit einer Vorrichtung zur elektronischen Übermittlung von Zahlungsbelegen ist der Beleg elektronisch zur Verfügung zu stellen.

Auf Verlangen der Abgabenbehörde hat der Unternehmer das Datenerfassungsprotokoll für einen vorgegebenen Zeitraum auf einen vom Unternehmer bereitgestellten externen Datenträger zu exportieren und zu übergeben.

 

Feststellungsbescheid
Im Feststellungsbescheid der Abgabenbehörde gemäß § 131b Abs. 4 BAO sind die dem Gutachten zugrunde liegenden Softwarekomponenten der Sicherheitseinrichtung gemäß § 20 Abs. 1 mit Hilfe der Softwaresignatur (§ 21 Abs. 2) zu identifizieren. Mit Feststellungsbescheid bestätigte geschlossene Gesamtsysteme werden in der Datenbank über Sicherheitseinrichtungen (§ 18) registriert.

Kann die Manipulationssicherheit des geschlossenen Gesamtsystems durch das Finanzamt nicht bestätigt werden, ist dem Unternehmer eine einmalige Nachfrist von einem Monat für die Nachholung der die Manipulationssicherheit gewährleistenden Maßnahmen unter Beibringung eines diese Maßnahmen bestätigenden Gutachtens einzuräumen. Das Finanzamt hat diesfalls unter Zugrundelegung des vorliegenden Sachverhaltes zu entscheiden.

Wird die Manipulationssicherheit des geschlossenen Gesamtsystems mit rechtskräftigem Bescheid des Finanzamtes nicht bestätigt, hat der Unternehmer innerhalb von drei Monaten ab Eintritt der Rechtskraft die Manipulationssicherheit unter Verwendung einer Signaturerstellungseinheit (§ 131b Abs. 2 BAO) herbeizuführen, andernfalls mit Ablauf dieser Frist die Verpflichtungen nach § 131b Abs. 2 BAO als nicht erfüllt gelten.

Sachverständige Begutachtung geschlossener Gesamtsysteme
Folgende Überprüfungen sind im Rahmen der Begutachtung geschlossener Gesamtsysteme vorzunehmen:

1. das Vorhandensein eines geschlossenen Gesamtsystems
2. das Vorhandensein der technischen und organisatorischen Voraussetzungen für die Manipulationssicherheit des geschlossenen Gesamtsystems

Im Gutachten sind insbesondere alle für den Betrieb der Sicherheitseinrichtung des geschlossenen Gesamtsystems gemäß § 20 Abs. 1 erforderlichen Softwarekomponenten anzugeben und Prüfberichte für diese Komponenten anzuschließen. Die Softwarekomponenten sind mit der mathematischen Hashfunktion Secure Hash Algorithm (SHA-256) mit einem Startwert, der Null (0000 0000 0000 0000) entspricht, für eine spätere Verifikation zu signieren. Aus den Prüfberichten muss nachvollziehbar hervorgehen, wie die einzelnen Komponenten geprüft wurden. Die Manipulationssicherheit und sicherheitstechnische Gleichwertigkeit mit einer Signaturerstellungseinheit sind zu bestätigen. Dem Gutachten sind ein Organigramm mit allen Hard- und Softwarekomponenten und Datenspeicher des geschlossenen Gesamtsystems sowie ein Überblick über die automatisch ablaufenden Verarbeitungsprozesse anzuschließen.

Das Gutachten hat darüber hinaus Angaben darüber zu enthalten, welche organisatorischen Maßnahmen zur laufenden Überprüfung der Manipulationssicherheit vorgesehen sind. Dabei ist insbesondere darzulegen, welche betrieblichen Funktionen in der Organisationsstruktur des Unternehmens mit welchen Zugriffs- und Eingriffsrechten, die Veränderungen am Gesamtsystem herbeiführen können, ausgestattet sind, dass die Zugriffe protokolliert werden und durch welche Maßnahmen die Manipulationssicherheit des geschlossenen Systems laufend kontrolliert wird. Zudem ist darzulegen, wie im Falle eines Ausfalles des Systems die Einzelaufzeichnungspflicht, die Sicherung der Kassenumsätze und die Belegerteilung rechtskonform gewährleistet werden (Ausfallplan).

Im Gutachten ist zu beurteilen, ob das geschlossene Gesamtsystem den Anforderungen des § 20 Abs. 1 und 2 entspricht und ob die technischen und organisatorischen Sicherungsmaßnahmen des Abs. 2 und 3 erfüllt werden.

Verwenden mehrere Unternehmer, die durch ein vertikales Vertriebsbindungssystem oder durch ein Waren- oder Dienstleistungsfranchising wirtschaftlich verbunden oder die Teil eines Konzerns im Sinne des § 244 UGB sind, gemeinsam ein geschlossenes Gesamtsystem mit insgesamt mehr als 30 Registrierkassen und beurteilt das Gutachten die Manipulationssicherheit dieses Systems für diese Unternehmer, so kann dieses Gutachten von mehreren Unternehmern ihrem Antrag auf Erlassung eines Feststellungsbescheides zugrunde gelegt werden. Für alle Verwender des geschlossenen Gesamtsystems ist Abs. 3 sinngemäß anzuwenden. Lieferungen und sonstige Leistungen, die außerhalb des geschlossenen Gesamtsystems im betreffenden Betrieb erfolgen, sind von der Wirksamkeit des Feststellungsbescheides nicht umfasst.

Mit der Erstellung solcher Gutachten dürfen nur gerichtlich beeidete Sachverständige beauftragt werden. Die Vollständigkeit der sicherheitsrelevanten Überprüfungen im Gutachten ist durch eine Bestätigungsstelle gemäß § 19 SigG zu bescheinigen.

Die Kosten für die Erstellung der Gutachten trägt der Unternehmer.

Änderung der tatsächlichen Verhältnisse
Änderungen des mit Bescheid bestätigten geschlossenen Gesamtsystems sind vor ihrer Durchführung dem für die Erhebung der Umsatzsteuer zuständigen Finanzamt unter Vorlage eines neuen Gutachtens (§ 21 RKSV) zu melden, wenn eine umfassende Umstellung des geschlossenen Gesamtsystems (z. B. Technologiewechsel) oder eine Änderung der Softwarekomponenten der Sicherheitseinrichtung gemäß § 20 Abs. 1 RKSV geplant ist oder die Antragsvoraussetzungen im Sinne der §§ 20 Abs. 4 oder 21 Abs. 5 RKSV nicht mehr vorliegen. Über solche Änderungen des geschlossenen Gesamtsystems ist mit Feststellungsbescheid abzusprechen.

Die Meldung dieser beabsichtigten Änderungen hat über FinanzOnline zu erfolgen.

Werden dem Unternehmer nach Erlassung des Feststellungsbescheides Tatsachen bekannt, die Zweifel an der Manipulationssicherheit des geschlossenen Gesamtsystems hervorrufen, hat er diese ohne unnötigen Aufschub über FinanzOnline zu melden.

Kontrolle der Identität der Softwarekomponente laut § 21 Abs. 2 RKSV
Die Organe der Abgabenbehörde sind berechtigt, die Übereinstimmung der im Gutachten ausgewiesenen Softwarekomponente laut § 21 Abs. 2 RKSV mit der im geschlossenen Gesamtsystem im Einsatz befindlichen Softwarekomponente zu überprüfen. Dazu muss das geschlossene Gesamtsystem eine Eingabemöglichkeit eines Startwertes zur lokalen Abfrage der Softwaresignaturwertes zur Verfügung stellen sowie den Softwaresignaturwert der Komponente berechnen und anzeigen.