Die stille zweite TSE-Welle: Zertifikate laufen aus.

Warum diese Welle still ist

Die erste TSE-Welle kannte jeder: Ab 2020 brauchte jede elektronische Kasse in Deutschland eine zertifizierte technische Sicherheitseinrichtung, mit Nichtbeanstandungsfrist, mit Fachpresse, mit Schlangen vor den Kassenhändlern. Wer damals ein Systemhaus führte, hat die Monate nicht vergessen. Die zweite Welle ist anders. Sie hat kein Datum, keine Pressemitteilung und keine Frist, die im Kalender steht. Sie hat nur Ablaufdaten – eines pro TSE, produktabhängig, über Jahre verteilt. Deshalb rollt sie durch den Bestand, ohne dass jemand sie ausruft: Die Hardware-TSEs der ersten Generation aus 2019 und 2020 sind teils schon abgelaufen, die ersten Cloud-TSE-Zertifikate aus 2021 folgen, und bei manchen Produkten enden gekoppelte Laufzeitlizenzen noch früher.

Still heißt nicht harmlos. Es heißt: Wer nicht selbst nachschaut, erfährt es von der Kassennachschau.

Was da eigentlich abläuft

Eine TSE besteht aus drei Teilen: dem Sicherheitsmodul, das signiert, dem Speichermedium, das die Signaturen aufbewahrt, und der Schnittstelle zur Kasse. Das Bundesamt für Sicherheit in der Informationstechnik zertifiziert das Produkt gegen seine Technische Richtlinie – und diese Zertifizierung ist befristet. Dazu kommen die kryptografischen Zertifikate und Schlüssel im Modul selbst sowie bei manchen Anbietern vertraglich gekoppelte Laufzeiten. Welche dieser Fristen zuerst greift, ist Produktsache: Beim USB- oder SD-Stick im Bondrucker ist es meist das Gerät selbst, bei der Server-TSE, die mehrere Kassen absichert, das zentrale Modul, bei der Cloud-TSE das Zertifikat des Anbieters, der die Verlängerung oder Migration im Hintergrund organisiert – oder eben nicht.

Die pauschale Jahreszahl gibt es deshalb nicht. Was es gibt, ist eine Faustregel für die erste Generation – typischerweise fünf Jahre ab Zertifizierung – und die Pflicht, sie für das eigene Produkt zu verifizieren: beim Hersteller, im Zertifikatsverzeichnis des BSI und im eigenen Vertrag. Gültigkeit, Weiterbetrieb und Austauschbedarf sind produktspezifisch über den gesamten Lebenszyklus zu betrachten. Das klingt nach Juristendeutsch und ist in Wahrheit eine Excel-Spalte: „Zertifikat gültig bis“.

Der Präzedenzfall: Als 2023 eine verbreitete TSE die Zertifizierung verlor

Wie ernst die Finanzverwaltung den Zertifikatsablauf nimmt, hat sie bereits gezeigt. Ein Beispiel für eine Bewertungsfrage mit unmittelbarer Vertrags- und Lifecycle-Relevanz: Bei der von D-TRUST vertriebenen TSE Version 1.0 der cv cryptovision GmbH lief das BSI-Zertifikat BSI-K-TR-0491-2021 mit Ablauf des 7. Januar 2023 aus. Ab dem 8. Januar 2023 erfüllte die Version 1.0 formal nicht mehr die Anforderungen an eine zertifizierte TSE. Das BMF ermöglichte unter dokumentierten Voraussetzungen eine Übergangsregelung bis zum 31. Juli 2024 – schriftliche oder elektronische Anzeige beim zuständigen Finanzamt, Weiterverwendung nur, sofern kein früherer Austausch möglich war. Die Übergangsregelung war keine allgemeine Fortgeltung der alten Zertifizierung, sondern eine Ausnahme mit Bedingungen.

Drei Lehren aus dem Fall: Erstens gibt es keinen stillschweigenden Bestandsschutz – wer weiterbetreiben will, braucht eine Regelung und eine Anzeige. Zweitens entscheidet nicht die Kasse, sondern das Zertifikat, ob ein System ordnungsgemäß ist. Drittens war die Frage „Wer tauscht, wer zahlt, wer weist nach?“ in vielen Verträgen 2023 schlicht nicht geregelt – und wurde unter Zeitdruck verhandelt. Das ist der Fehler, den die zweite Welle nicht wiederholen sollte.

Wer trägt was – die Verantwortungskette

Der Betreiber trägt die steuerliche Verantwortung. Die Pflichten aus § 146a AO – funktionierende zertifizierte TSE, Mitteilung, Einzelaufzeichnung, Aufbewahrung – treffen den Steuerpflichtigen und lassen sich nicht auf Steuerberater, Kassenhändler oder Hersteller übertragen. Der Kassenhändler oder das Systemhaus kann den Tausch operativ übernehmen: Monitoring der Ablaufdaten, Beschaffung, Vor-Ort-Termin, Export, Mitteilung. Ob er das tut, steht im Service-Vertrag – oder eben nicht. Der Hersteller schuldet ein Nachfolgeprodukt und einen Migrationspfad; ob er ihn rechtzeitig liefert, ist in der zweiten Welle die eigentliche Lieferkettenfrage. Und in Reseller-Ketten – Hersteller, Distributor, Fachhändler, Betreiber – gibt es bis heute keine Marktnorm, wer den Lifecycle verantwortet. Genau dort entstehen die Lücken.

Die Konsequenz ist unspektakulär: Der Servicevertrag muss den Lebenszyklus regeln, nicht nur die Installation. Reaktionszeiten, proaktives Zertifikatsmanagement, Ersatzgeräte, Nachweisführung beim Wechsel des Dienstleisters – alles Dinge, die heute selten drinstehen und morgen den Unterschied zwischen einem Kalendereintrag und einem Notfall machen.

Der Austausch ohne Lücke – acht Schritte

Technisch ist ein TSE-Tausch in einer Viertelstunde erledigt. Organisatorisch ist er ein kleines Projekt, und die häufigsten Fehler passieren vor und nach der Viertelstunde:

• 1 · Register: Je Kassenplatz Hardware, Seriennummer der Kasse, TSE-Typ, TSE-Seriennummer, Zertifikat gültig bis, Software- und Schnittstellenstand. Ohne Register wird jede Welle zur Inventur unter Zeitdruck.
• 2 · Ablaufdaten verifizieren: Nicht die Faustregel, sondern das Produkt – Herstellerangabe, BSI-Verzeichnis, Vertrag. Bei Cloud-TSE: Wer löst die Verlängerung aus, und bis wann?
• 3 · Nachfolge-TSE sichern: Lieferzeiten und Kompatibilität mit der Kassensoftware klären – Monate vorher, nicht Wochen. Hersteller liefern in Wellen, nicht auf Zuruf.
• 4 · Daten der alten TSE exportieren: TAR-Export der TSE und DSFinV-K-Export der Kasse, vollständig, mit Prüfung, dass die Dateien lesbar sind. Dieser Schritt kommt vor dem Tausch, nicht danach.
• 5 · Umschalten: Neue TSE in Betrieb nehmen und in der Kasse aktivieren – mit dokumentiertem Zeitpunkt. Die typische Lücke entsteht, wenn die alte TSE abgelaufen ist und die neue erst Tage später aktiv wird.
• 6 · Alte TSE außer Betrieb nehmen: Kontrolliert deaktivieren, physisch sichern oder dokumentiert entsorgen – nach dem Export, nie davor.
• 7 · Mitteilung über „Mein ELSTER“: Außerbetriebnahme der alten und Anschaffung der neuen TSE nach § 146a Abs. 4 AO, grundsätzlich innerhalb eines Monats.
• 8 · Verfahrensdokumentation: Datum, beide Seriennummern, Ablageort der Exporte, Verantwortliche. Das ist das Dokument, das die Kassennachschau sehen will.

Was der Rollout über 500 Kassenplätze gelehrt hat

Als in meinem Systemhaus die erste Welle anstand, wurde daraus ein strukturierter Rollout: Mehr als 500 Kassenplätze im gesamten Kundenbestand wurden fristgerecht umgestellt und über ein zentrales Register mit Seriennummern und Zertifikaten je Kassenplatz dokumentiert. Die wichtigste Lehre trägt bis heute: Jede Regulierungswelle wird als Technikprojekt behandelt – und ist ein Organisationsprojekt. Der Erfahrungswert daraus – keine Messung, aber eine belastbare Faustregel: rund 30 % Technik, 70 % Abläufe, Schulung und Disziplin im Betrieb.

Für die zweite Welle heißt das: Wer sein Register aus der ersten Welle noch hat, ist fast fertig – er muss nur eine Spalte pflegen. Wer es nie angelegt hat, beginnt dort. Und wer ein Filialnetz betreibt, plant den Tausch wie jede andere Umstellung: Pilot, Welle, Rückfallplan.

Die Nachmittags-Checkliste

• Ablaufdatum klären: Für jede TSE im Betrieb heute das Datum „Zertifikat gültig bis“ ermitteln und ins Register schreiben.
• Vertrag lesen: Steht im Service- oder Cloud-Vertrag, wer den Tausch oder die Verlängerung auslöst, bezahlt und dokumentiert? Falls nicht: schriftlich klären lassen.
• Export testen: Einmal einen TAR- und DSFinV-K-Export ziehen und öffnen – bevor es darauf ankommt.
• ELSTER-Zugang prüfen: Wer meldet, mit welchem Zugang, und stimmen die gemeldeten Seriennummern mit dem Register überein?
• Nachfolgeprodukt anfragen: Beim Kassenhändler oder Hersteller: Welche TSE folgt, ab wann lieferbar, kompatibel mit der aktuellen Softwareversion?

Einordnung aus der Praxis auf Basis von § 146a AO, KassenSichV, den BSI-Zertifikaten BSI-K-TR-0491-2021 und BSI-K-TR-0482-2023 sowie dem BMF-Schreiben zur Übergangsregelung für die TSE Version 1.0 der cv cryptovision GmbH (Verlängerung vom 16.03.2023) – keine Rechts- oder Steuerberatung. Laufzeiten und Migrationswege sind produktspezifisch beim Hersteller zu prüfen. Dieser Artikel wird bei relevanten Änderungen fortgeschrieben (siehe Stand-Datum).