Jede technische Sicherheitseinrichtung (TSE) arbeitet mit einem zertifizierten Sicherheitsmodul – und dessen Zertifikat hat ein Ablaufdatum. Was bei der Einführung der TSE-Pflicht kaum jemanden beschäftigte, wird jetzt flächendeckend relevant: Die Erstausstattungswelle der Jahre 2020 und 2021 erreicht das Ende ihrer Zertifikatslaufzeiten, die je nach Modell und Aktivierungszeitpunkt typischerweise drei bis fünf Jahre betragen. Wer viele Kassen betreibt, hat damit nicht ein Ablaufdatum im Kalender, sondern Dutzende – gestaffelt über Monate.

Was der Zertifikatsablauf rechtlich bedeutet

Mit dem Ablauf des Zertifikats signiert die TSE nicht mehr gültig. Rechtlich steht das einem TSE-Ausfall gleich: Die Kasse zeichnet zwar weiter auf, aber ohne wirksame Absicherung nach § 146a AO. Ab diesem Moment entsteht eine Signaturlücke, die bei der nächsten Prüfung sofort maschinell sichtbar wird – die Prüfsoftware der Finanzverwaltung erkennt Unterbrechungen der Signaturkette zuverlässig. Wer den Ablauf verschläft und wochenlang mit abgelaufenem Zertifikat kassiert, ohne den Austausch nachweisbar voranzutreiben, riskiert ein Bußgeld nach § 379 AO von bis zu 25.000 Euro. Wie bei jedem Ausfall gilt: dokumentieren, Belege kennzeichnen, unverzüglich Abhilfe schaffen.

Hardware-TSE oder Cloud-TSE – ein wichtiger Unterschied

Bei Hardware-TSEs (USB-Stick, SD-Karte, Einbaumodul) ist mit dem Zertifikatsablauf in der Regel das Modul selbst am Ende – eine „Verlängerung“ gibt es nicht, die TSE wird physisch getauscht. Das heißt: Beschaffung, gegebenenfalls Vor-Ort-Termine in den Filialen, Aktivierung und Einbindung in die Kassensoftware. Bei Cloud-TSEs verantwortet der Anbieter die Zertifikatspflege; hier lohnt ein Blick in den Vertrag und eine schriftliche Bestätigung, wie und wann der Anbieter Re-Zertifizierungen einspielt. Verlassen sollte man sich darauf nicht blind – die Verantwortung für eine funktionierende TSE bleibt beim Unternehmen.

Der Austausch Schritt für Schritt

Erstens: Inventarisieren. Erfassen Sie zentral, welche TSE mit welchem Zertifikat und welchem Ablaufdatum an welcher Kasse und in welcher Betriebsstätte im Einsatz ist. Bei Filialisten ist dieses Zertifikatsinventar das Herzstück der gesamten Planung.

Zweitens: Altdaten sichern. Vor der Außerbetriebnahme wird der vollständige Datenbestand der alten TSE exportiert (TAR-Export) und revisionssicher archiviert. Diese Daten unterliegen weiterhin der Aufbewahrungspflicht – der Tausch der Hardware beendet die Aufbewahrung nicht. Verlorene Alt-Signaturen sind bei einer späteren Prüfung nicht wiederherstellbar.

Drittens: Neue TSE aktivieren und dokumentieren. Inbetriebnahmezeitpunkt, Seriennummern und Zertifikatsdaten gehören ins Protokoll und in die Verfahrensdokumentation, die bei einem TSE-Wechsel zu aktualisieren ist.

Viertens: Meldepflicht erfüllen. Der TSE-Tausch ist eine meldepflichtige Änderung nach § 146a Abs. 4 AO: Die Korrektur der gemeldeten Kassendaten – alte TSE raus, neue TSE rein – muss innerhalb eines Monats über „Mein ELSTER“ oder die ERiC-Schnittstelle erfolgen. Eine Kasse, deren gemeldete TSE nicht mehr existiert, fällt beim Abgleich während einer Kassennachschau sofort auf.

Für Filialisten: Welle statt Einzelfall

Wer hunderte Kassen betreibt, tauscht nicht eine TSE, sondern plant ein Rollout-Projekt: gestaffelte Laufzeiten, Beschaffungsvorlauf, Filialtermine, je Gerät ein TAR-Export, je Gerät eine ELSTER-Änderungsmeldung. Ohne zentrales Monitoring der Zertifikatslaufzeiten und einen definierten Prozess entstehen fast zwangsläufig Lücken – und jede einzelne davon ist später im Signaturzähler sichtbar. Ob Ihre Signaturketten-Überwachung, Ihre Ausfallorganisation und Ihr Meldeprozess prüfungsfest aufgestellt sind, zeigt Ihnen unser kostenloser Kassendaten-Readiness-Check in fünf Minuten.