Jede technische Sicherheitseinrichtung (TSE) arbeitet mit einem zertifizierten Sicherheitsmodul – und dessen Zertifikat hat ein Ablaufdatum. Was bei der Einführung der TSE-Pflicht kaum jemanden beschäftigte, wird jetzt flächendeckend relevant: Die Erstausstattungswelle der Jahre 2020 und 2021 erreicht das Ende ihrer Zertifikatslaufzeiten, die je nach Modell und Aktivierungszeitpunkt typischerweise drei bis fünf Jahre betragen. Wer viele Kassen betreibt, hat damit nicht ein Ablaufdatum im Kalender, sondern Dutzende – gestaffelt über Monate.

Was der Zertifikatsablauf rechtlich bedeutet

Mit dem Ablauf des Zertifikats signiert die TSE nicht mehr gültig. Rechtlich steht das einem TSE-Ausfall gleich: Die Kasse zeichnet zwar weiter auf, aber ohne wirksame Absicherung nach § 146a AO. Ab diesem Moment entsteht eine Signaturlücke, die bei der nächsten Prüfung sofort maschinell sichtbar wird – die Prüfsoftware der Finanzverwaltung erkennt Unterbrechungen der Signaturkette zuverlässig. Wer den Ablauf verschläft und wochenlang mit abgelaufenem Zertifikat kassiert, ohne den Austausch nachweisbar voranzutreiben, riskiert ein Bußgeld nach § 379 AO von bis zu 25.000 Euro. Wie bei jedem Ausfall gilt: dokumentieren, Belege kennzeichnen, unverzüglich Abhilfe schaffen.

Hardware-TSE oder Cloud-TSE – ein wichtiger Unterschied

Bei Hardware-TSEs (USB-Stick, SD-Karte, Einbaumodul) ist mit dem Zertifikatsablauf in der Regel das Modul selbst am Ende – eine „Verlängerung“ gibt es nicht, die TSE wird physisch getauscht. Das heißt: Beschaffung, gegebenenfalls Vor-Ort-Termine in den Filialen, Aktivierung und Einbindung in die Kassensoftware. Bei Cloud-TSEs verantwortet der Anbieter die Zertifikatspflege; hier lohnt ein Blick in den Vertrag und eine schriftliche Bestätigung, wie und wann der Anbieter Re-Zertifizierungen einspielt. Verlassen sollte man sich darauf nicht blind – die Verantwortung für eine funktionierende TSE bleibt beim Unternehmen.

Der Austausch Schritt für Schritt

Erstens: Inventarisieren. Erfassen Sie zentral, welche TSE mit welchem Zertifikat und welchem Ablaufdatum an welcher Kasse und in welcher Betriebsstätte im Einsatz ist. Bei Filialisten ist dieses Zertifikatsinventar das Herzstück der gesamten Planung.

Zweitens: Altdaten sichern. Vor der Außerbetriebnahme wird der vollständige Datenbestand der alten TSE exportiert (TAR-Export) und revisionssicher archiviert. Diese Daten unterliegen weiterhin der Aufbewahrungspflicht – der Tausch der Hardware beendet die Aufbewahrung nicht. Verlorene Alt-Signaturen sind bei einer späteren Prüfung nicht wiederherstellbar.

Drittens: Neue TSE aktivieren und dokumentieren. Inbetriebnahmezeitpunkt, Seriennummern und Zertifikatsdaten gehören ins Protokoll und in die Verfahrensdokumentation, die bei einem TSE-Wechsel zu aktualisieren ist.

Viertens: Meldepflicht erfüllen. Kurios, aber wichtig: Der TSE-Tausch selbst ist im Gesetzeswortlaut des § 146a Abs. 4 AO gar nicht als meldepflichtiger Vorgang aufgeführt. Die Finanzverwaltung verlangt aber über den Anwendungserlass eine Korrekturmeldung, sobald sich die Angaben zur TSE – etwa die Seriennummer – ändern; das BMF hat das Verfahren im April 2026 in seinen FAQ zum Kassengesetz ausdrücklich klargestellt.

Praktisch heißt das: Die Meldung über „Mein ELSTER“ oder die ERiC-Schnittstelle erfolgt in der Bruttomethode – es werden sämtliche Kassen der Betriebsstätte erneut übermittelt, nicht nur die geänderte. Anzugeben sind je TSE unter anderem die neue Seriennummer, die BSI-Zertifizierungs-ID, die Bauform (SD-Karte, USB-Stick oder Cloud-TSE) sowie Installations-, Aktivierungs- und Ablaufdatum. Eine Kasse, deren gemeldete TSE nicht mehr existiert, fällt beim Seriennummern-Abgleich während einer Kassennachschau sofort auf – die Meldung ist also keine Formalie, sondern Teil der Risikobewertung der Finanzverwaltung.

(Welche Seriennummern auf dem Beleg stehen müssen, erklärt der Artikel zu den Pflichtangaben)

Für Filialisten: Welle statt Einzelfall

Wer hunderte Kassen betreibt, tauscht nicht eine TSE, sondern plant ein Rollout-Projekt: gestaffelte Laufzeiten, Beschaffungsvorlauf, Filialtermine, je Gerät ein TAR-Export, je Gerät eine ELSTER-Änderungsmeldung. Ohne zentrales Monitoring der Zertifikatslaufzeiten und einen definierten Prozess entstehen fast zwangsläufig Lücken – und jede einzelne davon ist später im Signaturzähler sichtbar. Ob Ihre Signaturketten-Überwachung, Ihre Ausfallorganisation und Ihr Meldeprozess prüfungsfest aufgestellt sind, zeigt Ihnen unser kostenloser Kassendaten-Readiness-Check in fünf Minuten.

Welche strategischen Fragen der Tausch aufwirft, beleuchtet unser Beitrag „TSE verlängern oder tauschen?“ .