Swissbit TSE für den Fiskalmarkt

Was bedeutet Fiskalisierung?

Fiskalisierung ist die gesetzeskonforme Umsetzung der umfangreichen Anforderungen der deutschen Steuerbehörden an manipulationssichere Kassensysteme.

Welche gesetzgeberische Rahmenbedingung gibt es denn?

Das Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen gemäß Kassen-Sicherungsverordnung (KassenSichV) regelt, dass ab dem 1.1.2020 elektronische Kassensysteme über eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zertifizierte TSE (Technische Sicherheitseinrichtung) mit einem Sicherheitsmodul, einem Speichermedium und einer einheitlichen digitalen Schnittstelle verfügen müssen, damit Kassenbetreiber gesetzeskonforme Geräte verwenden können.
Zudem gilt die Meldung des Bundesfinanzministeriums (BMF) vom 6.11.2019: Nichtbeanstandungsregelung bei Verwendung elektronischer Aufzeichnungssysteme im Sinne des § 146a AO ohne zertifizierte technische Sicherheitseinrichtung nach dem 31. Dezember 2019. Diese Nichtbeanstandungsregelung bedeutet, dass neue Kassen, die zwischen dem 1.1.2020 und 30.9.2020 verkauft werden, also „TSE-fähig“ sein müssen, d.h. das Design-in der TSE muss bereits erfolgt sein, sowie bis zum 30.9.2020 mit einer TSE nachgerüstet, d.h. in diese Kasse gesteckt werden. Auf diese Weise nicht aufrüstbare Neukassen sind nicht gesetzeskonform und dürfen nicht in Verkehr gebracht werden.

Welche Kassensysteme sind betroffen?

Neue Kassensysteme (Registrierkassen und PC-Kassensysteme) sowie bestehende PC-Kassensysteme müssen zum dem 1.1.2020 mit einer zertifizierten TSE ausgerüstet sein. Bereits im Feld befindliche Kassensysteme (Registrierkassen), die nicht nachgerüstet werden können, müssen spätestens ab dem 31.12.2022 mit einer zertifizierten TSE betrieben werden.

Aus welchen Bestandteilen besteht die Swissbit TSE?
Die nach TR-03153 zertifizierte Swissbit TSE besteht aus einem 8 GB Speichermodul inkl. Fiskal- und freiverwendbarem Nutzer-Datenspeicher, einer zertifizierten Sicherheitsmodul-Anwendung (SMAERS) und einem zertifiziertem „Secure Element“ eines Kryptografie Service-Providers (CSP), sowie einem Zertifikat nach TR 3145 zur Registrierung des CSP bei den Finanzbehörden.

Wie erfolgt die Erfassung einer Transaktion?
Die Swissbit TSE bietet eine sichere und schnelle Transaktionsaufzeichnung (sicherer Speicher, Vergabe Transaktionsnummer, Digitale Signatur mit Zeitstempel und Signaturzähler) der Vorgangsdaten (Vorgangsbeginn, Art des Vorgangs, Zahlungsart, Vorgangsende, TSE-Seriennummer, Prüfwert) und der Belegdaten (Aussteller, Ausstellungszeit, Ware inkl. Menge und Art, Transaktionsnummer, Entgelt, Steuerbetrag, TSE-Seriennummer).
Die Anzahl der Transaktionen pro Buchung (Kassenbon) ist vom Anwendungsfall (Gastronomie, Retail, …) sowie von der Implementierung der Kasse abhängig. Eine Buchung im Gastronomiebereich kann z.B. aus 4 Transaktionen bestehen: Vorgangs- und Belegdaten zu Beginn des Bestellvorgangs, sowie den Vorgangs- und Belegdaten beim Abschluss des Vorgangs.

Was ist der Signaturzähler?
Jede Signatur des „Secure Elements“ (CSP) führt zur schrittweisen Erhöhung des Signaturzählers. Ein Zurücksetzen des Fiskalspeichers, z.B. nach erfolgreichem Export der Fiskaldaten, hat keinen Einfluss auf den Signaturzähler.

Wie viele TSEs können bei einer LAN-Lösung am Server oder der Master-Kasse angeschlossen werden?
Bei der LAN-Lösung müssen USB-TSE-Module auf einem Server im Laden selbst oder in einer Master-Kasse eingesteckt sein. Swissbit unterstützt dabei pro gesteckter USB-TSE bis zu fünf POS-Systeme gleichzeitig. Prinzipiell unbegrenzt viele POS-Systeme können so mit der LAN-Lösung und weiteren USB-TSE auf einfache Weise manipulationssicher gemacht werden.

Können die Fiskaldaten nach dem Export gelöscht werden?
Ja, gemäß der Spezifikation des BSI können die Fiskaldaten nach erfolgreichem Export gelöscht werden. Das Zurücksetzen des Fiskaldatenspeichers hat keinen Einfluss auf den Signatur- und Transaktionszähler. Nach ca. 20 Mio. Signaturen ist die Swissbit TSE „verschlissen“.

Wer ist für die TSE verantwortlich?
Der Steuerpflichtige ist für den Betrieb einer gesetzkonformen TSE in seiner Kasse verantwortlich. Bei Ablauf des Zertifikates in der TSE kann nicht länger auf die TSE Lösung zugegriffen werden und somit geht die Kasse außer Betrieb. Dies ist eine zwingende Bedingung des BSI.

Kann der Anwender seine existierende Kassenausrüstung weiterverwenden?
Meist ja, denn bei der Swissbit TSE handelt es sich um eine ideale Nachrüstlösung. Der Anwender soll diesbezüglich auf den Kassenhersteller bzw. Systempartner zugehen.

Wie viele Transaktionen können auf der TSE-Karte erfasst werden?
Die Swissbit TSE-Produkte können ca. 20 Mio. Signaturen sicher erfassen.

Die Swissbit TSE-Produkte bestehen aus einem Fiskal-Datenspeicher und eine frei verwendbarem Nutzer-Datenspeicher. Wie groß sind diese?
Die 8 GB großen TSE-Produkte bestehen aus einem 6,5 GB wiederverwendbarer Fiskal-Datenspeicher und 1 GB freiem Speicher für andere Nutzerdaten, wie z.B. einer Preisliste, Analysereports oder GOBD-Daten.

Wie hoch die Transaktionsgeschwindigkeit?
Die Swissbit TSE bietet eine schnelle Transaktionsgeschwindigkeit von unter 250 ms (Millisekunden) an. Dies bezieht sich auf zukunftssichere 384 bit ECDSA-Signaturen, welche die aktuelle Mindestanforderung des BSI übertreffen.

Wie lange sind die Daten verfügbar?
Die Swissbit TSE bietet eine Datenverfügbarkeit von mindestens 10 Jahren an.

Sind zukünftig Servicemodelle denkbar?
Ja, zukünftige zusätzliche Services, die Swissbit für die Kassenhersteller erbringen kann, sind denkbar, wie z.B. das Back-up der Fiskaldaten, die Unterstützung der Meldung der TSE beim Finanzamt, ein Life-Time-Monitoring der TSE oder auch "TSE as a Service" als Abo-Modell.
Als erster TSE-Anbieter hat Swissbit die Schnittstelle zur offenen Fiskalisierungsplattform von DATEV in das Swissbit SDK integriert anbieten.

Ist die Swissbit TSE zertifiziert?
Die in drei Varianten erhältlichen Swissbit-TSE-Module (Technische Sicherheitseinrichtung nach BSI TR-03153) haben im Rahmen des Zertifizierungsprozesses beim BSI (Bundesamt für Sicherheit in der Informationstechnik) am 20.12.2019 die Freigabe erhalten. Damit ist die Swissbit TSE amtlich zertifiziert (BSI-K-TR-0362-2019) und damit können jetzt Hersteller von Kassensystemen eine gesetzeskonforme Lösung für die manipulationssichere Aufzeichnung von Kassendaten liefern.

Für welchen Zeitraum darf eine TSE im Feld verbleiben?
Eine solche TSE darf für den Zeitraum ihres individuellen Signaturzertifikats im Feld verbleiben, i.d.R. 5 Jahre.

Was ist die maximal mögliche Nutzungsdauer, mit der eine TSE im Feld betrieben werden kann?
Die maximale Nutzungsdauer einer TSE ist 8 Jahre und wird begrenzt durch ihre individuelle Signaturzertifikats-Laufzeit.

Die Swissbit TSE beinhaltet auch ein Zertifikat? Wer bietet dieses Zertifikat an?
Das Zertifikat (nach TR-3145 zur Registrierung des CSP bei den Finanzbehörden) ist bereits ab Werk in der Swissbit TSE enthalten.

Kann dieses Zertifikat (nach TR-3145) erneuert werden?
Die Swissbit TSE kommt mit einem Zertifikat, das nicht erneuert werden kann. Nach Ablauf des Zertifikates muss die TSE getauscht werden.

Wie ist die Laufzeit des Zertifikats (nach TR-3145)?
Die Laufzeit des Zertifikats beträgt bis zu 7 Jahren plus 6 Monate für Logistik und Lagerung. Swissbit TSE haben eine Standard-Laufzeit von 5 Jahren, projektbezogen werden auch 3 Jahre oder 7 Jahre angeboten (jeweils plus 6 Monate Logistik/Lagerung). Nach Ablauf des Zertifikates muss die TSE getauscht werden.

Muss der Kassenhersteller eine eigene Zertifizierung vornehmen?
Nein. Sobald der Kassenhersteller eine zertifizierte TSE gemäß TR-03153 in die Kassensysteme integriert hat, ist eine eigene POS-Zertifizierung nicht notwendig.

Was genau braucht der Kunde/ Kassenhersteller, um eine Swissbit LAN-TSE anzubieten?
Die TSE als LAN-Lösung gibt es nur in Verbindung mit dem Kauf von USB-TSEs über die Distributions-Partner Gastro-MIS, Jarltech oder Partner Tech. Die dazugehörige LAN-Konnektor-Software (.exe) gibt es kostengünstig mit einer Einmalgebühr pro Standort.
Geeignet ist die LAN-Lösung für bis zu 5 POS-Systeme pro gesteckter USB-TSE (Faktor 5:1 und freie Zuteilung der POS-Systeme auf USB-TSE möglich). Bei 15 Kassen braucht der Endkunde mindestens 3 TSEs.
Auf Anfrage bietet Swissbit OEM-Versionen der LAN-Konnektor-Software für Kassenhersteller an. Wenn Sie Kassenhersteller sind und Interesse haben, kontaktieren Sie bitte unseren Vertrieb.

Kann die Nebenkasse über die API das TSE-Modul an der Hauptkasse (mit TSE) nutzen?
Ja, solange (1) die Zuordnung von der Kasse zu einer bestimmten TSE statisch ist und (2) die Verbindung lokal und gesichert/authentisiert ist (e.g. SSL oder ähnliches).

Ist die lokale Netzwerkverbindung über LAN-Kabel oder per WLAN von der Kasse zur TSE in der LAN-Lösung zusätzlich abzusichern? Reicht bei WLAN-Anbindung bspw. eine WLAN-Verschlüsselung aus?
Die Kommunikation zwischen Kasse und der TSE in der LAN-Lösung muss über eine eigenständige Sicherung verfügen. Eine WLAN-Verschlüsselung selbst reicht nicht aus. Die Swissbit API nutzt eine Ende-zu-Ende-Sicherung zwischen Kasse und LAN-Konnektor-Software in ausreichender Güte (HTTPS, SSL/TLS).

Wie wird gemessen, ob die erlaubte Anzahl an POS-Systemen pro gesteckter USB-TSEs verwendet wird?
Gemessen werden aktiv zugreifende Kassen (d.h. Client-ID startet eine Transaktion auf der TSE). Das „Messintervall“ beträgt 10 Minuten.

Was passiert, wenn die erlaubte Anzahl der von an POS-Systemen pro gesteckter USB-TSEs überschritten wird?
Wenn der erlaubte Faktor von 5:1 von POS-Systemen pro gesteckter USB-TSE überschritten wird, (d.h. 6 oder mehr statt 5 Kassen werden innerhalb des Zeitintervalls mit 1 USB-TSE verwendet), dauern für 10 Minuten ab Überschreitung alle Transaktionen 1 Sekunde (statt 250ms).

Was ist die Swissbit Cloud-TSE - welche Anwendungen werden unterstützt?
Die Swissbit Cloud-TSE ist eine cloudbasierte technische Sicherheitseinrichtung (TSE) zur Erfüllung der gesetzlichen Anforderungen der Fiskalisierung. Es können grundsätzlich alle netzwerkfähigen Kassenlösungen angebunden werden. Der Betrieb erfordert keinen Einsatz von Hardware an der Kasse. Damit ist die Lösung ideal für cloud-basierte Kassensysteme.

Sind meine Daten in der Swissbit Cloud-TSE sicher?
Ihre Daten sind zweifach gesichert. Zum einen ist die Übertragung von Inhalten zwischen der lokalen SMAERS-Komponente und dem Cryptographic Service Provider (CSP) in der Cloud über eine asymmetrische Verschlüsselung BSI-konform abgesichert. Die TAR-Files werden lokal erzeugt und verschlüsselt, bevor sie in die Cloud synchronisiert werden. Der Schlüssel zur Entschlüsselung steht ausschließlich dem Steuerpflichtigen zur Verfügung. Zum anderen wird die Kommunikation zwischen lokalem Connector und der Cloud nach BSI-Vorgaben transportverschlüsselt.
Zweifach gesichert heißt in dem Zusammenhang: der Zugriff auf die Daten in der Cloud erfordert erstens einen Login in die Cloud und zweitens den Private Key zur Entschlüsselung. Beides befindet sich unter Kontrolle des Steuerpflichtigen. Der öffentliche Key befindet sich auf der Kasse, der Private Key beim Steuerpflichtigen.

Wo kann ich die Swissbit Cloud-TSE Lösung bestellen?
Bitte kontaktieren Sie uns unter fiskal@swissbit.com, um mehr über die Vertriebskanäle zu erfahren.

Für welche Branchen (z.B. Handel/Gastronomie/Hotel) ist die Swissbit Cloud-TSE geeignet?
Die Lösung ist branchenunabhängig in alle onlinefähigen Kassen- und Aufzeichnungssysteme integrierbar. Fragen Sie bei Interesse doch Ihren Kassenanbieter, ob er die Swissbit Cloud-TSE bereits angebunden hat!

Wie funktioniert die Anbindung der Swissbit Cloud-TSE in mein Kassensystem oder meine Kassensoftware?
Swissbit stellt eine lokale Cloud-TSE-Konnektor-Software zur Verfügung, die auf der Kasse betrieben wird und die Kasse an den Webservice anbindet. Die Verwaltung der TSE und der Kasse erfolgt über das Kundenportal. Technische Details stellen wir im Laufe des "Onboardings" zur Verfügung.

Welche Voraussetzungen gibt es für den Betrieb der Swissbit Cloud-TSE?
Eine Onlineverbindung im Aufzeichnungssystem wird benötigt. Der lokale Konnektor steht für viele aktuelle Windows- und Linuxversionen zur Verfügung. Technische Details stellen wir im Laufe des "Onboardings" zur Verfügung.

Was passiert, wenn die Onlineverbindung ausfällt?
Wenn die Onlineverbindung durch eine technische Störung anfällt, wird dies durch die Swissbit Cloud-TSE gesetzeskonform gehandhabt und dokumentiert.

Welche Kosten fallen an?
Einmalige Aktivierungsgebühr pro Kasse und jährliches Abo pro Kasse mit Mindestlaufzeit von 12 Monaten. Details erfolgen durch Sales.

Gibt es eine Begrenzung der Signaturen?
Keine. Unbegrenzt während des Abos.