TSE-Ablaufwelle 2026: Was Händler jetzt über Ausfälle und Lizenzen wissen müssen

Die Zertifikate der ersten TSE-Generation laufen aus, bei manchen Systemen stoppt mit der Lizenz gleich die ganze Kasse - und die Daten ausgemusterter Sicherheitseinrichtungen müssen trotzdem zehn Jahre verfügbar bleiben. Stephan Kaup, Geschäftsführer der Consult-SK GmbH, erklärt im Interview, was ein TSE-Ausfall wirklich bedeutet, warum abgelaufene Anbieter-Lizenzen zum stillen Compliance-Risiko werden und worauf es jetzt ankommt.

Minden, 30. Juli 2026. Seit 2020 müssen elektronische Kassensysteme in Deutschland mit einer zertifizierten technischen Sicherheitseinrichtung (TSE) ausgestattet sein, die jeden Geschäftsvorfall manipulationssicher signiert. Was damals in einer großen Welle eingeführt wurde, erreicht nun in derselben Welle sein Laufzeitende: Die ersten BSI-Zertifikate für Hardware-TSEs wurden im Dezember 2019 ausgestellt, für Cloud-TSEs im Februar 2021 - bei Laufzeiten von in der Regel fünf Jahren laufen die Zertifikate der Erstausstattung derzeit reihenweise aus.

Der Zentralverband des Deutschen Handwerks und mehrere Handwerkskammern haben Betriebe zuletzt ausdrücklich aufgefordert, die Ablaufdaten ihrer TSEs zu prüfen. Für Handelsunternehmen mit vielen Filialen ist das keine Randnotiz, sondern ein Projekt - und ein Prüfungsrisiko. Wir haben mit Stephan Kaup gesprochen, dessen Unternehmen mit dem SAP-AddOn Receipt4S® täglich über 20 Millionen Kassenbons revisionssicher archiviert.

Herr Kaup, fangen wir vorne an: Was bedeutet ein TSE-Ausfall eigentlich genau?

Stephan Kaup: "Die TSE signiert jeden einzelnen Kassenvorgang mit einer fortlaufenden Nummer - das ist ihre einzige Aufgabe, aber eine entscheidende. Fällt sie aus, läuft die Kasse zwar in vielen Fällen weiter, aber die Vorgänge werden nicht mehr abgesichert. Es entsteht eine Lücke in der Signaturkette. Und diese Lücke ist später maschinell nachweisbar, für jeden Prüfer, auf Knopfdruck. Die Ursachen sind banal: ein defektes Modul, ein volles Speichermedium, eine gestörte Verbindung zur Cloud-TSE - oder eben ein abgelaufenes Zertifikat. Entscheidend ist nicht, dass eine TSE ausfällt. Entscheidend ist, ob das Unternehmen es merkt, dokumentiert und schnell behebt. Ein sauber dokumentierter Ausfall ist ein Vorfall. Eine unbemerkte Lücke ist ein Befund."

Warum ist das Thema gerade jetzt so akut?

Stephan Kaup: "Weil die Mathematik simpel ist: Die große Ausstattungswelle lief 2020 und 2021, die Zertifikate halten meist fünf Jahre - also erreicht dieselbe Welle jetzt ihr Ende. Was viele dabei unterschätzen: Die Laufzeit beginnt mit dem Herstellungsdatum der TSE, nicht mit dem Kauf und nicht mit der Aktivierung. Wer sein Gerät 2021 gekauft hat, kann ein Modul aus der Produktion von 2020 im Einsatz haben. Bei einem Einzelhändler mit einer Kasse ist das ein Blick ins Menü. Bei einem Filialisten mit hunderten Kassen und gestaffelten Beschaffungen ist es ohne zentrales Zertifikatsinventar praktisch nicht zu überblicken - und genau dort entstehen die Lücken."

Es geht aber nicht nur um das Zertifikat der einzelnen TSE, sondern auch um Lizenzen der Anbieter. Was hat es damit auf sich?

Stephan Kaup: "Da muss man drei Ebenen auseinanderhalten. Erstens das Zertifikat der einzelnen TSE-Einheit - das ist die Ablaufwelle, über die wir gerade gesprochen haben. Zweitens die BSI-Zertifizierung der Baureihe beim Hersteller: Sie begrenzt die maximale Laufzeit und muss vom Anbieter erneuert werden. Bei Cloud-TSEs kann der Anbieter das Zertifikat zentral aktualisieren, das ist komfortabel - aber die Verantwortung für eine funktionierende TSE bleibt trotzdem beim Unternehmen, das sollte man sich vom Anbieter schriftlich bestätigen lassen und nicht einfach unterstellen. Und drittens die Lizenzmodelle mancher Kassensysteme: Dort ist die TSE mit einer Laufzeitlizenz gekoppelt, teilweise nur drei Jahre, und nach deren Ablauf signiert die Kasse nicht nur nicht mehr - sie lässt sich überhaupt nicht mehr bedienen. Dann steht der Laden. Aus der Beratungspraxis kennen wir sogar Fälle, in denen Jahre später eine ordnungsgemäß eingelagerte Altkasse für eine Prüfung nicht mehr aktivierbar war, weil es den Lizenzgeber schlicht nicht mehr gab und sein Lizenzserver abgeschaltet war. Das ist für mich der eigentliche Kern des Themas: Wer seine prüfungsrelevanten Daten nur auf dem Gerät oder allein beim Anbieter liegen hat, macht seine Compliance von der Lebensdauer eines Dritten abhängig."

Was müssen Unternehmen konkret tun, wenn ein Zertifikat abläuft oder eine TSE ausfällt?

Stephan Kaup: "Beim akuten Ausfall gelten drei Pflichten ab der ersten Minute: den Ausfall je Kasse mit Beginn, Ende und Ursache dokumentieren, die betroffenen Belege kennzeichnen und die Behebung unverzüglich und nachweisbar vorantreiben. Beim planbaren Zertifikatsablauf kommt der Fahrplan dazu: Ablaufdaten inventarisieren, den Austausch terminieren, und - ganz wichtig - vor der Außerbetriebnahme den vollständigen Datenbestand der alten TSE exportieren und revisionssicher archivieren. Diese Daten bleiben aufbewahrungspflichtig, der Hardwaretausch ändert daran nichts. Danach greift die Meldepflicht nach Paragraf 146a Absatz 4 AO: Außerbetriebnahme der alten und Inbetriebnahme der neuen TSE müssen innerhalb eines Monats über ELSTER gemeldet werden, und die Verfahrensdokumentation ist zu aktualisieren. Das ist kein Hexenwerk - aber es sind fünf Schritte je Kasse, und bei dreihundert Kassen sind es fünfzehnhundert Gelegenheiten, einen davon zu vergessen."

Welche Rolle spielt Receipt4S® dabei - ganz ehrlich?

Stephan Kaup: "Ganz ehrlich: Receipt4S® ist keine TSE und ersetzt auch keine. Die Signatur selbst leistet immer die zertifizierte Sicherheitseinrichtung. Unsere Aufgabe beginnt eine Ebene darüber: Receipt4S® übernimmt die Kassendaten samt TSE-Signaturen in SAP, prüft sie automatisiert auf Vollständigkeit und zeigt fehlende oder unstimmige Bon- und Transaktionsdaten in einem Monitor an - dadurch fällt eine Signaturlücke im Tagesbetrieb auf und nicht erst bei der Kassennachschau. Und es archiviert die TSE-TAR-Files revisionssicher im eigenen SAP-Archiv, auch über einen TSE-Tausch hinaus. Das beantwortet genau das Anbieter-Risiko von eben: Die prüfungsrelevanten Daten inklusive der Exporte ausgemusterter TSEs liegen im eigenen Archiv des Unternehmens und stehen für den Z1-, Z2- und Z3-Zugriff bereit - unabhängig davon, ob es den TSE-Anbieter in acht Jahren noch gibt. Die Prüfung selbst kann man mit uns vorab simulieren, dann bleiben Befunde intern."

Und für wen ist POS Comply die richtige Wahl?

Stephan Kaup: "POS Comply ist der Cloud-Bruder von Receipt4S®, entwickelt von unserem Tochterunternehmen Kumulon auf der SAP Business Technology Platform, mit Datenhaltung in Deutschland. Die ehrliche Abgrenzung: Receipt4S® ist die richtige Lösung für Unternehmen, die ihre Kassendaten im eigenen SAP-System - ERP, S/4HANA oder CAR - archivieren und auditieren wollen. POS Comply richtet sich an alle anderen: kleine und mittelständische Händler, Unternehmen ohne SAP-Backend, Betriebe, die eine Cloud-Lösung ohne eigene Archiv-Infrastruktur bevorzugen. Über die REST-API lässt es sich mit diversen Kassensystemen verbinden, GoBD- und KassenSichV-konform, mit Dashboards und integriertem Aufgaben-Management für die proaktive Überwachung - und dank Pay-per-Use ohne die Einstiegshürde eines Großprojekts. Die Grundidee ist bei beiden dieselbe: Kassendaten gehören vollständig, überwacht und jederzeit abrufbar ins eigene Archiv - nicht als Restrisiko auf ein Stück Hardware mit Ablaufdatum."

Zum Schluss: Was raten Sie Unternehmen, die jetzt unsicher sind, wo sie stehen?

Stephan Kaup: "Erst messen, dann handeln. Wir haben dafür den kostenlosen Kassendaten-Readiness-Check entwickelt: 17 Fragen, rund fünf Minuten, anonym und ohne Anmeldung - mit einer Ampel-Auswertung in sechs Themenfeldern, TSE und Signaturkette stehen dabei an erster Stelle. Wer dort ehrlich antwortet, weiß danach ziemlich genau, ob das eigene Haus ein Zertifikatsproblem, ein Prozessproblem oder gar keines hat."

Weiterführende Informationen: - Kassendaten-Readiness-Check (kostenlos, anonym): https://receipt4s.de/kassendaten-readiness-check/ - Wiki-Artikel "TSE ausgefallen - was jetzt zu tun ist": https://receipt4s.de/tse-ausgefallen-was-tun/ - POS Comply: https://consult-sk.com/pos-comply/