Was ist die Kassensicherungsverordnung?
Die Kassensicherungsverordnung legt fest, wie „digitale Grundaufzeichnungen“, sprich: elektronische Aufzeichnungs- und Sicherungssysteme wie Registrierkassen durch eine ergänzende Technische Sicherheitseinrichtung (TSE) gegen Manipulationen geschützt werden müssen.
Technisches Konzept
Ziel der Kassensicherungsverordnung ist, nachträgliche Manipulationen an Umsatzdaten zu erkennen. Die Überprüfung erfolgt in einem exportierbaren Journal, das durch das Finanzamt mit einer Prüfsoftware auf Veränderungen und Lücken geprüft werden kann.
Jede Kassenbuchung wird mit einer elektronischen Signatur versehen. In jede Signatur geht ein Zähler ein. Hierdurch können nachträgliche Manipulationen einer Buchung, z.B. Änderung einer Position oder Löschen einer kompletten Buchung, erkannt werden.
Technische Sicherheitseinrichtung (TSE)
Die in der Verordnung vorgeschriebene Technische Sicherheitseinrichtung (TSE) ist für die Erstellung der Signatur und die Speicherung des Journals zuständig. Diese Sicherheitseinrichtung muss für die Registrierkasse für jeden Abschluss einer Transaktion erreichbar sein.
Ein TSE setzt sich aus folgenden technischen Komponenten zusammen:
- Einheitliche digitale Schnittstelle
- Speichermedium
- SMAERS Modul (Schnittstelle zum Kassensystem)
- Cryptographic Service Provider oder Cryptographic Service Provider Light
TSEs können als USB-Token oder SD-Card direkt an einzelne Kassen anschlossen werden. Für größere Retailer und Fiskalisierungs-Dienstleister bietet eine leistungsstarke serverbasierte Lösung zahlreiche Vorteile. Für die Realisierung einer zentralen Lösung bietet Utimaco den CryptoServer CSPLight an.
Sicherheitsanforderungen
Um die Sicherheit der Lösung zu gewährleisten, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) zahlreiche Anforderungen formuliert, die durch die einzelnen TSE-Komponenten erfüllt werden müssen. Diese sind in der technischen Richtlinie BSI TR-03153 Technische Sicherheitseinrichtung für elektronische Aufzeichnungssysteme sowie in Common Criteria Protection Profiles für das SMAERS Modul sowie den Cryptographic Service Provider resp. den Cryptographic Service Provider Light definiert.
Der Utimaco CryptoServer CSPLight wird gemäß dem Cryptographic Service Provider Light Protection Profile zertifiziert.
