FAQ You, Bonpflicht!

Seit dem neuen Jahr wird mein Erklärartikel zu den Kassenbons in sozialen Medien eifrig geteilt. Dabei sind viele Fragen aufgetreten, die ich hier mal zusammenfasse.

Es gibt doch sichere Kassen, warum also noch Bons?

Nein, es gibt keine sicheren Kassen in Deutschland — zumindest nicht aus Sicht des Finanzamts. Es gibt in Deutschland mehrere Hundert verschiedene Kassenhersteller. Auf denen kann eine Vielzahl von Software installiert sein – mitunter sogar ein völlig veraltetes Windows. Und deshalb kann man auch verschiedene Programme ausführen oder die offiziellen Kassenprogramme mitunter sehr einfach umschreiben. Es wird sicher viele Abzeichen und Siegel geben, dass eine Kasse einen Funktionstest bestanden hat. Das hat aber wenig mit Sicherheit vor gezielter Manipulation zu tun.

Aber die neuen Gesetze schreiben doch sichere Kassen vor?

Jein, mit Betonung auf Nein. Vorgeschrieben ist ab 2020 ein so genanntes TSE — eine Technische Sicherheitseinrichtung — wenn man denn eine Registerkasse hat. Das TSE ist ein Speicher mit einem zusätzlichen Sicherheitselement. Im Prinzip ein USB-Stick oder eine SD-Karte mit einem Extra-Chip, die in die altbekannten Kassen eingesetzt werden. Was darauf einmal gespeichert ist, kann der Kassenbesitzer nicht mehr einfach herunterlöschen. Der bis dahin übliche Trick, einfach am Abend Buchungen aus dem elektronischen Kassenbuch zu löschen ist damit nicht mehr möglich. Stornos gehen immer noch — aber die müssen transparent gespeichert werden.

Also ist alles gut. Weshalb die Bons?

Kryptografie kann nicht zaubern. Selbst wenn man die besten Algorithmen verwendet und die sichersten Schlüssel — sie können nicht für sich selbst stehen. Mit installiertem TSE hat der Steuerfahnder eine Buchführung und eine Garantie vorliegen, dass diese tatsächlich so eingegeben wurde. Doch wer sagt ihm, dass die Eingabe stimmt? Hierzu sind die Bons gut, denn darauf ist eine Art digitalen Stempel enthalten.

Warum kann nicht nur dann ein Bon gedruckt werden, wenn ein Kunde das will?

Zunächst einmal: Gedruckt werden muss gar kein Bon — sie können auch elektronisch übermittelt werden. Bis auf den E-Bon von Rewe für Payback-Kunden ist mir aber keine massenfähige Lösung bekannt, die schon im breiten Einsatz wäre. Es gibt viele Ideen und Startups, aber noch wenig Umsetzungen. Ein Hersteller hat mir im Dezember eine begeisterte Pressemitteilung geschickt. Auf meine zweimalige Nachfrage, wo das tolle neue System denn im Einsatz sei, habe ich bis heute keine Antwort.

Zurück zum Thema: Warum soll denn ein Bon ausgedruckt werden, wenn der Kunde das gar nicht will?

Kernproblem ist: Der Staat will sicherstellen, dass ein Gewerbetreibender nicht einfach jeden Kauf löscht, der nicht mit einem Bon verbunden ist. Trotz der TSE wäre das weiterhin möglich. Denn wenn die Kasse keine Buchung schreibt, kann das TSE keine Manipulation verzeichnen. Und wie gesagt: Nichts hält den Kassenbesitzer wirklich davon ab, die Software zu manipulieren. Der Fantasie sind kaum Grenzen gesetzt. Alle Buchungen ohne Bon könnten ins Nichts geschrieben werden. Oder ein verkauftes Motorrad könnte als Weizenbrötchen im Speicher landen. Die Bundesregierung hat auch von der Einführung einer ähnlichen Sicherheitseinrichtung in Österreich gelernt, wo diese Lücke nicht ganz geschlossen wurde. Die Lösung ist: Ein Kassenbesitzer darf vorher nicht wissen ob ein Kunde einen Bon/E-Bon verlangen wird.

Der Bon sagt das doch auch nicht?

Nun: Der Bon erschwert den Betrug doch ganz erheblich. Zum einen sieht jeder Kunde, ob ein Bon aus der Kasse kommt. Der Steuerhinterzieher hat also plötzlich eine Vielzahl von Mitwissern. Und wenn das Finanzamt zur unangemeldeten Kassennachschau anrückt — diese Befugnisse des Finanzamts wurden auch grade sehr erweitert — können die auch mal eben ein Brötchen, eine Pizza oder eine Bohrmaschine kaufen und sehen, was die Kassierer machen.

Ist in den Kassen wirklich eine Blockchain?

Nein, nicht wirklich. Aber etwas verwandtes. Auf jedem Bon muss nicht nur die Seriennummer des TSE vermerkt sein, sondern auch eine kryptografische Signatur. Darin ist nicht nur festgehalten, was auf dem Bon steht — sondern auch eine Art kryptografischer Fingerabdruck des ganzen Kassenbuchs. Wenn das Finanzamt dann diese Signatur mit den elektronischen Aufzeichnungen vergleicht, muss jede Manipulation auffallen.

Auf meinen Bons ist aber keine tolle Signatur zu sehen. Wieso?

Auf meinen Bons leider auch noch nicht. Grundproblem: Die TSEs wurden grade erst vor Kurzem vom BSI zertifiziert und werden nun produziert. Erst wenn die neuen Speicher montiert sind, werden nach und nach die Signaturen auf den Kassenzetteln zu sehen sein. Die Bonpflicht gilt dennoch bereits. Die Finanzämter verfolgen es lediglich bis September nicht, wenn die TSEs und damit die Signaturen fehlen.

Aber das System ist doch ganz leicht zu umgehen!?

Nein.

Muss ein Kunde den Bon mitnehmen wie in Italien?

Nein. Dank der Signatur ist es unnötig, viele Belege von Kunden einzusammeln, wenn eine Kassenprüfung ansteht.

Aber ich hab eine ganz tolle Idee! Was wäre, wenn…?

Ich habe mir in den letzten Wochen bestimmt 50 solcher Ideen angehört. Keine hatte auch nur ansatzweise mit den Sicherheitsmechanismen auseinandergesetzt. Wer sie nachlesen will, kann sich zum Beispiel durch diese 111 Seiten vom Bundeszentralamt für Steuern wühlen. Das ist nur eins von vier wesentlichen Dokumenten, aber es hat einen unbestreitbaren Vorteil: Der untere Teil des Bons wird hierin tatsächlich „Bonpo“ genannt.

Aber es soll doch nicht mal Bußgelder geben, wenn man keine Bons ausgibt. Warum sollte ich überhaupt mitmachen?

Natürlich kann man weiterhin einfach in die offene Kassenlade Geld einnehmen und nichts in die Kasse eintippen. Die Entdeckungswahrscheinlichkeit ist halt sehr viel höher. Ob die neue Gesetzeslage erfolgreich sein wird, hängt auch wesentlich davon ab, wie effektiv die Steuerfahndung kontrolliert. Hier haben die Landesregierungen die Zügel in der Hand. Ich vermute, dass die Gesetzgebung in den kommenden Jahren nachgebessert wird. Etwa wäre eine Erleichterung denkbar, dass Mini-Beträge nicht mehr in jedem Fall gebont werden müssen. Oder auch eine Bußgeldvorschrift, um die Bonpflicht durchzusetzen.

Warum werden die Kleinen kontrolliert und nicht die Cum-Ex-Betrüger, die so viel mehr Schaden verursachen?

Nun, das wissen wir nicht, es ist aber sehr unwahrscheinlich. Zur neuen Gesetzgebung wurden Schätzungen angeführt, die alleine durch Registrierkassenbetrug von einem jährlichen Schaden von fünf bis zehn Milliarden Euro ausgehen. Es gibt auch wesentlich höhere Schätzungen. Vor kurzem haben Richter in Osnabrück errechnet, das ein Betrüger-Duo ohne technische Ausbildung oder die Unterstützung einer kriminellen Organisation alleine einen Schaden von einer Milliarde Euro angerichtet hat. Und das war bei weitem kein Einzelfall. Die meisten Betrüger von damals dürften aber nicht erwischt werden, da die Kassen bisher viel zu einfach zu manipulieren waren.

Warum zwingt der Staat Gewerbetreibenden so viel Thermopapier auf? Das ist Sondermüll!

Nun: Soweit ich weiß, gibt es keinerlei Verpflichtung, Thermopapier zu verwenden. Realistisch betrachtet wird der Thermopapier-Verbrauch aber zunehmen. Immerhin: Ab diesem Jahr gelten auch neue Umweltvorschriften, so dass das Thermopapier zumindest deutlich weniger schädlich sein soll. Wer will, kann sich auch bei Spezialhändlern mit „Ökobons“ eindecken. Wenn ihr jedoch wütende Protestplakate beim Bäcker seht: Fragt doch mal, warum sie überhaupt eine Registrierkasse da stehen haben. Denn bis heute besteht in Deutschland keine allgemeine Pflicht, eine solche Computerkasse zu haben. Und ohne Computerkasse gibt es auch keine Bonpflicht. Man muss dann halt ein altmodisches Kassenbuch führen, das weder an die Warenwirtschaft angeschlossen ist, noch verhindert, dass sich ein Kassierer heimlich an den Firmenumsätzen bedient.

Die Bons und die Blockchain

Über Jahre habe ich mich lustig gemacht, dass es keine wirklich praktischen Anwendungen für die Blockchain-Technik gebe. Nun gibt es doch einen Use Case — und alle anderen machen sich drüber lustig.

Ihr habt sicher einige der Berichte gesehen. Ab 2020 sollen so ziemlich alle Geschäfte verpflichtend Kassenzettel ausdrucken. Auf Papier! Sogar beim Bäcker!! Wie zurückgeblieben!!! Und dann gab es noch dieses Facebook-Posting der Bäckerei, die mal eben alle Kassenzettel von zwei Tagen aus den Boden ausgeschüttet hat. Da wiehert der Amtsschimmel und der Laie wundert sich.

Bäckerei mit Bons auf dem Fußboden

Was aus unerfindlichen Gründen in all den Berichten nie erwähnt wird: Diese Bons sind nicht einfach nur Kassenzettel. Sie sind die absolut nachvollziehbare Anwendung der Blockchain-Technologie. In etwa wie Bitcoins — nur ausnahmsweise mal sinnvoll angewendet.

Eine Kasse ist ein Computer

Worum geht es? Nun, ich erinnere mich noch an meinen ersten Urlaub in Italien, eine Klassenfahrt. Dort gab es einen winzigen Laden in der Nähe des Strandes, bei dem etwas ganz merkwürdig war. Der Besitzer hatte eine große Registrierkasse neben sich stehen. Wenn wir dort aber ein Brot oder ein Eis kauften, tippte er die Beträge lediglich in einen großen Taschenrechner ein und kassierte den Betrag von uns. Erst Jahre später verstand ich: Das war praktizierte Steuerhinterziehung. Der Ladenbesitzer bezahlte nur Steuern auf die Beträge, die er in die Kasse tippte. Die Einnahmen, die nur im Taschenrechner landeten, waren steuerfrei.

Nun könnte man sich auf den stolz-teutonischen Standpunkt stellen: Ja, so ist das halt im Süden. Bei uns ist das doch etwas ganz anderes. Unsere Ladenbesitzer sind stolz auf ihre Registrierkassen und zahlen absolut korrekt ihre Steuern. Denn die Maschinen sind geeicht — und was gedruckt wird, lässt sich nicht so einfach wieder ausradieren.

Problem daran: Diese Vorstellung wurde zwar auch gerne von der Politik gepflegt, sie entsprach aber absolut nicht der Realität. Gerade im vergangenen Jahrzehnt wurde es immer offensichtlicher: Statt plump an der Registrierkasse vorbei Beträge zu kassieren, gab es einen schwunghaften Handel mit manipulierten oder manipulierbaren Registrierkassen. Auch wenn die Angestellten im Laden den ganzen Tag korrekt und richtige Beiträge eingaben, konnte der Besitzer am Abend mal eben die Kasse umprogrammieren und nach Belieben Buchungen wieder löschen. Folge: Der Umsatz schwindet, der Gewinn noch mehr und damit auch die Steuerlast.

Wirkliche Sorgen mussten sich die Schummler nicht machen. Denn die Methoden wurden immer raffinierter. So wurde etwa 2017 ein professionelles Betrugsnetzwerk abgeurteilt:

Der Saarländer soll die Kassen nebst Software dann 2006 an die Wirte im Saarland geliefert haben. Laut Aussage der Beteiligten lief der Steuerbetrug dann regelmäßig nach dem gleichen Muster ab. Zunächst wurde regulär abgerechnet und gebucht. Anschließend wurde ein Teil des Umsatzes aus der Kasse entnommen und in einen speziellen Tresor gebracht. Einmal im Monat kam dann einer der verantwortlichen Wirte mit dem USB-Stick und rechnete den Umsatz neu aus. Nach Erkenntnis der Ermittler soll der jeweilige Umsatz so in einer Größenordnung von bis zu 15, vielleicht sogar 20 Prozent nach unten korrigiert worden sein.

Die Betrüger hatten eins erkannt: Eine Registrierkasse ist an sich nichts weiter als ein Computer in einer merkwürdigen Bauform. Und wie jeden Computer kann man sie umprogrammieren. Waren die Beträge einmal gelöscht, dann konnte man dem Besitzer in der Praxis fast immer nichts nachweisen. So konnten Steuerfahnder nicht mal die Registrierkassen auf Manipulationen überprüfen — die falsche Software war auf einem externen USB-Stick gespeichert und hinterließ keine Spuren. Der geschätzte Schaden: Zwischen fünf und zehn Milliarden Euro jedes Jahr.

Eine der wenigen Möglichkeiten, den alltäglich gewordenen Betrug zu bekämpfen: Ein Finanzbeamter konnte in den Laden gehen und etwas kaufen. Löschte der Besitzer dann ausgerechnet diese Buchung, war er geliefert. Seine komplette Buchhaltung war als Betrug entlarvt.Erhärtete sich der Verdacht konnte dann das Finanzamt frei schätzen, wie viel Steuern der Geschäftsinhaber wirklich zu zahlen hat. Dann wurde es richtig, richtig teuer. Aber das passierte richtig, richtig selten.

Die Lösung: Stempeln gehen

Was ändert sich also mit der neuen Bon-Pflicht? Schließlich ist es immer noch sehr unwahrscheinlich, dass der Steuerfahnder genau einen Gegenstand kauft, der dann aus der Buchführung verschwindet. Nun: Hier ist der Clou: Die Bons enthalten eine — ich behandele den Begriff hier etwas frei — Blockchain-Signatur! Und damit quasi technologische Zauberkraft!

Aber nein, wie ich bereits einmal dargelegt habe, ist das Grundprinzip der Blockchain eine Art Stempel. Ein Stempel mit einem Kniff. Statt nur eine Quittung einzeln abzustempeln, ist in der Blockchain-Signatur ein kleines Stück von allen vorhergehenden Quittungen enthalten. Sprich: Mit einer Quittung kann man nachweisen, dass die gesamte Buchführung bis dahin in Ordnung war.

Nun — fragen mich so manche — Nun, Torsten, wenn wir eine Blockchain haben, wozu brauchen wir dann noch die Bons? Die Antwort in meiner Metapher ist: Die Blockchain-Technik ist ja nur der Stempel. Wir brauchen immer noch etwas, was wir abstempeln können. Oder eine etwas technisch korrektere Analogie: Bei dem Bon handelt es sich sozusagen um den zweiten Faktor einer Zwei-Faktor-Authentifizierung.

Die Sache funktioniert so: Auch mit Blockchain-Technik könnte ein Besitzer seine Registrierkasse nehmen und sie umprogrammieren. Würde er ein paar Buchungen löschen, ändert sich die Blockchain-Signatur sofort komplett. Das könnte ihm aber egal sein: Das Finanzamt kennt ja nicht die korrekte Signatur. Und da kommen die Bons ins Spiel. Nur wenn jeder Kunde tatsächlich einen Kassenzettel bekommt, kann der Besitzer seine Buchführung nicht mehr nachträglich ändern. Würde man Bons nur auf Verlangen ausdrucken, hätte es der Ladenbesitzer einfach. Da kaum ein Kunde Bons haben will, bleibt die Buchung so lange korrekt, bis niemand mehr einen Bon haben will. Der Rest ist frei zur Manipulation. Denn die Registrierkasse ist ein Computer und macht, was ihr Besitzer will. So ist es bei Spielekonsolen, so ist es bei Wahlcomputern. Computer sind Computer — auch wenn sie merkwürdig aussehen.

Gibt es denn wirklich keinen anderen Weg als Milliarden Bons auszudrucken? Natürlich gäbe es die. Aber auch die haben ihren Preis. So könnte das Finanzamt fordern, dass alle Buchungen in Echtzeit an den Staat übermittelt werden. Was gar nicht gut für den Datenschutz von uns allen wäre. Eine andere Möglichkeit ist schon im Gesetz vorgesehen: Bons müssen nicht in Papierform übermittelt werden. Stattdessen könnte man sie dem Kunden per E-Mail schicken, etwa auf sein PayBack-Konto buchen oder parallel zu ApplePay und GooglePay direkt ans Handy übermitteln. Dem Bäcker würde das wohl nicht so viel helfen, aber würden zum Beispiel die Supermärkte in die Gänge kommen, wären die Mehr-Bons ganz schnell eingespart. Und wenn wenigstens vier Milliarden pro Jahr dabei rausspringen, ist es für den Steuerzahler ein sehr gutes Geschäft. Danke, Merkle Tree.

PS: Hier noch ein paar Antworten auf noch offene Fragen.