INSIKA

INSIKA steht für Integrierte Sicherheitslösung für messwertverarbeitende Kassensysteme. Es handelt sich um ein System zum Schutz der digitalen Aufzeichnungen von Bargeschäften gegen Manipulationen mittels Kryptografie (vor allem in Registrierkassen und Taxametern). Es ist eine Alternative zu konventionellen Fiskalspeicher-Systemen. Das System wurde in einem Projekt unter Leitung der Physikalisch-Technischen Bundesanstalt (PTB) entwickelt. Das Gesamtkonzept und die Spezifikation aller Schnittstellen sind vollständig offengelegt.

Funktionsprinzip und Ziele

Der Manipulationsschutz basiert auf einer digitalen Signatur, die von einer durch eine autorisierte zentrale Stelle ausgegebenen Smartcard erzeugt wird. Die mit der Signatur geschützten Daten können nicht unerkannt verändert werden. Bei einer Manipulation oder beim vollständigen Verlust der Daten ist durch Summenspeicher auf der Smartcard eine Ermittlung der einmal signierten Gesamtumsätze möglich. Die Lösung erfordert keine wesentlichen technischen Auflagen für Registrierkassen bzw. Taxameter und in Folge auch keine Bauartzulassung oder Zertifizierung. Das System wurde so konzipiert, dass es möglichst einfach und preiswert integriert werden kann und möglichst wenige Eingriffe in den Markt bedingt. Das Funktionsprinzip von INSIKA soll auch den Einsatz von aufwendigen Manipulationsverfahren wie Zapper-Software verhindern. Im Unterschied zur aktuellen rechtlichen und technischen Situation könnte ein Steuerpflichtiger die formale Korrektheit seiner Kassendaten erstmals beweisen.

Technik im Detail

Teile der Beschreibung basieren auf der Darstellung INSIKA: Kryptografischer Manipulationsschutz für Registrierkassen und Taxameter.

Smartcard

Um eine Registrierkasse oder ein Taxameter abzusichern, werden handelsübliche Smartcards verwendet, die jedoch mit einer speziellen Software ausgestattet sind. Wenn das INSIKA-System gesetzlich vorgeschrieben ist, sollen die Smartcards von der Finanzverwaltung in einem offenen Ausschreibungsverfahren beschafft und an Steuerpflichtige auf Antrag ausgegeben werden. Die Smartcard wird an das abzusichernde Gerät per Kartenleser angeschlossen oder in das Gerät integriert. Die Software der Registrierkasse bzw. des Taxameters muss die Smartcard entsprechend ansteuern und den Ausdruck sowie die Speicherung der Daten gewährleisten. Darüber hinausgehende Änderungen an Registrierkasse bzw. Taxameter sind nicht erforderlich. Ein großer Teil der am Markt befindlichen Registrierkassen und Taxameter kann nach Einschätzung des Projektkonsortiums ohne großen Aufwand nachgerüstet werden.

Signaturen

Ein wesentliches Element der Lösung ist der Einsatz digitaler Signaturen. Mit digitalen Signaturen lässt sich sicher feststellen, dass Daten von einer bestimmten Person oder einem System (hier: einer ganz bestimmten Registrierkasse bzw. einem Taxameter) stammen und dass die Daten seit Erstellung der Signatur nicht verändert wurden. Im INSIKA-System werden wie in den meisten anderen Anwendungsfällen mit hohen Sicherheitsanforderungen Smartcards zur Erzeugung der Signaturen eingesetzt. Als Signaturalgorithmus wird ECDSA verwendet, da dieser relativ kurze und schnell zu berechnende Signaturen liefert.

Belege

Gedruckte Kassenbelege und die zugehörigen, elektronisch gespeicherten Buchungen werden mit einer digitalen Signatur versehen. Diese Signatur wird von der Smartcard berechnet. Ferner führt die Smartcard einen internen Zähler, mit dem für jede Buchung und den dazugehörigen gedruckten Beleg eine eindeutige und fortlaufende Nummer vergeben wird. Zusätzlich werden in der Smartcard Summenspeicher verwaltet. Diese erfassen die Gesamtumsätze so, dass im Falle des Verlustes von gespeicherten Daten wesentliche Kennzahlen (Monatsumsätze, negative Buchungen usw.) ermittelt werden können. Die Erzeugung der Signaturen und die Verwaltung von Sequenzzähler und Summenspeichern sind in der Smartcard so miteinander verknüpft, dass die Erzeugung einer Signatur für den Ausdruck gleichzeitig die Vergabe einer neuen Sequenznummer und Aktualisierung der Summenspeicher auslöst. Mit der Pflicht zur Ausgabe von Belegen mit gültigen Signaturen ist somit die korrekte Aufzeichnung der Daten sichergestellt, da alle weiteren Schritte über die Verknüpfung der verschiedenen Funktionen innerhalb der Smartcard erzwungen werden.

Beim Einsatz in Taxametern wurde statt der Belegerstellung eine Online-Datenübertragung als Kontrollmöglichkeit vorgesehen. Hier erfolgt die Überprüfung der korrekten Nutzung des Systems über die Prüfung der Transaktionsdaten auf einem Server und nicht über gedruckte Belege.

Prüfung

Für die INSIKA-Lösung werden im Wesentlichen nur Transaktionsdaten gespeichert, zu deren Aufbewahrung Steuerpflichtige spätestens aufgrund des BMF-Schreibens vom 26. November 2010 ohnehin bereits verpflichtet sind. Neu ist dabei nur die Signatur. Über sog. Profile ist eine Anpassung auf verschiedene Arten von zu speichernden Daten möglich – momentan existieren Profile für Registrierkassen und Taxameter.

Eine Prüfung der Kassendaten nutzt die gespeicherten und signierten Buchungen. Da diese Daten nicht unerkannt veränderbar sind, bleiben Manipulationen wirkungslos (auch durch denkbare, bewusst in eine Registrierkasse integrierte Manipulationsfunktionen). Die Prüfung der aufgezeichneten Daten kann in weiten Teilen automatisiert werden.

Die Prüfung gedruckter Belege erfordert lediglich Informationen, die auf dem Ausdruck vorhanden sind. Es ist kein Rückgriff auf die gespeicherten Buchungsdaten erforderlich. Somit ist bei jedem gedruckten Beleg leicht zu überprüfen, ob dieser durch eine Registrierkasse mit gültiger Smartcard erstellt wurde. Jede falsch erstellte Rechnung ohne oder mit ungültiger Signatur belegt eine Manipulation. Mit einem 2D-Code auf dem Ausdruck kann die Prüfung eines Belegs praktisch vollautomatisch erfolgen.

Kosten und Auswirkungen auf den Markt

Klassische Fiskalspeicherlösungen basieren auf einem mechanischen Schutz eines Speichers für die zu schützenden Daten, der Geheimhaltung von technischen Details und auf einer Reihe komplexer Auflagen für die Funktionsweise der Registrierkassen. Die Einhaltung der Vorschriften wird in einem Zertifizierungsverfahren geprüft. Dieser bedingt hohe Kosten, reduziert den Funktionsumfang und verhindert technische Weiterentwicklungen (da jede Änderung eine Neuzertifizierung erfordert). Eine Kontrolle der korrekten Nutzung ist schwierig, da die Belege keinerlei Sicherheitsmerkmale aufweisen. Gleichzeitig entspricht das Sicherheitsniveau nicht mehr heutigen Standards. In den letzten Jahren sind die klassischen Fiskalsysteme teilweise mit kryptografischen Funktionen ergänzt, aber dabei nicht neu konzipiert worden. So sind komplexe Lösungen entstanden, die aber nicht die elementaren Nachteile beseitigen.

INSIKA wurde so konzipiert, dass nur minimale Auflagen gemacht werden müssen. Die korrekte Nutzung kann über die signierten Belege und signierten Daten überwacht werden, ohne dass dazu Vorgaben für die Bauart der Systeme und eine Zertifizierung der Einhaltung der Vorgaben erforderlich wären. Innovationen im Bereich der Registrierkassen und Taxametern werden daher nicht behindert. Da aufgrund der geringen Kosten der Smartcards der Wettbewerb zwischen den Herstellern von Registrierkassen bzw. Taxametern nicht behindert wird, ist INSIKA mit wesentlich geringeren Kosten verbunden als alternative Systeme.

Historie

Im Jahresbericht 2003 des Bundesrechnungshofs (BRH) wurde auf drohende Steuerausfälle in Milliardenhöhe durch Manipulationsmöglichkeiten in modernen Registrierkassen hingewiesen. In Registrierkassen gespeicherte Daten könnten in vielen Systemen beliebig, ohne die geringsten Spuren zu hinterlassen, verändert werden. Abhilfe sei dringend geboten.

Deshalb erarbeitete das Bundesministerium der Finanzen (BMF) in zwei Bund-Länder-Arbeitsgruppen ein Fachkonzept für die Absicherung der in Registrierkassen und Taxametern erzeugten Daten. Die PTB entwickelte zusammen mit mehreren Partnern aus der Industrie die dafür erforderliche technische Lösung im Rahmen des INSIKA-Projektes. Dieses Vorhaben wurde vom Bundesministerium für Wirtschaft und Technologie gefördert.

Im Juli 2008 sollten die zur Einführung des Systems erforderlichen gesetzlichen Grundlagen im Rahmen des „Aktionsprogramms der Bundesregierung für Recht und Ordnung auf dem Arbeitsmarkt“ geschaffen werden. Die entsprechenden Passagen wurden jedoch vor Beginn des Gesetzgebungsverfahrens aus dem Entwurf entfernt. In der kurzen öffentlichen Diskussion während dieser Zeit wurden statt „INSIKA“ vor allem die Begriffe „Kontrollchip“ oder „Fiskalchip“ verwendet.

Das BMF hat am 26. November 2010 ein Schreiben zur „Aufbewahrung digitaler Unterlagen bei Bargeschäften“ veröffentlicht. Dieses hebt frühere Erleichterungen für die Aufzeichnungen von Registrierkassen-Daten auf und fordert grundsätzlich die elektronische Aufzeichnung von Einzeltransaktionen, wendet also die GoBS und GDPdU uneingeschränkt auf Registrierkassen an. Es wird eine unveränderbare Aufbewahrung der Daten gefordert, ohne allerdings konkrete Vorgaben zu machen und die dafür erforderlichen technischen und rechtlichen Rahmenbedingungen zu definieren. Die Forderungen des BRH sind dadurch nicht erfüllt worden.

Das INSIKA-Projekt wurde trotzdem planmäßig weitergeführt. Bereits im Jahr 2008 lagen lauffähige Prototypen der verwendeten Smartcards vor und konnten in Labor- und Praxisversuchen erfolgreich getestet werden. Das Projekt wurde im Februar 2012 erfolgreich abgeschlossen. Das INSIKA-Konzept wird seit Projektende vom ADM e. V. (Anwendervereinigung Dezentrale Mess-Systeme) unterstützt und weiterentwickelt.

Nach einer erneuten Initiative des NRW-Finanzministers Norbert Walter-Borjans im April 2014 hat die Finanzministerkonferenz von Bund und Ländern im Mai 2014 beschlossen, das Thema weiterzuverfolgen.

Nach einem Bericht des Spiegel wollen das Bundeswirtschaftsministerium und das Bundesfinanzministerium die Einführung von Insika verhindern. Als Motiv wird aus einem nicht genannten Landesministerium berichtet, Gabriel und Schäuble wollten wohl lieber für die vom Mindestlohn gebeutelten Branchen Wirtschaftsförderung durch die Hintertür betreiben. Auch in der dem Bundeswirtschaftsministerium nachgeordneten PTB heiße es, das Projekt sei abgeschlossen. Weiter schreibt der Spiegel:

„Selbst der Wikipedia-Eintrag zu Insika wurde von einem Rechner der PTB aus nachträglich geändert. Dort fand sich plötzlich der Hinweis: Insika werde nicht weiterverfolgt.“

Im März 2016 hat das Bundesfinanzministerium erneut eine gesetzliche Lösung angekündigt, sich dabei allerdings gegen das INSIKA-Verfahren ausgesprochen. Das im Dezember 2016 beschlossene Gesetz zur Verhinderung von Manipulationen an digitalen Grundaufzeichnungen trifft keine Aussagen zu dieser Frage, sieht aber laut Gesetzesbegründung im Regierungsentwurf die Verwendung von Komponenten des INSIKA-Verfahrens mit Modifikationen vor.

In Österreich wurde im „Bericht der Steuerreform-Kommission 2014“ eine Einführung von INSIKA vorgeschlagen. Im Juli 2015 hat der Nationalrat im Rahmen des Steuerreformgesetzes 2015/2016 eine Registrierkassenpflicht (ab dem 1. Januar 2016) und eine Verpflichtung zur Nutzung einer technischen Sicherheitseinrichtung (ab dem 1. Januar 2017) beschlossen. Die technische Sicherheitseinrichtung wird in der Registrierkassensicherheitsverordnung beschrieben. Das Verfahren lehnt sich an INSIKA an, weicht in vielen Details aber davon ab.

Praktische Anwendung

Die Technologie wird momentan (Stand März 2014) in zwei Projekten (in Hamburg und Berlin) zur Absicherung von Taxameter-Daten eingesetzt, nachdem das INSIKA-Konzept ab dem Jahr 2010 auf das Taxenumfeld übertragen wurde. In Hamburg ist das System in über 2.000 Taxen im Einsatz. Für diese Anwendungsfälle sind INSIKA-Smartcards von D-Trust (Tochter der Bundesdruckerei) erhältlich.

Die INSIKA-Architektur (aber nicht die genaue Implementierung) wurde zudem als Kern des mehrfach verzögerten und ab 2015 in Belgien in der Gastronomie vorgeschriebenen Systems für Fiskalkassen („geregistreerd kassasysteem“), die dort so genannte VSC („VAT Signing Card“) übernommen – allerdings verbunden mit vielen, sehr komplexen technischen und organisatorischen Auflagen und Zusatzanforderungen, die im INSIKA-System nicht erforderlich sind.

Inwieweit ein Einsatz zur Erfüllung der Anforderungen des deutschen Gesetzes zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen möglich sein wird, ist bisher offen. Im Begründungsteil der Regierungsentwurfs heißt es dazu:

„Durch die Technologieoffenheit ermöglicht das Zertifizierungsverfahren auch den Einsatz der INSIKA-Smartcard als Sicherheitsmodul in einer technischen Sicherheitseinrichtung, sofern die gesetzlichen Anforderungen erfüllt werden.“

Motivation für das Projekt

Die Forderung nach der Einführung des INSIKA-Systems (oder auch eines anderen Fiskalspeichersystems) basiert auf der Annahme, dass in bestimmten Branchen mit hohem Anteil von Bargeschäften in nennenswertem Umfang Steuern (Umsatzsteuer und Ertragssteuern) sowie Lohnnebenkosten (durch Schwarzarbeit) hinterzogen werden. Hierzu existieren keine eindeutigen belegbaren Zahlen, sondern Schätzungen sowie Berichte über Einzelfälle (z. B. über die Funde von Manipulationssoftware, sog. Zappern). Der Bundesrechnungshof spricht von einem erheblichen Potenzial für Steuerausfälle: „Bei Bargeldgeschäften in mehrstelliger Milliardenhöhe drohen nicht abschätzbare Steuerausfälle. … Das Bundesministerium der Finanzen teilt die Auffassung des Bundesrechnungshofes.“

Da die in § 146 Abs. 4 AO geforderte Unveränderbarkeit digitaler Aufzeichnungen ohne behördlich anerkannte technische Sicherungen von Steuerpflichtigen prinzipbedingt nicht belegbar ist (mit der möglichen Folge, dass nach § 158 AO die Buchführung nicht als Besteuerungsgrundlage anerkannt wird und eine Schätzung sowie ein Steuer- und Strafverfahren erfolgt), könnte durch das INSIKA-System hier Rechtssicherheit hergestellt werden. Eine entsprechend sichere und gerichtsfeste Alternative ist ohne diese technische Sicherheit nicht erreichbar. Das wird im Ergebnis auch durch die neuen GoBD vom 14. November 2014 bestätigt. Damit sind heute die digitalen Aufzeichnungen im Regelfall nicht unveränderbar gem. § 146 Abs. 4 AO.

Abschätzung der Steuerhinterziehung

Das Finanzministerium NRW schätzt den jährlichen Steuerausfall in Deutschland in allen bargeldintensiven Branchen zusammen auf „bis zu 10 Milliarden Euro“. Es liegen nur wenige Veröffentlichungen zu dem Thema vor. Zwei überschlägige Berechnungen auf Basis offizieller Zahlen:

• Eine Schätzung der Finanzbehörde von Québec geht für das Fiskaljahr 2007/2008 (dieses weicht in Kanada vom Kalenderjahr ab) von einer Steuerhinterziehung in Höhe von ca. 830 Mio. Dollar (417 Mio. Dollar Steuern der Provinz sowie noch einmal ein vergleichbarer Betrag an Steuern, die an den Staat Kanada abzuführen sind) nur in Restaurants und nur für die Provinz Québec (ca. 8 Millionen Einwohner) aus. Davon entfallen 133 Mio. auf die Provincial sales tax, die bei ca. 10 % liegt. Also muss eine Umsatzverkürzung von ca. 1,3 Mrd. Dollar erfolgt sein. Der angegebene Umsatz der Branche in Québec im Jahr 2008 betrug etwa 9,2 Mrd. Dollar (fehlende Angaben für Special food services und Drinking places analog zur Verteilung für Kanada insgesamt angenommen). Der tatsächliche Umsatz muss also bei ca. 10,4 Mrd. gelegen haben, was eine Verkürzungsquote von ca. 12,5 % ergibt. Überträgt man diese Quote auf Deutschland mit einem Jahresumsatz des Gaststättengewerbes sowie von Pachtkantinen und Caterern im Jahr 2013 von 48 Mrd. Euro und einer angenommenen Abgabenquote von 40 % wären das in dieser Branche hinterzogene Steuern und Abgaben von etwa 2,4 Mrd. Euro. Würde man den Pro-Kopf-Betrag (830 Mio. kanadische Dollar bei 8 Mio. Einwohnern) direkt auf Deutschland übertragen, ergäben sich daraus etwa 6 Mrd. Euro Steuerausfall bei Gaststätten, Pachtkantinen und Caterern.
• Nach der Einführung einer verpflichtenden Sicherheitseinrichtung für Registrierkassen in Schweden haben die Steuerbehörden eine Analyse der Effekte auf alle Branchen mit Barumsätzen veröffentlicht. Diese Analyse kommt zu dem Schluss, dass die Einführung zu mindestens 1 % höheren, erklärten Umsätzen bei Bargeschäften in Schweden (entsprechend 3 Mrd. schwedischen Kronen, also etwa 300 Mio. Euro) führen würde. In der Studie wurden allerdings 7 % höhere deklarierte Umsätze ermittelt – die Reduktion auf 1 % in den Schlussfolgerungen ist offenbar willkürlich vorgenommen und wird nicht plausibel begründet. Nimmt man die 7 % als Basis, ergeben sich ca. 2 Mrd. Euro jährliche Steuermehreinnahmen für Schweden. Zudem wurde im Rahmen von Kontrollen ermittelt, dass ca. 9 % der Verkäufe nicht registriert werden – hier spielt sicher die sehr geringe Kontrolldichte eine Rolle (weniger als ein Mal alle zwei Jahre pro Unternehmen). Rechnet man für Deutschland mit 500 Mrd. Euro Umsatz in Branchen mit nennenswerten Bargeldanteil (Einzelhandel und Gastgewerbe zusammen liegen bereits über diesem Wert) würde eine Steigerung der deklarierten Umsätze um nur 5 % bei einer Abgabenquote von 40 % zu 10 Mrd. Euro Abgabenverkürzung führen.

Literatur

• Höft, Danelsing, Grams, Rook: Schätzung von Besteuerungsgrundlagen. Schäffer-Poeschel, Stuttgart 2014, ISBN 978-3-7910-3207-8.
• Erich Huber: Registrierkassen und Kassensysteme im Steuerrecht. LexisNexis, Wien 2012, ISBN 978-3-7007-5360-5.

Weblinks

• Website des INSIKA-Projekts
• Kurzinformation auf INSIKA-Website
• Whitepaper: Fiskalsysteme – Anforderungen und Lösungen (PDF; 299 kB)
• Revisionssicheres System zur Aufzeichnung von Kassenvorgängen und Messinformationen. PTB-Bericht IT-18, doi:10.7795/210.20130206a
• Konzept zum Aufbau und Betrieb revisionssicherer Kassensysteme und Messeinrichtungen (PDF; 648 kB)
• Merkblatt D-Trust zu INSIKA für Taxameter
• Das Kassensicherungssystem INSIKA und seine Anwendbarkeit auf Spielgeräte (PDF; 617 kB)