E-Rechnung IT-Sicherheit: So schützt du Rechnungseingang, Daten und Zahlungen

Für die grundsätzliche gesetzliche Empfangsbereitschaft kann nach den aktuellen BMF-FAQ bereits ein E-Mail-Postfach ausreichen. Daraus folgt jedoch nicht, dass jedes beliebig konfigurierte Postfach ein ausreichendes IT-Sicherheitskonzept darstellt. Besonders sinnvoll sind Zugangsschutz, Mehrfaktor-Authentisierung, Spam- und Phishing-Schutz, geregelte Berechtigungen und ein definierter Umgang mit verdächtigen Nachrichten.

Ja, sofern der eingesetzte Dienst dies unterstützt. Das BSI empfiehlt Zwei-Faktor- beziehungsweise Mehrfaktor-Authentisierung für wichtige Online-Konten. Ein Rechnungspostfach ist besonders schützenswert, weil darüber Rechnungen, Geschäftspartnerdaten und teilweise zahlungsrelevante Informationen laufen.

Nein. Dass eine Rechnung ein strukturiertes Format verwendet, macht den gesamten Übertragungsweg oder eine E-Mail nicht automatisch sicher. Nachrichten können zusätzliche Anhänge oder Links enthalten, Systeme können Schwachstellen aufweisen und auch echte Konten können kompromittiert werden. Deshalb sollten E-Rechnungen in den normalen Sicherheitsprozess für externe Dateien und Nachrichten eingebunden sein.

Eine ungewöhnliche Änderung von Zahlungsdaten sollte über einen unabhängigen, bereits bekannten Kontaktweg verifiziert werden. Für die Prüfung sollte nicht ausschließlich die Telefonnummer, E-Mail-Adresse oder ein Link aus der verdächtigen Nachricht verwendet werden. Erst nach erfolgreicher Bestätigung sollte die Stammdatenänderung übernommen werden.

SPF, DKIM und DMARC sind Verfahren zur E-Mail-Authentifizierung. Das BSI fasst sie in seiner Technischen Richtlinie TR-03182 zusammen. Vereinfacht gesagt unterstützen sie die Prüfung, welche Systeme für eine Domain versenden dürfen, ob eine Nachricht kryptografisch signiert wurde und wie mit nicht bestandenen Prüfungen umzugehen ist.

Nein. Die Verfahren können insbesondere bestimmte Formen von Domain-Spoofing und Phishing erschweren. Sie verhindern aber beispielsweise nicht automatisch einen Betrugsversuch über ein tatsächlich kompromittiertes E-Mail-Konto eines Geschäftspartners. Deshalb bleiben organisatorische Kontrollverfahren wichtig.

Das allgemeine Umsatzsteuerrecht schreibt für B2B-E-Rechnungen keinen einzigen bestimmten Übertragungsweg vor. Aus IT-Sicherheitssicht sind geschützte Übertragungsverfahren jedoch sinnvoll. Das BSI hat für sicheren E-Mail-Transport eigene technische Richtlinien veröffentlicht. Welche Schutzmaßnahmen erforderlich und angemessen sind, hängt vom konkreten System und Schutzbedarf ab.

Technische Konten sollten nur die tatsächlich benötigten Rechte besitzen. API-Schlüssel, Tokens und andere Zugangsdaten sollten geschützt gespeichert, nicht unnötig weitergegeben und bei Verdacht auf Kompromittierung sperrbar beziehungsweise austauschbar sein. Unbenutzte Integrationen sollten deaktiviert und relevante Fehler protokolliert werden.

Welche zusätzliche Datensicherung erforderlich ist, hängt von Vertrag, Exportmöglichkeiten, Schutzbedarf und eigener Systemarchitektur ab. Unternehmen sollten in jedem Fall wissen, welche Daten der Anbieter sichert, wie Wiederherstellung funktioniert und wie sie bei Anbieter- oder Systemausfall auf ihre relevanten Rechnungsdaten zugreifen beziehungsweise diese exportieren können.

Es gibt für allgemeine Unternehmen keinen pauschalen E-Rechnungs-Zeitraum, der für jeden Fall gilt. Das BSI empfiehlt jedoch, Backups regelmäßig auf Funktionalität, Konsistenz und Aktualität zu testen. Der geeignete Turnus sollte sich daran orientieren, wie kritisch die Systeme sind und welcher Datenverlust beziehungsweise welche Ausfallzeit betrieblich tolerierbar wäre.

Unternehmen sollten vorab festlegen, wer bei einem Verdacht informiert wird, welche Systeme betroffen sein könnten, wer Zugänge sperren oder Prozesse stoppen darf und welche externen Stellen gegebenenfalls einzubeziehen sind. Das BSI empfiehlt für IT-Notfälle klare Rollen, Zuständigkeiten und vorbereitete Krisenreaktionsmechanismen.

Nein. IT-Sicherheit schützt Systeme, Identitäten, Daten und Prozesse. Sie kann beispielsweise eine Kontoübernahme erschweren oder eine verdächtige Nachricht erkennen. Ob eine Leistung tatsächlich erbracht wurde, ein Preis stimmt oder eine Rechnung intern genehmigt werden darf, muss weiterhin im fachlichen Rechnungs- und Freigabeprozess geprüft werden.