Ihr Unternehmen oder Ihre Buchhaltungskanzlei muss das Rechnungsprogramm mit KSeF, und du stehst vor der Frage: qualifiziertes Siegel oder ZAW-FA? In dieser Anleitung wird erläutert, wie die Authentifizierung in KSeF funktioniert, warum das Siegel (QSeal) bei einem hohen Rechnungsvolumen die beste Option ist und wie man die Berechtigungen korrekt konfiguriert, auch für den betreuten Kunden.
Die Verpflichtung zur Anwendung von KSeF wird schrittweise eingeführt und gilt für alle Umsatzsteuerpflichtigen – sowohl aktive als auch von der Umsatzsteuer befreite:
Wichtig für die Praxis: während des gesamten Jahres 2026 Für Fehler werden keine Geldstrafen verhängt KSeF – dies ist eine Übergangsphase zur schrittweisen Anpassung. Das bedeutet jedoch nicht, dass man mit der Integration zögern darf: Die Verpflichtung zur Ausstellung von Rechnungen in KSeF besteht bereits jetzt, und ab dem 1. Januar 2027 droht für eine außerhalb des Systems ausgestellte Rechnung eine Strafe – in Höhe von bis zu 100% des Mehrwertsteuerbetrags dieser Rechnung.
KSeF kommuniziert mit externen Programmen über API (Application Programming Interface). Jeder API-Aufruf erfordert eine Authentifizierung – also die Bestätigung der Identität des Absenders der Rechnungen. Die Authentifizierung erfolgt immer zur Nummer NIP das Unternehmen, auf das sich die Rechnung bezieht.
In der Praxis muss das System – z. B. Ihr Rechnungsprogramm oder Ihr ERP-System – über eines der folgenden Tools verfügen:
Bei einem ERP-System, das Rechnungen automatisch versendet (z. B. nachts oder am Wochenende), bietet nur Folgendes vollständige Unabhängigkeit von einer bestimmten Person: qualifiziertes Siegel — Bei den übrigen Verfahren ist die Mitwirkung einer benannten Person zumindest bei der Erlangung und Verlängerung des Zugangs erforderlich.
Beide Methoden sind legal, funktionieren in der Praxis jedoch völlig unterschiedlich. Die wichtigsten Unterschiede haben wir in der Tabelle zusammengefasst:
| Kriterium | Qualifiziertes Elektronisches Siegel (QSeal) | ZAW-FA (Bestimmung einer natürlichen Person) |
|---|---|---|
| Zuordnung | Für das Modell NIP der Firma | An eine bestimmte natürliche Person |
| Automatisierung | Vollständig – das System funktioniert ohne menschliches Eingreifen | Eingeschränkt – erfordert die aktive Mitwirkung einer Person |
| Personalfluktuation | Keine Auswirkungen – das Siegel bleibt unabhängig von personellen Veränderungen bestehen | Bei jedem Mitarbeiterwechsel ist eine Aktualisierung auf ZAW-FA erforderlich |
| Rechnungsvolumen | Unbegrenzt (ideal bei hohem Volumen) | Kann bei der Massenausstellung zu einem Engpass werden |
| Buchhaltungsbüro | Ein Stempel kann von mehreren Kunden verwendet werden (nach Erteilung der Berechtigungen) | Jeder Kunde erfordert eine individuelle Konfiguration mit einer Person |
| Sicherheit | Hohe Isolation – Schlüssel im HSM-Modul oder auf der Karte | Abhängig von der Kontosicherheit einer natürlichen Person |
| Implementierungskosten | Ab 1.289 PLN (SimplySign) oder ab 1.399 PLN (Certum Mini) | Keine Kosten für das Zertifikat, aber Kosten für die administrative Bearbeitung |
Mehr über diese Entscheidung erfährst du im Ratgeber: ZAW-FA oder E-Stempel – Berechtigungsverwaltung in KSeF für Unternehmen.
Buchhaltungsbüro ist ein Sonderfall: Es agiert im Namen von Dutzenden von Kunden, von denen jeder über ein eigenes NIP verfügt. Die Konfiguration von ZAW-FA für jeden einzelnen Kunden bedeutet Dutzende von Meldungen an die Finanzämter – und ebenso viele Aktualisierungen bei personellen Veränderungen.
Ein qualifiziertes Zertifikat löst dieses Problem auf andere Weise: Das Büro erhält vom Kunden Berechtigung um im Rahmen von KSeF tätig zu werden (sog. subjektive Berechtigung) und nutzt anschließend sein Siegel oder Zertifikat für KSeF, um Rechnungen über die API zu versenden. Der gesamte Vorgang ist nachvollziehbar, überprüfbar und – was wichtig ist – Es kommt nicht zu einer Blockade bei der Entlassung oder dem Wechsel eines Mitarbeiters.
Für Unternehmen mit einem hohen Rechnungsvolumen (mehrere Hundert pro Monat) sind die Vorteile ebenso deutlich:
Mehr über die Rolle des qualifizierten Zertifikats bei der Automatisierung von KSeF erfährst du in dem Artikel: Qualifiziertes Zertifikat QSeal – KSeF, Automatisierung, Berechtigungsprüfung.
Das System KSeF sieht ein umfangreiches Berechtigungsmodell vor. Der Inhaber von NIP (Steuerpflichtiger) kann anderen Unternehmen oder Personen Zugriff gewähren und dabei für jeden einzelnen den Handlungsumfang festlegen:
Der Kunde meldet sich bei seinem KSeF an (z. B. über eine qualifizierte Signatur oder ein vertrauenswürdiges Profil) und legt im Berechtigungsbereich das NIP der Buchhaltungskanzlei sowie den Umfang der Berechtigungen fest. Die Buchhaltungskanzlei kann dann im Namen des Kunden handeln – Rechnungen ausstellen oder einziehen – und dabei ihre eigenen Anmeldedaten verwenden.
Wichtiger Hinweis: Die Berechtigungen in KSeF sind zeitlich begrenzt und können jederzeit widerrufen werden. Aus Gründen der Transparenz wird empfohlen, dass die Geschäftsstelle ein Verzeichnis der Berechtigungen jedes Kunden führt.
| Die Rolle der | Was kann es tun? | Wer sollte |
|---|---|---|
| Eigentümer von NIP / berechtigte Stelle | Alles, einschließlich der Vergabe und des Entzugs von Berechtigungen | Firmeninhaber, Vorstandsvorsitzender/Geschäftsführung |
| Rechnungsaussteller | Ausstellung und Versand an KSeF, Kopie abrufen | Mitarbeiter in der Buchhaltung, im ERP-System des Unternehmens, im Buchhaltungsbüro |
| Rechnungsleser | Rechnungen herunterladen (ohne Versand) | Wirtschaftsprüfer, Finanzkontrolleur |
| Berechtigungsmanager | Zugriffsrechte an andere vergeben/entziehen | Systemadministrator, Finanzdirektor |
KSeF sieht den Offline-Modus 24 vor – Sie können diesen jederzeit auf eigene Initiative nutzen (z. B. bei fehlender Internetverbindung), nicht nur bei einem Systemausfall. Regeln:
Der Offline-Modus ist kein Ersatz für den täglichen Betrieb – er dient lediglich als Hilfsmaßnahme. Ihr Rechnungsprogramm oder ERP-System sollte diesen Modus technisch unterstützen. Einzelheiten finden Sie im Leitfaden: KSeF offline – zwei QR-Codes und ein KSeF-Zertifikat vom Typ 2.
Die Implementierung eines qualifizierten Zertifikats zur Integration in KSeF umfasst mehrere Schritte:
KSeF stellt eine unwiderrufliche Änderung in der Art und Weise der Rechnungsstellung dar – und die Wahl der richtigen Authentifizierungsmethode entscheidet darüber, ob die Integration reibungslos und automatisch verläuft oder bei jedem Personalwechsel Probleme verursacht.
Als Autorisierter Partner von Certum Wir unterstützen Unternehmen und Wirtschaftsprüfungsgesellschaften bei der Einführung eines qualifizierten Siegels, das für die Integration in KSeF bereit ist – von der Bestellung des Zertifikats über die Konfiguration bis hin zur Schulung zur Verwaltung von Berechtigungen.
📞 Ruf an: +48 22 417 05 55 — Wir beraten Sie telefonisch, online oder in unseren Büros in Warschau, Krakau, Breslau und Radom.
🛒 Entdecken Sie das Angebot:
Weitere technische Informationen findest du auf der offiziellen Website von KSeF: ksef.podatki.gov.pl.
Das Rechnungsprogramm oder das ERP-System kommuniziert über die API des Finanzministeriums mit KSeF. Damit das System Rechnungen automatisch versenden kann, muss es beim NIP des Unternehmens authentifiziert sein – am bequemsten mithilfe eines qualifizierten Siegels (QSeal), das einen Betrieb ohne menschliches Zutun ermöglicht. Eine Alternative ist die Nutzung durch eine per ZAW-FA-Meldung benannte Person (die sich mit einer qualifizierten Signatur oder einem vertrauenswürdigen Profil anmeldet) oder ein kostenloses KSeF-Zertifikat – diese Optionen erfordern jedoch die Mitwirkung einer bestimmten Person beim Zugriff und bei der regelmäßigen Erneuerung des Zertifikats (max. alle 2 Jahre).
Eine qualifizierte Signatur ist einer natürlichen Person zugeordnet – sie dient dazu, Dokumente von einer Person zu unterzeichnen. Ein qualifiziertes Siegel (QSeal) ist einer juristischen Person (NIP) zugeordnet und dient der automatischen Authentifizierung eines IT-Systems. In KSeF ermöglicht das Siegel den automatisierten Massenversand von Rechnungen, ohne dass bei jeder Transaktion ein Mitarbeiter eingreifen muss.
Ja, jedoch erst nach der formellen Erteilung der Berechtigungen durch den Kunden im KSeF-Dashboard. Der Kunde meldet sich bei seinem KSeF-Konto an und gibt das NIP-Konto der Buchhaltungskanzlei sowie den Umfang der Berechtigungen an (z. B. Rechnungsstellung). Die Buchhaltungskanzlei kann dann im Namen des Kunden handeln und dabei ihre eigenen Authentifizierungsdaten verwenden – z. B. ein qualifiziertes Siegel oder ein KSeF-Zertifikat.
Der Offline-Modus 24 ermöglicht es, auf Initiative des Steuerpflichtigen eine Rechnung außerhalb des Systems auszustellen; für den Fall eines Ausfalls von KSeF stehen separate Notfallmodi zur Verfügung. Die Rechnung wird lokal im XML-Format erstellt und muss, wenn sie außerhalb von KSeF an den Käufer übermittelt wird, zwei QR-Codes enthalten. Sie übermitteln sie spätestens am nächsten Werktag nach der Ausstellung an KSeF (nach Bekanntgabe eines Ausfalls – innerhalb von 7 Werktagen). Für den zweiten QR-Code ist ein KSeF-Zertifikat vom Typ 2 erforderlich.
Große Unternehmen, deren Umsatz (inkl. MwSt.) im Jahr 2024 200 Mio. PLN überschritten hat — ab dem 1. Februar 2026. Alle anderen Unternehmen, einschließlich der von der Mehrwertsteuer befreiten Steuerpflichtigen (Kleinst-, Klein- und Mittelunternehmen) — ab dem 1. April 2026. Die kleinsten, „digital ausgegrenzten” Steuerpflichtigen mit einem Bruttoumsatz von ≤ 10.000 PLN/Monat — ab dem 1. Januar 2027.
Beide Siegel sind qualifizierte Vertrauensdienste, die von Certum ausgestellt werden und rechtlich gleichwertig sind. SimplySign ist eine Cloud-Lösung – ein über eine API verfügbares Zertifikat ohne physische Karte, ideal für automatisierte Serverintegrationen. Certum Mini ist eine kryptografische Karte mit Lesegerät – sie eignet sich dort, wo eine lokale physische Kontrolle des privaten Schlüssels erforderlich ist. Für die Integration mit KSeF über die API ist SimplySign in der Regel praktischer.
