{"id":296451,"date":"2024-06-21T00:01:00","date_gmt":"2024-06-20T22:01:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=296451"},"modified":"2024-06-24T20:32:32","modified_gmt":"2024-06-24T18:32:32","slug":"wachstumschancengesetz-2024-rechnungsdatenformat-zugferd-als-risiko","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/06\/21\/wachstumschancengesetz-2024-rechnungsdatenformat-zugferd-als-risiko\/","title":{"rendered":"Wachstumschancengesetz 2024: Rechnungsdatenformat ZUGFeRD als Risiko?"},"content":{"rendered":"

\"SicherheitIch greife mal das Thema eRechnung (ZUGFeRD) auf, die ja im Wachstumschancengesetz 2024 als demn\u00e4chst verbindlich f\u00fcr den Business-to-Business-Bereich festgeschrieben wurde. Die elektronische Rechnung muss dann in Form eines PDF-Dokuments (f\u00fcr Menschen lesbar) und in Form einer XML-Datei (maschinenlesbar) \u00fcbermittelt werden. Das sind aber zwei Dokumentformate, die mit erheblichen Risiken in Richtung \"Verbreitung von Schadsoftware\" behaftet sind. Ich werfe mal einen Blick auf dieses Themenfeld.<\/p>\n

<\/p>\n

Elektronische Rechnung wird Pflicht<\/h2>\n

\"\"Ab dem 1.1.2025 wird die Verwendung einer elektronischen Rechnung (kurz eRechnung) zwischen Firmen – sogenannter Business-to-Business-Bereich (B2B) – verpflichtend eingef\u00fchrt. Das ist im Wachstumschancengesetz<\/a> 2024, welches im M\u00e4rz 2024 verabschiedet wurde, festgeschrieben. F\u00fcr kleinere Betriebe gibt es aber bis Ende 2027 \u00dcbergangsregelungen.<\/p>\n

Das Ganze geht wohl auf die EU-Richtlinie 2014\/55\/EU aus dem Jahr 2014 f\u00fcr Rechnungen bei \u00f6ffentlichen Auftr\u00e4gen, die in elektronischer Form erfolgen muss, hervor. Haufe hat hier<\/a> einige Informationen zusammen getragen, so sind f\u00fcr eRechnungen die Formate XRechnung und ZUGFeRD zul\u00e4ssig bzw. vorgeschrieben.<\/p>\n

Was ist ZUGFeRD?<\/h3>\n

ZUGFeRD<\/a> steht f\u00fcr Zentraler User Guide des Forums elektronische Rechnung Deutschland<\/i>, ein grauseliger Name f\u00fcr eine Spezifikation zum Austausch elektronischer Rechnungen. ZUGFeRD-konforme Rechnungen sollen zwischen Unternehmen sowie zwischen Unternehmen und der \u00f6ffentlichen Verwaltung schnell, komfortabel und einfach elektronisch ausgetauscht werden.<\/p>\n

Die Spezifikation sieht vor, dass maschinenlesbares UN\/CEFACT-XML in menschenlesbare PDF-Dateien (PDF\/A-3<\/a>) \u2013 gem\u00e4\u00df der Richtlinie EU\/2014\/55 und des Standards EN16931 – einbettet werden. Damit sollen elektronische Rechnung noch f\u00fcr einen menschlichen Betrachter lesbar sein, aber auch maschinenlesbar f\u00fcr Software werden, die dann den XML-Datenteil auswerten.<\/p>\n

Was ist XRechnung?<\/h3>\n

Bei XRechnung<\/a> handelt es sich ebenfalls um einen Standard f\u00fcr elektronische Rechnungen, in dem die Rechnungsdaten in maschinenlesbarer Form (XML) vorliegen. Das ZUGFeRD<\/a> 2.1.1 Profil \"XRechnung\" erm\u00f6glicht seit 1. Juli 2020 ebenfalls elektronische Rechnungen konform zur XRechnung im XML-Format zu erzeugen und damit f\u00fcr den Versand an \u00f6ffentliche Auftraggeber zu verwenden.<\/p>\n

Potentielle Sicherheitsprobleme und Fallen<\/h2>\n

Erstmals hat sich heise im M\u00e4rz 2024 in diesem Artikel<\/a> zum Thema ge\u00e4u\u00dfert und findet die Pflicht zur eRechnung eine gute Idee, deren Implementierung f\u00fcr Sicherheitsexperten aber kritische Fragen aufwerfen w\u00fcrde. Es wird allgemein auf die Komplexit\u00e4t von ZUGFeRD und das Problem XML-Valisierung eingegangen.<\/p>\n

Hochrisikoformat ZUGFeRD?<\/h3>\n

Blog-Leser Patrick hatte sich in diesem Kommentar<\/a> dagegen konkreter ge\u00e4u\u00dfert und schrieb: \"Daf\u00fcr hat die Bundesregierung ein Hochrisikoformat (PDF) mit einem weiteren Hochrisikoformat (XML) f\u00fcr den Rechnungsdatenaustausch kombiniert und unter dem Namen \"Wachstumschancengesetz\" ab 2025 verbindlich f\u00fcr alle Businessanwender vorgeschrieben. […] Hier \u00f6ffnen sich echte Chancen f\u00fcr fl\u00e4chendeckende Cyberangriffe mit Trojanern, die auch alle Kundendaten von Handwerkern, Einzelh\u00e4ndler etc. betreffen.\" Ich fand den Kommentar spannend, so dass ich einige Punkte in diesem Blog-Beitrag aufbereiten m\u00f6chte.<\/p>\n

PDF-Format als Risiko<\/h3>\n

Patrick hatte mit seinem obigen Kommentar einerseits das Risiko PDF-Austauschformat im Sinn. Hinsichtlich des Risikos muss man beim Adobe PDF-Datenformation zwei Sachen unterscheiden:<\/p>\n