In fast jeder Ausschreibung und in vielen Verkaufsgesprächen für Buchhaltungs-, Kassen- oder ERP-Software taucht früher oder später die Frage auf: „Ist die Software GoBD-konform, und gibt es dafür ein Testat?“. Diese Frage ist berechtigt, aber sie enthält bereits ein weitverbreitetes Missverständnis. Denn eine Software allein kann eine Buchführung nicht „konform machen“. Sie kann bestenfalls so beschaffen sein, dass sie eine ordnungsmäßige Buchführung ermöglicht und unterstützt. Ob am Ende tatsächlich ordnungsmäßig gebucht wird, hängt vom Menschen, von den Prozessen und von der Organisation dahinter ab. Genau an dieser Trennlinie setzt dieser Beitrag an.
Das Institut der Wirtschaftsprüfer in Deutschland (IDW) ist die berufsständische Organisation der Wirtschaftsprüfer. Es erarbeitet unter anderem Prüfungsstandards, die beschreiben, nach welcher Methodik und mit welcher Sorgfalt Wirtschaftsprüfer bestimmte Prüfungen durchführen. Diese Standards sind keine Gesetze, sondern fachliche Verlautbarungen des Berufsstands; sie schaffen aber einen einheitlichen, anerkannten Qualitätsmaßstab. Wenn ein Prüfer erklärt, er habe „nach IDW PS 880“ geprüft, signalisiert er damit, eine definierte, nachvollziehbare Vorgehensweise angewandt zu haben.
Der IDW PS 880 widmet sich speziell der Prüfung von Softwareprodukten und der Erteilung einer Softwarebescheinigung. Er richtet sich an die Situation, dass nicht ein einzelner Jahresabschluss geprüft wird, sondern ein Programm als solches – also das Produkt, wie es der Hersteller ausliefert. Das Ergebnis ist eine Bescheinigung, die aussagt, ob die Software bei ordnungsgemäßer Anwendung die zugrunde gelegten Anforderungen erfüllen kann. Diese Formulierung „bei ordnungsgemäßer Anwendung“ ist der Schlüssel zum Verständnis des gesamten Themas.
Im Sprachgebrauch werden viele Begriffe durcheinandergeworfen: Man spricht von einem Testat, von einer Bescheinigung, von einem Zertifikat oder eben von einer „GoBD-Konformitätsbescheinigung“. Fachlich am präzisesten ist der Begriff der Softwarebescheinigung nach IDW PS 880. Sie wird von einem Wirtschaftsprüfer oder einer Wirtschaftsprüfungsgesellschaft erteilt und trägt deren Verantwortung. Der Ausdruck „Testat“ wird umgangssprachlich synonym verwendet, meint aber dasselbe: eine mit fachlicher Autorität unterlegte Aussage über das geprüfte Produkt.
Wichtig ist, diese von einem bloßen „Zertifikat“ oder einer „Herstellererklärung“ zu unterscheiden. Nicht jedes Papier, das Vertrauen ausstrahlt, hat dieselbe Aussagekraft und dieselbe Absicherung. Wer eine Aussage über die Ordnungsmäßigkeit von Software beurteilen will, sollte immer fragen, wer die Aussage getroffen hat, auf welcher Grundlage und mit welcher Reichweite. Die Abgrenzung dieser Begriffe behandelt dieser Beitrag ausführlich in einem eigenen Kapitel.
Die GoBD, ausgeschrieben die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“, sind ein Schreiben des Bundesministeriums der Finanzen. Sie sind keine eigenständigen Gesetze, sondern konkretisieren, wie die handels- und steuerrechtlichen Ordnungsvorschriften im digitalen Zeitalter zu verstehen sind. Sie richten sich in erster Linie an die Steuerpflichtigen – also an die Unternehmen selbst –, nicht an Softwarehersteller. Diese Feststellung ist zentral: Die GoBD verpflichten das buchführende Unternehmen, nicht das Programm.
Die GoBD lassen sich auf eine Reihe von Grundsätzen zurückführen, die seit jeher eine ordnungsmäßige Buchführung ausmachen und die im digitalen Kontext neu gefasst wurden. Dazu gehören die Nachvollziehbarkeit und Nachprüfbarkeit, die Vollständigkeit, die Richtigkeit, die zeitgerechte Erfassung und Buchung, die Ordnung sowie die Unveränderbarkeit von Aufzeichnungen. Ein sachverständiger Dritter – etwa ein Betriebsprüfer – muss sich in angemessener Zeit einen Überblick über die Geschäftsvorfälle und die Buchführung verschaffen können.
An dieser Stelle wird deutlich, warum eine Software nie allein „GoBD-konform“ sein kann. Viele der genannten Grundsätze betreffen nicht die technische Beschaffenheit eines Programms, sondern das Verhalten der Anwender: Ob Belege zeitgerecht erfasst werden, ob Geschäftsvorfälle vollständig gebucht werden, ob interne Kontrollen wirken – all das entscheidet sich im Betrieb, nicht im Quellcode. Eine Software kann diese Grundsätze unterstützen und erzwingen, etwa indem sie Änderungen protokolliert, Löschungen verhindert oder Belege revisionssicher archiviert. Ob diese Funktionen genutzt und richtig konfiguriert werden, liegt aber beim Anwender.
Der IDW PS 880 trägt dieser Logik Rechnung. Er prüft, ob die Software bei ordnungsgemäßer Anwendung die GoBD-relevanten Anforderungen erfüllen kann. Er kann und will keine Aussage darüber treffen, wie ein konkretes Unternehmen die Software tatsächlich einsetzt. Damit ist die Bescheinigung eine Aussage über das Potenzial und die Eignung des Produkts, nicht über die gelebte Praxis eines bestimmten Betriebs. Diese Unterscheidung zieht sich als roter Faden durch den gesamten Beitrag.
Ein häufiger Irrtum lautet, ein Testat gelte pauschal für „die Software“ eines Herstellers in allen ihren Varianten und für alle Zeiten. Tatsächlich bezieht sich eine Softwarebescheinigung immer auf einen klar abgegrenzten Prüfungsgegenstand: eine bestimmte Version des Programms, häufig in einer bestimmten Konfiguration und für einen definierten Funktionsumfang. Ändert der Hersteller das Produkt wesentlich, verliert die alte Bescheinigung ihre unmittelbare Aussagekraft für die neue Version. Deshalb lohnt immer der Blick darauf, worauf sich eine Bescheinigung konkret bezieht.
Zu Beginn jeder Prüfung nach IDW PS 880 wird der Prüfungsgegenstand genau festgelegt. Dazu gehört die genaue Bezeichnung der Software und ihrer Version, der geprüfte Funktionsumfang – etwa ob nur die Finanzbuchhaltung oder auch angrenzende Module wie Fakturierung, Anlagenbuchhaltung oder Archivierung betrachtet werden – sowie die technischen Rahmenbedingungen, unter denen geprüft wurde. Diese Abgrenzung ist keine Formalie, sondern der Kern für das Verständnis: Alles, was außerhalb des definierten Gegenstands liegt, ist von der Aussage nicht erfasst.
Ebenso wichtig sind die zugrunde gelegten Anforderungskriterien. Der Prüfer legt fest, an welchem Maßstab er die Software misst – im Fall einer GoBD-Bescheinigung sind das die einschlägigen GoBD-Grundsätze, gegebenenfalls ergänzt um weitere handels- und steuerrechtliche Ordnungsvorschriften. Diese Kriterien werden in der Bescheinigung benannt, sodass nachvollziehbar ist, woran die Software gemessen wurde. Wer eine Bescheinigung liest, sollte deshalb zuerst prüfen, welche Version, welcher Funktionsumfang und welche Kriterien genannt sind.
Die eigentliche Aussage einer Softwarebescheinigung nach IDW PS 880 ist bewusst zurückhaltend formuliert. Sie besagt im Kern, dass die geprüfte Software bei ordnungsgemäßer Anwendung geeignet ist, die zugrunde gelegten Anforderungen zu erfüllen. Sie beschreibt in der Regel die geprüften Programmfunktionen, die dokumentierten Verfahren des Herstellers und das Ergebnis der Beurteilung. Zusätzlich enthält sie oft Hinweise darauf, welche Voraussetzungen der Anwender schaffen muss, damit die ordnungsmäßige Anwendung überhaupt gelingt.
Genau diese Formulierung „bei ordnungsgemäßer Anwendung“ ist die entscheidende Einschränkung. Sie macht deutlich, dass die Bescheinigung eine bedingte Aussage ist: Sie gilt unter der Voraussetzung, dass der Anwender die Software so einsetzt, wie es die Dokumentation vorsieht, und die notwendigen organisatorischen Maßnahmen ergreift. Fehlkonfiguration, missbräuchliche Nutzung oder das Umgehen von Kontrollfunktionen fallen nicht in den Verantwortungsbereich der Bescheinigung. Sie ist damit eine Aussage über das Werkzeug, nicht über die Hand, die es führt.
Ebenso wichtig wie die Aussage ist das, was eine Bescheinigung nicht leistet. Sie ist kein Nachweis, dass die Buchführung eines konkreten Unternehmens ordnungsmäßig ist. Sie ersetzt weder die Betriebsprüfung noch die Verantwortung des Steuerpflichtigen. Sie garantiert nicht, dass ein Finanzamt die Buchführung anerkennt. Und sie sagt nichts darüber aus, ob das Unternehmen die Software richtig konfiguriert, seine Prozesse angemessen gestaltet oder eine vollständige Verfahrensdokumentation führt.
Diese Grenzen sind keine Schwäche der Bescheinigung, sondern folgen zwingend aus ihrer Natur als Produktprüfung. Ein Werkzeughersteller kann bescheinigen, dass ein Werkzeug für einen bestimmten Zweck geeignet ist – ob damit am Ende ein gutes Werkstück entsteht, hängt vom Handwerker ab. Wer diese Grenzen kennt, vermeidet den gefährlichsten Fehler im Umgang mit Testaten: sich in falscher Sicherheit zu wiegen und die eigene Verantwortung zu vernachlässigen.
Eine Prüfung nach IDW PS 880 ist kein oberflächlicher Blick auf ein paar Bildschirmmasken, sondern eine strukturierte, dokumentierte Untersuchung. Beauftragt wird sie in der Regel vom Softwarehersteller selbst, der ein Interesse daran hat, die Eignung seines Produkts belegen zu können. Der Prüfer – ein Wirtschaftsprüfer oder eine Wirtschaftsprüfungsgesellschaft – handelt dabei nach berufsständischen Grundsätzen: unabhängig, gewissenhaft und mit einer eigenen fachlichen Verantwortung für das Ergebnis.
Der Wert einer Bescheinigung steht und fällt mit der Unabhängigkeit und fachlichen Qualifikation des Prüfers. Wirtschaftsprüfer unterliegen strengen berufsrechtlichen Anforderungen und einer Berufshaftung. Wenn sie eine Bescheinigung unterschreiben, übernehmen sie die Verantwortung dafür, dass die Prüfung sachgerecht durchgeführt wurde und die Aussage tragfähig ist. Genau das unterscheidet ein Testat von einer bloßen Werbeaussage: Hinter ihm steht eine haftungsbewehrte, unabhängige fachliche Instanz.
Der Prüfer legt zu Beginn den Auftrag und den Prüfungsgegenstand fest, klärt die anzuwendenden Kriterien und plant die Prüfungshandlungen. Er verschafft sich ein Verständnis der Software, ihrer Funktionen und der ihr zugrunde liegenden Verfahren. Dabei stützt er sich sowohl auf die Dokumentation des Herstellers als auch auf eigene Untersuchungen und Tests. Die Prüfung ist damit ein Zusammenspiel aus der Beurteilung dessen, was der Hersteller beschreibt, und der eigenständigen Überprüfung, ob die Software das tatsächlich leistet.
Im Verlauf einer Prüfung nach IDW PS 880 kommen verschiedene Prüfungshandlungen zusammen. Der Prüfer analysiert die Programmfunktionen, die für die Ordnungsmäßigkeit relevant sind – etwa die Protokollierung von Änderungen, die Sicherung der Unveränderbarkeit, die Belegverwaltung, die Journalführung und die Auswertbarkeit der Daten. Er sichtet die Programm- und Verfahrensdokumentation des Herstellers und beurteilt, ob sie vollständig, verständlich und mit dem tatsächlichen Verhalten der Software konsistent ist. Und er führt eigene Tests durch, um zu überprüfen, ob die beschriebenen Funktionen in der Praxis wie dokumentiert arbeiten.
Am Ende steht die Bescheinigung. Fällt die Beurteilung positiv aus, bestätigt der Prüfer, dass die geprüfte Software bei ordnungsgemäßer Anwendung die zugrunde gelegten Anforderungen erfüllen kann, und benennt die Reichweite sowie die Voraussetzungen dieser Aussage. Ergeben sich Einschränkungen oder Vorbehalte, werden diese ausdrücklich vermerkt. Eine seriöse Bescheinigung ist damit nicht nur ein „Bestanden“, sondern ein differenziertes Dokument, das die Grenzen der Aussage transparent macht.
Ein oft übersehener Punkt ist die zeitliche Gültigkeit. Eine Bescheinigung bezieht sich auf den geprüften Stand der Software zu einem bestimmten Zeitpunkt. Software entwickelt sich weiter – neue Versionen, geänderte Funktionen und Updates können den geprüften Zustand verändern. Deshalb ist eine Bescheinigung keine dauerhafte Garantie, sondern eine Momentaufnahme. Bei wesentlichen Änderungen des Produkts ist eine erneute oder ergänzende Prüfung erforderlich, damit die Aussage weiterhin trägt. Wer ein Testat bewertet, sollte deshalb auch auf dessen Datum und den Versionsbezug achten.
Wenn ein Testat aussagt, die Software sei „bei ordnungsgemäßer Anwendung“ geeignet, dann ist die Verfahrensdokumentation genau der Ort, an dem diese ordnungsgemäße Anwendung beschrieben und nachgewiesen wird. Sie dokumentiert, wie das Unternehmen die Software konkret einsetzt, welche Prozesse es dabei verfolgt und wie es die Ordnungsmäßigkeit sicherstellt. Damit ist sie das entscheidende Bindeglied zwischen dem Produkt-Testat und der gelebten Praxis im Betrieb.
Die GoBD verlangen vom Steuerpflichtigen eine Verfahrensdokumentation, die die eingesetzten Verfahren nachvollziehbar beschreibt. Sie soll einem sachverständigen Dritten in angemessener Zeit ermöglichen, sich einen Überblick über die Organisation und den Ablauf der datenverarbeitenden Prozesse zu verschaffen. Konkret beschreibt sie unter anderem, welche Systeme im Einsatz sind, wie Belege erfasst, verarbeitet, gebucht und archiviert werden, welche Kontrollen greifen und wie die Unveränderbarkeit der Daten gesichert ist.
Umgekehrt ist ein Testat ein hilfreicher Baustein für die eigene Verfahrensdokumentation. Es liefert dem Unternehmen belastbare Aussagen über die Eignung der eingesetzten Software, die es in seine Dokumentation aufnehmen und referenzieren kann. So muss das Unternehmen nicht selbst nachweisen, dass die Software grundsätzlich in der Lage ist, die Anforderungen zu erfüllen – dieser Teil ist durch die Bescheinigung des Prüfers bereits fachlich untermauert. Das entlastet die eigene Dokumentation an genau der Stelle, an der es sinnvoll ist.
Die Arbeit, die dann bleibt, ist die Beschreibung des konkreten Einsatzes: Welche Funktionen der Software werden genutzt, wie sind sie konfiguriert, welche Prozesse laufen um sie herum, wer trägt welche Verantwortung? Genau diese Beschreibung ist es, die eine Betriebsprüfung interessiert – und die kein Hersteller-Testat der Welt vorwegnehmen kann. Das Testat beantwortet die Frage nach dem Werkzeug, die Verfahrensdokumentation die Frage nach seiner Verwendung.
Neben der Dokumentation verlangen die GoBD ein wirksames internes Kontrollsystem. Damit sind organisatorische und technische Maßnahmen gemeint, die sicherstellen, dass die Ordnungsmäßigkeitsgrundsätze im Alltag auch tatsächlich eingehalten werden. Dazu gehören etwa Zugriffs- und Berechtigungskonzepte, die Trennung von Funktionen, Plausibilitätsprüfungen, Abstimmungen und Kontrollen bei der Belegerfassung sowie die regelmäßige Überprüfung, ob die Verfahren noch mit der Dokumentation übereinstimmen.
Ein Testat kann viele dieser Kontrollen technisch ermöglichen – etwa durch ein differenziertes Berechtigungssystem oder eine lückenlose Protokollierung. Ob diese Möglichkeiten aber tatsächlich genutzt und gelebt werden, entscheidet sich im Betrieb. Interne Kontrollen sind kein einmaliges Projekt, sondern ein lebendiger Bestandteil des Tagesgeschäfts, der regelmäßig überprüft und an Veränderungen angepasst werden muss. Hier liegt oft die eigentliche Herausforderung – und der eigentliche Wert – einer GoBD-konformen Organisation.
Der Markt für Buchhaltungs- und ERP-Software ist umkämpft, und „GoBD-konform“ ist ein starkes Verkaufsargument. Entsprechend vielfältig sind die Formen, in denen Konformität behauptet oder belegt wird. Für den Anwender ist es wichtig, die Spreu vom Weizen zu trennen: Eine haftungsbewehrte Bescheinigung eines unabhängigen Wirtschaftsprüfers wiegt fachlich schwerer als eine selbst formulierte Zusicherung des Herstellers. Beides kann seinen Platz haben, aber die Aussagekraft ist verschieden.
Eine Softwarebescheinigung nach IDW PS 880 wird von einer unabhängigen, fachlich qualifizierten und haftenden Instanz erteilt – dem Wirtschaftsprüfer. Sie beruht auf einer definierten Methodik, benennt Prüfungsgegenstand und Kriterien und macht ihre Grenzen transparent. Eine Herstellererklärung hingegen ist eine Aussage des Anbieters über sein eigenes Produkt. Sie kann durchaus zutreffend und sorgfältig erstellt sein, aber sie ist eben eine Selbstauskunft ohne unabhängige Prüfung. Der Hersteller bewertet sich in diesem Fall selbst.
Das bedeutet nicht, dass eine Herstellererklärung wertlos wäre – viele seriöse Anbieter beschreiben darin nachvollziehbar, wie ihre Software die GoBD-Anforderungen unterstützt. Aber sie ersetzt keine unabhängige Prüfung und trägt nicht dieselbe Autorität. Wer auf Nummer sicher gehen will, unterscheidet klar, ob eine Aussage vom Hersteller selbst oder von einem unabhängigen Prüfer stammt, und gewichtet sie entsprechend.
Auch der Begriff Zertifikat verdient eine genaue Betrachtung. Zertifikate können von unterschiedlichsten Stellen nach unterschiedlichsten Maßstäben vergeben werden. Manche beruhen auf anerkannten Normen und unabhängigen Prüfungen, andere sind eher Prüfsiegel mit begrenzter Aussagekraft. Entscheidend sind immer dieselben Fragen: Wer hat das Zertifikat vergeben, auf welcher Grundlage, mit welcher Unabhängigkeit und mit welcher Reichweite? Ein Siegel allein sagt wenig, wenn diese Fragen unbeantwortet bleiben.
Im Kontext der GoBD ist die Bescheinigung nach IDW PS 880 der am klarsten definierte und im steuerlichen Umfeld anerkannte Weg, die Eignung einer Software fachlich zu belegen. Andere Zertifikate können ergänzende Informationen liefern, etwa zur Informationssicherheit oder zur Datenverarbeitung, ersetzen aber die spezifische Aussage einer GoBD-Softwarebescheinigung nicht. Wichtig bleibt, jedes Papier daraufhin zu prüfen, was es konkret aussagt – und was nicht.
So nützlich eine Bescheinigung ist, ihre Grenzen sollten immer präsent bleiben. Sie gilt für eine bestimmte Version und einen bestimmten Funktionsumfang, nicht pauschal für alle Produktvarianten. Sie ist eine Momentaufnahme und verliert mit wesentlichen Änderungen an Aussagekraft. Sie bezieht sich auf die Eignung der Software, nicht auf deren konkreten Einsatz. Und sie schafft keine Bindungswirkung gegenüber dem Finanzamt: Die abschließende Beurteilung der Ordnungsmäßigkeit im Rahmen einer Betriebsprüfung bleibt Sache der Finanzverwaltung.
Diese Grenzen sind kein Grund, auf Testate zu verzichten – im Gegenteil, ein Testat ist ein wertvolles Signal. Sie sind aber ein Grund, das Testat richtig einzuordnen und nicht als Ersatz für die eigene Sorgfaltspflicht zu missverstehen. Die häufigste und teuerste Fehlannahme lautet: „Wir haben testierte Software, also sind wir GoBD-konform.“ Diese Gleichung geht nicht auf – der Rest dieses Beitrags zeigt, worauf es stattdessen ankommt.
Die Auswahl einer Buchhaltungs- oder ERP-Software ist eine strategische Entscheidung mit langer Wirkung. Ein Testat nach IDW PS 880 kann dabei helfen, seriöse Anbieter zu erkennen und das Risiko einer ungeeigneten Software zu senken. Es sollte aber in einen breiteren Kriterienkatalog eingebettet sein, der auch Funktionsumfang, Integrationsfähigkeit, Support, Datenexport, Datenhoheit und die langfristige Verfügbarkeit der Daten berücksichtigt. Wer sich allein am Testat orientiert, greift zu kurz.
Bei der Auswahl lohnt es sich, das Testat als Qualitätsindikator zu nutzen, ohne es zu verabsolutieren. Fragen Sie den Anbieter nach einer aktuellen Bescheinigung, lassen Sie sich das Dokument vorlegen und prüfen Sie die drei entscheidenden Angaben: Bezieht es sich auf die Version und die Module, die Sie einsetzen wollen? Ist es hinreichend aktuell? Und welche Voraussetzungen für die ordnungsgemäße Anwendung nennt es? Ein Anbieter, der ein aktuelles, differenziertes Testat vorlegen kann und offen über dessen Reichweite spricht, zeigt damit fachliche Ernsthaftigkeit.
Umgekehrt sollte das Fehlen eines Testats nicht automatisch als Ausschlusskriterium verstanden werden – es kann auch bei kleineren, spezialisierten Anbietern schlicht am Aufwand liegen. Wichtiger als das bloße Vorhandensein eines Papiers ist, ob die Software die relevanten Funktionen tatsächlich beherrscht: nachvollziehbare Protokollierung, Unveränderbarkeit, saubere Belegverbindung, revisionssichere Archivierung und ein vollständiger, maschinell auswertbarer Datenexport. Diese Funktionen lassen sich auch unabhängig vom Testat prüfen und in einer Teststellung erproben.
Nach der Auswahl beginnt der Teil, den kein Testat abnimmt: die ordnungsgemäße Einrichtung und der Betrieb. Eine Software, die grundsätzlich geeignet ist, kann durch Fehlkonfiguration ihre Ordnungsmäßigkeit verlieren. Deshalb sind die Ersteinrichtung, das Berechtigungskonzept, die Konfiguration der Protokollierung und Archivierung sowie die Einrichtung der Kontrollmechanismen entscheidend. Hier lohnt es sich, die Hinweise des Herstellers zur ordnungsgemäßen Anwendung ernst zu nehmen – oft finden sie sich genau in der zum Testat gehörenden Dokumentation.
Ein in der Auswahl oft unterschätzter Punkt ist der Datenzugriff. Die GoBD verlangen, dass steuerrelevante Daten der Finanzverwaltung im Rahmen einer Prüfung in auswertbarer Form zur Verfügung stehen. Eine geeignete Software muss deshalb einen vollständigen, strukturierten Datenexport unterstützen, der eine maschinelle Auswertung ermöglicht. Prüfen Sie frühzeitig, ob und in welchem Format die Software diesen Export leistet – spätestens in der Betriebsprüfung wird dieser Punkt relevant, und ein nachträglicher Wechsel ist aufwendig.
Der Mittelstand verfügt selten über eine eigene Abteilung für steuerliche Compliance. Die Verantwortung für eine ordnungsmäßige Buchführung liegt oft bei der Geschäftsführung, der Buchhaltung und dem Steuerberater gemeinsam. In dieser Konstellation ist ein Software-Testat ein willkommener Anker: Es signalisiert, dass die eingesetzte Software von einer unabhängigen Instanz als grundsätzlich geeignet beurteilt wurde. Diese Orientierung ist wertvoll – solange sie nicht mit einer Garantie verwechselt wird.
Die vielleicht wichtigste Botschaft für den Mittelstand lautet: Ein Testat verschiebt die Verantwortung nicht. Rechtlich bleibt der Steuerpflichtige für die Ordnungsmäßigkeit seiner Buchführung verantwortlich – unabhängig davon, welche Software mit welchem Testat eingesetzt wird. Die Bescheinigung ist ein hilfreicher Baustein, aber sie ändert nichts an dieser grundlegenden Verantwortungsverteilung. Wer das verinnerlicht, geht das Thema mit der richtigen Haltung an: Das Testat unterstützt, aber es befreit nicht.
Praktisch bedeutet das, dass ein Unternehmen auch mit testierter Software seine Hausaufgaben machen muss: die Software richtig konfigurieren, Prozesse ordnungsmäßig gestalten, Kontrollen leben und eine Verfahrensdokumentation führen. Genau hier liegt die Chance für den Mittelstand, sich mit überschaubarem, aber gezieltem Aufwand solide aufzustellen. Die Zusammenarbeit mit dem Steuerberater und gegebenenfalls externer Unterstützung hilft, die Lücke zwischen der Eignung der Software und der gelebten Ordnungsmäßigkeit zu schließen.
Viele Unternehmen erhoffen sich vom Testat vor allem eines: Rechtssicherheit. Diese Erwartung ist verständlich, aber sie muss richtig eingeordnet werden. Ein Testat schafft fachliche Klarheit über die Eignung der Software und ist ein starkes Argument in der Diskussion mit der Betriebsprüfung. Eine absolute, verbindliche Rechtssicherheit im Sinne einer Garantie kann es jedoch nicht bieten – schon deshalb, weil die abschließende Beurteilung der Ordnungsmäßigkeit der Finanzverwaltung und letztlich den Gerichten obliegt.
Realistisch betrachtet, erhöht ein Testat die Argumentationsstärke eines Unternehmens erheblich. Wer eine testierte Software einsetzt, sie ordnungsgemäß konfiguriert und den Einsatz dokumentiert, hat gute Argumente, dass die technische Grundlage seiner Buchführung geeignet ist. Das nimmt einer möglichen Diskussion viel Schärfe und verlagert sie auf die tatsächlich relevanten Fragen des konkreten Einsatzes. Rechtssicherheit entsteht damit nicht durch das Testat allein, sondern durch das Zusammenspiel von geeigneter Software, ordnungsmäßigem Einsatz und lückenloser Dokumentation.
Umgekehrt schützt ein Testat nicht vor Beanstandungen, wenn der Einsatz mangelhaft ist. Werden Kontrollfunktionen umgangen, Belege nicht zeitgerecht erfasst oder die Verfahrensdokumentation vernachlässigt, hilft auch die beste Software nicht. Rechtssicherheit ist also kein Zustand, den man einkauft, sondern das Ergebnis konsequenter, dokumentierter Sorgfalt. Das Testat ist ein Baustein dieser Sorgfalt, nicht ihr Ersatz.
Beim Thema Haftung sind mehrere Ebenen zu unterscheiden. Der Wirtschaftsprüfer haftet im Rahmen seiner Berufshaftung dafür, die Prüfung sachgerecht durchgeführt und die Bescheinigung fachlich vertretbar erteilt zu haben – bezogen auf die geprüfte Software und die benannte Reichweite. Der Hersteller trägt die Verantwortung dafür, dass sein Produkt die zugesicherten Eigenschaften aufweist. Der Anwender schließlich verantwortet den ordnungsmäßigen Einsatz und die Ordnungsmäßigkeit seiner Buchführung.
Diese Verteilung macht deutlich, dass ein Testat keine Haftung des Prüfers für die Buchführung eines Anwenders begründet. Der Prüfer steht für seine Aussage über die Software ein, nicht für das, was ein Unternehmen daraus macht. Die konkrete rechtliche Ausgestaltung von Haftungsfragen ist komplex, hängt vom Einzelfall ab und ist eine ausgesprochene Rechtsfrage. Für eine verbindliche Beurteilung sind eine zur Rechtsberatung befugte Person und Ihr Steuerberater die richtigen Ansprechpartner; dieser Beitrag ersetzt eine solche Beratung nicht.
Weil steuerrelevante Daten heute häufig in Cloud-Systemen und bei externen Dienstleistern verarbeitet und gespeichert werden, rückt die Datenhoheit in den Blick. Buchhaltungs- und ERP-Systeme enthalten sensible Informationen – zu Umsätzen, Kunden, Lieferanten und teils zu personenbezogenen Daten. Bei der Auswahl eines Anbieters sollten deshalb der Serverstandort, die Frage nach einer Verarbeitung innerhalb Deutschlands oder der EU und mögliche Datentransfers in Drittländer bewusst betrachtet werden. Ein Testat sagt zu diesen Aspekten in der Regel nichts aus – es ist eine eigenständige Prüfdimension.
Praktisch gehören der Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter und die vertraglichen Garantien in jede Prüfung, ebenso die Frage, wie und in welchem Format die Daten am Ende der Vertragsbeziehung zurückgegeben oder exportiert werden können. Diese datenschutzrechtliche Sorgfalt fügt sich nahtlos in die Anforderungen an eine langfristige Datenverfügbarkeit ein, die auch die GoBD stellen. So verbinden sich steuerliche Ordnungsmäßigkeit und Datenschutz zu einer gemeinsamen Sorgfaltspflicht bei der Dienstleisterauswahl.
