E-Invoice Finder
Menu
Länder Software Fristen Leitfäden Check Pflicht prüfen
ENFRDEPLNL
Polen · Zugriffskontrolle in der Buchhaltung

KSeF-Berechtigungsmatrix für eine Steuerkanzlei erstellen

Erstellen Sie eine KSeF-Berechtigungsmatrix nach Minimalprinzip für Kanzlei, Mandanten und Shared Services – mit Rollen, Tests und Offboarding.

Kurzfazit:
  • Jede Freigabe braucht einen fachlichen Eigentümer und ein Ablaufdatum für die Überprüfung.
  • Kritisch ist der falsche Mandantenkontext, nicht nur ein zu weit gefasstes Einzelrecht.
  • Ein Freigabeprotokoll ist erst mit Negativtest und Rücknahme-Nachweis vollständig.
Polen-Readiness-BerichtOffizielle Quellen
Zuletzt geprüft: 26. Juli 2026Offizielle QuellenKlare ZusammenfassungPraktische Information, keine Rechtsberatung
Offizielle Quellen priorisiert
Prüfdatum sichtbar
Kostenloser Check ohne Registrierung

Was Sie wissen müssen

Leitfaden

Praktischer Geltungsbereich: erst Prozesse und Mandanten erfassen

Beginnen Sie nicht mit Benutzernamen, sondern mit den tatsächlichen Arbeitsabläufen: Wer ruft Eingangsrechnungen ab, wer erstellt Ausgangsrechnungen, wer korrigiert Fehler und wer verwaltet Zugriffe? Erfassen Sie je Mandant Rechtsform, KSeF-Kontext, eingesetzte Buchhaltungssoftware, Vertretungsmodell, Fristen und zuständige Teams. Die polnische Finanzverwaltung empfiehlt Buchhaltungsdienstleistern ausdrücklich, Mandantenprozesse abzubilden, Vereinbarungen und Regeln der Zusammenarbeit zu aktualisieren, die Softwareintegration zu prüfen sowie Ausstellung und Empfang in Test- und Vorproduktions- beziehungsweise Demo-Umgebungen zu erproben. Halten Sie Abweichungen fest: Ein Kleinmandant mit reiner Belegbuchung benötigt ein anderes Modell als eine Gruppe mit Shared Service Center. Das Ergebnis ist ein abgegrenztes Register, keine allgemeine Vollmacht. Diese praktische Orientierung ersetzt keine Rechts- oder Steuerberatung.

Leitfaden

Identität, Authentifizierung und Autorisierung sauber trennen

Drei Ebenen gehören in die Matrix. Die Identität beantwortet, welche natürliche Person oder Organisation handelt. Die Authentifizierung weist diese Identität mit einem aktuell unterstützten KSeF-Verfahren nach. Die Autorisierung bestimmt anschließend, welche Vorgänge im gewählten Kontext zulässig sind. Ein erfolgreiches Login beweist daher nicht, dass Rechnungen gelesen, ausgestellt oder Rechte verwaltet werden dürfen. Dokumentieren Sie pro Rolle Identitätsinhaber, Authentifizierungsmittel, erlaubte Mandanten, erlaubte Aktionen und technische Schnittstelle. Zertifikate, private Schlüssel und persönliche Zugangsmittel dürfen weder geteilt noch in Teamordnern abgelegt werden. Die MCU-Hinweise betonen sorgfältigen Umgang mit Zertifikaten und Zugängen. Prüfen Sie außerdem, wie Sperrung, Erneuerung und Verlustbehandlung funktionieren, und testen Sie die Autorisierung separat in Oberfläche und API.

Leitfaden

Mandant an Kanzlei und Kanzlei an Mitarbeiter: zwei getrennte Entscheidungen

Der Mandant muss der Kanzlei die passenden Rechte einräumen; dies ist von der internen Zuordnung zu namentlich bestimmten Beschäftigten zu trennen, sofern das aktuelle KSeF-Modell so eingesetzt wird. Legen Sie vorab fest, ob der Zugriff an die Kanzleieinheit oder unmittelbar an eine benannte Person erteilt wird und wer ihn genehmigt. Für Unternehmen, die eine bevollmächtigte Person bestimmen müssen, kann je nach Fall der einschlägige ZAW-FA-Weg relevant sein; er ist weder für jede Organisation noch für jeden Benutzer pauschal erforderlich. Offizielle Tutorials unterscheiden Rechte einer natürlichen Person für einen ausgewählten Mandanten von Rechten für alle Mandanten und zeigen auch den Entzug. Welche indirekten oder weitergegebenen Rechte heute technisch fortbestehen, sichtbar sind oder entfallen, muss in der aktuellen KSeF-Oberfläche beziehungsweise API und im Vertrag geprüft werden.

Leitfaden

Rollenmatrix mit Lesen, Ausstellen und Rechteverwaltung

Bauen Sie die Matrix aus Aufgaben statt aus Stellenbezeichnungen. Beispiel: Eine Sachbearbeitung für Eingangsbelege erhält „Rechnungen anzeigen“, aber weder „Rechnungen ausstellen“ noch „Rechte verwalten“. Ein Fakturierungsteam darf für ausgewählte Mandanten ausstellen, benötigt jedoch nicht automatisch Einsicht in sämtliche Eingangsrechnungen. Eine fachliche Administration kann „Rechte verwalten“ erhalten; „weitere Rechte erteilen“ ist noch enger zu begrenzen und mit Vier-Augen-Freigabe zu versehen. Die offiziellen KSeF-Informationen führen unter anderem Anzeigen, Ausstellen, Rechteverwaltung und Weitererteilung als unterscheidbare Rechte auf. MCU beschreibt Eigentümerrechte unter anderem für Rechte- und Untereinheitenverwaltung sowie Einsicht in Rechte und weist darauf hin, dass Eigentümerrechte nicht entzogen werden können. Behandeln Sie diese deshalb nicht wie eine gewöhnliche Betriebsrolle. Ergänzen Sie je Matrixzelle Zweck, Genehmiger, Laufzeit und Nachweis.

Leitfaden

Mehrere Mandanten und Shared Services konsequent trennen

Ein Shared-Service-Team braucht nicht automatisch denselben Umfang für alle Gesellschaften. Ordnen Sie jede Rolle einer Positivliste aus Mandanten, Rechtsträgern und Tätigkeiten zu. Vor jeder Aktion muss der aktuelle Mandantenkontext sichtbar bestätigt werden; speichern Sie Mandantennummer, KSeF-Kontext und Belegreferenz im Arbeitsnachweis. Vermeiden Sie globale Rechte nur aus Bequemlichkeit. Trennen Sie Warteschlangen, Exporte, API-Konfigurationen und Fehlerlisten so, dass Belege eines Mandanten nicht in den Prozess eines anderen gelangen. Für Vertretungen gilt dieselbe Segmentierung. Prüfen Sie technisch, ob ein Benutzer zwischen Mandanten wechseln kann, welche indirekten Rechte angezeigt werden und was ein Mandant über Beschäftigte der Kanzlei sieht. Die offiziellen FAQs vom 27. April 2026 formulieren hierzu wiederkehrende Fragen; soweit dort nur Fragen veröffentlicht sind, darf die konkrete Systemwirkung nicht unterstellt werden.

Leitfaden

Joiner, Mover, Leaver, Vertretung und Unterauftragnehmer steuern

Beim Eintritt erhält eine Person erst nach Schulung, benannter Rolle und dokumentierter Freigabe Zugang. Bei Aufgaben- oder Teamwechsel werden alte Rechte vor oder gleichzeitig mit den neuen entfernt; bloßes Hinzufügen erzeugt schleichende Überberechtigung. Beim Austritt sperren Sie Authentifizierungsmittel, entziehen interne und mandantenbezogene Zuweisungen, prüfen offene Sitzungen und sichern Nachweise noch am selben Arbeitstag. Zeitweilige Vertretungen brauchen Start- und Endzeit, begrenzte Mandanten und automatische oder kontrollierte Rücknahme. Unterauftragnehmer erhalten nur vertraglich erlaubte Einzelzugriffe, keine gemeinsam genutzten Konten, persönlichen Schlüssel oder Sammelzugänge. Verlangen Sie Vertraulichkeit, Sicherheitsvorgaben, Meldewege und Rückgabe- beziehungsweise Löschbelege. Nach jedem Lifecycle-Ereignis führt eine unabhängige Person eine Rezertifizierung durch; besonders geprüft werden weitererteilte Rechte und verwaiste technische Zugänge.

Leitfaden

Sechs Abnahmeszenarien mit Positiv- und Negativnachweis

Testen Sie genau definierte Fälle: 1. Die Lesere Rolle öffnet eine Eingangsrechnung des erlaubten Mandanten; Export und Protokolle belegen den Erfolg. 2. Dieselbe Rolle versucht auszustellen; KSeF muss ablehnen, und die Fehlermeldung wird gesichert. 3. Die Ausstellungsrolle sendet eine Testrechnung im richtigen Mandantenkontext; Status, Zeit und Beleg-ID werden abgeglichen. 4. Sie versucht dasselbe für einen nicht zugewiesenen Mandanten; der Zugriff muss scheitern. 5. Eine Administrationsrolle erteilt im genehmigten Testumfang ein befristetes Recht und entzieht es wieder; Genehmigung, Vorher-nachher-Ansicht und Auditspur bilden den Nachweis. 6. Nach simuliertem Austritt schlagen Oberfläche und API fehl, während Rechnungsverarbeitung anderer Rollen weiterläuft. Führen Sie die Fälle in den vorgesehenen Test- und Demo-Umgebungen durch und verifizieren Sie kritische Kontrollen nach dem Produktivstart erneut.

Leitfaden

Fehler, Vorfälle und vertragliche Verantwortung beherrschen

Typische Fehler sind globale Rechte, unklare Mandantenauswahl, nicht entzogene Vertretungen, geteilte Zugangsdaten und fehlende Kontrolle technischer Konten. Bei einem Vorfall stoppen Sie die betroffene Sitzung oder Integration, sichern unveränderbare Protokolle, bestimmen Mandanten und Zeitraum, informieren die festgelegten Ansprechpartner und gleichen ausgestellte sowie abgerufene Rechnungen mit Buchhaltung und KSeF-Status ab. Danach werden Zugangsmittel ersetzt, Rechte korrigiert und Negativtests wiederholt. Der Vertrag sollte festlegen, wer Rechte beantragt und genehmigt, wer Zertifikate verwahrt, wer Mitarbeiterwechsel meldet, wer Protokolle bereitstellt und wer bei Fehlbuchung oder unberechtigtem Zugriff reagiert. Offizielle FAQs behandeln unter anderem Verzicht durch Vermittler und Folgen verlorener Administratorzugriffe, liefern im extrahierten Fragenstand aber nicht zwingend die Antwort. Regeln Sie solche Punkte daher nicht durch Annahmen, sondern durch aktuelle Prüfung und klare Zuständigkeit.

Leitfaden

Entscheidungskriterien und nächste Schritte

Die passende Struktur erfüllt fünf Kriterien: geringstmöglicher Umfang, eindeutiger Mandantenbezug, personelle Nachvollziehbarkeit, technisch bestandene Positiv- und Negativtests sowie schnelle Rücknahme. Entscheiden Sie zunächst, ob der Mandant die Kanzleieinheit oder eine benannte Person autorisieren soll und ob interne Delegation benötigt wird. Gleichen Sie jede Variante mit dem aktuellen KSeF-Rechtemodell, der Softwareintegration und den Vertragsklauseln ab. Erstellen Sie dann eine Pilotmatrix für zwei unterschiedlich komplexe Mandanten, lassen Sie beide Seiten genehmigen und führen Sie die sechs Abnahmeszenarien aus. Vor dem Rollout müssen offene Fragen zu Weitererteilung, Sichtbarkeit, Administratorverlust und Unterauftragnehmern geklärt sein. Planen Sie vierteljährliche Rezertifizierung sowie anlassbezogene Kontrollen bei Rollenwechseln. Bewahren Sie Matrixversion, Anträge, Genehmigungen, Testergebnisse, Protokolle, Abgleich und Entzugsbestätigungen als zusammenhängendes Evidenzpaket auf.

Checkliste

Alle Mandanten, Rechtsträger, KSeF-Kontexte und zuständigen Teams in einem freigegebenen Register erfassen.

Pro Arbeitsablauf genau festlegen, ob Anzeigen, Ausstellen, Rechteverwaltung oder Weitererteilung erforderlich ist.

Mandantenseitige Erteilung und interne Zuweisung an namentliche Mitarbeiter getrennt dokumentieren.

Den gegebenenfalls einschlägigen ZAW-FA-Weg je Rechtsträger prüfen, statt ihn pauschal vorauszusetzen.

Für jede Rolle verbotene Aktionen und nicht zugängliche Mandanten ausdrücklich als Negativanforderung notieren.

Authentifizierungsmittel und private Schlüssel personengebunden verwahren und niemals gemeinsam nutzen.

Lesen, Ausstellen, Kontextwechsel, Rechtevergabe und Entzug in Test- und Demo-Umgebungen nachweisen.

Eintritt, Wechsel, Austritt, befristete Vertretung und Unterauftragnehmer mit Fristen und Genehmigern abbilden.

KSeF-Protokolle regelmäßig mit Buchhaltung, Belegstatus und internem Arbeitsnachweis abgleichen.

Matrix, Vertrag und Zugriffsnachweise quartalsweise sowie nach jedem Vorfall neu zertifizieren.

Häufige Fragen

Soll der Mandant die Kanzlei oder eine benannte Person berechtigen?

Das hängt vom aktuellen KSeF-Modell, der Rechtsform, dem gewünschten Vertretungsweg und der Arbeitsorganisation ab. Trennen Sie die Mandantenentscheidung von der internen Zuweisung an Beschäftigte. Prüfen Sie beide Varianten im aktuellen offiziellen Werkzeug und halten Sie im Vertrag fest, wer beantragt, genehmigt, weiterzuweist und entzieht. ZAW-FA kann in bestimmten Fällen relevant sein, ist aber kein allgemeiner Pflichtweg für jede Person.

Kann eine Kanzlei nur Leserechte oder nur Ausstellungsrechte erhalten?

Die offiziellen Informationen unterscheiden unter anderem das Anzeigen und das Ausstellen von Rechnungen. Ob die gewünschte Kombination im konkreten Kanzlei-, Mandanten- und Delegationsmodell verfügbar ist, sollte jedoch direkt in der aktuellen KSeF-Oberfläche oder API geprüft werden. Dokumentieren Sie den geschäftlichen Zweck und testen Sie zusätzlich, dass die jeweils nicht erlaubte Aktion tatsächlich abgewiesen wird.

Wie wird der Zugriff über mehrere Mandanten sicher organisiert?

Nutzen Sie eine Positivliste je Rolle und erzwingen Sie eine bewusste Auswahl des Mandantenkontexts. Globale Freigaben sollten eine begründete Ausnahme sein. Prüfen Sie mit Testbelegen, dass Lesen und Ausstellen nur im zugewiesenen Kontext funktionieren und beim falschen Mandanten scheitern. Protokolle müssen Benutzer, Mandant, Aktion, Zeit, Ergebnis und Belegreferenz nachvollziehbar verbinden.

Sieht der Mandant, welcher Kanzleimitarbeiter indirekte Rechte besitzt?

Diese Frage wird in den offiziellen FAQs vom 27. April 2026 aufgegriffen; aus einer veröffentlichten Fragenliste allein sollte aber keine technische Antwort abgeleitet werden. Prüfen Sie die aktuelle Rechteansicht mit einem Testmandanten und halten Sie vertraglich fest, welche Beschäftigten eingesetzt werden dürfen, wie Änderungen gemeldet werden und welcher Nachweis dem Mandanten bereitgestellt wird.

Darf eine Kanzlei Rechte an Mitarbeiter oder Unterauftragnehmer weitergeben?

Unterstellen Sie keine pauschale Weitergabe. Prüfen Sie das Recht zur Weitererteilung, den konkreten Delegationspfad und seine Grenzen im aktuellen KSeF-System und im Mandatsvertrag. Wo Weitererteilung zulässig und nötig ist, sollte sie mit Vier-Augen-Freigabe, namentlichem Empfänger, Mandantenumfang, Ablaufdatum und Entzugsnachweis erfolgen. Unterauftragnehmer dürfen keine gemeinsamen persönlichen Zugangsmittel erhalten.

Was ist beim Austritt eines Kanzleimitarbeiters zu tun?

Sperren Sie das persönliche Authentifizierungsmittel, entfernen Sie interne Rollen und prüfen Sie alle mandantenbezogenen sowie weitererteilten Rechte. Beenden Sie aktive Sitzungen und kontrollieren Sie technische Integrationen, Warteschlangen und offene Vorgänge. Ein Negativtest muss anschließend zeigen, dass weder Oberfläche noch API erreichbar sind. Bewahren Sie Zeitstempel, Genehmigung und Entzugsbestätigung als Offboarding-Nachweis auf.

Was passiert mit delegierten Rechten, wenn ein Administrator seinen Zugriff verliert?

Die offiziellen FAQs behandeln diese Konstellation, doch ohne eine aktuelle, eindeutige Systemantwort sollte kein Fortbestand oder automatischer Entzug behauptet werden. Simulieren Sie den Fall in einer geeigneten Testumgebung, prüfen Sie die aktuelle Dokumentation und vereinbaren Sie einen Wiederherstellungsweg. Erfassen Sie insbesondere Eigentümerrechte, unabhängige Notfalladministration und die Prüfung nachgelagerter Zuweisungen.

Welche Nachweise gehören zu einer belastbaren KSeF-Zugriffskontrolle?

Mindestens erforderlich sind die genehmigte Matrixversion, Mandantenfreigabe, interne Zuweisung, Identitäts- und Authentifizierungsbezug, Positiv- und Negativtests, KSeF- beziehungsweise API-Protokolle sowie Entzugsbestätigungen. Ergänzen Sie den Abgleich mit Rechnungsjournal und Buchhaltung, regelmäßige Rezertifizierungen und Vorfallsunterlagen. Ein Screenshot allein genügt nicht, wenn Kontext, Zeitpunkt und getestete Aktion fehlen.

Wichtige Regeln, Formate und Begriffe

Europäische KommissionEN 16931Richtlinie 2014/55/EUstrukturierte elektronische RechnungKSeF-Berechtigungsmatrix für Steuerkanzleien und Shared-Service-TeamsPolen

Weiterlesen

Offizielle Quellen

Wir priorisieren offizielle Regierungs- und EU-Quellen, soweit verfügbar, und zeigen Prüfdatumsangaben sichtbar an.