ELSTER-Organisationszertifikat im Team: Datei, Passwort und wer es hat

Ein Zertifikat für mehrere Personen: technisch möglich, besser je Person eines

Ein ELSTER-Organisationszertifikat gehört der Firma, nicht einer Person. Es beruht auf der Steuernummer des Unternehmens, und ELSTER erlaubt ausdrücklich, es an Mitarbeiter weiterzugeben, kontrolliert und nur an vertrauenswürdige Personen. Der Leitfaden von Mein Unternehmenskonto beschreibt einen anderen Ablauf: Ein Administrator in der Firma beantragt die Zertifikate, übergibt einzelne davon an ausgewählte Mitarbeitende und kann von jedem eine Kopie aufheben. Die Hilfeseite von Mein Unternehmenskonto empfiehlt, für jeden Mitarbeitenden, der Verwaltungsleistungen nutzt, ein eigenes Benutzerkonto mit Zertifikat anzulegen.

Für ein Zertifikat je Person spricht aus unserer Sicht, was der Leitfaden über die Benutzerkonten schreibt. Zu jedem Zertifikat gehört genau ein Benutzerkonto mit eigenem Postfach. Beantragt jemand darüber eine Genehmigung, kommt sie in dieses Postfach, und Kollegen mit einem anderen Zertifikat sehen sie in der Regel nicht. Über die Account-ID lässt sich jeder Antrag dem Zertifikat zuordnen, mit dem er gestellt wurde. Arbeiten drei Leute mit derselben Datei, weiß hinterher niemand, wer die Voranmeldung abgeschickt hat, und geht einer, müssen alle umstellen.

Persönliches Zertifikat und Organisationszertifikat

ELSTER kennt zwei Arten. Das persönliche Zertifikat beruht auf der Steuer-Identifikationsnummer eines Menschen. Das Organisationszertifikat beruht auf der Steuernummer der Firma, egal ob diese für Umsatzsteuer, Lohnsteuer oder Gewerbesteuer vergeben wurde.

Einzelunternehmer und Solo-Selbständige ohne Organisationszertifikat dürfen sich bei Mein Unternehmenskonto auch mit ihrem persönlichen Zertifikat anmelden. Sobald eine Bürokraft Meldungen abgeben soll, ist das der falsche Weg. Das persönliche Zertifikat des Inhabers bleibt bei ihm, und die Bürokraft bekommt ein Organisationszertifikat. Wer ohne Angestellte arbeitet, braucht den Rest dieser Seite kaum.

In den Tresor der Firma gehört das persönliche Zertifikat nicht, auch nicht in den persönlichen Bereich des Inhabers. Bei Passwortheld können Verantwortliche in der Firma vergessene Master-Passwörter zurücksetzen und kommen damit an jeden persönlichen Bereich, ELSTER verlangt aber, das persönliche Zertifikat nie weiterzugeben.

Zertifikate für Mitarbeiter beantragen

Der Leitfaden empfiehlt, die Beantragung über eine Person in der Firma zu bündeln, den Administrator. Eine Firma kann derzeit bis zu 17.000 Zertifikate beantragen, alle sind gleichwertig, eine Rangfolge zwischen den Benutzerkonten gibt es nicht. So läuft es ab:

1. Bedarf klären. Wer braucht für seine Arbeit Zugang zu ELSTER, Mein Unternehmenskonto oder dem SV-Meldeportal? Für jede dieser Personen ein Zertifikat.
2. Beantragen. Der Administrator registriert unter mein-unternehmenskonto.de/registrierung mit der Steuernummer der Firma, seinem Namen und seiner E-Mail-Adresse ein oder mehrere Zertifikate.
3. Aktivieren. Die Aktivierungs-ID kommt per E-Mail, der Aktivierungsbrief per Post an die Firma, laut Leitfaden in der Regel nach etwa fünf Werktagen. Mit beidem lädt der Administrator innerhalb der Frist aus der E-Mail die Zertifikatsdatei herunter.
4. Übergeben. Der Administrator gibt jeder Person ihr Zertifikat und sagt dazu, wofür sie es benutzen darf. Die Übergabe ist laut Leitfaden eine stillschweigende Vollmacht, die im Regelfall nur für diese Person gilt, und das sollte die Firma ausdrücklich sagen.
5. E-Mail-Adresse umstellen. Die Mitarbeiterin trägt in der Benutzerkontoverwaltung ihre eigene dienstliche Adresse ein. Sonst landen Hinweise auf neue Bescheide beim Administrator.
6. Berechtigungssteuerung. Der Administrator meldet sich dort als Erster an, legt sich als Administrator fest und lädt die anderen Konten ein. Danach hat er einen Überblick über die vergebenen Zertifikate und ihre Inhaber.

Zwei Grenzen der Berechtigungssteuerung nennt der Leitfaden offen: Zertifikate beantragen, sperren oder löschen kann man dort nicht, und für Steuersachen in Mein ELSTER gilt sie unter Umständen gar nicht. Was eine Mitarbeiterin dort tun darf, regelt die Firma deshalb mit einer internen Anweisung. Diese Grenze wirkt laut Leitfaden nur im Innenverhältnis, nach außen kann die Weitergabe eines Zertifikats einen gewissen Rechtsschein setzen. Dieser Text ist keine Rechtsberatung. Behält der Administrator den Aktivierungsbrief eines versehentlich beantragten Zertifikats, verfallen die Daten nach Ablauf der Frist.

Für Post, die mehrere Personen lesen sollen, gibt es Funktionspostfächer im OZG-PLUS-Postfach.

Was der Administrator zu jedem Zertifikat ablegt

Ob der Administrator jederzeit an alle Zertifikate und Postfächer kommen soll, entscheidet laut Leitfaden jede Firma selbst. Wer das will, macht bei der Übergabe eine Kopie. Der Leitfaden nennt diese Angaben:

• Name der Person, die das Zertifikat bekommen hat
• Benutzername
• Kopie der Zertifikatsdatei
• Benutzerkonto-ID (steht nach dem Login bei Mein Unternehmenskonto unter Mein UK, Benutzerkonto)
• hinterlegte E-Mail-Adresse
• Sicherheitsabfrage mit Antwort

Das Passwort steht in Version 2.0 nicht mehr in dieser Liste. Der folgende Absatz verlangt aber, dass der Administrator nach jeder Verlängerung und jedem Passwortwechsel eine aktuelle Kopie der Datei oder die Information zum neuen Passwort bekommt. Ohne Passwort ist die Kopie nutzlos, die Firma muss also festlegen, ob es dazugehört. Verzichtet sie auf Kopien, bleibt laut Leitfaden später noch die Zugangserneuerung. Dafür kommen nach der Anleitung des Landesamts für Steuern Rheinland-Pfalz wie bei der Registrierung neue Aktivierungsdaten.

Im Passwort-Tresor wird daraus ein Eintrag je Zertifikat in einer Sammlung „ELSTER“, die nur der Administrator und eine Vertretung öffnen. Benutzername, Passwort und Sicherheitsantwort stehen in den Feldern, Benutzerkonto-ID und Name der Person in der Notiz, die Datei hängt als Anhang daran.

Verlängerung alle drei Jahre

Eine Zertifikatsdatei gilt drei Jahre. Nach der Klickanleitung des Landesamts für Steuern Rheinland-Pfalz (Stand Juli 2023) erinnert ELSTER etwa 90 Tage vor Ablauf per E-Mail, dann noch einmal 40 und 2 Tage vorher. Zum Verlängern meldet sich die Person mit der alten Datei an und speichert eine neue. Das Passwort bleibt gleich, anmelden lässt sich danach nur noch mit der neuen Datei. Die alte Datei sollte laut Anleitung gelöscht werden, damit beim nächsten Login niemand die falsche wählt.

Für die Ablage heißt das: Am Tag der Verlängerung ersetzt der Administrator den Anhang im Tresor, sonst liegt dort eine Datei, die nichts mehr öffnet. Die Erinnerung geht an die hinterlegte Adresse. Steht dort noch das Postfach einer Kollegin, die vor zwei Jahren gegangen ist, liest sie niemand.

Ist die Frist verpasst, hilft laut Landesamt nur noch die Zugangserneuerung, bei der das Benutzerkonto mit seinen Bescheiden erhalten bleibt. Die Techniker Krankenkasse schreibt für diesen Fall, dass sich die Firma bei ELSTER neu registrieren muss und die bisherigen Login-Daten im SV-Meldeportal danach nicht mehr funktionieren, weil die Firmendaten im neuen Zertifikat abweichen. Wer das SV-Meldeportal nutzt, verlängert deshalb besser rechtzeitig. Am SV-Meldeportal melden sich Firmen laut den Fragen und Antworten der Bundesvereinigung der Deutschen Arbeitgeberverbände (Stand 08.09.2025) nur mit einem Organisationszertifikat an. Wie Lohnbüros das mit Mandaten lösen, steht auf der Seite für Buchhaltungsbüros.

Wenn eine Mitarbeiterin mit Zertifikat die Firma verlässt

Löschen ist der falsche Schritt. Mit dem Benutzerkonto gehen laut Leitfaden auch alle Nachrichten im Postfach verloren. Vorgesehen ist die Zertifikatserneuerung:

1. Mit der hinterlegten Kopie meldet sich der Administrator an und prüft, ob im Postfach noch Bescheide oder Nachrichten liegen, die die Firma braucht.
2. In ELSTER unter „Mein Benutzerkonto“ wählt er „Login wieder ermöglichen“ und gibt Benutzername und hinterlegte E-Mail-Adresse ein.
3. Laut Leitfaden werden mit dem neuen Zertifikat alle bisherigen Dateien dieses Kontos sofort ungültig, auch die Kopie auf dem Rechner der ausgeschiedenen Person. Nach der Anleitung des Landesamts ist dafür voreingestellt, dass der alte Login schon vor dem Eintreffen der neuen Aktivierungsdaten gesperrt wird.
4. Das Konto mit seinem Postfach geht an eine Nachfolgerin. Die alten Nachrichten bleiben erhalten.

Die Erneuerung braucht Zugriff auf die hinterlegte E-Mail-Adresse. Löschen Sie deshalb das Postfach der ausgeschiedenen Person erst, wenn das Zertifikat erneuert ist. Ist die Adresse nicht mehr bekannt, kann laut Leitfaden das Finanzamt eine neue eintragen. Die übrigen Schritte beim Austritt, vom Tresor-Konto bis zu den Passwörtern, die die Person kannte, stehen in der Checkliste Mitarbeiter verlässt die Firma.

Fehlerquellen in kleinen Büros

• Alle arbeiten mit der Datei des Chefs. Ist das sein persönliches Zertifikat, darf er es laut ELSTER gar nicht weitergeben.
• Datei auf dem Netzlaufwerk, Passwort auf dem Zettel. Wer den Ordner sieht und den Zettel findet, kann für die Firma Erklärungen abgeben. Wie Zugangsdaten ohne Zettel geteilt werden, beschreibt Passwörter im Team teilen.
• Private E-Mail-Adresse im Benutzerkonto. Erinnerungen und Zugangserneuerung laufen dann über ein Postfach, auf das die Firma keinen Zugriff hat.
• Niemand außer dem Inhaber kennt das Passwort. Fällt er aus, kommt die Buchhaltung nicht an die Bescheide. Was für diesen Fall vorbereitet sein sollte, erklärt Notfallzugriff auf Firmenpasswörter.

Beispiel: ein Gerüstbaubetrieb mit drei Zertifikaten

Ein erfundener Gerüstbauer mit 16 Beschäftigten, davon 13 auf Baustellen. Bisher lag eine einzige Zertifikatsdatei auf dem Büro-PC, und Inhaber, Bürokauffrau und Bauleiter kannten das Passwort. Der Bauleiter beantragte damit über Mein Unternehmenskonto Genehmigungen bei Behörden, die Bürokauffrau gab die Steueranmeldungen ab. Als der Bauleiter kündigte, kannte er das Passwort noch, und die Genehmigungen zu seinen Anträgen lagen im selben Postfach wie die Steuerpost.

Der Inhaber hat sich als Administrator festgelegt und zwei neue Zertifikate beantragt, eines für die Bürokauffrau und eines für den neuen Bauleiter. Das alte Konto hat er erneuert, damit die Datei des früheren Bauleiters nicht mehr funktioniert. Er nutzt es selbst weiter, darin liegen die Bescheide der letzten Jahre. Im Tresor gibt es jetzt die Sammlung „ELSTER“ mit drei Einträgen, sichtbar für ihn und seine Frau, die im Betrieb die Vertretung ist. Welche Zugänge in Handwerksbetrieben sonst noch an einer Person hängen, zeigt die Seite für Handwerksbetriebe.

Bei Passwortheld

Der Tresor für die Zertifikatskopien läuft auf einem kleinen Server, den Ihre Firma bei netcup mietet. Wir richten ihn ein und halten ihn aktuell. Was darin liegt, ist Ende-zu-Ende-verschlüsselt: Zertifikatsdateien und Passwörter sind für uns nicht lesbar. Für die Wartung zahlen Sie 16,99 € im Monat inkl. MwSt., Mindestlaufzeit 12 Monate, egal wie viele Mitarbeiter ein Konto haben. Der Server kostet bei netcup ab 3,69 € im Monat inkl. MwSt. extra. Das Angebot gilt nur für Unternehmer. Eine Sicherung machen wir nur mit dem Backup-Paket (7,99 € im Monat inkl. MwSt.), ohne Paket exportieren Sie den Tresor selbst. Mehr dazu im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.