Der Bon mit PIN und PUK gehört in den Safe, die Nummern in den Tresor
Die technische Sicherheitseinrichtung (TSE) Ihrer Kasse hat je nach Modell mehrere Geheimnummern, zum Beispiel eine Admin-PIN, eine Time-Admin-PIN und eine Admin-PUK zum Entsperren. Gesetzt werden sie bei der Einrichtung, und manche Kassen drucken sie danach auf einem Bon aus. Diesen Bon brauchen Sie, solange die TSE in Betrieb ist. Legen Sie das Papier in den Safe und die Nummern in eine Sammlung des Passwort-Tresors, die nur Inhaber und eine Vertretung öffnen. Kennt sie bisher nur Ihr Kassenhändler, lassen Sie sie sich jetzt übergeben.
Ohne PUK sitzen Sie fest, sobald die PIN gesperrt ist. In der Anleitung einer Registrierkasse mit TSE auf einer SD-Karte (Version 1.03) steht: Nach drei falschen Eingaben ist die Admin-PIN gesperrt, mit PUK und neuer PIN lässt sie sich wieder freigeben. Wird die PUK viermal falsch eingegeben, ist die TSE nicht mehr verwendbar. Andere Modelle können andere Grenzen haben, die Zahl steht in der Anleitung Ihrer Kasse.
Gesetz und Verordnung regeln PIN und PUK nicht
§ 146a AO verlangt, dass ein elektronisches Aufzeichnungssystem jeden Geschäftsvorfall einzeln, vollständig, richtig, zeitgerecht und geordnet aufzeichnet und dass eine zertifizierte TSE die Aufzeichnungen schützt. Die TSE besteht laut Gesetz aus Sicherheitsmodul, Speichermedium und einheitlicher digitaler Schnittstelle. Die Kassensicherungsverordnung (zuletzt geändert am 14.01.2026) regelt, welche Kassen betroffen sind, was protokolliert und gespeichert wird und was auf dem Beleg steht. Die technischen Anforderungen an die TSE legt nach § 5 das BSI fest.
Zu PIN, PUK oder deren Aufbewahrung steht weder im Gesetz noch in der Verordnung etwas. Hinweise dazu geben die Hersteller, etwa in der Anleitung der Registrierkasse oben oder in der Hilfe eines Cloud-Anbieters weiter unten. Betreffen kann es Sie trotzdem: Fällt die TSE aus, verlangt der Anwendungserlass, die Ursache unverzüglich zu beheben, und bei einer gesperrten PIN geht das nur mit der PUK. Dieser Text ist keine Steuerberatung.
Die drei Nummern und wer sie braucht
Die Anleitung der Registrierkasse aus dem ersten Abschnitt lässt bei der Einrichtung eine sechsstellige PUK, eine fünfstellige Admin-PIN und eine fünfstellige Time-Admin-PIN frei wählen. Danach druckt die Kasse die PUK- und PIN-Daten und die amtlichen Formulardaten für die Mitteilung an das Finanzamt aus. War das Papier falsch eingelegt, lassen sich diese Angaben laut Anleitung nicht nachträglich drucken.
| Nummer | Wofür | Wer sie kennen sollte |
|---|---|---|
| Admin-PIN | Fragt die Kasse unter bestimmten Umständen ab, etwa beim Öffnen einer Ersatz-TSE | Inhaber, Vertretung, auf Wunsch der Kassenhändler |
| Time-Admin-PIN | Zweite PIN, getrennt von der Admin-PIN. Wofür Ihr Modell sie verlangt, steht in dessen Anleitung | wie Admin-PIN |
| Admin-PUK | Entsperrt eine gesperrte PIN | Nur Inhaber und Vertretung |
Bei einer Cloud-TSE liegt die TSE beim Anbieter, die Nummern brauchen Sie trotzdem. Ein Anbieter schreibt in seiner Hilfe (Stand 03.08.2026), Admin-PIN und Admin-PUK müssten sicher gespeichert werden. Abrufen lässt sich die PUK dort nur, solange die TSE noch im Anfangszustand nach dem Anlegen ist. Danach bleibt nur eine Anfrage beim Support.
Standard-PINs: Die Dokumentation einer Kassen-Middleware nennt für Admin-PIN und Time-Admin-PIN eine Standard-PIN, die gilt, wenn bei der Einrichtung keine eigene angegeben wird. Fragen Sie Ihren Kassenhändler, ob bei Ihnen eigene Nummern gesetzt sind.
So legen Sie die Nummern ab
- Bon sichern. Fotografieren oder scannen Sie den Ausdruck mit PIN und PUK am Tag der Einrichtung. Bei der Kasse aus dem ersten Abschnitt lässt er sich nicht nachdrucken, das Original kommt in einen Umschlag im Safe.
- Zwei Sammlungen anlegen. In „Kasse Technik“ stehen Admin-PIN, Time-Admin-PIN und der Zugang zur Verwaltung der Kassensoftware. In „Kasse PUK“ stehen die PUK und der Scan des Bons, denn auf dem Bon steht die PUK mit. Diese Sammlung sehen nur Inhaber und Vertretung.
- Je TSE ein Eintrag. Name der Kasse, Seriennummer der TSE, Zertifizierungs-ID und Datum der Inbetriebnahme gehören in die Notiz. Wie Anhänge und Notizen funktionieren, zeigt die Seite Funktionen.
- Zettel abschaffen. Die Nummer auf dem Klebezettel unter der Kassenschublade fällt weg. Warum Zettel und Listen für Zugangsdaten schlecht sind, steht unter Passwörter in Excel und auf Papier.
Seriennummer und Zertifizierungs-ID brauchen Sie auch für das Finanzamt. Nach dem Anwendungserlass zu § 146a AO setzt sich die „Art der TSE“, die Sie dem Finanzamt mitteilen, aus beiden zusammen. Wer die Kasse über ELSTER meldet, findet sie dann im Tresor statt im Karton der Kasse. Wie Sie dafür den ELSTER-Zugang im Team ordnen, steht unter ELSTER-Zertifikat im Team.
Der Kassenhändler bekommt ein eigenes Konto
Richtet der Kassenhändler die Kasse ein, setzt er dabei auch die Nummern. Das ist in Ordnung, solange Sie sie auch haben. Bitten Sie ihn bei der Einrichtung oder beim nächsten Termin um ein kurzes Übergabeblatt: Admin-PIN, Time-Admin-PIN, PUK, Seriennummer und Zertifizierungs-ID jeder TSE, dazu Ihr Administratorkonto für die Kassensoftware.
Im Tresor kann der Händler ein eigenes Konto bekommen, das nur „Kasse Technik“ sieht. Ruft er bei einer Störung an, muss ihm niemand eine Nummer am Telefon vorlesen. Die PUK sieht er nicht. Braucht er sie im Einzelfall, schicken Sie sie ihm über einen sicheren Link aus dem Tresor, der nach der eingestellten Frist verfällt. Wechseln Sie später den Händler, entfernen Sie das Konto des alten und ändern die Admin-PIN.
Wenn die TSE ausfällt
Für den Ausfall der TSE gibt der Anwendungserlass zu § 146a AO in Nummer 1.14 vier Regeln vor. Geprüft haben wir die Fassung nach der Änderung durch das BMF-Schreiben vom 17.03.2026. Dieses Schreiben hat Nummer 1.14 nicht geändert, es gilt weiter der Wortlaut der Neufassung vom 30.06.2023:
- Ausfallzeiten und Grund des Ausfalls sind zu dokumentieren, das darf auch das Kassensystem automatisch tun.
- Läuft die Kasse ohne funktionierende TSE weiter, muss der Beleg den Ausfall erkennen lassen, etwa durch die fehlende Transaktionsnummer.
- Betrifft der Ausfall nur die TSE, beanstandet die Finanzverwaltung nicht, wenn die Kasse bis zur Behebung weiter genutzt wird. Belege gibt es weiterhin, Datum und Uhrzeit kommen dann aus der Kasse.
- Der Unternehmer muss die Ursache unverzüglich beheben.
Ob eine TSE mit gesperrter PIN im Einzelfall ein solcher Ausfall ist und was Sie dem Finanzamt melden, klären Sie mit Ihrem Steuerberater. Wer weiß, wo die PUK liegt, kann eine gesperrte PIN selbst freigeben und muss nicht auf den Händler warten. Die Dokumentation des Ausfalls bleibt trotzdem Ihre Aufgabe.
Das Datum der TSE gehört in den Kalender
Das Datenblatt eines Hardware-Moduls (Version vom 17.02.2022) nennt für das Signaturzertifikat eine Laufzeit von fünf Jahren. Andere Modelle können andere Laufzeiten haben. Steht das Datum der Inbetriebnahme am Eintrag, sehen Sie rechtzeitig, wann Sie mit dem Händler über Ersatz reden sollten. Für eine neue TSE beginnt alles von vorn: neue Nummern, neuer Bon, neuer Eintrag. Was mit den Daten der alten TSE geschieht, klären Sie vorher mit dem Händler, denn nach § 146a AO sind die Aufzeichnungen für Nachschau und Außenprüfung verfügbar zu halten.
Beispiel: Weingut mit Vinothek und mobiler Kasse
Ein erfundenes Weingut mit neun Beschäftigten, einer Kasse in der Vinothek und einer zweiten, mobilen Kasse für Hoffest und Weinmärkte. Eingerichtet hat beide ein Kassenhändler vor drei Jahren. Die Bons mit den Nummern lagen im Ordner „Kasse“, der Bon der mobilen Kasse war nicht mehr aufzufinden.
Auf einem Weinmarkt im Juni verlangte die mobile Kasse am Morgen die Admin-PIN. Der Juniorchef tippte zweimal eine falsche ein, beim dritten Fehler wäre sie gesperrt gewesen. Er rief den Händler an, der die Admin-PIN in seinen Unterlagen fand, die PUK dieser Kasse aber nicht. Ohne PUK ließe sich eine gesperrte PIN dort nicht mehr freigeben, deshalb klärt die Inhaberin mit dem Händler, ob die TSE der mobilen Kasse vorsorglich getauscht wird. Im Tresor gibt es heute „Kasse Technik“ für Inhaberin, Juniorchef und den Händler mit eigenem Konto, und „Kasse PUK“ nur für die beiden aus der Familie. Ähnliche Fragen in größeren Betrieben behandeln die Seiten für Gastronomie und Bäckereien mit Filialen.
Wer die Nummern kennt, wenn jemand geht
Hat eine Filialleiterin die Admin-PIN gekannt, ändern Sie sie nach ihrem Weggang in der Kasse und tragen die neue im Tresor ein. Die PUK sollte sie nie gesehen haben. Was beim Austritt sonst zu ändern ist, listet der Ratgeber Passwörter, wenn ein Mitarbeiter geht auf.
Bei Passwortheld
Wir richten den Tresor auf einem Server ein, den Ihr Betrieb selbst bei netcup mietet und bezahlt (ab 3,69 € im Monat inkl. MwSt.). PIN, PUK und Scans sind Ende-zu-Ende-verschlüsselt, lesen können wir sie nicht. Anhänge und sichere Links sind eingeschaltet. Ein Konto für den Kassenhändler kostet nichts zusätzlich, denn der Preis hängt nicht an der Zahl der Nutzer: 16,99 € im Monat inkl. MwSt. für die Wartung, 12 Monate Mindestlaufzeit, nur für Unternehmer. Gesichert wird der Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, und Sie machen den verschlüsselten Export selbst. Das kostenlose Erstgespräch (15 Minuten) führen wir am Telefon oder per Video.
Quellen: § 146a AO; Kassensicherungsverordnung (KassenSichV); Anwendungserlass zu § 146a AO, Neufassung durch BMF-Schreiben vom 30.06.2023 (PDF, Landesamt für Steuern Bayern). Stand: 14.10.2026.