Belegivo

Sicherer Umgang mit Rechnungsdateien

Veröffentlicht 21.10.2026 · Aktualisiert 21.10.2026 · Stand: Oktober 2026

Direkte Antwort: Eine E-Rechnung ist eine Datei, die jemand anderes erzeugt hat. XML und PDF können Konstrukte enthalten, die Programme angreifen (externe XML-Entitäten, Skripte in PDFs, Formeln in exportierten Tabellen) – und Rechnungen sind ein beliebter Köder für Zahlungsbetrug mit geänderten Bankdaten. Schutz bieten: Werkzeuge, die Dateien lokal und mit abgeschalteten gefährlichen Funktionen verarbeiten, eine technische Prüfung, und organisatorisch der Abgleich der Bankverbindung mit bekannten Stammdaten.

Risiko 1: XML-Angriffe (XXE, Entity Expansion)

XML erlaubt eine DOCTYPE-Deklaration mit Entitäten. Damit kann eine Datei den Parser anweisen, lokale Dateien zu lesen (<!ENTITY x SYSTEM "file:///etc/passwd">) oder sich exponentiell aufzublähen („Billion Laughs“). Buchhaltungs- und Prüfsoftware, die XML naiv verarbeitet, ist angreifbar. EN-16931-Rechnungen benötigen weder DOCTYPE noch Entitäten – deshalb lehnen die Werkzeuge hier jede Datei mit solchen Konstrukten ab, bevor sie geparst wird, und lösen nie externe Ressourcen auf. Fragen Sie bei Ihrer Software nach: „Ist die Auflösung externer Entitäten deaktiviert?“

Risiko 2: PDF mit Skripten und Aktionen

PDFs können JavaScript, Öffnen-Aktionen und Formulare enthalten. Ein PDF-Reader mit aktiviertem Skripting kann beim Öffnen Code ausführen. Der ZUGFeRD Viewer führt niemals PDF-Skripte aus (pdf.js mit deaktiviertem Scripting) und zeigt an, wenn JavaScript enthalten ist. In Ihrem PDF-Reader sollten Skripte deaktiviert sein (Acrobat: Voreinstellungen → JavaScript). Öffnen Sie Rechnungs-PDFs unbekannter Herkunft bevorzugt im Browser-Viewer, nicht in einem Office-Programm.

Risiko 3: Eingebettete Anhänge

ZUGFeRD-PDFs und XRechnungen (BG-24) können beliebige Dateien einbetten: Tabellen, Bilder, weitere PDFs, Archive. Diese werden von keinem Rechnungsprüfer geprüft. Behandeln Sie sie wie E-Mail-Anhänge: nur öffnen, wenn erwartet, und nur in aktuellen Programmen. Der Viewer zeigt eingebettete Anhänge an, öffnet sie aber nicht automatisch und lädt keine externen Verweise (BT-124).

Risiko 4: Formel-Injektion in CSV-Exporten

Wenn Sie Rechnungsdaten nach Excel exportieren, kann ein Artikeltext wie =HYPERLINK("http://…";"Klick") oder =cmd|'/c calc'!A0 als Formel ausgeführt werden. Exporte sollten Zellen, die mit =, +, -, @ oder Steuerzeichen beginnen, entschärfen. Der CSV-Export hier setzt ein Apostroph davor; Tabellenprogramme zeigen den Text dann an, ohne ihn auszuwerten.

Risiko 5: Zahlungsbetrug (Rechnungen mit geänderter IBAN)

Der häufigste Schaden entsteht nicht durch Technik, sondern durch eine echt aussehende Rechnung mit fremder Bankverbindung – per gefälschter E-Mail oder gekapertem Lieferantenkonto. Keine technische Prüfung erkennt das; „Technische Prüfung bestanden“ sagt nichts über die IBAN. Organisatorische Regeln:

Warum lokale Verarbeitung die Sicherheit erhöht

Upload-Dienste verlangen, dass Sie Rechnungen mit Kundendaten, Preisen und Bankverbindungen einem Dritten geben. Das ist ein Datenschutz- und Vertraulichkeitsrisiko und bei Geheimhaltungsvereinbarungen oft unzulässig. Die Werkzeuge hier verarbeiten alles in Ihrem Browser; nur Programmcode und Prüfregeln werden vom Server geladen, nie Ihre Dateien. Das lässt sich prüfen: Entwicklerwerkzeuge → Netzwerk → Datei laden → es erscheinen keine Anfragen mit Dateiinhalten. Wir haben das automatisiert verifiziert (Über uns › Privatsphäre).

Checkliste für den Rechnungseingang

  1. Absender plausibel? (E-Mail-Adresse, erwartete Rechnung?)
  2. Datei im lokalen Viewer öffnen, nicht im Office-Programm.
  3. Technische Prüfung durchführen, Bericht ablegen.
  4. Inhalt prüfen: Leistung, Betrag, Steuer, Fälligkeit.
  5. Bankverbindung mit Stammdaten abgleichen; bei Abweichung Rückruf.
  6. Original unverändert archivieren; Anhänge nur bei Bedarf öffnen.

Grenzen

Dieser Artikel ersetzt kein Sicherheitskonzept. Aktuelle Browser und Betriebssysteme, Virenschutz und Backups bleiben Voraussetzung. Die Werkzeuge hier mindern die genannten Risiken, können aber keine manipulierten Inhalte erkennen, die technisch korrekt sind.

Passendes Werkzeug: E-Rechnung prüfen – lokal im Browser, ohne Datei-Upload.

Quellen