E-Rechnung, ViDA, CESOP: Umsatzsteuer wird Datensteuer

Die E-Rechnung ist kein Formatwechsel. Sie ist der Eintritt in einen Datenraum — und wer dort keine eigenen Beweise erzeugt, wird von fremden Daten beschrieben.

Rechnungsdaten, Zahlungsdaten, Meldedaten, Risikosignale: Die Umsatzsteuer verlässt die Welt der Ordner und Perioden und wird zur Datensteuer. Für die Betrugsbekämpfung ist das ein Fortschritt. Für redliche Unternehmen ist es zugleich ein Echtzeitrisiko — denn dieselben Daten, die Karusselle sichtbar machen, beschreiben auch jedes ehrliche Geschäft. Die entscheidende Frage lautet nicht mehr: „Sind unsere Prozesse formal sauber?" Sie lautet: „Erzählen unsere Daten dieselbe Geschichte wie unsere Entscheidungen — und können wir das zeigen?"

Der Datenraum entsteht nicht 2030. Er arbeitet bereits.

Wer die Entwicklung als Zukunftsthema ablegt, unterschätzt den Bestand. Drei Bausteine sind in Betrieb, der vierte ist beschlossen:

E-Rechnung (Deutschland, seit 2025). Seit dem 1. Januar 2025 müssen inländische Unternehmen strukturierte elektronische Rechnungen empfangen können; die Ausstellungspflichten folgen stufenweise bis 2028. Damit beginnt die Rechnung nicht mehr im Ordner der Buchhaltung, sondern im Datenmodell: Leistungsbeschreibung, Steuernummer, Lieferdatum, Zahlweg und Preis liegen maschinenlesbar vor — auswertbar, vergleichbar, verknüpfbar.

CESOP (EU, seit 2024). Zahlungsdienstleister melden grenzüberschreitende Zahlungen — ab 25 Zahlungen je Empfänger und Quartal — in ein zentrales europäisches Zahlungsinformationssystem. Der Fiskus sieht damit nicht nur, was fakturiert wurde, sondern wohin Geld tatsächlich floss.

Eurofisc und Transaction Network Analysis (TNA). Über das Verwaltungszusammenarbeits-Netzwerk der Mitgliedstaaten werden Melde-, USt-ID- und Transaktionsdaten netzwerkartig analysiert. Auffällige Ketten werden algorithmisch markiert, bevor ein Prüfer je eine Akte geöffnet hat.

ViDA (beschlossen am 11. März 2025). Die Richtlinie „VAT in the Digital Age" führt bis 2030 das digitale Echtzeit-Meldesystem für grenzüberschreitende B2B-Umsätze ein; bis 2035 konvergieren die nationalen Systeme. Die Zusammenfassende Meldung wird durch transaktionsbezogene Datensätze ersetzt.

Dazu tritt eine institutionelle Linie: Die EU-Kommission hat im November 2025 vorgeschlagen, der Europäischen Staatsanwaltschaft (EPPO) und OLAF einen direkten, optimierten Zugang zu Mehrwertsteuerinformationen zu eröffnen. Der Datenraum der Verwaltung und der Ermittlungsapparat wachsen zusammen — was das verfahrensrechtlich bedeutet, beschreibt unsere Seite EPPO: Wenn die Europäische Staatsanwaltschaft ermittelt.

Der Anlass ist real: Die Mehrwertsteuerlücke der EU lag im Datenjahr 2023 bei rund 128 Milliarden Euro, davon nach Schätzungen 12,5 bis 32 Milliarden Euro organisierter Karussellbetrug. Betrugsbekämpfung mit Datenanalyse ist deshalb legitim. Das ist richtig. Aber sie erzeugt eine zweite Gefahr: Redliche Unternehmen geraten in Verdachtsraster, die sie weder kennen noch kontrollieren.

Die zweite Welle der Formalisierung

Das Bundesfinanzministerium hat im Oktober 2025 nachgelegt: Sämtliche Pflichtangaben der §§ 14, 14a UStG müssen im strukturierten XML-Teil der E-Rechnung enthalten sein; die Validierung wird zur Obliegenheit; Formatfehler und Inhaltsfehler werden unterschieden; der strukturierte Datensatz ist revisionssicher aufzubewahren. Das ist eine neue formale Risikoschicht für den Vorsteuerabzug. Aber die Gegenrechte stehen bereits. Der Vorsteuerabzug darf nicht über die bloße Fristenmechanik sanktioniert werden, wenn eine Rechnung gutgläubig verspätet vorliegt (Aptiv, März 2026). Technisches Portalversagen darf Ansprüche nicht vereiteln (Harry et Associés, März 2026) — ein Grundsatz, der auf Störungen der E-Rechnungs-Übermittlung übertragbar ist. Und beim Bundesfinanzhof ist seit April 2026 die Revision zu der Frage zugelassen, ob eine Rechnung allein deshalb den Abzug kostet, weil der Lieferant im Umbenennungsstadium bereits seinen neuen Namen verwendete — Formalismus-Kontrolle, unmittelbar relevant für maschinelle E-Rechnungs-Identitätsprüfungen. „Substanz vor Form" gilt im Übrigen selbst an der Zollschnittstelle, sofern kein Täuschungsversuch vorliegt (Palmsträle, Juni 2025).

Was der Datenraum sieht — und was er nicht weiß

Die Risikoselektion der Verwaltung arbeitet mit Anomalien: Preis unter Markt, neuer Lieferant, geänderte Bankverbindung, ungewöhnliche Route, sprunghaftes Wachstum, Storno-Häufungen. Jede dieser Anomalien kann Betrug indizieren. Jede kann ebenso gut Wettbewerb, Expansion oder schlicht einen Stammdatenfehler bedeuten.

Hier liegt der zentrale Denkfehler vieler Verfahren — und der wichtigste Verteidigungssatz des Datenzeitalters: Verwaltungsdaten sind nicht Unternehmenswissen. Dass Eurofisc, TNA oder CESOP eine Kette als auffällig markieren, sagt nichts darüber, was ein konkretes Unternehmen im Zeitpunkt seiner Entscheidung wissen konnte und musste. Der EuGH hat die Linie früh gezogen: In Mahagében und Dávid (2012) hat er den Prüfpflichten der Unternehmen Grenzen gesetzt — niemand muss flächendeckend die Verhältnisse aller Vorlieferanten ausforschen; das ist Aufgabe der Behörden mit ihren eigenen Kontrollmöglichkeiten. In Aquila Part Prod Com (2022) und Global Ink Trade (2024) hat er bekräftigt: Die Steuerverwaltung muss die Betrugsmerkmale genau bestimmen, die betrügerischen Handlungen nachweisen und das Wissen oder Wissenmüssen des Steuerpflichtigen belegen — nicht umgekehrt.

Ein Mittelständler ist kein Finanzamt. Er kann nicht jede Vorlieferkette in Europa durchleuchten — und er muss es auch nicht. Je dichter die Systemantworten des Staates werden (Meldesysteme, Zahlungsdaten, Netzwerkanalyse), desto weniger darf der einzelne Händler zum Ersatzverwaltungsorgan gemacht werden. Was die ex-ante zumutbare Prüfung war, bestimmt sich aus der damaligen Informationslage des Unternehmens — nicht aus der späteren Datenlage der Behörde.

Der Algorithmus ist kein Beweis

Die internationale Fachliteratur benennt vier Risikolinien algorithmischer Betrugserkennung: Prädiktionen, die als vermeintlicher „Betrugsbeweis" behandelt werden; Datenqualitäts- und Modellfehler; Bias und Function Creep; Rechtsschutzdefizite. Der Kernsatz lautet: Fraud Detection darf die menschliche Entscheidung nur unterstützen, nie ersetzen (Merkx/Luna Calzado). Das ist das Fundament gegen jede score-basierte Bösgläubigkeit. Die deutsche Praxis liefert die Warnung dazu: „Eine gefälschte E-Rechnung ist, aus Vorsteuersicht, bares Geld. Ohne ein einziges Sicherheitsmerkmal." (Findeis/Braun) Und selbst die Prüfdienste sind sich nicht einig: Verschiedene Validatoren bewerten dieselbe Rechnung unterschiedlich — Divergenzen, die das eigene USt-TCMS nachziehen muss (Böcker/Ras). Wo die Datenspur in grenzüberschreitende Ermittlungen mündet, beginnt ein eigenes Verfahrensregime: Wenn die Datenspur zur Ermittlung wird: die Europäische Staatsanwaltschaft.

Die Verteidigungsfrage: Welche Daten sprechen später gegen Sie?

Viele E-Rechnungs-Projekte prüfen Formate, Schnittstellen, Archivierung und ERP-Felder. Das ist notwendig. Es ist nicht hinreichend. Denn technisch fehlerfreie Daten können steuerlich verheerend wirken, wenn sie Brüche zeigen, die niemand zeitnah plausibilisiert hat: Rechnung und Warenweg passen nicht zusammen. Der Zahler ist nicht der Käufer. Die Marge fällt aus der Reihe. Der Lieferort wechselt ohne erkennbaren Grund.

Früher schlummerten solche Brüche in Ordnern. Künftig stehen sie in strukturierten Feldern, die sich maschinell gegen Melde-, Zahlungs- und Risikodaten spiegeln lassen. Daraus entsteht eine Lücke zwischen Realität und Beweisbarkeit — und diese Lücke muss geschlossen werden, bevor ein Algorithmus sie findet. Die Behörden gewinnen einen schnelleren, klareren Blick auf Transaktionen. Viele Unternehmen können dieselben Transaktionen nicht mit derselben Klarheit erklären. Genau in dieser Lücke sitzt heute das Risiko.

Die Konsequenz ist keine Bürokratie, sondern Symmetrie: Wenn der Staat seine Kontrolle datenfähig macht, muss das redliche Unternehmen seine Entlastung datenfähig machen. Gutgläubigkeit muss organisations- und datenfähig werden. Der Satz „Wir waren vorsichtig" wird künftig nicht reichen. Tragen wird nur: „Wir können zeigen, was wir wann geprüft, wie bewertet und wer entschieden hat."

Drei Fehlannahmen, die teuer werden

„Das ist ein IT-Projekt." Nein. Es ist ein Beweisprojekt mit IT-Anteil. Wer nur Formate und Schnittstellen testet, hat am Ende valide XML-Dateien — und keine Antwort auf die Frage, warum ein auffälliger Preis damals plausibel war. Die Projektverantwortung gehört deshalb nicht allein in die IT, sondern an den Tisch von Steuern, Einkauf und Geschäftsführung.

„Das betrifft Konzerne, nicht uns." Das Gegenteil ist richtig. Konzerne haben Tax-Technology-Abteilungen; der Mittelstand hat gewachsene Prozesse und knappe Ressourcen — und genau dort schlagen Datenanomalien ungefiltert durch. Der Mittelstand braucht keine Konzernhandbücher, sondern schlanke Kontrollen mit Beweiswert: wenige Felder, klare Zuständigkeiten, dokumentierte Eskalation.

„Mehr Daten beim Staat bedeuten mehr Rechtssicherheit für uns." Auch das trägt nicht. Mehr Meldedaten erzeugen zunächst mehr Vergleichbarkeit — und damit mehr Verdachtspotential, nicht weniger. Schon die Fachdiskussion zur ViDA-Richtlinie warnt vor Komplexität, Korrekturkaskaden und streitanfälligen Fristen. Rechtssicherheit entsteht nicht durch die Datenmenge des Staates, sondern durch die Erklärfähigkeit des Unternehmens. Dazu gehört auch ein geordneter Korrekturprozess: Wer Fehler in Rechnungs- und Meldedaten strukturiert findet, nach § 153 AO sauber berichtigt und die Ursache dokumentiert, macht aus einer Schwachstelle einen Beleg für funktionierende Organisation.

Vom Datenrisiko zur Beweisarchitektur: Proof of Check

Die Antwort von VSK heißt Proof of Check — kein Zertifikat, kein Gütesiegel, kein Safe Harbour, sondern dokumentierte, risikobasierte Sorgfalt im Geschäftszeitpunkt. Für den Datenraum bedeutet das konkret:

1. Eigene Prüfdaten erzeugen, nicht nur fremde Daten empfangen. USt-ID-Prüfungen mit Zeitstempel, Quelle und Ergebnis; Wiederholprüfungen bei Anlass; Onboarding-Nachweise mit Versionierung.
2. Konsistenz herstellen, wo der Algorithmus Brüche sucht. Verkäufer, Käufer, Zahler, Konto, Transportweg und Rechnung müssen eine Geschichte erzählen — Abweichungen werden dokumentiert plausibilisiert oder die Transaktion wird gestoppt. Operativ leistet das ein Ampel-System mit Stop- und Hold-Regeln.
3. Anomalien selbst erklären, bevor andere sie deuten. Ein Red-Flag-Vermerk — Warnsignal, Quelle, Bewertung, Zusatzprüfung, Entscheidung, Verantwortlicher — ist das Kernstück gegen jeden späteren Wissenmüssen-Vorwurf.
4. Exportfähig bleiben. Im Streitfall zählt nicht die Menge der Unterlagen, sondern ein lesbares Evidence Pack: Prüfungen, Ergebnisse, Zeitstempel, Freigaben, Begründungen — ein Auszug statt 80 Ordner, anschlussfähig an genau die Datenlogik, mit der die Verwaltung arbeitet.

Der VSK Digital-VAT-Readiness-Check verbindet dafür Steuerrecht, Prozessprüfung und Datenlogik: Welche ERP- und Rechnungsfelder sind risikorelevant? Welche Kontrollen verhindern, dass Stammdatenfehler zu Scheinrisiken werden? Welche Nachweise müssen maschinenlesbar und zugleich menschenverständlich vorliegen? Ergebnis ist eine 90-Tage-Roadmap — vom Feldmapping über Rollen und Eskalationsschwellen bis zum Krisenanschluss.

Eines versprechen wir nicht: Immunität. Kein System verhindert jede Rückfrage des Finanzamts, und kein Berater sollte das Gegenteil behaupten. Aber ein Unternehmen, das im Datenraum eigene Beweise erzeugt, verschiebt die Position — vom Beschriebenen zum Erklärenden. Das ist der Unterschied zwischen Exponiertheit und Kontrolle.

FAQ