API-Schlüssel für Rechnungsdaten: So begrenzen KMU das Risiko

Kurz gesagt: API-Schlüssel für Rechnungsdaten sind wie digitale Zugangskarten zu sensiblen Geschäftsdaten. Wer sie unkontrolliert erstellt, teilt oder dauerhaft nutzt, erhöht das Risiko für Datenabfluss, manipulierte Rechnungen und Datenschutzverstöße. KMU sollten deshalb jeden Schlüssel einem klaren Zweck zuordnen, Rechte eng begrenzen, ihn sicher speichern, Zugriffe protokollieren und regelmäßig prüfen.

In der Praxis entstehen API-Schlüssel häufig nebenbei: Ein Dienstleister braucht Zugriff auf Rechnungsdaten, ein Auswertungstool soll Umsätze abrufen, eine Schnittstelle zur Warenwirtschaft wird eingerichtet. Technisch funktioniert das oft schnell. Organisatorisch bleibt aber zu selten dokumentiert, wer welchen Zugriff erhalten hat und wann dieser wieder entzogen werden muss. Genau hier liegt das Sicherheitsproblem.

Dieser Beitrag ordnet das Thema API-Schlüssel Rechnungsdaten Sicherheit für KMU in Österreich und Deutschland ein. Er ersetzt keine Rechtsberatung, zeigt aber einen umsetzbaren Ablauf für Geschäftsführung, Buchhaltung und IT-Verantwortliche.

Warum API-Schlüssel bei Rechnungsdaten besonders sensibel sind

Ein API-Schlüssel ist ein technisches Geheimnis, mit dem ein System gegenüber einer Anwendung oder Schnittstelle erkannt wird. Je nach Umsetzung kann der Schlüssel allein ausreichen, um Daten abzurufen oder Aktionen auszulösen. Deshalb behandelt die Sicherheitsliteratur API-Schlüssel regelmäßig wie Passwörter oder sogenannte Bearer Tokens: Wer den Schlüssel besitzt, kann ihn verwenden.

Rechnungsdaten sind in KMU besonders schutzwürdig, weil sie mehrere Risikobereiche verbinden:

• Personenbezogene Daten: Rechnungen enthalten häufig Namen, Adressen, E-Mail-Adressen, Ansprechpartner, Leistungsdaten oder Kundennummern.
• Geschäftsgeheimnisse: Preise, Rabatte, Zahlungsziele, Lieferbeziehungen und Umsätze lassen Rückschlüsse auf Marktposition und Kundenstruktur zu.
• Finanzielle Risiken: Wenn Schnittstellen nicht nur lesen, sondern auch Rechnungen erstellen oder ändern dürfen, kann ein kompromittierter Schlüssel direkten Schaden verursachen.
• Compliance-Risiken: Fehlerhafte oder unvollständige Aufzeichnungen können steuerliche und buchhalterische Folgen haben.

Das OWASP REST Security Cheat Sheet empfiehlt unter anderem, Schnittstellen grundsätzlich über TLS abzusichern, Zugriffe zu authentifizieren und zu autorisieren, Eingaben zu prüfen, Fehlerausgaben zu begrenzen und Protokollierung sinnvoll einzusetzen. Für kleine Unternehmen betont der Europäische Datenschutzausschuss, dass personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen sind. Dazu gehören etwa Zugriffsbeschränkungen, sichere Passwörter beziehungsweise Geheimnisse, regelmäßige Aktualisierungen und ein geordneter Umgang mit Dienstleistern.

Für Österreich und Deutschland gilt die Datenschutz-Grundverordnung gleichermaßen. Unterschiede ergeben sich vor allem bei nationalen Aufbewahrungs- und Buchführungsvorgaben. In Österreich sind insbesondere BAO § 132 und je nach Fall weitere unternehmensrechtliche Vorgaben relevant. In Deutschland sind unter anderem die GoBD für elektronische Aufzeichnungen und Belege zu beachten. Für beide Länder gilt: Sicherheitsmaßnahmen für API-Zugriffe sollten so gestaltet sein, dass sie Datenschutz, Nachvollziehbarkeit und ordnungsgemäße Buchführung unterstützen.

Einordnung: Was ein API-Schlüssel leisten sollte und was nicht

Ein häufiger Fehler besteht darin, API-Schlüssel als einfache technische Abkürzung zu verstehen. Nach dem Motto: „Das Tool braucht eben Zugriff.“ Für eine sichere Umsetzung reicht das nicht. Ein API-Schlüssel sollte immer Teil eines Berechtigungskonzepts sein.

Wichtig ist die Trennung zwischen Authentifizierung und Autorisierung. Authentifizierung bedeutet: Das System erkennt, wer oder was zugreift. Autorisierung bedeutet: Das System entscheidet, was dieser Zugriff darf. Ein Schlüssel, der nur beweist, dass eine Anwendung bekannt ist, sollte nicht automatisch Vollzugriff auf alle Rechnungsdaten erhalten.

Für KMU ist ein pragmatischer Grundsatz hilfreich: So wenig Zugriff wie möglich, so viel wie für den konkreten Zweck erforderlich. Ein Auswertungstool benötigt meist nur Leserechte auf bestimmte Rechnungsfelder. Ein externer Entwickler braucht für Tests keine echten Kundendaten. Eine Integration zur Rechnungserstellung benötigt nicht zwingend Rechte zum Löschen oder Ändern bereits verbuchter Daten.

Bei Plattformen wie Claribill oder anderen Faktura- und Buchhaltungssystemen sollten Sie deshalb vor der Einrichtung prüfen, welche API-Rechte tatsächlich verfügbar sind: Lesen, Schreiben, Export, Änderung von Stammdaten, Zugriff auf Zahlungsstatus oder Abruf von Dokumenten. Wenn eine Software keine fein abgestuften Rechte anbietet, ist das kein automatisches Ausschlusskriterium. Es erhöht aber den Bedarf an organisatorischen Kontrollen, etwa kürzeren Laufzeiten, separaten Testdaten und engerer Protokollprüfung.

API-Schlüssel sollten außerdem nicht mit persönlichen Benutzerkonten vermischt werden. Wenn ein Schlüssel über das Konto einer Mitarbeiterin oder eines Mitarbeiters erstellt wird, muss klar sein, was beim Austritt, Rollenwechsel oder Wechsel des Dienstleisters passiert. Sonst bleiben technische Zugänge aktiv, obwohl die fachliche Berechtigung längst entfallen ist.

Umsetzbarer Ablauf für sichere API-Schlüssel

Der folgende Ablauf ist für KMU bewusst praktisch gehalten. Er eignet sich für neue Schnittstellen ebenso wie für eine nachträgliche Bereinigung bestehender Zugriffe.

1. Zweck und Datenumfang festlegen

Beschreiben Sie vor der Erstellung des Schlüssels in einem kurzen Eintrag, wofür der Zugriff benötigt wird. Zum Beispiel: „Monatlicher Abruf offener Rechnungen für Liquiditätsplanung“ oder „Übernahme von Ausgangsrechnungen in ein Dokumentenarchiv“. Legen Sie fest, welche Daten erforderlich sind: vollständige Rechnung, Rechnungsnummer und Betrag, Zahlungsstatus, Kundendaten oder PDF-Dokument.

Wenn personenbezogene Daten verarbeitet werden, prüfen Sie zusätzlich, ob eine Auftragsverarbeitung vorliegt. Das betrifft insbesondere externe Dienstleister, die Rechnungsdaten im Auftrag verarbeiten. Die rechtliche Bewertung hängt vom konkreten Setup ab und sollte bei Unsicherheit mit Datenschutz- oder Rechtsberatung geklärt werden.

2. Rechte begrenzen

Vergeben Sie nur die Rechte, die der Zweck verlangt. Idealerweise gibt es getrennte Schlüssel für verschiedene Anwendungen. Ein Schlüssel für ein Auswertungstool sollte nicht zugleich Rechnungen erstellen, Kundendaten ändern und Exporte aller Belege durchführen können.

Hilfreich ist eine einfache Berechtigungsmatrix:

3. Schlüssel sicher erzeugen und speichern

API-Schlüssel gehören nicht in E-Mails, Tabellen, Chatverläufe oder Quellcode-Ablagen. Speichern Sie sie in einem Passwortmanager, einem geeigneten Geheimnis-Speicher oder einer abgesicherten Serverumgebung. Der Zugriff auf den Speicher sollte ebenfalls beschränkt sein.

Wenn Dienstleister beteiligt sind, sollte klar geregelt sein, wer den Schlüssel erzeugt, wer ihn erhält und über welchen sicheren Kanal er übergeben wird. Ein bewährtes Vorgehen ist: Schlüssel erzeugen, einmalig sicher übergeben, Empfang bestätigen lassen, danach keine Kopien in unsicheren Kanälen belassen.

4. Laufzeit, Rotation und Widerruf planen

Auch wenn ein API-Schlüssel technisch unbegrenzt gültig sein kann, ist das organisatorisch selten sinnvoll. Definieren Sie einen Prüftermin oder eine maximale Nutzungsdauer. „Rotation“ bedeutet, einen alten Schlüssel durch einen neuen zu ersetzen und den alten anschließend zu deaktivieren. Das ist besonders wichtig nach Dienstleisterwechsel, Verdacht auf unbefugten Zugriff, Rollenwechsel oder technischer Fehlkonfiguration.

Dokumentieren Sie mindestens: Name der Integration, verantwortliche Person, Zweck, Rechte, Erstellungsdatum, letzter Prüftermin, geplanter nächster Prüftermin und Status. Diese Liste muss nicht komplex sein. Entscheidend ist, dass sie gepflegt wird.

5. Protokolle prüfen und Auffälligkeiten behandeln

Protokolle sind nur dann hilfreich, wenn jemand sie auswertet. Achten Sie auf Abrufe außerhalb üblicher Zeiten, ungewöhnlich hohe Datenmengen, Zugriffe aus unerwarteten Regionen oder wiederholte Fehlversuche. Nicht jede Auffälligkeit ist ein Sicherheitsvorfall. Sie sollte aber nachvollziehbar geprüft werden.

Für den Ernstfall braucht es einen kurzen Ablauf: Wer deaktiviert den Schlüssel? Wer informiert Geschäftsführung, IT, Datenschutzverantwortliche und betroffene Dienstleister? Wann wird geprüft, ob personenbezogene Daten betroffen sind? Nach DSGVO können bei Datenschutzverletzungen Meldepflichten gegenüber der Datenschutzaufsicht und Informationspflichten gegenüber Betroffenen entstehen. Ob das im Einzelfall gilt, ist anhand der konkreten Umstände zu bewerten.

Typische Fehlerquellen und praktische Gegenmaßnahmen

Viele Sicherheitsprobleme entstehen nicht durch besonders ausgefeilte Angriffe, sondern durch Alltagsfehler. Gerade in KMU mit knappen Ressourcen hilft eine klare Routine.

• Ein Schlüssel für alles: Ein zentraler Vollzugriff ist bequem, aber riskant. Besser sind getrennte Schlüssel je Anwendung und Zweck.
• Keine Zuständigkeit: Wenn niemand verantwortlich ist, bleiben alte Zugänge aktiv. Weisen Sie jeder Integration eine fachliche und eine technische Ansprechperson zu.
• Schlüssel im Quellcode: API-Schlüssel dürfen nicht fest in Anwendungen, Skripten oder öffentlichen Ablagen stehen. Nutzen Sie Umgebungsvariablen oder geeignete Geheimnis-Speicher.
• Echte Daten in Tests: Für Entwicklung und Tests sollten möglichst Testdaten oder anonymisierte Daten genutzt werden. Echte Rechnungsdaten erhöhen Datenschutz- und Geheimhaltungsrisiken.
• Fehlende Verschlüsselung: Schnittstellenzugriffe sollten über HTTPS beziehungsweise TLS erfolgen. Unverschlüsselte Übertragungen sind bei Rechnungsdaten nicht angemessen.
• Zu ausführliche Fehlermeldungen: Eine API sollte Angreifern nicht verraten, ob ein Schlüssel gültig war, welche Rechte fehlen oder wie interne Systeme aufgebaut sind.
• Keine Prüfung von Dienstleistern: Wenn externe Anbieter Rechnungsdaten verarbeiten, sollten Verträge, Sicherheitsmaßnahmen und Unterauftragnehmer geprüft werden.

Für Österreich und Deutschland sollten Sie zusätzlich die Nachvollziehbarkeit im Rechnungswesen im Blick behalten. In Deutschland verlangen die GoBD unter anderem Nachprüfbarkeit und Nachvollziehbarkeit elektronischer Aufzeichnungen. In Österreich sind Aufbewahrung und Ordnungsmäßigkeit unter anderem nach BAO § 132 zu prüfen. API-Zugriffe sollten deshalb nicht dazu führen, dass Belege unkontrolliert verändert oder gelöscht werden können.

Eine kompakte Checkliste für den laufenden Betrieb:

• Gibt es für jeden API-Schlüssel einen dokumentierten Zweck?
• Sind die Rechte auf diesen Zweck begrenzt?
• Ist klar, welche Rechnungsdaten verarbeitet werden?
• Werden Schlüssel sicher gespeichert und nicht per E-Mail verteilt?
• Gibt es getrennte Schlüssel für produktive Nutzung und Tests?
• Ist ein Prüftermin oder Rotationsprozess festgelegt?
• Werden Protokolle regelmäßig auf Auffälligkeiten geprüft?
• Gibt es einen Ablauf für Widerruf und Sicherheitsvorfälle?
• Sind Dienstleisterverträge und Datenschutzrollen geklärt?
• Wurden nationale Buchführungs- und Aufbewahrungsvorgaben berücksichtigt?

Die Kernfrage lautet nicht, ob API-Schlüssel eingesetzt werden dürfen. In vielen KMU sind sie für effiziente Prozesse notwendig. Entscheidend ist, ob der Zugriff beherrschbar bleibt. Wer den Lebenszyklus eines Schlüssels von der Erstellung bis zum Widerruf steuert, senkt das Risiko deutlich.

FAQ: API-Schlüssel Rechnungsdaten Sicherheit

Sind API-Schlüssel personenbezogene Daten?

Ein API-Schlüssel ist nicht automatisch ein personenbezogenes Datum. Er kann aber Zugriff auf personenbezogene Daten ermöglichen oder einer Person beziehungsweise einem Dienst zuordenbar sein. Deshalb sollte er wie ein vertrauliches Geheimnis behandelt werden.

Wie oft sollten API-Schlüssel gewechselt werden?

Es gibt keine pauschale Frist, die für alle KMU passt. Sinnvoll ist ein risikobasierter Ansatz: Wechsel bei Verdacht auf Offenlegung, nach Dienstleisterwechsel, bei Rollenänderungen und zusätzlich in festgelegten Prüfintervallen.

Darf ein externer Dienstleister Zugriff auf Rechnungsdaten erhalten?

Ja, wenn ein legitimer Zweck besteht und Datenschutz, Vertraulichkeit sowie vertragliche Anforderungen geklärt sind. Häufig ist zu prüfen, ob ein Vertrag zur Auftragsverarbeitung nach DSGVO erforderlich ist.

Reicht HTTPS für sichere API-Zugriffe aus?

Nein. HTTPS beziehungsweise TLS schützt die Übertragung, ersetzt aber keine Rechtebegrenzung, sichere Speicherung, Protokollierung und regelmäßige Prüfung der Schlüssel.

Was sollte sofort passieren, wenn ein API-Schlüssel versehentlich veröffentlicht wurde?

Der Schlüssel sollte deaktiviert oder ersetzt werden. Danach sollten Protokolle geprüft, betroffene Daten eingegrenzt und mögliche Meldepflichten bewertet werden. Bei personenbezogenen Daten kann eine datenschutzrechtliche Prüfung erforderlich sein.

Dieser Beitrag ersetzt keine individuelle Steuerberatung. Für Ihre konkrete Situation wenden Sie sich bitte an Ihre Steuerberaterin oder Ihren Steuerberater.

So unterstützt ein klarer digitaler Ablauf

Wer Zuständigkeiten, Stammdaten und Prüfschritte einheitlich abbildet, reduziert Rückfragen und Medienbrüche. Die passenden Claribill-Funktionen bündeln die dafür relevanten Arbeitsschritte an einem Ort.

Passende Beiträge im Claribill-Blog

• Digitale Belegablage: GoBD und § 132 BAO praktisch zusammendenken
• Belegkette prüfen: Vom Angebot zur Rechnung ohne Brüche

Quellen und weiterführende Informationen

• OWASP: REST Security Cheat Sheet
• EDPB: Secure personal data for small business