Aktuell

E-Rechnung ab 2027: Die Buchhaltung ist bereit – aber kommt die Rechnung auch an?

E-Rechnung ab 2027: Formate klärt die Buchhaltung. Wo es in der IT hakt – Rechnungspostfach, Archiv nach GoBD, Ausfälle und Betrug – zeigt unser Überblick.

13. November 2026

Compliance
E-Mail
Kommunen

In sieben Wochen beginnt die nächste Stufe der E-Rechnungspflicht. Was XRechnung und ZUGFeRD sind und welche Software sie erzeugt, klären gerade Buchhaltung, Steuerberatung und ERP-Anbieter. Dabei fällt eine Frage oft unter den Tisch: Wie kommt die Rechnung eigentlich ins Haus, wo liegt sie danach, und was passiert, wenn auf dem Weg etwas ausfällt? Das ist eine IT-Frage – und um die geht es hier.

Seit 1.1.2025

Empfang

Ab 1.1.2027

> 800.000 €

Ab 1.1.2028

Alle

Rechtlich maßgeblich ist bei einer E-Rechnung allein der strukturierte XML-Datensatz. Bei hybriden Formaten wie ZUGFeRD ist das PDF nur noch eine Ansicht für Menschen. Genau daraus ergeben sich die Stellen, an denen die IT mitreden muss.

Fünf Stellen, an denen es in der IT hakt

1. Der Weg ins Haus

Die meisten E-Rechnungen kommen weiterhin per E-Mail – als XML-Datei oder als PDF mit eingebettetem XML. Damit hängen sie an allem, was zwischen Absender und Buchhaltung liegt: Mail-Gateway, Spam- und Anhangfilter, Postfachregeln und am Ende der Import ins Buchhaltungs- oder ERP-System. Bei unseren Kunden mit Hornetsecurity werden XML- und ZUGFeRD-Anhänge korrekt zugestellt. Wer eigene Filterregeln pflegt, Anhänge umschreiben lässt oder einen anderen Filter einsetzt, sollte das vor dem Jahreswechsel mit einer echten Testrechnung prüfen. Eine Rechnung, die in einer Quarantäne hängt, fällt meist erst bei der Mahnung auf.

Und der Transportweg kann ausfallen. Wie schnell das geht, zeigt die aktuelle Störung bei Microsoft 365: Seit Donnerstagabend kommen bei vielen Unternehmen keine oder nur verzögert E-Mails an. Wer Rechnungen fristgebunden bearbeitet, braucht einen Plan, wie er in so einer Lage an seine Belege kommt – und wie er danach prüft, ob alles nachgeliefert wurde.

Eine Alternative zur E-Mail ist das Peppol-Netz, ein standardisierter Transportweg für elektronische Rechnungen, den in Baden-Württemberg auch der Zentrale Rechnungseingang des Landes annimmt. Große Lieferanten wie Microsoft empfehlen ihren Kunden bereits, einen Peppol-Empfangspunkt zu hinterlegen. Ob sich das lohnt, hängt vom Rechnungsvolumen und von der eingesetzten Buchhaltungssoftware ab – die Frage sollte aber gestellt werden, bevor alle Lieferanten auf einmal umstellen.

2. Das Rechnungspostfach

In vielen Betrieben landen Rechnungen noch im persönlichen Postfach der Sachbearbeitung. Das funktioniert, solange die Person da ist. Sinnvoller ist ein zentrales Funktionspostfach, das nicht an einem Menschen hängt: mit klar geregelten Zugriffsrechten, einer Vertretung und ohne private Weiterleitungen. Dieses Postfach gehört außerdem zu den lohnendsten Zielen für Angreifer – Mehrfaktor-Anmeldung und eine Überwachung ungewöhnlicher Regeln oder Weiterleitungen sind hier Pflicht.

3. Das Archiv

Mit der GoBD-Änderung vom 14. Juli 2025 hat das Bundesfinanzministerium klargestellt: Bei einer E-Rechnung genügt es, den strukturierten XML-Datensatz aufzubewahren. Das PDF muss nur zusätzlich archiviert werden, wenn es steuerlich relevante Angaben enthält, die im XML fehlen. Im Umkehrschluss heißt das: Wer nur das PDF ablegt oder die Rechnung ausdruckt, hat das eigentliche Original nicht aufbewahrt.

Das XML muss unverändert, vollständig und maschinell auswertbar aufbewahrt werden. Ein normaler Ordner auf dem Dateiserver reicht dafür in der Regel nicht.
Ein Mailarchiv sichert den Transportweg. Dient die E-Mail nur als Umschlag, muss sie nicht gesondert archiviert werden – die Rechnung selbst gehört in ein revisionssicheres Beleg- oder Dokumentenarchiv.
Das BMF empfiehlt, auch den Prüfbericht der Validierung aufzubewahren. Klären Sie, ob Ihr System das automatisch tut.
Das Archiv muss im Backup- und Wiederanlaufkonzept vorkommen. Zehn Jahre Aufbewahrungspflicht überstehen mehrere Server- und Softwaregenerationen.

4. Der Betrug

Strukturierte Rechnungen werden maschinell gelesen und oft automatisch vorkontiert. Das spart Zeit – und nimmt einen Prüfschritt weg, den bisher ein Mensch beim Blick aufs PDF erledigt hat. Eine Validierung prüft, ob die Rechnung formal stimmt, nicht, ob sie echt ist. Eine gefälschte E-Rechnung mit korrekter Struktur und geänderter Bankverbindung läuft genauso sauber durch wie eine echte. Geänderte IBANs bei bekannten Lieferanten gehören deshalb weiterhin über einen zweiten Kanal bestätigt. Wie solche Fälle in der Praxis ablaufen, haben wir am Beispiel von Zahlungsbetrug bei Kommunen beschrieben.

Das Problem gibt es auch in der umgekehrten Richtung: Echte Rechnungen sehen plötzlich verdächtig aus. Microsoft Deutschland hat seine eigene Rechnungsstellung bereits im November 2026 auf E-Rechnungen umgestellt. Wer bei Microsoft keinen Peppol-Empfangspunkt hinterlegt hat, bekommt die Rechnung seitdem per E-Mail vom E-Rechnungsdienstleister Pagero – von einer Adresse unter pageroonline.com statt von Microsoft. Mehrere Empfänger hielten das für Phishing. Tatsächlich hatte Microsoft die Änderung Anfang Oktober angekündigt und den neuen Absender in einer FAQ genannt. Die Ankündigung war bei vielen aber in einer anderen Abteilung oder im Spamordner gelandet.

Misstrauen ist richtig – die Prüfung muss nur am richtigen Ort stattfinden

Aktuelles Beispiel

Mit der E-Rechnung wechseln viele Lieferanten auf Dienstleister mit neuen Absenderadressen. Das ist für Angreifer eine ideale Tarnung. Prüfen Sie einen neuen Absender deshalb nie anhand der E-Mail selbst, sondern über einen bekannten Weg: das Kundenportal des Lieferanten, bei Microsoft die Abrechnungsansicht im Admin Center, oder einen Anruf beim bekannten Ansprechpartner. Erst danach den Absender für das Rechnungspostfach freigeben.

5. Kommunen sind weiter – aber nicht fertig

Für öffentliche Auftraggeber in Baden-Württemberg ist die E-Rechnung kein neues Thema: Die E-Rechnungsverordnung des Landes verpflichtet sie seit 2020 zum Empfang, Lieferanten des Landes müssen seit 2022 elektronisch abrechnen. Viele Verwaltungen haben deshalb bereits einen Eingangsworkflow. Die Fragen aus diesem Beitrag stellen sich trotzdem – vor allem dort, wo Rechnungen neben dem Portal weiterhin per E-Mail eingehen und in persönlichen Postfächern landen.

Der einfachste Test vor dem Jahreswechsel

Praxistipp

Bitten Sie einen Lieferanten oder Ihre eigene Buchhaltung, eine echte XRechnung und eine ZUGFeRD-Rechnung an Ihre Rechnungsadresse zu schicken. Verfolgen Sie beide bis ins Archiv: Kommen sie an, werden sie importiert, und liegt danach das XML unverändert im Archiv? Was dabei hakt, lässt sich jetzt noch in Ruhe beheben.

Bis zum Jahreswechsel klären

Gibt es ein zentrales Rechnungspostfach mit Vertretung, Rechtekonzept und Mehrfaktor-Anmeldung?
Erreichen XML- und ZUGFeRD-Anhänge dieses Postfach ungefiltert und unverändert?
Wo wird das XML archiviert, und ist dieser Speicherort revisionssicher und im Backup enthalten?
Was passiert, wenn der Mailempfang einen Tag ausfällt – wer merkt es, und wie werden Rechnungen nachgeholt?
Werden geänderte Bankverbindungen unabhängig vom Rechnungsdatensatz bestätigt?

Wir prüfen den Weg Ihrer Rechnungen

Vom Mail-Gateway über das Rechnungspostfach bis zum Archiv: Wir schauen mit Ihnen gemeinsam, wo E-Rechnungen in Ihrer Umgebung hängen bleiben könnten – bevor es die erste Mahnung zeigt.

Kontakt aufnehmen