Der QR-Code am Kassenbon

Seit 2017 trägt jeder Beleg einer österreichischen Registrierkasse einen QR-Code (oder ersatzweise einen Link oder eine gedruckte Textzeile). Er ist der sichtbare Teil der Registrierkassensicherheitsverordnung: Darin steckt die digitale Signatur, mit der die Kasse jeden Beleg fälschungssicher an den vorigen kettet. Dieser Artikel erklärt, was im Code steht, was nicht, und wie Sie ihn selbst prüfen können.

Was im Code steht – Feld für Feld

Der Inhalt des QR-Codes ist eine Textzeile mit dreizehn Feldern, getrennt durch Unterstriche. Ein erfundenes Beispiel (die echte Signatur ist deutlich länger):

_R1-AT1_KECK-TEST-1_366585_2026-10-27T14:03:11_12,50_0,00_0,00_0,00_0,00_MTIzNDU2Nzg=_1a2b3c_YWJjZGVmZ2g=_<Signatur>

1. R1-AT1 – Algorithmus und Anbieterkennzeichen. R1 ist die einzige zugelassene Suite; das Kennzeichen danach nennt den Vertrauensdiensteanbieter der Signaturkarte (siehe unten).
2. Kassen-ID – die Kennung der Kasse, wie sie bei FinanzOnline registriert ist.
3. Belegnummer – fortlaufend und einmalig je Kasse; lückenlos macht die Kette erst der Verkettungswert.
4. Zeitpunkt – Datum und Uhrzeit des Belegs in Wiener Zeit.
5. Fünf Beträge – der Bruttoumsatz je Steuersatz: 20 %, 10 %, 13 %, 0 % und „Besonders“ (19 % für Jungholz und Mittelberg, seit 1. Juli 2026 auch 4,9 % für Grundnahrungsmittel).
6. Umsatzzähler – der aufsummierte Umsatz der Kasse, verschlüsselt mit einem Schlüssel, den nur die Kasse und das Finanzamt kennen. Bei Storno- und Trainingsbuchungen steht hier stattdessen eine Kennung.
7. Seriennummer des Zertifikats – damit lässt sich das öffentliche Zertifikat der Signaturkarte beim Anbieter nachschlagen.
8. Verkettungswert – ein Prüfwert über den vorigen Beleg. Er macht die Belegkette lückenlos: Fehlt ein Beleg oder wurde einer geändert, passt der Wert nicht mehr.
9. Signatur – die elektronische Unterschrift der Signaturkarte über alle Felder davor.

Was nicht im Code steht

Keine Artikel, keine Preise einzelner Positionen, kein Name, keine Zahlungsart. Der Code beschreibt den Beleg nur so weit, wie es für die Prüfung der Signatur und der Kette nötig ist. Aus dem QR-Code kann niemand ablesen, was Sie gekauft haben oder wer Sie sind.

AT0, AT1, AT100: das Anbieterkennzeichen

• AT1 – A-Trust, der mit Abstand häufigste Anbieter. Sein Verzeichnis ist öffentlich, deshalb lässt sich die Signatur solcher Bons nachprüfen.
• AT2, AT3 – weitere zugelassene Vertrauensdiensteanbieter.
• AT0 – ein geschlossenes Gesamtsystem nach § 20 RKSV: Große Handelsketten mit vielen Kassen dürfen mit Feststellungsbescheid des Finanzamts eine eigene Signaturlösung betreiben. Das Zertifikat liegt bei keinem öffentlichen Anbieter; prüfen kann es nur das Finanzamt. AT0 bedeutet also nicht, dass etwas fehlt.
• AT100 – eine Testkarte. Solche Belege stammen aus dem Probebetrieb, nicht aus dem Verkauf.

Ein Ausfall der Sicherheitseinrichtung steht übrigens nie im Kennzeichen. Fällt die Signaturkarte aus, druckt die Kasse weiter, der Bon trägt dann den Vermerk „Sicherheitseinrichtung ausgefallen“, und genau dieser Text steht anstelle der Signatur im Code. Mehr dazu im Artikel zum Ausfall der Signatur.

Storno und Training

Eine Stornobuchung und eine Trainingsbuchung erkennt man im Code am Feld des Umsatzzählers: Statt des verschlüsselten Zählers steht dort die Kennung für „STO“ bzw. „TRA“. Beide sind signiert und verkettet wie jeder andere Beleg. Eine Trainingsbuchung zählt nicht zum Umsatz, eine Stornobuchung mindert ihn um den stornierten Betrag.

Den Code selbst prüfen

Mit unserer Seite Kassenbon prüfen scannen Sie den QR-Code mit der Kamera, laden ein Foto hoch oder fügen die Textzeile ein. Wir lesen die Felder aus und prüfen die Signatur gegen das Zertifikat, das A-Trust für diese Kasse veröffentlicht hat. Kostenlos, ohne App, ohne Anmeldung. Was die Prüfung nicht kann: die Verkettung mit dem Vorbeleg bestätigen (dafür braucht es das Datenerfassungsprotokoll der Kasse) und sagen, ob die Kasse bei FinanzOnline registriert ist.