XRechnung, ZUGFeRD, Peppol: Formate, Profile und welcher Teil im Zweifel gilt

Beide erfüllen dieselbe Norm und sind doch verschieden: XRechnung ist ein CIUS, ZUGFeRD ein Hybrid mit Profilen, von denen nicht jedes die Pflicht erfüllt. Warum bei ZUGFeRD der XML-Teil maßgeblich ist, was Peppol damit zu tun hat und wo die Betrugslücke im Hybrid liegt.

„Wir machen ZUGFeRD" oder „wir brauchen XRechnung" – so wird die Formatfrage meist verhandelt, und meist an der eigentlichen Entscheidung vorbei. Beide beruhen auf derselben europäischen Norm, unterscheiden sich aber in der Verpackung, im Detailgrad und in einer Eigenschaft, die für die Rechnungsprüfung folgenreicher ist als alles andere: der Frage, welcher Teil des Dokuments im Zweifel gilt.

Eine Norm, zwei Ausprägungen

Die gemeinsame Grundlage ist EN 16931, das europäische semantische Datenmodell für die elektronische Rechnung (eingeführt über die Richtlinie 2014/55/EU). Sie definiert, welche Informationen eine Rechnung enthält und wie sie benannt sind – nicht, wie sie transportiert oder angezeigt wird.

XRechnung ist eine nationale Ausprägung dieser Norm, technisch ein CIUS (Core Invoice Usage Specification): Sie schränkt die Norm ein und ergänzt deutsche Anforderungen, allen voran die Leitweg-ID für die Adressierung im Behördenverkehr. Eine XRechnung ist eine reine XML-Datei ohne Sichtkomponente; wer sie ansehen will, braucht einen Viewer.

ZUGFeRD ist ein hybrides Format: ein PDF/A-3, in das dieselbe strukturierte XML eingebettet ist. Der Mensch sieht ein gewohntes PDF, die Maschine liest den Datensatz. Es ist mit dem französischen Factur-X abgestimmt, was grenzüberschreitend hilft.

Beide können normkonform sein. Die Wahl ist deshalb keine Rechtsfrage, sondern eine des Empfängerkreises: Behörden verlangen typischerweise XRechnung; im B2B-Verkehr mit gemischt digitalisierten Partnern hat der Hybrid den Vorteil, dass auch ein Empfänger ohne strukturierte Verarbeitung etwas Lesbares in der Hand hält.

Nicht jedes ZUGFeRD-Profil erfüllt die Pflicht

Hier liegt der praktisch wichtigste Stolperstein. ZUGFeRD kennt mehrere Profile mit unterschiedlichem Datenumfang. Die einfachen Profile transportieren bewusst nur einen Teil der Angaben – sie waren als Einstieg gedacht und enthalten nicht alle nach EN 16931 erforderlichen Informationen. Damit gelten sie nicht als E-Rechnung im Sinne des Gesetzes.

Die Aussage „unsere Rechnungen sind ZUGFeRD" sagt deshalb für sich genommen nichts über die Erfüllung der E-Rechnungspflicht. Erst ab dem Profil, das der Norm entspricht, ist die Anforderung erfüllt. Für die Eingangsseite heißt das: Das Profil gehört ausgelesen und geprüft, nicht angenommen. Für die Ausgangsseite: Wer seine Software auf ZUGFeRD umgestellt hat, sollte wissen, welches Profil sie erzeugt.

Welcher Teil gilt – und warum das ein Sicherheitsthema ist

Bei einem hybriden Dokument stellt sich eine Frage, die es bei der reinen XML nicht gibt: Was gilt, wenn die sichtbare PDF-Seite etwas anderes zeigt als die eingebettete XML? Die Antwort ist eindeutig: Der strukturierte XML-Teil ist maßgeblich. Er ist der Datensatz, der eingelesen, gebucht und bezahlt wird; die PDF-Ansicht ist Visualisierung.

Das ist mehr als eine Formalie, es ist eine Angriffsfläche. Wer eine Rechnung nur ansieht und freigibt, prüft die Hälfte, die nicht zählt. Ein manipuliertes Hybrid-Dokument kann im sichtbaren Teil einen unauffälligen Betrag und die bekannte Bankverbindung zeigen, während im XML ein anderer Betrag oder eine andere IBAN steht – und bezahlt wird das XML. Die Gegenmaßnahme ist einfach und wird selten umgesetzt: beide Teile gegeneinander prüfen und bei Abweichung sperren. Zusammen mit dem IBAN-Abgleich gegen den Lieferantenstamm schließt das eine Lücke, die ein reiner Sichtprozess strukturell offen lässt.

Peppol ist kein Format

Häufig wird Peppol als „drittes Format" genannt – das ist es nicht. Peppol ist ein Netzwerk mit Zustellinfrastruktur, Teilnehmerverzeichnis und eigenem Regelwerk; übertragen wird darin ein EN-16931-konformer Datensatz im Peppol-BIS-Format. Format und Übertragungsweg sind zwei getrennte Ebenen: Dieselbe normkonforme Rechnung kann per E-Mail, über ein Lieferantenportal oder über Peppol zugestellt werden.

Der Vorteil des Netzwerks liegt in der Zustellung – geprüfte Teilnehmeridentitäten, Zustellnachweise, keine Postfach-Abhängigkeit. Für die Rechnungsprüfung ändert sich am Inhalt nichts; es ändert sich, wie zuverlässig und nachvollziehbar er ankommt.

Was für die Verarbeitung wirklich zählt

Unabhängig vom Format entscheidet über den Nutzen, ob aus dem Datensatz gearbeitet wird oder aus dem Bild. Bei einer strukturierten Rechnung entfällt die Texterkennung vollständig: Betrag, Steuersätze, Lieferant, IBAN, Leistungszeitraum und Positionen liegen als Felder vor. Damit lassen sich die §14-Pflichtangaben vollständig statt stichprobenhaft prüfen und die Rechenprobe exakt statt geschätzt durchführen.

Wer die XML dagegen nur visualisiert und dann abtippt, hat den Vorteil verschenkt und sich zusätzlich Übertragungsfehler eingehandelt – an genau der Stelle, an der die Daten bereits maschinenlesbar vorlagen. Und archiviert werden muss ohnehin der strukturierte Originaldatensatz, nicht die Ansicht.

Fazit

XRechnung und ZUGFeRD sind zwei Verpackungen derselben Norm: die eine rein strukturiert und behördentauglich, die andere hybrid und anschlussfreundlich. Entscheidend sind drei Dinge, die in der Formatdiskussion untergehen: Nicht jedes ZUGFeRD-Profil erfüllt die Pflicht; bei Abweichung gilt der XML-Teil, weshalb beide Teile gegeneinander gehören; und Peppol ist ein Zustellweg, kein Format. Wer aus dem Datensatz prüft statt aus dem Bild, gewinnt Vollständigkeit – und schließt nebenbei eine Betrugslücke. Dieser Beitrag ordnet ein und ersetzt keine steuerliche Beratung.