Direkt zum Inhalt

Ratgeber

So funktioniert der Leser: nachprüfbar lokal

Stand: 19. September 2026

Die Rechnung verlässt dein Gerät nicht. Warum das keine bloße Zusage ist und wie du es in den Entwicklerwerkzeugen deines Browsers selbst nachprüfst.

Kein Upload – und warum das keine bloße Zusage ist

Viele Seiten versprechen, eine Datei „nicht zu speichern“. Geprüft werden kann das von außen nicht: Ob der Server die Datei wirklich löscht, weiß nur der Betreiber. Der E-Rechnungsleser geht einen anderen Weg. Er schickt die Rechnung gar nicht erst ab – und er ist so gebaut, dass er es auch nicht könnte. Das lässt sich mit dem Browser nachprüfen, den du gerade benutzt.

Die zwei Mauern

1. Der Leser darf keine Verbindung aufbauen

Der Leser läuft in einem eigenen Bereich der Seite, einem sogenannten iFrame. Dieser Bereich hat eine eigene Sicherheitsrichtlinie (Content Security Policy), die jede Verbindung verbietet:

  • connect-src 'none' – keine Anfragen per Skript, weder zu uns noch zu irgendwem sonst,
  • img-src data: blob: – Bilder nur aus dem Speicher des Browsers, damit keine Bildadresse Daten hinausträgt,
  • form-action 'none' – kein Formular kann etwas absenden,
  • default-src 'none' – alles, was nicht ausdrücklich erlaubt ist, ist verboten.

Erlaubt ist nur, die Programmdateien des Lesers und seine Schriften von unserem Server zu laden. Das passiert, wenn der Bereich erscheint – bevor du eine Datei auswählst.

2. Die übrige Seite kommt nicht hinein

Der Bereich ist abgeschottet (sandbox ohne allow-same-origin). Für den Browser ist er dadurch eine fremde Seite. Kein Skript der umgebenden Seite – auch keine Werbung – kann hineinsehen oder die Rechnung lesen. Die Datei wählst du im Bereich selbst aus oder ziehst sie dort hinein; die umgebende Seite bekommt sie nie zu Gesicht.

Mit der umgebenden Seite tauscht der Leser genau zwei Dinge aus: Er meldet ihr seine Höhe, damit sie den Platz anpasst, und dass eine Datei geöffnet wurde – ohne Namen, ohne Inhalt. Umgekehrt erfährt er nur, ob du das helle oder dunkle Design gewählt hast.

Selbst nachprüfen

Der einfachste Test: offline

  1. Die Startseite laden und warten, bis das Feld „E-Rechnung hier hineinziehen“ erscheint.
  2. Die Internetverbindung trennen – WLAN aus oder Flugmodus.
  3. Eine Rechnung hineinziehen. Sie wird vollständig angezeigt, mit Girocode.

Was ohne Internet funktioniert, braucht kein Internet.

Mit den Entwicklerwerkzeugen

  1. Die Entwicklerwerkzeuge öffnen: in Chrome, Edge und Firefox mit F12, auf dem Mac mit Cmd+Alt+I.
  2. Den Reiter Netzwerk wählen und die Liste leeren.
  3. Eine Rechnung öffnen. Die Liste bleibt leer: Beim Öffnen entsteht keine einzige Anfrage.
  4. Wer es genauer wissen will: Im Reiter Netzwerk die Seite neu laden und den Eintrag leser anklicken. Unter „Antwort-Header“ steht die Richtlinie mit connect-src 'none'.

Auch der Code selbst ist einsehbar: Er wird unverkleinert ausgeliefert und lässt sich in den Entwicklerwerkzeugen unter „Quellen“ lesen.

Was wir doch verarbeiten

Beim Aufruf der Seite entstehen, wie bei jeder Website, Server-Protokolle. Auf den normalen Seiten – nicht im Leser – laufen eine cookiefreie, selbst betriebene Reichweitenmessung und, nur nach deiner Einwilligung, Werbung. Die Einzelheiten stehen in der Datenschutzerklärung.

Wo die Grenzen liegen

  • Browser-Erweiterungen können alles sehen, was im Browser angezeigt wird – auch den Leser. Gegen eine bösartige Erweiterung schützt keine Website.
  • Anhänge einer Rechnung, etwa ein Stundenzettel als PDF, stammen vom Rechnungssteller. Der Leser speichert sie auf Wunsch, öffnet sie aber nicht selbst.
  • Anzeige, keine Prüfung: Der Leser rechnet nach, was sich nachrechnen lässt. Ob eine Rechnung allen Regeln entspricht, prüft ein Validator wie der der KoSIT.

Warum das für Unternehmen zählt

Rechnungen enthalten personenbezogene Daten: Namen, Anschriften, Kontoverbindungen. Wer sie bei einem Online-Dienst hochlädt, gibt sie an einen Dritten weiter – im Geschäftsverkehr meist nur mit Auftragsverarbeitungsvertrag. Beim E-Rechnungsleser gibt es keinen Dritten, weil nichts übertragen wird.

Dieser Ratgeber erklärt allgemein, wie die Dinge liegen. Er ersetzt keine Steuerberatung. Maßgeblich sind das Umsatzsteuergesetz und die Schreiben des Bundesfinanzministeriums in ihrer jeweils aktuellen Fassung.