Sicherheit
So schützt SmartEinzug Zugänge, Schlüssel und Einzüge
SmartEinzug verarbeitet Rechnungsdaten, Bankverbindungen Ihrer Kunden und die Zugangsdaten zu Lexware Office und Stripe. Diese Seite beschreibt, wie die Anwendung Zugänge, Geheimnisse und Zahlungsvorgänge schützt, und benennt offen, wo die Grenzen dieser Maßnahmen liegen.
Stand 08.09.2026. Beschrieben sind die im Programmcode umgesetzten Maßnahmen. Fristen und Zeitfenster sind Standardwerte der Plattform und können vom Betreiber angepasst werden.
Zugang
Anmeldung nur mit zweitem Faktor
Jeder Benutzerzugang, auch der Zugang des Betreibers in den Adminbereich, verlangt neben dem Passwort einen zeitbasierten Einmalcode aus einer Authenticator-App (TOTP). Ohne eingerichtete Zwei-Faktor-Authentifizierung lässt sich die Anwendung nicht nutzen. Codes per SMS oder E-Mail bietet SmartEinzug nicht an.
Recovery-Codes
Für den Fall eines Geräteverlusts erhalten Sie bei der Einrichtung Recovery-Codes. Sie werden nur einmal angezeigt, ausschließlich als Hash gespeichert und sind jeweils genau einmal verwendbar. Ein Recovery-Code meldet Sie an, ersetzt aber nicht die Zweitbestätigung bei kritischen Aktionen.
Passwörter und Fehlversuche
Passwörter speichert SmartEinzug ausschließlich als Hash. Nach mehreren Fehlversuchen wird die Anmeldung gedrosselt und der Zugang vorübergehend gesperrt. Fehlversuche werden protokolliert; die letzten Anmeldeversuche Ihres Zugangs sehen Sie unter Sicherheit.
Gerätefreigabe für 90 Tage
Optional merken Sie ein Gerät nach erfolgreicher Codeeingabe für 90 Tage. Die Freigabe ersetzt nur die Codeabfrage bei der Anmeldung, das Passwort bleibt immer erforderlich. Die Laufzeit verlängert sich nicht durch Nutzung; gemerkte Geräte sind einsehbar und einzeln oder gesamt widerrufbar.
Zweitbestätigung kritischer Aktionen
Inhaberwechsel, Wechsel des Buchhaltungssystems, Aufheben des Not-Stopps und Tarifwechsel verlangen eine erneute Bestätigung mit dem aktuellen Authenticator-Code. Recovery-Codes und Gerätefreigaben reichen dafür nicht aus.
Sitzungen zentral beenden
Mit „Überall abmelden“ beenden Sie alle Sitzungen Ihres Zugangs auf einmal. Eine Passwortänderung, ein Zurücksetzen des Passworts oder der Zwei-Faktor-Authentifizierung beendet ebenfalls alle Sitzungen und widerruft alle Gerätefreigaben.
Benachrichtigung bei Änderungen
Über sicherheitsrelevante Änderungen an Ihrem Zugang, etwa eine Passwortänderung, eine neue Gerätefreigabe oder die Nutzung eines Recovery-Codes, informiert SmartEinzug per E-Mail.
Zugangsdaten und Geheimnisse
Wie Schlüssel gespeichert und verwendet werden
Den API-Schlüssel für Lexware Office, den Secret Key und das Webhook-Secret Ihres Stripe-Kontos sowie das 2FA-Geheimnis jedes Benutzers speichert SmartEinzug serverseitig mit AES-256-GCM verschlüsselt. Nach der Eingabe zeigen die Einstellungen nur noch an, dass ein Schlüssel hinterlegt ist. Der Klartext erscheint weder in der Oberfläche noch im Protokoll noch in technischen Laufprotokollen.
Die Anwendung entschlüsselt die Schlüssel ausschließlich zur Laufzeit, wenn sie Lexware Office oder Stripe aufruft. Das ist keine Ende-zu-Ende-Verschlüsselung: Der Server hält den dafür notwendigen Schlüssel. Statusmeldungen von Stripe nimmt SmartEinzug nur signaturgeprüft entgegen und verarbeitet jedes Ereignis genau einmal.
Im Portal erfasste Bankverbindungen Ihrer Kunden werden mandantengetrennt und außerhalb des Webzugriffs in der Datenbank abgelegt und in der Anwendung maskiert angezeigt, sichtbar sind nur die ersten und die letzten vier Stellen. Bei digital über Stripe erteilten Mandaten kennt SmartEinzug ohnehin nur eine maskierte IBAN. Eine Verschlüsselung der IBAN in der Datenbank erfolgt derzeit nicht, siehe Abschnitt Grenzen.
- API-Schlüssel Lexware OfficeBeim Speichern geprüft, verschlüsselt abgelegt, danach nur noch als „hinterlegt“ sichtbar
- Stripe Secret Key und Webhook-SecretVerschlüsselt je Firma, Änderungen werden protokolliert und dem Inhaber gemeldet
- 2FA-GeheimnisVerschlüsselt gespeichert, nur zur Codeprüfung entschlüsselt
- Supportanfragen mit ZugangsdatenAnfragen, die Schlüssel oder eine IBAN enthalten, weist das Hilfe-Center ab
Rollen und Mehrfirmen
Rollen, Einladungen und mehrere Firmen
Je Firmenaccount gibt es drei Rollen mit abgestuften Rechten. Die Prüfung erfolgt serverseitig bei jeder Anfrage, nicht nur in der Oberfläche.
Inhaber
Die registrierende Person. Allein zuständig für Mitarbeiter, Einladungen, Rollen, die Übertragung der Inhaberschaft, das Abonnement und die Protokollansicht.
Administrator
Wie Mitarbeiter, zusätzlich API-Verbindungen zu Lexware Office und Stripe, Firmendaten, SEPA-Einstellungen und der Wechsel des Buchhaltungssystems.
Mitarbeiter
Voller operativer Zugriff auf Synchronisation, Rechnungen, Kunden, SEPA-Pflege und Einzüge. Eine reine Leserolle gibt es nicht: Mitarbeiter dürfen Einzüge auslösen.
- Einladungen statt geteilter Zugänge. Mitarbeiter treten nur über eine Einladung des Inhabers bei. Der Einladungslink ist zeitlich begrenzt gültig, fest an Firma, E-Mail-Adresse und Rolle gebunden, nur als Hash gespeichert und widerrufbar. Jede Person richtet ihre eigene Zwei-Faktor-Authentifizierung ein.
- Sofortiger Entzug. Sperrt oder entfernt der Inhaber einen Mitarbeiter, enden dessen Sitzungen sofort. Die Protokolleinträge der Person bleiben erhalten.
- Inhaberschaft übertragbar. Nur der Inhaber kann die Inhaberschaft übertragen, mit Passwort und aktuellem Authenticator-Code; beide Beteiligten werden per E-Mail informiert.
- Mehrere Firmen, ein Benutzerkonto. Ein Benutzerkonto kann mehreren Firmen angehören. Jede Firma hat eigene Kunden, Rechnungen, Mandate, Einzüge, eine eigene Anbindung an Lexware Office und Stripe und ein eigenes Abonnement. Der Mehrfirmenzugang verbindet nur Anmeldung und Navigation; jeder Firmenwechsel prüft die Mitgliedschaft serverseitig.
- Logische Mandantentrennung. Alle Firmen liegen in einer gemeinsamen Datenbank; die Trennung erfolgt über die Firmenkennung in jeder Abfrage. Eine eigene Datenbank je Kunde gibt es nicht.
Protokoll
Was protokolliert wird und wie lange
Sicherheits- und geldrelevante Aktionen werden mit Firma, Benutzer, Aktion, Zielobjekt, IP-Adresse und Zeitpunkt protokolliert: Anmeldungen, Zwei-Faktor-Vorgänge, Einladungen und Rollen, API-Verbindungen, IBAN-Änderungen, Mandate, Einzüge, Abonnement und Support-Zugriffe. Erfasst werden definierte Aktionstypen, keine lückenlose Aufzeichnung jeder Ansicht. Ein Fehler beim Protokollieren bricht die eigentliche Aktion nicht ab.
Der Inhaber sieht das Protokoll unter Firmendaten und exportiert es als CSV; der Export wird selbst protokolliert. Das Einzugsjournal mit Beträgen, Status, Stripe-Kennungen und Fehlergründen exportieren alle Rollen der Firma als CSV.
Protokolleinträge werden 90 Tage aufbewahrt und danach durch die Wartung gelöscht. Das Protokoll ist eine Datenbanktabelle und kein revisionssicheres Archiv. Die fachlichen Nachweise bleiben davon unberührt dauerhaft erhalten: jeder Einzug mit Versuchsjournal und Stripe-Kennungen, jedes Mandat mit Referenz, Unterschriftsdatum und Ort.
- Protokoll90 Tage einsehbar und als CSV exportierbar (Inhaber)
- AnmeldeversucheJeder Benutzer sieht seine letzten Versuche mit Ergebnis und IP-Adresse
- Einzüge und MandateDauerhaft nachweisbar, unabhängig von der Protokollfrist
- Support-ZugriffeIm Protokoll Ihrer Firma mit Support-Vermerk gekennzeichnet
Support-Zugriff
Wenn der Support auf Ihren Firmenaccount zugreift
Für die Fehlersuche kann ein Plattformadministrator des Betreibers einen Support-Zugriff auf Ihren Firmenaccount starten. Dafür muss er einen Grund angeben, zum Beispiel eine Ticketnummer, und den Zugriff mit seinem eigenen Authenticator-Code bestätigen. Die Sitzung läuft höchstens 60 Minuten mit den Rechten eines Administrators und kann jederzeit vorher beendet werden.
Sie werden informiert
Der Inhaber erhält bei jedem Support-Zugriff eine E-Mail. Jede Aktion im Support-Modus trägt im Protokoll Ihrer Firma einen Support-Vermerk und ist damit für Sie nachvollziehbar.
Was der Support nicht kann
Im Support-Modus sind gesperrt: das Einreichen von Einzügen, einzeln, gesammelt oder außerhalb des Einreichfensters, Änderungen an Bankverbindungen Ihrer Kunden, Änderungen an den Zugangsdaten zu Lexware Office und Stripe einschließlich Trennen sowie der Import aus Stripe.
Was der Support sieht
Rechnungen, Kunden, Mandate und Einzüge Ihrer Firma sind im Support-Modus sichtbar. Eine vorherige Freigabe durch Sie ist technisch nicht vorgesehen; Sie erhalten Benachrichtigung und Protokoll.
Zurücksetzen der 2FA
Setzt der Support die Zwei-Faktor-Authentifizierung eines Benutzers zurück, bestätigt er das mit eigenem Passwort und Code. Der Reset beendet alle Sitzungen und Gerätefreigaben der Person, wird protokolliert und ihr per E-Mail gemeldet.
Zahlungsschutz
Schutz vor Fehleinzügen und Doppelbelastung
Ein Einzug entsteht nur durch eine Aktion eines Benutzers Ihrer Firma, je Rechnung oder als Sammel-Einzug. Die Synchronisation löst niemals einen Einzug aus. Vor jeder Lastschrift läuft eine mehrstufige Prüfung, deren wichtigste Stufen hier beschrieben sind.
- 1
Restbetrag live bei Lexware Office
Unmittelbar vor jeder Lastschrift fragt SmartEinzug den offenen Restbetrag der Rechnung live bei Lexware Office ab. Bezahlte Rechnungen werden nicht eingezogen, Teilzahlungen werden erkannt, und ist der Restbetrag nicht ermittelbar, wird nicht eingereicht. Terminierte Einzüge werden am Fälligkeitstag erneut geprüft.
- 2
Idempotenzschlüssel und Versuchsjournal
Vor jedem Aufruf an Stripe wird ein Versuch im Journal gespeichert; der zugehörige Schlüssel geht als Idempotenzschlüssel an Stripe. Solange zu einer Rechnung ein Versuch offen oder unklar ist, wird kein weiterer angelegt. Antwortet Stripe nicht, wird nicht wiederholt, sondern der Fall über die Stripe-Suche geklärt.
- 3
Not-Stopp je Firma
Inhaber und Administratoren halten mit dem Not-Stopp alle Einreichungen der Firma sofort an; vorgemerkte und terminierte Einzüge lassen sich dabei gesammelt stornieren. Das Aufheben verlangt den aktuellen Authenticator-Code. Bereits bei Stripe eingereichte Lastschriften lassen sich damit nicht zurückholen.
- 4
Karenzzeit und Einreichfenster
Sofort-Einzüge werden vorgemerkt und nach einer Karenzzeit gebündelt im nächtlichen Einreichfenster eingereicht, standardmäßig nach vier Stunden zwischen 23:00 und 06:00 Uhr. Bis zur Einreichung können Sie jeden Einzug stornieren. Eine Einreichung außerhalb des Fensters ist nur Inhabern und Administratoren mit Authenticator-Code möglich.
- 5
Weitere Prüfungen vor dem Einreichen
Zusätzlich prüft die Anwendung unter anderem die Vorabankündigungsregel, ob der Kunde für den SEPA-Einzug aktiviert ist, ob eine aktive IBAN und ein verwendbares Mandat vorliegen und ob die Stripe-Verbindung besteht. Die Lastschrift führt Stripe über Ihr eigenes Stripe-Konto aus; SmartEinzug hat kein Sammelkonto und keinen Zugriff auf eingezogene Beträge.
Wie ein Einzug von der Freigabe bis zur Rückmeldung abläuft, zeigt die Anleitung Erster Lastschrifteinzug. Was bei einer Rückgabe der Bank geschieht, erklärt der Beitrag Rücklastschrift.
Hosting
Betrieb, Datenbank und Sicherungen
- Diese Webseite: smart-einzug.de wird bei der IONOS SE, Deutschland, gehostet.
- Die Anwendung: app.smart-einzug.de läuft davon getrennt auf einem eigenen virtuellen Server des Betreibers in Containern.
- Datenbank: ohne öffentlichen Port, nur innerhalb des internen Netzes des Servers erreichbar.
- Dateien: Hochgeladene Mandatsdokumente liegen außerhalb des Webzugriffs und werden nur an Mitglieder der jeweiligen Firma ausgeliefert.
- Sicherungen: tägliche Sicherung der Datenbank mit einem externen Sicherungsziel außerhalb des Servers (Angabe des Betreibers).
- Transport: Die Kommunikation mit allen Hosts läuft verschlüsselt über HTTPS.
- Aktualisierungen: Neue Versionen werden kontrolliert ausgerollt, mit Prüfung des neuen Stands vor der Umschaltung und Rückfallmöglichkeit auf die vorherige Version.
- Betreiberzugang: Auch der Adminbereich des Betreibers ist nur mit Zwei-Faktor-Authentifizierung erreichbar.
Grenzen
Was wir nicht zusagen
Sicherheit lässt sich nur ehrlich beschreiben, wenn auch die Grenzen genannt werden. Diese Punkte sollten Sie kennen, bevor Sie SmartEinzug einsetzen.
- Keine Verfügbarkeitszusage. Die Anwendung läuft auf einem einzelnen Server ohne Ausfallsicherung. Wir bemühen uns um eine möglichst unterbrechungsfreie Verfügbarkeit, nennen aber keine Prozentwerte und kein Service-Level. Bei einem Ausfall wird aus der Sicherung wiederhergestellt.
- Protokoll 90 Tage. Protokolleinträge werden nach 90 Tagen gelöscht. Wer längere Nachweise benötigt, exportiert das Protokoll regelmäßig als CSV. Einzüge und Mandate bleiben unabhängig davon nachweisbar.
- IBAN nicht verschlüsselt gespeichert. Im Portal erfasste IBANs liegen mandantengetrennt und außerhalb des Webzugriffs in der Datenbank und werden in der Anwendung maskiert angezeigt, sind dort aber nicht verschlüsselt abgelegt.
- Gerätefreigabe ist browserbezogen. Sie bindet keine Hardware. Ein entwendetes Cookie ließe sich zusammen mit dem Passwort bis zum Widerruf oder Ablauf verwenden; widerrufen Sie Freigaben deshalb bei Verdacht sofort.
- Support ohne vorherige Freigabe. Ein Support-Zugriff wird begründet, befristet, gemeldet und protokolliert, aber nicht vorab von Ihnen freigegeben.
- Keine Leserolle. Alle drei Rollen dürfen Einzüge auslösen. Wer einer Person Einsicht gibt, gibt ihr damit auch das Recht, Einzüge freizugeben.
- Standort der Anwendung. Zum Rechenzentrumsstandort der Anwendung machen wir an dieser Stelle keine Angabe.
Häufige Fragen
Fragen zur Sicherheit von SmartEinzug
Ist die Zwei-Faktor-Authentifizierung wirklich Pflicht?
Ja, für jeden Benutzer, unabhängig von der Rolle. Der zweite Faktor ist ein zeitbasierter Einmalcode aus einer Authenticator-App. SMS-Codes, E-Mail-Codes oder Hardware-Token werden nicht angeboten. Für den Geräteverlust dienen die Recovery-Codes aus der Einrichtung.
Kann der Betreiber meine API-Schlüssel oder Stripe-Schlüssel einsehen?
Die Schlüssel werden verschlüsselt gespeichert und in der Oberfläche, im Protokoll und im Support-Modus nicht angezeigt. Die Anwendung entschlüsselt sie serverseitig, wenn sie Lexware Office oder Stripe aufruft; der Server hält dafür den nötigen Schlüssel. Ändern oder trennen kann der Support Ihre Zugangsdaten nicht.
Wie verhindert SmartEinzug, dass eine Rechnung zweimal eingezogen wird?
Vor jedem Stripe-Aufruf wird ein Versuch mit Idempotenzschlüssel im Journal gespeichert. Solange ein Versuch zu einer Rechnung offen oder unklar ist, wird kein weiterer angelegt; bei fehlender Antwort von Stripe wird der Fall geklärt statt wiederholt. Zusätzlich wird der Restbetrag unmittelbar vor der Lastschrift live bei Lexware Office abgefragt.
Was passiert, wenn ich einen Einzug irrtümlich freigegeben habe?
Bis zur Einreichung im nächtlichen Einreichfenster können Sie jeden Einzug stornieren; mit dem Not-Stopp halten Inhaber und Administratoren alle Einreichungen der Firma an. Bereits bei Stripe eingereichte Lastschriften lassen sich nicht mehr zurückholen. Eine Erstattung veranlassen Sie in diesem Fall in Ihrem Stripe-Konto; SmartEinzug übernimmt sie von dort und markiert die Rechnung zur Klärung.
Wie lange kann ich nachvollziehen, wer was getan hat?
Das Protokoll ist 90 Tage einsehbar und für den Inhaber als CSV exportierbar. Einzüge mit Versuchsjournal und Stripe-Kennungen sowie Mandate mit Referenz und Unterschriftsdaten bleiben dauerhaft in der Anwendung nachweisbar.
Ist SmartEinzug hochverfügbar?
Nein. Die Anwendung läuft auf einem einzelnen Server ohne Ausfallsicherung, mit täglicher Sicherung der Datenbank auf ein externes Sicherungsziel. Eine Verfügbarkeit in Prozent oder ein Service-Level sagen wir nicht zu. Terminierte Einzüge, deren Termin länger zurückliegt, werden nicht still nachgeholt, sondern als überfällig angezeigt und müssen neu terminiert oder storniert werden.