Konto, Team-Rollen und Datensicherheit

Mehrere Personen können mit abgestuften Rechten im selben Konto arbeiten, und deine Daten liegen ausschließlich in der EU. Diese Seite zeigt, welche Rolle was darf, wie du Team, Steuerkanzlei, Agentur oder Support dazuholst, wie du dich anmeldest und wo deine Daten gespeichert sind.

Team-Rollen

Unter Einstellungen → Team lädst du Teammitglieder per E-Mail ein und gibst jeder Person eine Rolle. Rechte laufen über Rollen, nicht über geteilte Logins.

Nur der Inhaber (Admin) ernennt weitere Admins und kann das Konto löschen. Prüfer lädst du als Teammitglied mit der Rolle Steuerprüfer:in ein, nicht über die externen Zugriffe.

Externe Zugriffe (Steuerkanzlei, Agentur, Support) anlegen, verlängern, bestätigen oder widerrufen können nur Inhaber und Buchhaltung. Steuerprüfer:in und Nur Lesen sehen die Seite, ändern dort aber nichts. Das gilt auch für Agenturen und den Support mit Einrichtungs-Zugriff.

Teammitglied einladen

1. Unter Einstellungen → Team die E-Mail-Adresse eintragen und die Rolle wählen.
2. Die eingeladene Person bekommt eine E-Mail mit einem Einladungslink. Er ist 7 Tage gültig und an ihre E-Mail-Adresse gebunden.
3. Über den Link nimmt sie die Einladung an. Wer noch kein Rechnungskit-Login hat, erstellt dabei zuerst ein Konto; die E-Mail-Adresse ist dabei fest vorgegeben. Nach der Bestätigung der E-Mail-Adresse geht es direkt zurück zur Einladung.

Wer sich ohne den Link registriert, wird beim ersten Anmelden zur offenen Einladung geführt, statt eine zweite, leere Firma anzulegen. Wer wirklich eine eigene Firma will, wählt dort „Stattdessen eine eigene Firma anlegen“.

Solange die Einladung offen ist, steht sie unter Einstellungen → Team mit Status „Eingeladen“. Dort kannst du sie jederzeit zurückziehen.

Kommt keine E-Mail an, hilft ein Blick in den Spam-Ordner. Sonst klickst du unter Einstellungen → Team auf „Erneut senden“: Die Einladungs-E-Mail geht noch einmal raus und die Gültigkeit verlängert sich um weitere 7 Tage. Der Link bleibt derselbe.

Anmelden mit Passkey, E-Mail-Code oder Passwort

Auf der Anmeldeseite hast du drei Wege ins Konto. Passkeys und die Zwei-Faktor-Authentifizierung verwaltest du unter Einstellungen → Konto und Sicherheit.

Direkt nach der Registrierung bietet Rechnungskit an, einen Passkey einzurichten. Du kannst das mit „Später, weiter zur Einrichtung“ überspringen und den Passkey jederzeit unter Einstellungen → Konto und Sicherheit hinzufügen oder entfernen.

E-Mail-Adresse bestätigen

Nach der Registrierung mit Passwort schickt Rechnungskit eine E-Mail mit einem Bestätigungslink. Er gilt 3 Tage, eine zweite Mail kommt nicht von selbst. Meldest du dich vorher ohne Bestätigung an, steht dort „noch nicht bestätigt“ und du kannst dir mit „Neuen Bestätigungslink senden“ einen neuen Link schicken. Die Anmeldung per E-Mail-Code bestätigt die Adresse ebenfalls.

Bleibt die Adresse 3 Tage lang unbestätigt, löscht Rechnungskit das Konto samt Registrierungsdaten. Danach registrierst du dich einfach neu. Konten, die schon zu einer Firma gehören oder eine offene Team-Einladung haben, löscht Rechnungskit nicht.

Zwei-Faktor-Authentifizierung (TOTP)

Die Zwei-Faktor-Authentifizierung ist freiwillig, aber empfohlen (Ausnahme: Amazon-Daten, siehe unten). Bei der Anmeldung fragt Rechnungskit dann zusätzlich einen 6-stelligen Code aus einer Authenticator-App ab. Die Anmeldung per Passkey braucht keinen zusätzlichen Code.

1. Unter Einstellungen → Konto und Sicherheit bei „Zwei-Faktor-Authentifizierung (TOTP)“ auf „Aktivieren“ klicken und zur Bestätigung dein aktuelles Passwort eingeben.
2. Den QR-Code mit deiner Authenticator-App scannen, etwa 1Password, Google Authenticator oder Aegis. Alternativ gibst du den Schlüssel manuell ein.
3. Den 6-stelligen Code aus der App eingeben, um die Einrichtung abzuschließen.
4. Die Backup-Codes sicher aufbewahren. Jeder Code funktioniert einmal, falls du keinen Zugriff auf deine App hast.

Bei der Code-Abfrage kannst du „Diesem Gerät 60 Tage vertrauen“ anhaken. Zum Deaktivieren brauchst du wieder dein Passwort.

Sperre nach zu vielen Fehlversuchen

Diese Sperre gilt nur für Konten mit Zugriff auf Amazon-Daten. Das sind alle, die zu einer Firma gehören, die Amazon verbunden hat oder einmal verbunden hatte, außerdem Steuerkanzleien, Agenturen und der Rechnungskit-Support mit Zugriff auf so eine Firma. Amazon verlangt die Sperre für jeden, der Amazon-Daten sehen kann. Alle anderen Konten sperrt Rechnungskit nach Fehlversuchen nicht. Dort greift nur die allgemeine Grenze für zu viele Anfragen in kurzer Zeit.

Bei Konten mit Amazon-Daten sperrt Rechnungskit nach 10 falschen Passwörtern oder E-Mail-Codes in Folge die Anmeldung mit Passwort und E-Mail-Code für 30 Minuten. Die Anmeldeseite zeigt dann, wie viele Minuten die Sperre noch läuft. Danach geht es ganz normal weiter, du musst nichts tun.

• Mit einem Passkey kannst du dich auch während der Sperre anmelden.
• Wer nur Codes anfordert, löst keine Sperre aus. Es zählen nur falsch eingegebene Passwörter und Codes. Ein abgelaufener Code zählt nicht.
• Eine erfolgreiche Anmeldung setzt den Zähler auf null.
• Codes aus der Authenticator-App haben bei allen Konten eine eigene Sperre: 10 falsche Codes in Folge sperren die Code-Abfrage für 30 Minuten. Mit Passkey oder E-Mail-Code kommst du in dieser Zeit trotzdem hinein.

Hast du dich nicht selbst vertippt, versucht vielleicht jemand, in dein Konto zu kommen. Richte dann einen Passkey oder die Zwei-Faktor-Authentifizierung ein und schreib an support@rechnungskit.de.

Zweiter Faktor für Amazon-Daten

Verarbeitet deine Firma Daten aus Amazon (derzeit nur in einer geschlossenen Testphase), verlangt Amazon für den Zugriff einen zweiten Faktor. Das gilt für die Amazon-Einstellungen und das Verbinden eines Amazon-Kontos und, sobald ein Amazon-Konto verbunden war, für die ganze App und alle Rollen dieser Firma. Firmen ohne Amazon betrifft das nicht.

Rechnungskit fragt dann einmal je Anmeldung auf der Seite „Bestätige deine Anmeldung“ nach:

Ein Passkey zählt als zweiter Faktor, weil er an dein Gerät gebunden ist und erst mit Face ID, Fingerabdruck oder Geräte-PIN freigegeben wird. Wer sich mit Passkey anmeldet, wird nicht noch einmal gefragt. Die Anmeldung per E-Mail-Code oder Passwort allein reicht für Amazon-Daten nicht, auch nicht auf einem Gerät, dem du bei der Code-Abfrage vertraust. Die Bestätigung gilt, bis du dich abmeldest.

Dieselbe Regel gilt für alle, die von außen auf deine Firma zugreifen:

• Steuerkanzlei und Agentur: Sie bestätigen im Partnerportal einmal je Anmeldung mit einem Passkey, bevor sie deine Firma öffnen (Belege, Berichte, DATEV-Exporte, Einrichtung). Einen Sammellauf, der deine Firma enthält, laden sie auch erst danach herunter. Für ihre Mandanten ohne Amazon ändert sich nichts.
• Rechnungskit-Support: Wer über deinen Support-Zugriff in deiner Firma arbeitet, braucht den zweiten Faktor genauso. Der Admin-Bereich von Rechnungskit verlangt ihn, sobald irgendeine Firma Amazon verbunden hat.
• API-Schlüssel: Zugriffe mit API-Schlüssel laufen ohne Anmeldung und funktionieren unverändert.

Passwort ändern

Wer sein Passwort ändert oder über „Passwort vergessen“ neu setzt, wird auf allen anderen Geräten abgemeldet; nur die aktuelle Sitzung bleibt bestehen. Ein bekannt gewordenes Passwort ist damit nach dem Wechsel sofort ohne Wirkung.

Nutzungsstatistik

Rechnungskit zählt mit Umami anonym und ohne Cookies, welche Seiten in der App aufgerufen werden und wie oft du den Chat mit Kit öffnest. Bevor eine Messung deinen Browser verlässt, ersetzt die App Kennungen in der Adresse, etwa Rechnungs- und Bestellnummern oder E-Mail-Adressen, durch einen Platzhalter. Suchparameter, Seitentitel, Nachrichteninhalte und Kontodaten werden nicht übertragen. Unter Einstellungen → Konto und Sicherheit schaltest du die Messung mit dem Schalter „Nutzungsstatistik“ ab. Die Einstellung gilt für den Browser, in dem du sie triffst.

Steuerkanzlei-Zugang

Die Steuerkanzlei wird nicht als Teammitglied angebunden, sondern über Einstellungen → Externe Zugriffe. Für die Steuerkanzlei ist der Zugang kostenlos.

So lädst du deine Steuerkanzlei ein:

1. Unter Einstellungen → Externe Zugriffe bei „Zugang freigeben“ Steuerkanzlei wählen.
2. Die E-Mail-Adresse der Steuerkanzlei eintragen und auf „Einladen“ klicken.
3. Hat die Steuerkanzlei mit dieser Adresse schon einen freigeschalteten Partner-Zugang, ist der Zugriff sofort aktiv. Sonst schicken wir ihr eine Einladung per E-Mail mit einem Link zur kostenlosen Partner-Registrierung, in der ihre Adresse schon eingetragen ist.
4. Registriert sie sich über diesen Link, ist ihr Zugang sofort freigeschaltet und der Zugriff aktiv, ohne Wartezeit.

Bis dahin steht die Einladung in der Liste als „Eingeladen, wartet auf Registrierung“, und du kannst sie erneut senden oder zurückziehen. Eine Einladung gilt 30 Tage. In der englischen App wählst du vor dem Absenden die Sprache der E-Mail (Deutsch oder Englisch), in der deutschen geht sie immer auf Deutsch raus.

Was die Steuerkanzlei darf

Die Steuerkanzlei arbeitet in ihrem eigenen Kanzlei-Bereich. Sie sieht Belege und Exporte, kann DATEV-Einstellungen pflegen und Exporte festschreiben. Der Zugriff ist jederzeit mit einem Klick widerrufbar, und jede Aktion wird unveränderlich protokolliert.

Das Aktivitätsprotokoll (wer hat was getan, intern wie extern) findest du unten auf der Seite Externe Zugriffe. Die vollständige Ansicht mit Suche und Personen-Filter öffnet der Button „Alle Einträge“.

Vorschau der Kanzlei-Ansicht

Vor der Einladung kannst du dir ansehen, was deine Steuerkanzlei zu sehen bekommt. Unter Einstellungen → Externe Zugriffe öffnet der Button „So sieht deine Steuerkanzlei dein Konto“ ihren Kanzlei-Bereich mit deinen echten Daten, direkt in der App: Mandantenliste, Übersicht, die Berichte von Erlösen bis Belegarchiv, Export-Details, DATEV-Einstellungen und Protokoll.

Alles ist schreibgeschützt. Knöpfe wie Festschreiben, Entwurf erstellen, Löschen oder Speichern bleiben sichtbar, sind aber deaktiviert, und auch der Server lehnt jede Änderung ab. Deine eigenen Exporte und Belege lädst du dort herunter wie sonst in der App. Über die Leiste oben lädst du die Steuerkanzlei gleich ein oder gehst zurück.

Öffnen dürfen die Vorschau Inhaber und Buchhaltung, also genau die Rollen, die auch einladen können. Im Testmodus siehst du, was die Steuerkanzlei vor dem Live-Gang sieht: deine Testbelege unter Berichte → Erlöse und Zahlungen, das Archiv noch leer.

Agentur- und Support-Zugriff

Für Einrichtung und Anbindung gibt es einen zweiten, zeitlich begrenzten Zugriffstyp. Er gilt 30 Tage ab Bestätigung und endet danach automatisch.

Verlängern hilft etwa, wenn eine Umstellung länger dauert. Einen unbefristeten Einrichtungs-Zugriff gibt es bewusst nicht. So bleibt deine Entscheidung, wem du Schreibzugriff gibst, immer aktuell. Auch hier gilt: jederzeit widerrufbar, jede Aktion im Protokoll.

Wo deine Daten liegen

Rechnungskit arbeitet nach dem Drei-Kopien-Prinzip, alles in der EU, nichts in US-Clouds:

1. Produktivsystem: Deutschland (Hetzner, Falkenstein), ISO-27001-Rechenzentrum, Backup im Minutentakt.
2. Unveränderliches Archiv: Deutschland, WORM-Objektspeicher für Belege, mit SHA-256-Prüfsummen bei jedem Abruf.
3. Verschlüsseltes Backup: Helsinki (Finnland, EU), clientseitig verschlüsselt vor der Übertragung.

Wiederherstellungs-Übungen werden regelmäßig durchgeführt und protokolliert, ein unabhängiges Monitoring alarmiert bei Störungen.

CDN, Firewall und DDoS-Schutz (Edge)

Vor dem Produktivsystem liegt eine Sicherheits- und Beschleunigungs-Ebene von Bunny.net (Unternehmenssitz Slowenien, EU), nicht Cloudflare. Jede Anfrage läuft zuerst hier durch: Content Delivery (CDN), eine Web Application Firewall (WAF), DDoS-Schutz und ein Rate-Limit gegen Missbrauch.

Diese Ebene speichert keine Kundendaten dauerhaft; sie prüft und beschleunigt nur den Datenverkehr. Der Ursprungs-Server ist zusätzlich so abgesichert, dass er ausschließlich über diese Edge erreichbar ist. Details zur Datenverarbeitung stehen auf /datenschutz.

Konto und Projekte

Ein Konto entspricht deinem Unternehmen (mit einer USt-IdNr. und einem DATEV-Export). Darin kann es mehrere Projekte geben, zum Beispiel je Shop, mit eigenem Nummernkreis, eigener Vorlage und eigenen Verbindungen. Jedes Projekt startet im Testmodus und geht an Ort und Stelle live.

Live gehen

Aus dem Testmodus führt der Weg in den Echtbetrieb über die Seite Live gehen (Knopf im gelben Testmodus-Banner oder in den Einstellungen). Sie prüft drei Punkte:

Beim Go-Live geht das Projekt an Ort und Stelle live: Verbindungen und Einstellungen bleiben, die Testbelege werden ausgeblendet und ihre PDFs aus dem Archiv gelöscht. Den Belegstart siehst du danach als kompakte Zeile in den Belegregeln; ändern lässt er sich dort nicht.

Inhaberschaft übergeben

Du kannst dein Konto vollständig an eine andere Person übergeben, zum Beispiel bei einem Firmenverkauf:

1. Ernenne die neue Person zum Admin (per Einladung mit Rolle Admin oder per Rollenwechsel). Ab dann hat das Konto zwei Admins.
2. Sobald ein zweiter Admin existiert, kannst du deine eigene Rolle zurückstufen oder dich selbst aus dem Konto entfernen; beides fragt vorher ausdrücklich nach.
3. Das Konto braucht immer mindestens einen Admin. Der letzte Admin kann sich weder zurückstufen noch entfernen; das verhindert ein Konto ohne verantwortliche Person.

Denk bei einer Übergabe auch an das SEPA-Mandat für die Rechnungskit-Gebühren (bei neuem Bankkonto neu erteilen) und an die Stammdaten (Kontakt-E-Mail).

Spracheinstellung der App (Deutsch oder English)

Rechnungskit gibt es auf Deutsch und Englisch. Die Sprache wählst du auf der Anmelde- und Registrierungsseite oben rechts (Deutsch / English) oder unter Einstellungen → Konto und Sicherheit im Abschnitt „Sprache“.

Die Wahl wird mit deinem Benutzerkonto gespeichert und gilt auf jedem Gerät, auf dem du dich anmeldest. Für die ganze Organisation, also dein Unternehmen, gilt sie nicht: Jede Person im Team stellt ihre Sprache selbst ein, egal welche Rolle sie hat, und beeinflusst damit die anderen nicht.

Vor der Anmeldung (Anmelde- und Registrierungsseite) gilt der Schalter nur für diesen Browser; nach der Anmeldung zeigt Rechnungskit die Sprache aus deinem Konto. Hast du dort noch keine gespeichert, übernimmt Rechnungskit beim ersten Anmelden die Sprache deines Browsers.

Rechnungen und E-Mails an deine Kunden haben eine eigene Spracheinstellung und ändern sich dadurch nicht. Auch rechnungskit.de gibt es auf Englisch unter rechnungskit.de/en, einschließlich der meisten Hilfeseiten. Impressum, AGB und Datenschutz sind dort Übersetzungen, verbindlich ist die deutsche Fassung.

Grenzen, ehrlich benannt

• Rechte laufen über Rollen statt über geteilte Logins: Einstellungen ändern Admin und Buchhaltung, Steuerprüfer:in und Nur Lesen sehen nur. Weitere Admins ernennen und das Konto löschen kann nur ein Admin.
• Support-Kontakt: support@rechnungskit.de, Antwort in der Regel innerhalb weniger Stunden (Mo bis Fr).