BlitzKasse Servicewissen · TSE-Export prüfen
AmadeusVerify: PKI-Fehler verstehen und fehlende TSE-Zertifikate nachladen
RootCerts, Zertifikatsketten und Fehler 201: So grenzen Sie die Ursache ein, ergänzen passende Zertifikate und prüfen anschließend erneut.
Bevor Sie eine TSE austauschen oder einen Export verändern, lesen Sie die genaue Fehlermeldung. Ein Problem beim Vertrauen in ein Zertifikat ist etwas anderes als eine nachweislich falsche digitale Signatur.
Was bedeutet ein PKI-Fehler bei der TSE-Prüfung?
Die digitale Signatur dient dazu, Änderungen an signierten Daten festzustellen. Die Zertifikatsprüfung beantwortet zusätzlich, ob dem zugehörigen Schlüssel vertraut werden kann. Dafür werden unter anderem eine Vertrauenskette, Gültigkeitsangaben und Sperrinformationen ausgewertet. Eine erfolgreiche Signaturrechnung allein beantwortet nicht sämtliche Fragen zum Zertifikatsstatus. Grundlage: NIST, digitale Signaturen · Grundlage: X.509 / RFC 5280
Im hier gezeigten Beispiel meldet AmadeusVerify einen fehlenden zuordenbaren Root und den unbekannten Zertifikatshersteller Deutsche Telekom Security GmbH. Das ist zunächst ein konkreter Ansatzpunkt für die Fehlersuche – kein Nachweis beschädigter Kassendaten.
| Anzeige | Einordnung |
|---|---|
| Kein Root der Kette zuordenbar | Die Vertrauenskette lässt sich nicht bis zu einem akzeptierten Stammzertifikat aufbauen. |
| Fehler 201: unbekannter Zertifikatshersteller | Organisationsdaten sind vorhanden, der PKI-Betreiber wurde jedoch nicht erkannt. |
| Nicht geprüfte LogMessages | Für diese Einträge liegt noch kein Prüfergebnis zur Signatur vor. |
| Nicht valide LogMessages | Diese Einträge werden als nicht erfolgreich validiert ausgewiesen; die Details müssen die Ursache erklären. |
Die Einordnung von Fehler 201 folgt der Fehlerdokumentation von Gastro-MIS. Wichtig: Eine Null bei ungültigen Einträgen ist kein vollständiger Erfolg, solange Einträge ungeprüft bleiben.
Warum genügt das Zertifikat im TSE-Archiv nicht immer?
Eine Zertifikatskette verbindet das Gerätezertifikat über Zwischenzertifikate mit einem vertrauenswürdigen Stammzertifikat. Dieser Vertrauensanker muss unabhängig von den zu prüfenden Daten feststehen. Nur weil ein Archiv einen Root enthält, wird er noch nicht automatisch vertrauenswürdig. Hintergrund: Vertrauensanker und Zertifikatspfade
AmadeusVerify ergänzt Ketten aus dem Ordner RootCerts. Dort muss auch der benötigte Root vorhanden sein, selbst wenn die übergebene Kette vollständig ist. Die Herstelleranleitung erlaubt außerdem Zwischenzertifikate in diesem Ordner. Herstelleranleitung zur PKI-Prüfung
Nutzen Sie einen nachvollziehbaren offiziellen Bezug. Ein fremder Root aus einer unbekannten ZIP-Datei sollte nicht allein deshalb übernommen werden, weil danach eine grüne Anzeige erscheint.
TSE-Zertifikate in AmadeusVerify nachladen: Schritt für Schritt
1. Fehler und Programmstand sichern
Öffnen Sie PKI-Anzeige und lesen Sie die Details. Notieren Sie Fehlercode, Programmversion und die Herkunft des Exports. Die PKI-Abfrage lässt sich dort erneut anstoßen. PKI-Anzeige und Wiederholung der Abfrage
Bewahren Sie den ursprünglichen TAR-Export sowie gegebenenfalls den DSFinV-K-Export unverändert auf. Speichern Sie den bisherigen Prüfbericht. Ändern Sie nicht gleichzeitig mehrere Einstellungen: Sonst bleibt unklar, welche Maßnahme geholfen hat.
2. Den vollständigen Programmordner kontrollieren
AmadeusVerify wird als portables Paket angeboten. Der Hersteller beschreibt den Bezug über den Kundenbereich und das vollständige Entpacken des Archivs. Prüfen Sie deshalb die tatsächlich gestartete Programmkopie, nicht irgendeinen alten Ordner gleichen Namens. Download und Bereitstellung von AmadeusVerify
Schließen Sie das Programm und sichern Sie den vorhandenen Ordner RootCerts. Löschen Sie keine bestehenden Zertifikate. Gibt es mehrere Kopien von AmadeusVerify, kontrollieren Sie das Ziel der verwendeten Verknüpfung.
3. Passende Zertifikate beim offiziellen Anbieter beziehen
Für die Telekom-TSE-PKI veröffentlicht das Trust Center Root- und Sub-CA-Zertifikate samt SHA-256-Fingerprints. Dort stehen auch TSE Root CA 2 und TSE CA 3 bereit. Offizielle Telekom-Seite mit Zertifikaten und Fingerprints
Wählen Sie die Zertifikate passend zur tatsächlich verwendeten Kette. Diese beiden Namen sind kein universelles Rezept für jede Swissbit-TSE oder jeden Export. Verwechseln Sie weder TSE Root CA 1 mit TSE Root CA 2 noch unterschiedliche Zwischenzertifikate.
Vergleichen Sie den SHA-256-Fingerprint des Zertifikats mit der offiziellen Angabe. Wer die Prüfung nicht sicher durchführen kann, sollte die benötigten Zertifikate durch den zuständigen Support bestätigen lassen. Installieren Sie für diesen Ablauf nichts pauschal als vertrauenswürdigen Root in Windows.
4. Zertifikate ergänzen und vollständig neu prüfen
Kopieren Sie die bestätigten Zertifikatsdateien in RootCerts der verwendeten AmadeusVerify-Kopie. Ein Zwischenzertifikat kann dort ebenfalls ergänzt werden. Zertifikate in RootCerts ergänzen
Starten Sie AmadeusVerify neu. Laden Sie die unveränderten Exporte und führen Sie die vollständige Prüfung erneut durch. Vergleichen Sie den neuen Bericht mit dem alten: Ist die Root-Meldung verschwunden? Bleibt Fehler 201? Sind noch Datensätze ungeprüft? Erst dieses Ergebnis zeigt, was tatsächlich behoben wurde.
Root ergänzt, aber die TSE-Prüfung scheitert weiterhin?
Die Root-Meldung bleibt
Kontrollieren Sie Programmordner, tatsächlich verwendete Zertifikatskette und Dateiinhalte erneut. Eine passend klingende Dateibezeichnung genügt nicht als Nachweis.
Fehler 201 bleibt
Prüfen Sie den vollständigen Softwarestand und geben Sie die Meldung nötigenfalls an Gastro-MIS weiter. Das Hinzufügen eines Roots garantiert nicht, dass die Erkennung des PKI-Betreibers ebenfalls funktioniert.
PKI-Dienst oder Sperrliste nicht erreichbar
Lassen Sie Verbindung und konkrete Endpunktmeldung prüfen. Ein Verbindungsfehler ist kein bestätigter Zertifikatswiderruf. Gastro-MIS führt solche Zustände mit eigenen Fehlercodes auf. PKI- und CRL-Fehlercodes
Updates können auch Zertifikate enthalten: Im offiziellen ChangeLog wird dies unter anderem für 2.9.5 und 2.9.7 genannt. Das sind dokumentierte Beispiele, keine Zusage, dass ein bestimmter Fehler damit automatisch verschwindet. Verwenden Sie den vom Hersteller aktuell bereitgestellten vollständigen Paketstand. ChangeLog von AmadeusVerify
Für eine Support-Anfrage empfehlen wir: Version, genaue Fehlermeldung, verwendeter PKI-Modus und Prüfbericht. Übermitteln Sie Kassendaten nur über einen abgestimmten Weg, nicht öffentlich in Kommentaren.
Häufige Fragen zur Zertifikatsprüfung
Verlängert das Nachladen die Laufzeit meiner TSE?
Nein. Hier werden öffentliche Zertifikate in der Prüfsoftware ergänzt. Das verändert weder das Gerätezertifikat noch dessen eingetragene Laufzeit oder die bereits signierten Daten.
Ist eine Prüfung ohne Internet genauso vollständig?
Im Offline-PKI-Modus von AmadeusVerify werden keine Sperrlisten abgefragt. Der Hersteller empfiehlt die vollständige PKI-Prüfung. Ein eingeschränkter Lauf darf daher nicht als gleichwertiger Ersatz dargestellt werden. Hinweise zum Offline-Modus
Darf ich ungeprüfte Einträge einfach ignorieren?
Nein. Halten Sie fest, welche Prüfung offenbleibt und warum. Ein übersprungener Test wird nicht dadurch erfolgreich, dass an anderer Stelle kein Fehler steht.
Beweist eine erfolgreiche TSE-Prüfung, dass die gesamte Kasse fehlerfrei ist?
Nein. Das Ergebnis betrifft den geprüften Datenbestand und die ausgeführten Prüfschritte. Es beantwortet nicht automatisch Fragen zu fehlenden Exportzeiträumen, Buchungszuordnungen oder zur gesamten Kassenführung.
Fazit: Erst die genaue Ursache klären
Fehlendes Vertrauen in einen Root, ein unbekannter PKI-Betreiber und eine falsche Signatur sind unterschiedliche Befunde. Ergänzen Sie nur passende, verifizierte Zertifikate und prüfen Sie anschließend erneut. Tauschen oder initialisieren Sie eine TSE nicht allein wegen einer pauschalen roten Statusanzeige.
Bei Fragen zu BlitzKasse-Exporten wenden Sie sich an BlitzKasse. Bewahren Sie Originalexport und Prüfprotokoll auf, damit eine Untersuchung auf denselben Daten aufbauen kann.
Diese Anleitung basiert auf den verlinkten Herstellerunterlagen und dem gezeigten Fehlerbild. Ein erfolgreicher Wiederholungslauf für dieses Beispiel ist nicht dokumentiert. Menüs und Verhalten können je Programmversion abweichen. AmadeusVerify ist ein Produkt von Gastro-MIS; dieser Beitrag ist eine unabhängige Hilfestellung.
