In letzter Zeit wird im Zusammenhang mit der elektronischen Rechnungsstellung immer häufiger über das Peppol-Netzwerk gesprochen. Schauen wir uns also an, wie das Peppol-Netzwerk technisch funktioniert.
Peppol war ursprünglich ein europäisches Netzwerk für elektronische Kommunikation und wird heute weltweit genutzt. Es ist ein gutes Beispiel dafür, wie die Lösung der europäischen Fragmentierung geholfen hat, ein globales Problem zu lösen und Raum für weitere Mehrwertdienste zu schaffen. Aktuell sind mehr als 3 Millionen Unternehmen aus 118 Ländern an das Peppol-Netzwerk angeschlossen.
Grundlegende Fakten:
- die zentralen Netzknoten werden von der Europäischen Kommission betrieben
- die Steuerung des Netzwerks übernimmt der unabhängige Verband OpenPeppol. Zu seinen Mitgliedern gehören die Finanzverwaltungen der einzelnen Staaten (Peppol Authorities) sowie die einzelnen Zugangspunkte (Access Points)
- Peppol Authorities: Finanzverwaltungen der einzelnen Staaten, die die Bedingungen für die jeweiligen Länder festlegen
- Zugangspunkte (Access Points): Anbieter der Anbindung für Endunternehmen und zugleich Garanten der Identität
Peppol ID
Bevor wir starten, müssen wir über die Peppol ID sprechen. Das ist nicht kompliziert. Ein Beispiel ist 9929:cz05574617. Sie besteht aus einem Präfix (hier 9929) und einer offiziellen Identifikationsnummer (z. B. USt-IdNr.).
| Land | Identifikatortyp | Registercode | Was genau bedeutet das |
|---|---|---|---|
| Tschechische Republik | USt-IdNr. | 9929 | Wird für tschechische Umsatzsteuerzahler verwendet |
| Slowakische Republik | Steuernummer | 0245 | Wird für slowakische Nicht-USt-Zahler verwendet |
| Slowakische Republik | USt-IdNr. | 9950 | Wird für slowakische Umsatzsteuerzahler verwendet |
| International GLN | GLN | 0088 | Global Location Number (GS1-Standard) |
Die Peppol ID muss also nicht “zugeteilt” werden, sie muss nur registriert werden.
Zentrales SML-Register
Ein kritischer Teil des Peppol-Netzwerks ist das zentrale SML-Register. Dort registriert der Access Point Ihre Peppol ID. Dadurch ist klar, bei welchem Access Point eine bestimmte Peppol ID registriert ist.
Der Eintrag ins SML wird vom Access Point vorgenommen und durch dessen elektronische Signatur abgesichert. Das Auslesen erfolgt anschließend über DNS.
Beispiel:
- Peppol ID: 9929:cz05574617
- es wird ein Hash berechnet und ein DNS-Name entsteht: cyk3urzidlfsgubbofsguqc5vxoirfytk7ee4ebkcrypeznnshgq.iso6523-actorid-upis.edelivery.tech.ec.europa.eu
- daraus wird ein NAPTR-Eintrag gelesen, der festlegt, bei welchem Anbieter der Datensatz registriert ist
Das bedeutet zugleich, dass eine Peppol ID nur bei einem Anbieter registriert sein kann. Für den Empfang können Sie daher nur einen Anbieter nutzen. Für den Versand können Sie mehrere haben.
Technisch gehört zur Peppol ID außerdem noch das Namespace-Präfix iso6523-actorid-upis::. Es legt fest, dass die Adressierung im Peppol-Netz künftig geändert werden kann. Da heute nur ein Präfix verwendet wird, wird es für Nutzer in den meisten Fällen weggelassen.
Service Metadata Publishing (SMP)
SMP ist ein Dienst, der für eine bestimmte Peppol ID zurückgibt, welche Dokumenttypen der Empfänger unterstützt.
Den Datensatz erhalten Sie, indem Sie die SMP-Adresse aus dem NAPTR-Eintrag nehmen und die Peppol ID (einschließlich Präfix) anhängen.
https://smp.pepposh.eu/iso6523-actorid-upis::9929:cz05574617
Dadurch erhalten Sie die Adressen für einzelne unterstützte Dokumenttypen (z. B. Rechnung oder Gutschrift).
Dokumenttypen
Im SMP wird für jeden Dokumenttyp (z. B. Rechnung, Bestellung, …) ein separater Datensatz registriert. So weiß der Absender, welche Dokumente zugestellt werden können. Außerdem ist dort die Access-Point-Adresse (AS4) inklusive Zertifikat und technischer Kontaktdaten angegeben.
Am häufigsten werden folgende Dokumenttypen verwendet:
- Rechnung
- Gutschrift
- Zustellbestätigung
- Bestellungen
- Lieferscheine
- und weitere
Dank der veröffentlichten Liste unterstützter Formate kann vor dem Versand geprüft werden, dass der Empfänger das konkrete Dokument tatsächlich annimmt.
Access Point
Für die Übertragung im Peppol-Netz wird das Protokoll AS4 verwendet. Technisch funktioniert es ähnlich wie SMTP, läuft aber über HTTP und eine elektronische Signatur ist verpflichtend.
Sicherheit
Der letzte wichtige Bereich ist die Netzwerksicherheit. Die Garanten der Identität einzelner Endunternehmen sind die Access Points. Sie sind verpflichtet, die Existenz des Unternehmens (oder allgemein der Organisation) zu prüfen und auch, dass der Antragsteller tatsächlich berechtigt ist, in seinem Namen zu handeln. Es müssen KYC-Prüfungen, Abgleiche mit Sanktionslisten und allgemein die Regeln zur Verhinderung von Geldwäsche (AML) eingehalten werden.
Wenn ein Access Point diese Pflichten verletzt, kann er aus der OpenPeppol-Mitgliedschaft ausgeschlossen werden und so den direkten Zugang zum Peppol-Netz verlieren.
Jeder Access Point erhält anschließend ein Zertifikat von der Zertifizierungsstelle von OpenPeppol. Dieses wird dann zur Identitätsprüfung und zum Signieren von Zustellnachweisen verwendet.
Wechsel des Access Points
Aus dem oben Gesagten folgt, dass nur die Registrierung im SML geändert werden muss. In der Praxis muss man sich bei einem Anbieter abmelden und anschließend bei einem anderen registrieren.
Wie viel kostet es, Access Point zu werden?
Wenn Sie Access Point werden wollen, müssen Sie diese Bedingungen erfüllen:
- Mitglied im Verband OpenPeppol werden und die Zertifizierung bestehen
- SMP und AS4 betreiben
- Änderungen verfolgen und umsetzen
- Support für Endnutzer bereitstellen
Die Gebühren liegen realistisch zwischen 7.500 EUR (so viel haben wir bezahlt) und 12.500 EUR im ersten Jahr. In den Folgejahren sind es 2.500 EUR weniger, also 6.000 EUR bis 11.500 EUR für jedes weitere Jahr (genaue Preise unter https://peppol.org/join/fees/). Dazu kommt der Betrieb der eigentlichen Anwendung.
Unsere Schätzung ist, dass die Mindestkosten grob zwischen 1.000.000 CZK und 2.000.000 CZK pro Jahr liegen, ohne Endkundensupport. Wir bei Pepposh bewegen uns eher am unteren Rand, weil wir uns langfristig auf Integrationen und Übertragungen fokussieren und umfangreiche Infrastruktur, Erfahrung und ein eingespieltes Team nutzen konnten. Daher haben wir bei unserem Pepposh-Service einen unbegrenzten Tarif von 80.000 CZK/Monat festgelegt. Ziel war, den Service günstiger anzubieten als die direkte Eigenbeschaffung.
