Vier-Augen-Prinzip mit KI in der Buchhaltung: wer vorbereitet, wer prüft, wer freigibt

Drei Stellen, an denen geprüft wird

Was die Kanzlei-Umgebung technisch erzwingt

• Freigabe und Echtversand einer Steuererklärung erfolgen durch zwei verschiedene, für genau diesen Mandanten berechtigte Personen — sobald es für diesen Mandanten eine zweite versandfähige Person gibt.
• Der Freigabestempel wird auf dem Server gesetzt; ein Wert aus der Oberfläche überschreibt ihn nicht. Wird eine Erklärung zur Berichtigung nach § 153 AO wieder geöffnet, fällt der Stempel weg.
• Gibt es für den Mandanten nur eine versandfähige Person, darf diese freigeben und senden. Für die Risikobewertung nach dem Geldwäschegesetz gilt dieselbe Regel: Ohne zweite Person ist die Allein-Freigabe zulässig und wird vermerkt.
• Im Jahresabschluss hängen Kommentare, Änderungen und Freigaben am einzelnen Abschnitt; festgestellte Zahlen sind gegen stille Änderung gesperrt.
• Bestätigt ein Mandant im Portal eine Fassung, bindet ein Prüfwert die Bestätigung an genau den angezeigten Inhalt. Ändert die Kanzlei die Aufgabe danach, muss neu bestätigt werden.

Was der Server von einem KI-Agenten verlangt

• Vor dem Ausstellen und Versenden einer Rechnung, dem Storno einer Ausgangsrechnung, dem endgültigen Löschen eines Belegs und der Festschreibung muss der Agent laut Anweisung des Servers Ihre ausdrückliche Bestätigung für genau diesen einen Vorgang einholen.
• Probelauf: Buchungsstapel, Eingangsrechnungen und Zahlungen lassen sich mit dry_run durchrechnen — mit denselben Prüfungen, ohne dass gebucht wird.
• Hinweise auf mögliche Belegdubletten lassen sich über die Schnittstelle nicht übersteuern.
• Steuermeldungen prüft und bereitet der Agent nur vor; übermittelt wird über den Freigabe-Link in der App, und die PIN geben Sie dort ein, nicht im Chat.
• Verwendungszwecke, Belegtexte und Partnernamen stammen von Dritten und gelten als Daten, nicht als Anweisung.

Hinzu kommt die Rückfrage im KI-Programm selbst. Laut Hilfe des Anbieters von Claude sollen Sie die Freigabeanfragen von Claude für Werkzeuge sorgfältig prüfen, und eine dauerhafte Erlaubnis soll nur bekommen, was man unbeaufsichtigt laufen lassen will. In der Recherche-Funktion ruft Claude Werkzeuge von Konnektoren dagegen ohne weitere Rückfrage auf; die Hilfe rät, Werkzeuge mit Schreibwirkung abzuschalten. Für Mandantendaten heißt das: Recherchen nur über eine Verbindung mit Leserecht.

Ein Ablauf mit vier Augen: die Eingangsrechnungen eines Monats

Vier Schritte, zwei Personen, ein Agent. Zuerst der Auftrag des Zweitprüfers aus Schritt drei an seinen Agenten (Beispiel), darunter der ganze Ablauf:

Durchsicht Oktober 2026 – nur lesen:
Alle Buchungen mit Herkunft „Beleg“ ab Buchungsnummer 1841 zeigen,
je Buchung Datum, Konten, Betrag, Steuerschlüssel und Belegnummer.
Markieren, was auffällt: ungewohntes Konto für diesen Lieferanten,
Vorsteuer ohne Rechnung, Beträge über 1.000 €.
Nichts buchen, nichts stornieren.

• Die Sachbearbeiterin lässt ihren Agenten — Schlüssel mit „Buchen“ — die offenen Belege des Monats durchgehen: list_receipts, dann für jeden Beleg get_receipt_proposal mit Konten, Steuerschlüssel und Sicherheitsstufe.
• Eindeutige Vorschläge bucht sie nach Durchsicht mit confirm_receipt. Trägt ein Vorschlag den Hinweis, dass vor dem Buchen etwas zu prüfen ist, sieht sie sich den Beleg an; eine Dublette legt sie mit dismiss_receipt und Begründung ab.
• Der Zweitprüfer liest danach nur das Neue: list_journal_entries mit since_entry_no ab der zuletzt geprüften Buchungsnummer und source_type receipt — über einen eigenen Schlüssel nur mit Leserecht oder direkt im Journal der App.
• Findet er einen Fehler, wird storniert, nicht gelöscht: storno_journal_entry mit Grund, danach die richtige Buchung. Ist der Monat in Ordnung, folgt die Festschreibung — mit eigenem Recht und eigener Bestätigung.

Funktionstrennung nach den GoBD

Die GoBD verlangen ein internes Kontrollsystem: Der Steuerpflichtige hat „Kontrollen einzurichten, auszuüben und zu protokollieren“, ausdrücklich genannt sind Zugangs- und Zugriffsberechtigungskontrollen und Funktionstrennungen (BMF-Schreiben vom 28.11.2019, Rz. 100). Wie das aussieht, hängt von Größe und Organisation ab. Ein Schlüssel nur mit Leserecht für Auswertungen, ein eigener mit „Buchen“ für die Vorkontierung und die Prüfung durch eine zweite Person sind eine nachvollziehbare Umsetzung.

An der Verantwortung ändert das nichts: Für die Ordnungsmäßigkeit der Bücher ist allein der Steuerpflichtige verantwortlich, auch wenn er Aufgaben an Dritte wie eine Steuerkanzlei auslagert (Rz. 21). Halten Sie in der Verfahrensdokumentation fest, wer welchen Schlüssel mit welchen Rechten hat und wer die Ergebnisse des Agenten prüft. Dazu gehört auch, wie oft geprüft wird — etwa monatlich vor der Festschreibung.

Ohne Kanzlei: Rollen ja, Pflichtsperre nein

Die erzwungene Trennung von Freigabe und Versand gilt nur für Mandanten einer Kanzlei. Ein Unternehmen, das seine Buchhaltung selbst führt, wird davon nicht berührt: Bucht, prüft und sendet dieselbe Person, sperrt die Software sie nicht.

Wer trotzdem mit vier Augen arbeiten will, lädt eine zweite Person als Prüfer oder Freigeber ein, gibt dem eigenen Agenten einen Schlüssel ohne Rechnungsversand und Festschreibung und lässt Rechnungen erst nach Durchsicht ausstellen. Das ist eine Entscheidung des Unternehmens, keine Voraussetzung der Software.

Grenzen

• Ein Stempel zeigt, wer wann freigegeben hat — nicht, wie gründlich geprüft wurde.
• Ihr Gespräch mit dem Agenten erreicht die Buchhaltung nicht. Warum etwas gebucht, storniert oder freigegeben wurde, gehört in Buchungstext, Stornogrund oder Auftrag.
• Die API-Nutzung im Bereich „KI-Agent & API“ zeigt Summen je Schlüssel — Aufrufe, schreibende Aufrufe, Fehler, letzter Aufruf —, keine einzelnen Aufrufe.
• Schlüssel legen nur Administratoren und Ersteller an; ein Prüfer bekommt seinen Leseschlüssel von einer Administratorin, und der Schlüssel handelt dann in deren Namen.
• KI-Ausgaben sind Vorschläge. Die fachliche Verantwortung trägt die Kanzlei bzw. das Unternehmen.

Häufige Fragen

Bucht die KI ohne Freigabe?

Mit einem Schlüssel nur zum Lesen gar nicht. Mit dem Recht „Buchen“ ruft der Agent schreibende Werkzeuge auf, sobald Sie es in Ihrem KI-Programm erlauben; für nicht rückholbare Schritte verlangt der Server zusätzlich Ihre ausdrückliche Bestätigung je Vorgang.

Wer darf in der Kanzlei-Umgebung freigeben und wer senden?

Beim Echtversand einer Steuererklärung zwei verschiedene, für den Mandanten berechtigte Personen, sobald es für den Mandanten mindestens zwei versandfähige Personen gibt. Der Freigabestempel wird auf dem Server gesetzt.

Was gilt in einer Einzelkanzlei?

Sie wird nicht ausgesperrt. Mit nur einer versandfähigen Person darf diese freigeben und senden; bei der Risikobewertung nach dem Geldwäschegesetz wird die Allein-Freigabe vermerkt.

Kann ein Prüfer einen eigenen KI-Agenten nutzen?

Ja, mit einem Schlüssel nur mit Leserecht, den eine Administratorin für ihn anlegt und der in ihrem Namen handelt. Damit kann sein Agent das Journal durchsehen, aber nichts verändern.

Ist das Vier-Augen-Prinzip für Unternehmen ohne Kanzlei Pflicht?

Nicht in der Software. Die GoBD verlangen angemessene Kontrollen, deren Ausgestaltung von Größe und Organisation abhängt. Rollen, Rechte und getrennte Schlüssel ermöglichen Funktionstrennung; erzwungen wird sie nur bei Mandanten einer Kanzlei.

Wie erkenne ich, was der Agent gebucht hat?

Im Journal an Buchungsnummer, Herkunft und Ersteller; Buchungen über einen Schlüssel entstehen im Namen seines Inhabers. Geben Sie jedem Agenten deshalb einen eigenen Schlüssel mit sprechender Bezeichnung.