Vier-Augen-Prinzip in der Buchhaltung: Rollen, Rechte und Freigaben

Warum Funktionstrennung auch im kleinen Betrieb zählt

Kontrollen sind keine Frage des Misstrauens, sondern der Fehlervermeidung – und eine gesetzliche Erwartung.

Die meisten Fehler in der Buchhaltung sind keine Absicht: eine Rechnung, die zweimal bezahlt wird, eine Bankverbindung, die ein Betrüger per E-Mail „aktualisiert“ hat, ein Beleg, der eigentlich privat war. Eine zweite Person, die vor der Zahlung prüft, fängt viele dieser Fälle ab. Die GoBD verlangen deshalb, dass für die Einhaltung der Ordnungsvorschriften Kontrollen eingerichtet, ausgeübt und protokolliert werden. Genannt sind Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen, Erfassungs-, Abstimmungs- und Verarbeitungskontrollen sowie Schutzmaßnahmen gegen die Verfälschung von Programmen, Daten und Dokumenten (Rz. 100).

Wie umfangreich diese Kontrollen sein müssen, hängt von Komplexität, Organisation und eingesetztem System ab (Rz. 100). Eine GmbH mit zwei Gesellschaftern braucht keine Revisionsabteilung. Die Verantwortung bleibt aber immer beim Unternehmen, auch wenn ein Steuerberater bucht (Rz. 21). In der GmbH sorgen die Geschäftsführer für die ordnungsmäßige Buchführung (§ 41 GmbHG) und haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden; wer seine Obliegenheiten verletzt, haftet der Gesellschaft für den entstandenen Schaden (§ 43 Abs. 1 und 2 GmbHG).

Rollenmodell: wer in der Buchhaltung was tut

Sechs Rollen decken die meisten Abläufe in kleinen und mittleren Unternehmen ab. Eine Person kann mehrere Rollen haben – nur nicht Erstellen und Freigeben desselben Vorgangs.

Freigabe von Eingangsrechnungen Schritt für Schritt

Ein Ablauf, der schon mit zwei Personen funktioniert und jede Zahlung an eine geprüfte Rechnung bindet.

• 1. Eingang: Die Rechnung kommt über den festen Belegeingang an und erhält eine Belegnummer; niemand bezahlt direkt aus dem E-Mail-Postfach.
• 2. Sachliche Prüfung: Wer die Leistung bestellt oder erhalten hat, bestätigt, dass Ware oder Leistung wie berechnet erbracht wurde.
• 3. Rechnerische und formale Prüfung: Beträge, Steuersatz, Pflichtangaben und Rechnungsnummer stimmen, und die Rechnung ist kein Doppel.
• 4. Kontierung durch den Ersteller: Konto, Steuerschlüssel und gegebenenfalls Kostenstelle; die Verbindlichkeit wird mit der Rechnung gebucht.
• 5. Freigabe durch eine zweite Person: Sie sieht Beleg und Buchung nebeneinander und gibt frei oder schickt den Vorgang mit einer Rückfrage zurück.
• 6. Zahlung erst nach Freigabe und nur gegen den offenen Posten – nie an eine Bankverbindung, die nur in einer E-Mail stand.
• 7. Protokoll: Wer wann geprüft und freigegeben hat, bleibt am Vorgang gespeichert und ist später nachvollziehbar.

SEPA-Zahllauf mit Vier-Augen-Freigabe

Der Zahllauf ist der Moment, in dem Geld das Unternehmen verlässt. Hier lohnt die zweite Prüfung am meisten.

Ein Zahllauf fasst fällige Eingangsrechnungen zusammen, sortiert nach Fälligkeit und Skontofrist. Der Ersteller stellt den Vorschlag zusammen, entfernt strittige Rechnungen und erzeugt daraus eine SEPA-Überweisungsdatei. Bevor die Datei die Buchhaltung verlässt, prüft eine zweite Person die Liste: Stimmen Empfänger, Beträge und Bankverbindungen mit den offenen Posten überein? Sind Rechnungen dabei, die noch nicht freigegeben sind oder schon einmal bezahlt wurden? Wird Skonto genutzt, wo es möglich ist?

Danach wird die Datei im Onlinebanking hochgeladen und dort mit dem Freigabeverfahren der Bank autorisiert. Viele Banken bieten für Geschäftskonten eine gemeinschaftliche Zeichnung an, bei der zwei Personen freigeben müssen; das ist eine zusätzliche, unabhängige Kontrolle. Besondere Aufmerksamkeit verdienen geänderte Bankverbindungen: Eine neue IBAN eines bekannten Lieferanten sollte vor der ersten Zahlung über eine Telefonnummer bestätigt werden, die Sie schon vorher kannten – nicht über die Kontaktdaten aus der E-Mail, die die Änderung ankündigt.

Wenn nur zwei oder drei Personen da sind

Ersatzkontrollen, wenn eine echte Trennung von Erfassen und Freigeben nicht möglich ist.

Freigabegrenzen festlegen: eine Beispielmatrix

Beispiel mit angenommenen Beträgen für eine kleine GmbH, keine Empfehlung. Passen Sie die Grenzen an Umsatz, Personal und Risiko an.

Was Sie dokumentieren sollten

Kontrollen, die niemand aufgeschrieben hat, lassen sich in einer Außenprüfung nicht nachweisen.

• Ein Berechtigungskonzept: wer welche Rolle hat, seit wann und wer Rollen vergeben darf. Die Beschreibung des internen Kontrollsystems ist Teil der Verfahrensdokumentation (GoBD Rz. 102).
• Freigabegrenzen und Vertretungsregeln, etwa für Urlaub und Krankheit, damit Zahlungen nicht an einer Person hängen bleiben.
• Freigaben am Vorgang selbst: Zu den Angaben einer Buchung gehört auch die Autorisierung, soweit vorhanden (GoBD Rz. 94).
• Änderungen von Stammdaten, vor allem von Bankverbindungen, mit Datum, Person und Nachweis der Bestätigung.
• Die Durchführung der Kontrollen selbst: Kontrollen sind nicht nur einzurichten und auszuüben, sondern auch zu protokollieren (Rz. 100).
• Aufbewahren: Berechtigungskonzept und Freigaberegeln zählen zu den Organisationsunterlagen und bleiben zehn Jahre im Archiv (§ 147 Abs. 1 Nr. 1 und Abs. 3 AO).

Rollen und Freigaben in unserer Buchhaltung

Wie die Buchhaltung von jahresabschluss.io Rollen, Freigaben und Automatisierung zusammenbringt.

Die Buchhaltung von jahresabschluss.io kennt die Rollen Administrator, Ersteller, Prüfer, Betrachter, Beleg-Erfasser und Portal-Nutzer; Zugriffe vergeben Sie je Gesellschaft. Eingangsrechnungen werden mit Verbindlichkeit und Vorsteuer gebucht, die Rechnungsfreigabe folgt dem Vier-Augen-Prinzip, und bezahlt wird nur gegen den offenen Posten. Der Zahlungsvorschlag ordnet nach Fälligkeit und Skontofrist; die SEPA-Überweisungsdatei im Format pain.001 wird mit Vier-Augen-Freigabe erzeugt und anschließend von Ihnen im Onlinebanking hochgeladen. Für Lastschriften gibt es pain.008 mit Mandatsverwaltung.

Die automatische Buchung ist ab Werk eingeschaltet; Sie passen sie an Ihre Kontrollen an: Sie wählen die Quellen (Belege, Bankumsätze), entscheiden, ob nur freigegebene Regeln buchen oder die KI mitentscheiden darf, und legen einen Höchstbetrag je Beleg sowie eine Mindestsicherheit zwischen 85 und 99 % fest. Jede Änderung der Automatik-Einstellungen wird protokolliert. Festgeschriebene Zeiträume bleiben unberührt, Korrekturen laufen als Storno, und das Änderungsprotokoll zeigt, wer wann was gebucht oder geändert hat. Für eigene Programme und KI-Assistenten über einen MCP-Server gibt es API-Schlüssel je Gesellschaft mit getrennten Rechten für Lesen, Schreiben, Senden und Festschreiben. Ein Nutzer ist enthalten, jeder weitere kostet 20 € im Monat.

Häufige Fragen

Ist das Vier-Augen-Prinzip gesetzlich vorgeschrieben?

Nicht ausdrücklich für jedes Unternehmen. Die GoBD verlangen ein internes Kontrollsystem mit Zugriffsberechtigungen und Funktionstrennungen, dessen Ausgestaltung von Größe, Komplexität und Organisation abhängt (Rz. 100). Geschäftsführer einer GmbH müssen für eine ordnungsmäßige Buchführung sorgen und mit der Sorgfalt eines ordentlichen Geschäftsmannes handeln (§ 41 und § 43 GmbHG). Das Vier-Augen-Prinzip ist der übliche Weg, diese Pflichten bei Zahlungen umzusetzen.

Wie setze ich das Vier-Augen-Prinzip um, wenn ich allein bin?

Mit Ersatzkontrollen: Betragsgrenzen, Prüfrechte für Ihren Steuerberater, eine feste monatliche Durchsicht von Kontenblättern und Änderungsprotokoll sowie Automatik nur für freigegebene Regeln. Neue Lieferanten und geänderte Bankverbindungen prüfen Sie immer gesondert, etwa per Rückruf. Halten Sie diese Kontrollen schriftlich fest, damit sie im Zweifel nachweisbar sind.

Darf mein Steuerberater Rechnungen freigeben?

Technisch ja, wenn Sie ihm eine Prüferrolle geben. Fachlich ist er gut geeignet, Buchungen und Steuerschlüssel zu prüfen. Die sachliche Freigabe – ob die Leistung tatsächlich erbracht wurde – kann er meist nicht beurteilen; sie bleibt bei der Person im Unternehmen, die bestellt hat. Sinnvoll ist eine Aufteilung: sachlich im Unternehmen, formal und steuerlich durch den Berater.

Welche Rolle bekommt eine Aushilfe, die nur Belege einreicht?

Eine Rolle, die ausschließlich das Einreichen erlaubt, in unserer Buchhaltung der Beleg-Erfasser. Die Aushilfe kann Belege fotografieren oder hochladen, ohne Zugriff auf den Rest der Buchhaltung. So bleibt der Kreis der Personen mit Zugriff auf Konten, Gehälter und Konditionen klein, und die Erfassung wird trotzdem auf mehrere Schultern verteilt.

Wie schütze ich mich vor gefälschten Bankverbindungen?

Ändern Sie eine Lieferanten-IBAN nie allein aufgrund einer E-Mail oder eines Briefs. Bestätigen Sie die Änderung über eine Telefonnummer, die Sie schon vorher kannten, lassen Sie sie von einer zweiten Person freigeben und prüfen Sie im Zahllauf, ob sich Bankverbindungen seit der letzten Zahlung geändert haben. Diese Kontrolle kostet Minuten und schließt einen bekannten Betrugsweg im Rechnungseingang.

Muss ich Berechtigungen dokumentieren?

Ja, als Teil des internen Kontrollsystems. Die Beschreibung des internen Kontrollsystems gehört in die Verfahrensdokumentation (GoBD Rz. 102), und Kontrollen sind zu protokollieren (Rz. 100). Für kleine Unternehmen reicht eine Liste der Personen mit Rolle und Datum, die Freigabegrenzen und die Vertretungsregel. Als Organisationsunterlage ist das zehn Jahre aufzubewahren.

Haftet der Geschäftsführer für Fehler in der Buchhaltung?

Die Geschäftsführer einer GmbH sind verpflichtet, für die ordnungsmäßige Buchführung zu sorgen (§ 41 GmbHG). Verletzen sie ihre Obliegenheiten, haften sie der Gesellschaft für den entstandenen Schaden (§ 43 Abs. 2 GmbHG); das gilt auch, wenn die Buchhaltung ausgelagert ist. Ob im Einzelfall eine Haftung besteht, ist eine Rechtsfrage, die Sie mit einem Rechtsanwalt oder Steuerberater klären sollten.

Quellen und Rechtsstand

Primärquellen für die zentralen Aussagen dieser Seite. Öffnen Sie im Zweifel immer die aktuelle Fassung.

• § 41 GmbHG – Buchführung
• § 43 GmbHG – Haftung der Geschäftsführer
• § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen
• Bayerisches Landesamt für Steuern: GoBD-Schreiben vom 28. November 2019 (amtlicher Text) — Rz. 21, Rz. 94 und Rz. 100 bis 102 zum internen Kontrollsystem
• BMF: GoBD, 2. Änderung vom 14. Juli 2025

Freigaben und Zahlläufe mit vier Augen

Legen Sie in der Testphase Rollen an, geben Sie eine Eingangsrechnung frei und erzeugen Sie einen SEPA-Zahllauf mit zweiter Freigabe.