eInvoice Viewer — Inbound Check – Handbuch

1 · Überblick

Der Inbound Check ist ein Zusatz zum WordPress-Plugin „eInvoice Viewer for PEPPOL & EN16931". Er fügt der Ergebnisansicht des Viewers den Knopf Eingangsprüfung hinzu. Der Viewer beantwortet die Frage, ob sich eine Rechnung lesen lässt. Der Inbound Check beantwortet eine andere Frage: Passt diese Rechnung zu Ihnen? Er vergleicht die Rechnung mit Ihren eigenen Unternehmensdaten und mit einer Lieferantenliste, die Sie auf Ihrer eigenen Website pflegen.

Der Zusatz ist für alle gedacht, die eingehende Rechnungen vor der Zahlung ansehen, etwa die Kreditorenbuchhaltung oder die Geschäftsführung eines kleinen Unternehmens.

Was der Inbound Check kann:

• Er vergleicht Name, USt-IdNr. und Anschrift des Käufers auf der Rechnung mit Ihrem Unternehmen.
• Er prüft, ob die umsatzsteuerlichen Pflichtangaben vorhanden sind, nach EU-Recht und je nach Einstellung zusätzlich nach deutschem oder österreichischem Umsatzsteuergesetz.
• Er sucht den Verkäufer in Ihrer Lieferantenliste und prüft, ob die Bankverbindung der Rechnung dort schon bekannt ist.
• Er meldet, wenn die Rechnung einen anderen Zahlungsempfänger nennt als den Verkäufer.
• Er vergleicht Bestellbezug und Vertragsbezug mit den Mustern, die Sie hinterlegt haben.
• Er vergleicht Währung, Fälligkeitsdatum und Land des Verkäufers mit dem, was Sie über den Lieferanten hinterlegt haben.
• Er lässt einen Administrator eine neue Bankverbindung mit einem Klick in die Lieferantenliste übernehmen.
• Er liest und schreibt die Lieferantenliste als CSV-Datei.

Was der Inbound Check nicht kann:

• Er liest die Rechnung nicht selbst. Er arbeitet mit den Rechnungsdaten, die der Viewer schon gelesen hat.
• Er ruft keinen fremden Dienst auf. Er prüft also nicht, ob eine USt-IdNr. oder eine IBAN tatsächlich existiert, sondern nur, ob sie zu Ihren gespeicherten Daten passt.
• Er speichert keine Rechnung und führt kein Protokoll der Prüfungen.
• Er vergleicht nicht die Bankverbindung eines abweichenden Zahlungsempfängers. Bei einem eigenen Zahlungsempfänger wird nur der Name verglichen.
• Die Prüfung der Pflichtangaben ist eine formale Prüfung und keine steuerliche Beratung.

Voraussetzungen:

2 · Installieren

Der Inbound Check ist ein Kaufprodukt. Sie erhalten ihn als ZIP-Datei über den Shop auf invoicePress.de. Auf wordpress.org gibt es ihn nicht.

Weg A: ZIP-Datei hochladen

1. Stellen Sie sicher, dass das Plugin „eInvoice Viewer for PEPPOL & EN16931" installiert und aktiv ist.
2. Öffnen Sie in WordPress Plugins → Plugin hinzufügen und wählen Sie Plugin hochladen.
3. Wählen Sie die ZIP-Datei aus dem Shop aus und starten Sie die Installation.
4. Aktivieren Sie „eInvoice Viewer — Inbound Check".
5. Öffnen Sie eInvoice Viewer → Inbound Check.
6. Entscheiden Sie im Abschnitt Zugriff, ob nur angemeldete Benutzer prüfen dürfen, und speichern Sie.
7. Tragen Sie Ihre Unternehmensdaten ein und speichern Sie.
8. Legen Sie Ihre Lieferanten von Hand an oder importieren Sie sie als CSV-Datei.

Weg B: Ordner ablegen

1. Stellen Sie sicher, dass der eInvoice Viewer installiert und aktiv ist.
2. Entpacken Sie die ZIP-Datei und laden Sie den Plugin-Ordner nach /wp-content/plugins/ hoch.
3. Aktivieren Sie „eInvoice Viewer — Inbound Check" unter Plugins.
4. Fahren Sie mit den Schritten 5 bis 8 aus Weg A fort.

Weg C: In der Viewer-App

Für die Viewer-App gibt es den Inbound Check als eigene ZIP-Datei im Shop. Er arbeitet dort ganz im Browser, ohne WordPress und ohne Server.

1. Entpacken Sie die ZIP-Datei in den Ordner der App, also dorthin, wo ihre Startdatei liegt. Danach liegt dort die Datei einvoice-viewer-inbound-check.js neben der Startdatei, dazu das Handbuch und die deutschen und französischen Texte im Ordner addons/inbound-check/. Dieselbe Datei funktioniert auch neben der One-File-App des Viewers; dann genügt es, nur sie daneben zu legen. Ohne den Ordner holt sie die Texte der gewählten Sprache bei Bedarf von invoicePress.de.
2. Laden Sie die App im Browser neu.
3. Öffnen Sie im Viewer Einstellungen. Dort steht jetzt der Abschnitt Eingangsprüfung.
4. Tragen Sie Ihr Unternehmen ein. Die Lieferanten pflegen Sie in einem eigenen Fenster, das der Knopf Lieferantenliste neben Einstellungen öffnet; Fertig schließt es wieder. Gespeichert wird alles mit Speichern im Einstellungsdialog. Mit einem Viewer vor 2.37.1 fehlt dieser Knopf; dann zeigt der Abschnitt die Gruppe Lieferantenliste mit dem Knopf Lieferantenliste öffnen.

Der Zusatz braucht die Viewer-App ab Fassung 2.36.0.

Aktualisieren

Sie beziehen die neue Fassung als ZIP-Datei über den Shop und spielen sie über die alte. WordPress meldet eine neue Fassung nicht von sich aus, weil das Plugin keine eigene Update-Abfrage mitbringt. Ihre Einstellungen, Ihre Unternehmensdaten und Ihre Lieferantenliste liegen in der Datenbank und nicht im Plugin-Ordner. Wer von einer Fassung vor 1.2.0 kommt, behält das bisherige Verhalten: Die Prüfung bleibt für Besucher offen, bis Sie Nur für angemeldete Benutzer anhaken.

In der Viewer-App entpacken Sie die neue ZIP-Datei an dieselbe Stelle und lassen die vorhandenen Dateien ersetzen.

Entfernen

Sie deaktivieren das Plugin unter Plugins und löschen es dort. Der Knopf „Eingangsprüfung" verschwindet damit aus dem Viewer. Das Plugin räumt beim Löschen nichts auf. Die beiden Einstellungen, Ihre Unternehmensdaten und die Lieferantenliste bleiben in der WordPress-Datenbank zurück. Bei der Lieferantenliste ist das gewollt, denn sie gehört nicht dem Inbound Check allein: Das Plugin „eInvoice Inbound" liest dieselbe Liste (siehe Kapitel 7). Wer alle Spuren entfernen will, löscht vorher jeden Lieferanten in der Tabelle und leert die Felder der Unternehmensdaten.

In der Viewer-App löschen Sie die Datei einvoice-viewer-inbound-check.js und den Ordner addons/inbound-check/. Ihre Angaben bleiben im Browser gespeichert, bis Sie sie im Einstellungsdialog leeren.

3 · Erste Schritte

1. Öffnen Sie eInvoice Viewer → Inbound Check und tragen Sie im Abschnitt „Ihr Unternehmen ( Rolle „Eingang" )" mindestens den Namen und die USt-IdNr. Ihres Unternehmens ein. Speichern Sie den Abschnitt.

1. Legen Sie im Abschnitt Lieferantenliste einen Lieferanten an, von dem Sie eine Rechnung zur Hand haben: Name, die Kennung VAT: mit seiner USt-IdNr. und seine Bankverbindung.
2. Öffnen Sie die Seite Ihrer Website, auf der der Viewer steht, und öffnen Sie dort die Rechnung dieses Lieferanten.
3. Klicken Sie in der Werkzeugleiste der Ergebnisansicht auf Eingangsprüfung.

1. Lesen Sie die Liste der Befunde. Jeder Befund hat eine Überschrift und eine Erklärung, und seine Farbe zeigt, wie schwer er wiegt.

4 · Arbeiten mit Inbound Check

Die Eingangsprüfung starten

Sie öffnen eine Rechnung im Viewer und klicken auf Eingangsprüfung. Die Prüfung läuft im Browser. Ihre Website liefert dazu nur Ihre Unternehmensdaten und sagt, zu welchem Lieferanten die Rechnung gehört und ob dessen Bankverbindung bekannt ist; die Rechnung selbst geht nicht an den Server.

Die Befunde erscheinen als Liste im Reiter „Inbound Check“, der sich nach der Prüfung öffnet ( ab Fassung 2.38.0 des Viewers; mit einem älteren Viewer steht die Liste neben der Rechnung ). Ein zweiter Klick auf den Knopf öffnet den Reiter wieder. Mit button_spiv_inbound="no" im Kurzbefehl des Viewers erscheint der Knopf auf dieser Seite nicht. Rote Befunde und Warnungen stehen zusätzlich direkt am betroffenen Feld der Rechnung, und über der Rechnung steht, wie viele Felder markiert sind.

Die Befunde lesen

Jeder Befund trägt eine Erklärung in ganzen Sätzen. Es gibt vier Stufen:

Die Befunde stehen immer in derselben Reihenfolge: Käufer, Pflichtangaben, Bankverbindung, Zahlungsempfänger, Bezüge, Lieferantenprofil.

Käufer: Ist die Rechnung an Sie gerichtet?

Verglichen werden der Name des Käufers (BT-44) und seine USt-IdNr. (BT-48) mit Ihren Unternehmensdaten. Unterschiede in Groß- und Kleinschreibung und bei Leerzeichen werden übergangen. Weicht der Name oder die USt-IdNr. ab, erhalten Sie einen roten Befund, der beide Angaben nebeneinander nennt. Die Anschrift wird in diesem Fall nicht mehr geprüft.

Stimmen Name und USt-IdNr., wird die Anschrift verglichen: Adresszeile 1 (BT-50), Adresszeile 2 (BT-51), Postleitzahl (BT-53), Ort (BT-52), Region oder Bundesland (BT-54) und Land (BT-55). Die Hausnummer gehört dabei zur Adresszeile 1, denn eine Rechnung schreibt Straße und Hausnummer in dasselbe Feld. Eine abweichende Anschrift ist eine Warnung, weil eine falsche Anschrift Ihren Vorsteuerabzug gefährden kann.

Haben Sie eine Leitweg-ID hinterlegt, wird sie mit der Käuferreferenz der Rechnung (BT-10) verglichen. Fehlt die Käuferreferenz oder weicht sie ab, erhalten Sie eine Warnung, denn die Rechnung ist dann vielleicht für eine andere Stelle bestimmt. Ohne hinterlegte Leitweg-ID wird BT-10 nicht geprüft.

Umsatzsteuerliche Pflichtangaben

Die Prüfung sieht nach, ob die Angaben, die das Umsatzsteuerrecht verlangt, in der Rechnung vorhanden sind. Welche Vorschriften gelten, legen Sie im Abschnitt „Umsatzsteuerliche Pflichtangaben" der Einstellungsseite fest; ab Werk richtet sich die Prüfung nach dem Land des Rechnungsempfängers auf der Rechnung. Es ist eine formale Prüfung und keine steuerliche Beratung.

Jede fehlende Angabe erscheint als eigener Befund, dessen Überschrift die fehlende Angabe nennt. Ist nichts zu beanstanden, erscheint ein einziger Befund „Umsatzsteuerliche Pflichtangaben" mit dem Satz, dass die Rechnung nach den Pflichtangaben vollständig ist.

Regeln nach der Mehrwertsteuerrichtlinie (Art. 226). Sie gelten bei jeder Einstellung außer „Pflichtangaben nicht prüfen". Manche Regeln greifen nur in bestimmten Fällen, etwa der Vermerk zur Steuerbefreiung nur bei einer steuerfreien Position.

Zusätzlich nach deutschem Recht (§ 14 UStG). Drei der vier Regeln treten an die Stelle einer EU-Regel.

Bei einem Gesamtbetrag bis 250 Euro gilt die Erleichterung für Kleinbetragsrechnungen nach § 33 UStDV. Dann werden nur noch Name und Anschrift des Ausstellers, das Ausstellungsdatum, Menge und Art der Leistung, der Steuersatz und gegebenenfalls der Hinweis auf eine Steuerbefreiung verlangt. Die Erleichterung erscheint als eigener Befund „Kleinbetragsrechnung bis 250 Euro". Sie gilt nicht, wenn die Rechnung eine innergemeinschaftliche Lieferung oder die Umkehr der Steuerschuld enthält.

Zusätzlich nach österreichischem Recht (§ 11 UStG 1994).

Bei einem Gesamtbetrag bis 400 Euro gilt die österreichische Erleichterung für Kleinbetragsrechnungen nach § 11 Abs. 6 UStG 1994, die ebenfalls als eigener Befund erscheint.

Wann gar nicht geprüft wird. Steht die Einstellung auf „Automatisch" und nennt die Rechnung kein Land des Rechnungsempfängers, oder liegt dieses Land außerhalb der EU, erhalten Sie einen Hinweis, dass die Pflichtangaben nicht geprüft wurden.

Bankverbindung: Geht das Geld auf ein bekanntes Konto?

Der Verkäufer wird in Ihrer Lieferantenliste gesucht, zuerst über seine USt-IdNr. (BT-31) und die Kennung VAT, danach über seinen Namen (BT-27). Dann wird die IBAN der Rechnung (BT-84) mit den hinterlegten Konten verglichen.

Ein bekannter Lieferant, der plötzlich ein anderes Konto nennt, ist ein klassisches Muster des Rechnungsbetrugs. Klären Sie das neue Konto direkt mit dem Lieferanten, auf einem anderen Weg als über diese Rechnung.

Eine Bankverbindung übernehmen

Bei einer ersten Rechnung und bei einer unbekannten Bankverbindung trägt der Befund den Knopf Dieses Konto übernehmen. Bei einem bekannten Lieferanten wird das Konto zu seinen Konten hinzugefügt. Bei einem neuen Verkäufer wird ein Lieferant mit seinem Namen und diesem Konto angelegt; als Datum wird der heutige Tag eingetragen. Benutzen können den Knopf nur Administratoren. Die Prüfung selbst ändert die Lieferantenliste nie.

Zahlungsempfänger

Nennt die Rechnung keinen eigenen Zahlungsempfänger (BT-59), ist der Verkäufer der Empfänger, und der Befund ist in Ordnung. Nennt sie einen Zahlungsempfänger, dessen Name vom Verkäufer abweicht, erhalten Sie einen roten Befund mit beiden Namen. Ein Dritter als Empfänger kann berechtigt sein, zum Beispiel ein Factoring-Unternehmen, ist aber auch ein häufiges Betrugsmuster.

Bezüge: Bestellnummer und Vertragsnummer

Der Bestellbezug (BT-13) und der Vertragsbezug (BT-12) werden mit Ihren Mustern verglichen. Die Prüfung nimmt den festen Anfang des Musters, also alles vor der ersten Ziffer oder dem ersten #, und sucht ihn im Bezug der Rechnung. Aus dem Muster PO-2026-##### wird also PO- gesucht, ohne Rücksicht auf Groß- und Kleinschreibung. Fehlt dieser Anfang, erhalten Sie eine Warnung, nie einen roten Befund. Haben Sie kein Muster hinterlegt oder trägt die Rechnung den Bezug nicht, erhalten Sie einen Hinweis.

Lieferantenprofil

Diese Prüfung läuft nur bei einem Lieferanten, der über seine USt-IdNr. gefunden wurde. Sie vergleicht drei Dinge:

• Währung: die Währung der Rechnung (BT-5) mit der üblichen Währung des Lieferanten.
• Fälligkeit: das Fälligkeitsdatum (BT-9) mit dem Rechnungsdatum (BT-2) zuzüglich des üblichen Zahlungsziels. Weicht es um mehr als drei Tage ab, erhalten Sie eine Warnung.
• Land: das Land des Verkäufers (BT-40) mit den Ländern der hinterlegten Konten, erkannt an den ersten beiden Buchstaben der IBAN.

Ist der Lieferant nicht über seine USt-IdNr. bekannt, steht ein Hinweis, dass es noch kein Lieferantenprofil gibt.

Die Lieferantenliste pflegen

Auf der Seite mit dem Viewer. Als Administrator sehen Sie über der Ablagefläche die Knöpfe Lieferantenliste und Einstellungen, sobald der Viewer 2.37.1 oder neuer aktiv ist. Einstellungen öffnet den Abschnitt Eingangsprüfung mit Ihrem Unternehmen und den Pflichtangaben; Lieferantenliste öffnet denselben Dialog gleich mit dem Fenster der Liste, die im Abschnitt selbst nicht mehr steht. Im Fenster legen Sie Lieferanten an, bearbeiten sie, löschen sie und lesen eine CSV-Datei ein. Gespeichert wird erst mit Speichern im Dialog. Es sind dieselben Daten wie auf der Einstellungsseite im wp-admin; was Sie an einer Stelle speichern, steht an der anderen. Hat jemand die Daten gespeichert, während Ihr Dialog offen war, sagt der Dialog das, statt seine Änderung zu überschreiben. Andere Besucher sehen keinen der beiden Knöpfe.

Aus einem Buchhaltungsprogramm. Statt einer eigenen Datei können Sie auch den Export Ihres Buchhaltungsprogramms einlesen. Erkannt werden der DATEV-Export der Debitoren- und Kreditorenstammdaten ( eine Datei, deren erste Zeile mit EXTF beginnt und „Debitoren/Kreditoren“ nennt ) und Listen mit den üblichen Spaltennamen, etwa „Firma“ oder „Organisation“, „USt-IdNr.“, „Steuernummer“, „IBAN“ und „BIC“, wie Lexware und sevdesk sie ausgeben. Die Datei darf mit Semikolon, Komma oder Tabulator getrennt sein und die Endung .csv oder .txt haben. Aus einer DATEV-Datei werden nur die Kreditoren übernommen, also die Personenkonten, die mit 7, 8 oder 9 beginnen; Kundenkonten werden ausgelassen und in der Meldung gezählt. Ein Eintrag ohne USt-IdNr. und ohne Steuernummer kann keiner Rechnung zugeordnet werden und wird übersprungen. Ein Lieferant, der schon in der Liste steht, wird an seiner USt-IdNr. oder Steuernummer erkannt; seine bekannten Konten bleiben, und neue kommen dazu.

Im wp-admin. Unter eInvoice Viewer → Inbound Check steht im Abschnitt Lieferantenliste eine Tabelle aller Lieferanten mit den Spalten Name, Kennungen, Konten, Währung, Zahlungsbedingungen und Aktionen. Die Spalte „Konten" zeigt nur die Zahl der hinterlegten Bankverbindungen. Je Zeile können Sie den Lieferanten mit Bearbeiten öffnen oder mit Löschen entfernen; das Löschen müssen Sie bei der Frage „Diesen Lieferanten entfernen?" bestätigen. Unter der Tabelle steht das Formular „Einen Lieferanten hinzufügen" mit dem Knopf Lieferant hinzufügen; beim Bearbeiten heißt es „Lieferant bearbeiten" und der Knopf Lieferant speichern.

Beim Speichern vereinheitlicht das Plugin einige Angaben. Die IBAN wird in Großbuchstaben und ohne Leerzeichen gespeichert, und auch die IBAN der Rechnung wird vor dem Vergleich so umgeschrieben; eine IBAN mit Leerzeichen wird also trotzdem erkannt. BIC, Währung und das Schema einer Kennung werden in Großbuchstaben gespeichert. Der Wert einer Kennung bleibt dagegen genau so, wie Sie ihn eingeben: VAT:de123456789 findet eine Rechnung mit DE123456789 nicht.

Lieferanten als CSV-Datei einlesen und ausgeben

Unter CSV-Import und -Export wählen Sie eine CSV-Datei aus und lesen sie mit CSV importieren ein, oder Sie laden mit CSV exportieren die ganze Liste als Datei suppliers.csv herunter.

Die Datei ist durch Kommas getrennt und beginnt mit einer Kopfzeile. Die ausgegebene Datei hat diese Spalten:

Die Reihenfolge der Spalten ist beim Import gleichgültig, denn das Plugin liest sie über die Kopfzeile. Fehlt der Datei eine Spalte, etwa accounts, bleibt bei einem schon vorhandenen Lieferanten der gespeicherte Wert stehen. So können Sie zum Beispiel mit einer Datei aus id, name und currency nur die Währungen nachtragen. Eine Spalte, die vorhanden, aber leer ist, leert das Feld dagegen.

Nach dem Einlesen meldet die Seite „Importierte Lieferanten: … Übersprungene Zeilen: …". Übersprungen wird jede Zeile ohne Namen. Lässt sich die Datei gar nicht lesen, erscheint „Die Datei konnte nicht gelesen werden. Bitte wählen Sie eine CSV-Datei."

Auf einer Seite ausschalten

Im Kurzbefehl des Viewers schalten Sie auf einer einzelnen Seite ab, was dieser Zusatz zeigt, zum Beispiel [spev_einvoice_viewer button_spiv_inbound="no"]. Ohne Angabe bleibt alles an.

Ein Schalter nimmt etwas nur von dieser Seite. Wer den Zusatz überhaupt benutzen darf, legt „Verfügbar ab Rolle“ in den Einstellungen des Viewers fest. In der Viewer-App gelten dieselben Namen in config.js, etwa features: { button_spiv_inbound: false }. Nur der Wert false ohne Anführungszeichen schaltet ab.

5 · Einstellungen

Alle Einstellungen stehen auf einer Seite: eInvoice Viewer → Inbound Check. Die Seite ist nur für Administratoren sichtbar. Jeder Abschnitt hat seinen eigenen Knopf zum Speichern und wird für sich gespeichert. Unternehmen, Pflichtangaben und Lieferantenliste pflegt ein Administrator ab dem Viewer 2.37.1 auch im Einstellungsdialog auf der Seite mit dem Viewer (Kapitel 4, „Die Lieferantenliste pflegen“).

Abschnitt „Zugriff"

Abschnitt „Ihr Unternehmen ( Rolle „Eingang" )"

Alle Felder sind ab Werk leer.

Abschnitt „Umsatzsteuerliche Pflichtangaben"

Zur Wahl stehen fünf Werte:

Abschnitt „Lieferantenliste"

Beispiel für das Feld „Kennungen":

VAT:DE123456789; GLN:4012345000009

Aufbau des Feldes „Konten":

IBAN|BIC|2026-01-15

Kurzbefehle

Der Inbound Check hat keinen eigenen Kurzbefehl. Er zeigt sich allein über den Knopf in der Ergebnisansicht des Viewers. Wie Sie den Viewer in eine Seite setzen, steht im Handbuch des Viewers.

6 · Besondere Fälle

Sie wollen den Viewer öffentlich anbieten, die Prüfung aber nur im Haus. Haken Sie Nur für angemeldete Benutzer an. Der Viewer bleibt für alle benutzbar; Besucher ohne Anmeldung sehen ihn ohne den Knopf. Soll die Prüfung auf Benutzer mit einer bestimmten Berechtigung beschränkt sein, lässt sich das über den Filter spiv_capability einrichten, siehe Kapitel 10.

Sie wollen einen neuen Lieferanten nach der ersten Rechnung vollständig erfassen. Klären Sie zuerst, dass die Rechnung echt ist. Klicken Sie dann als Administrator auf Dieses Konto übernehmen. Der neue Lieferant wird mit Name und Konto angelegt. Öffnen Sie ihn danach in der Lieferantenliste und ergänzen Sie die Kennung VAT: mit seiner USt-IdNr., die übliche Währung und das Zahlungsziel. Erst mit der USt-IdNr. läuft bei der nächsten Rechnung auch die Prüfung des Lieferantenprofils.

Ihr Lieferant hat sein Konto gewechselt. Die nächste Rechnung führt zu einem roten Befund. Lassen Sie sich das Konto unter einer Telefonnummer bestätigen, die Sie schon kennen. Danach übernimmt ein Administrator das Konto mit dem Knopf im Befund.

Ihre Leistung wird in einem anderen Land besteuert als dem Land Ihrer Anschrift. Stellen Sie im Abschnitt „Umsatzsteuerliche Pflichtangaben" statt „Automatisch" das passende Regelwerk fest ein.

Ihre Bestellnummern beginnen mit einer Ziffer. Ein Muster, das mit einer Ziffer oder mit # beginnt, hat keinen festen Anfang, nach dem die Prüfung suchen könnte. Jeder Bezug gilt dann als plausibel. Aussagekräftig ist die Prüfung nur bei Mustern mit einem festen Anfang aus Buchstaben oder Zeichen, etwa PO-.

7 · Zusammenspiel mit anderen Paketen

Ohne den Viewer hat der Inbound Check keine eigene Oberfläche außer seiner Einstellungsseite.

8 · Wenn etwas nicht geht

9 · Datenschutz und Sicherheit

Was im Browser bleibt. Die Rechnungsdatei selbst. Der Viewer liest sie im Browser; der Inbound Check lädt sie nicht hoch.

Was an den Server geht. Die Prüfung selbst läuft im Browser. Beim Klick auf „Eingangsprüfung" schickt der Browser nur die Angaben, an denen der Lieferant zu erkennen ist, an den Server Ihrer eigenen WordPress-Website: Name, GLN, USt-IdNr. und Steuernummer des Verkäufers, Land, Postleitzahl und Ort seiner Anschrift und die IBAN der Rechnung. Der Server antwortet mit Ihren Unternehmensdaten und mit dem passenden Eintrag der Lieferantenliste; die übrigen Rechnungsdaten bekommt er nicht. Beim Klick auf „Dieses Konto übernehmen" gehen der Name des Lieferanten, seine Kennungen und Anschrift, die IBAN und die BIC an denselben Server, der sie in die Lieferantenliste schreibt. Öffnet ein Administrator den Einstellungsdialog auf der Seite mit dem Viewer, lädt der Browser Ihre Unternehmensdaten und die Lieferantenliste samt Bankverbindungen von Ihrer Website, und Speichern schickt sie dorthin zurück; andere Besucher bekommen davon nichts.

Was nicht geschieht. Es wird kein fremder Dienst aufgerufen. Die Angaben zur Suche des Lieferanten werden nach der Antwort verworfen und nicht gespeichert.

Was gespeichert wird. In der WordPress-Datenbank Ihrer Website liegen die Zugriffseinstellung, die Einstellung zu den Pflichtangaben, Ihre Unternehmensdaten und die Lieferantenliste mit Namen, Kennungen, Bankverbindungen, üblicher Währung und üblichem Zahlungsziel. IBAN und BIC der Lieferanten liegen verschlüsselt in der Datenbank; der Schlüssel wird aus den Sicherheitsschlüsseln in der wp-config.php gebildet. Die CSV-Datei, die Sie ausgeben, enthält sie dagegen im Klartext. Beim Löschen des Plugins bleibt alles in der Datenbank stehen (siehe Kapitel 2).

Was Benutzer der Prüfung sehen. Die Befunde können Ihren Firmennamen, Ihre Muster für Bezüge sowie Namen, übliche Währungen und Zahlungsziele Ihrer Lieferanten nennen. Ohne die Einschränkung auf angemeldete Benutzer sieht das jeder, der auf Ihrer Seite eine Rechnung öffnet und prüft.

Wie geschützt wird. Einstellungsseite, Import, Export und das Übernehmen eines Kontos sind Administratoren vorbehalten. Jede Anfrage trägt ein Sicherheitskennzeichen, das der Server prüft.

In der Viewer-App. Dort läuft die Prüfung ganz im Browser. Ihre Unternehmensdaten und die Lieferantenliste liegen im Speicher dieses Browsers, und kein Server bekommt sie zu sehen. Die Sicherungsdatei des Einstellungsdialogs enthält sie samt Bankverbindungen im Klartext; bewahren Sie sie auf wie einen Kontoauszug.

10 · Für Entwickler

Der Filter muss vor dem Hook init mit Priorität 1 angemeldet sein, also in einem Plugin oder in der functions.php des Themes, nicht in einem eigenen init-Rückruf:

add_filter( 'spiv_capability', function () {
	return 'edit_posts';
} );

Ist der Zugriff gesperrt, antworten die drei AJAX-Aktionen mit 401 (nicht angemeldet) oder 403 (keine Berechtigung).

Jeder Befund ist ein Feld mit code, level (fatal, warning, info, ok), title, explanation und meist bt. Befunde, die sich übernehmen lassen, tragen zusätzlich adoptable, supplier_id, iban und bic. Die Kennungen der Befunde lauten: buyer-identity-mismatch, buyer-address-mismatch, buyer-identity-ok, bank-account-missing, bank-account-first-seen, bank-account-known, bank-account-unknown, payee-is-seller, payee-differs-from-seller, purchase-order-reference-… und contract-reference-… (jeweils mit -no-pattern, -missing, -ok, -implausible), supplier-profile-none, supplier-currency-unusual, supplier-due-date-unusual, supplier-country-unusual und supplier-profile-ok. Die Prüfung der Pflichtangaben liefert mandatory-complete, mandatory-scope für eine ausgelassene Prüfung und je fehlender Angabe mandatory- mit der Regelnummer in Kleinbuchstaben, etwa mandatory-eu-05c oder mandatory-de-01.

11 · Fassungen

12 · Bilderliste

Diese Liste zeigt, welche Bildschirmfotos dieses Handbuch erwartet und welche im Ordner screenshots/ des Pakets gefunden wurden. Ein Bild heißt immer Kennung.Sprache.png, zum Beispiel ib-befunde.de.png. Fehlt die deutsche Fassung, zeigt das Handbuch die englische. Auf den Bildern sind nur Beispieldaten zu sehen.