Konnektor: Informationen für IT-Dienstleister und DATEV-Partner

Diese Seite richtet sich an die IT der Kanzlei oder an das beauftragte Systemhaus. Sie beschreibt, was auf dem DATEV-Server vorhanden sein muss, damit die Einrichtung des Konnektors an einem Termin gelingt. Was die Anbindung fachlich leistet, steht unter DATEV-Anbindung.

Stand dieser Seite: 12. September 2026.

Voraussetzungen (Checkliste)

Diese sechs Fragen entscheiden über den Aufwand. Sie sollten vor dem Termin beantwortet sein.

1. Liegen die Bestände lokal oder im DATEV-Rechenzentrum? Bei Kanzleien, die im DATEV-Rechenzentrum arbeiten, ist die Buchhaltung über die lokale Sicherung nicht erreichbar. Dann führt nur der Weg über DATEVconnect zum Ziel. DATEV beschreibt den Gegenweg unter Rechnungswesen-Mandantenbestand zur Bearbeitung am PC aus dem DATEV-Rechenzentrum holen; er überschreibt einen vorhandenen Bestand am Rechner vollständig.
2. Welche DATEV-Bereiche werden eingesetzt? Rechnungswesen, Lohn, Eigenorganisation, Dokumentenablage. Der Umfang bestimmt die nächtliche Last.
3. Welcher DATEV-Programmstand ist installiert? Vorausgesetzt wird mindestens DATEV-Programme 19.0. Mit dieser Fassung stellt DATEV die Datenbankbasis auf Microsoft SQL Server 2022 um; ältere Stände werden nicht unterstützt. DATEV beschreibt die Umstellung unter Umstellung auf Microsoft SQL Server 2022.
4. Wie viel Upstream steht dauerhaft zur Verfügung? Siehe Bandbreite. Das ist erfahrungsgemäß der Punkt, der am häufigsten unterschätzt wird.
5. Wurde das Installationspaket schon einmal von Hand installiert? Falls ja, unbedingt vorher melden. Eine Neuinstallation derselben Fassung über eine laufende scheitert.
6. Ist ein Proxy für ausgehende Verbindungen zwingend? Siehe Netzwerk und Firewall.

Informationen zum Datenaustausch

Der Konnektor ist ein Windows-Dienst, der im Netz der Kanzlei läuft. Er baut ausschließlich Verbindungen nach außen auf. Von außen ist nichts erreichbar.

Benötigt werden die vollständige nächtliche DATEV-SQL-Sicherung und der Pfad, unter dem sie liegt. Die Übertragung ist verschlüsselt. Der Schlüssel gehört der Kanzlei; ohne ihn wird eine Übertragung abgewiesen. Ein unverschlüsselter Upload findet nicht statt.

Das ist wichtig für die Planung: es handelt sich nicht um einen gelegentlichen Zugriff, sondern um eine nächtliche Vollübertragung. Hinzu kommt der Live-Zugriff über DATEVconnect für einzelne Abfragen.

Ein SQL-Benutzer wird nicht benötigt und nicht angelegt.

Systemvoraussetzungen

Der Konnektor läuft üblicherweise auf dem DATEV-Server selbst.

• Windows Server 2019 x64 oder neuer. 64-Bit ist zwingend.
• 2 Kerne, 4 GB Arbeitsspeicher genügen.
• Kein Laufzeitpaket. Kein .NET, keine Zusatzinstallation.
• Kein zusätzlicher Plattenplatz für die Übertragung.
• Administratorrechte für die Installation.
• Zeitsynchronität. Die Abweichung muss unter fünf Minuten liegen. Die eingestellte Zeitzone des Servers spielt keine Rolle.

Zwei Verzeichnisse werden angelegt: eines unter Programme für das Programm selbst, eines unter ProgramData für Konfiguration, Zustand und Protokoll. Eine Aktualisierung fasst das zweite nicht an.

Anwendungssteuerung und Virenschutz

Der Dienst ruft im Betrieb powershell.exe (nur beim optionalen Abgleich des Benutzerverzeichnisses), schtasks.exe sowie msiexec.exe auf. Die beiden letzten braucht die Selbstaktualisierung.

Regeln in AppLocker, WDAC oder einer Endpunktsicherung, die das Anlegen von Aufgaben oder das Starten von Skripten aus dem temporären Verzeichnis unterbinden, verhindern damit jede Aktualisierung. Ein sichtbarer Fehler entsteht dabei nicht. Als Grundlage für eine Freigabe: das Installationspaket ist signiert und wird bei ungültiger Signatur nie ausgeführt.

Ausnahmen im Virenscanner sind keine Voraussetzung für den Betrieb. Wo sie aus Geschwindigkeitsgründen nötig sind, gilt:

• Vertretbar ist eine lesende Ausnahme auf dem Sicherungsverzeichnis. Microsoft empfiehlt das für SQL Server ohnehin.
• Vertretbar ist eine Ausnahme für das Programm unter Programme.
• Nicht auszunehmen sind das Datenverzeichnis unter ProgramData sowie temporäre Verzeichnisse.

Bandbreite

Der wichtigste Punkt dieser Seite.

Übertragen wird jede Nacht die vollständige Sicherung, nicht nur die Änderungen. Ein Rechnungswesen-Bestand liegt erfahrungsgemäß bei rund 27 GB. Weitere Bereiche kommen nacheinander hinzu.

Die Werte sind rechnerisch und gelten für eine Leitung, die währenddessen nichts anderes tut. In der Praxis dauert es länger.

Verfügbarer Upstream	Dauer für 27 GB
10 Mbit/s	rund 6 Stunden
25 Mbit/s	rund 2,5 Stunden
50 Mbit/s	rund 1,2 Stunden
100 Mbit/s	rund 36 Minuten

Vorausgesetzt werden mindestens 50 Mbit/s dauerhaft verfügbarer Upstream. Unterhalb von 25 Mbit/s ist ein zuverlässiger Betrieb nicht zugesichert.

Zu wenig Bandbreite führt nicht zu einem langsamen, sondern zu einem unvollständigen Betrieb: Bereiche, die nicht innerhalb des Nachtfensters ankommen, fehlen am nächsten Tag.

Zu bedenken sind außerdem Volumentarife, Ersatzleitungen über Mobilfunk sowie Fair-Use-Klauseln. Als Größenordnung: einige hundert Gigabyte im Monat.

Der Lauf beginnt standardmäßig um 23:30 deutscher Zeit. Kollidiert er mit der eigenen Datensicherung der Kanzlei, lässt sich die Uhrzeit verschieben. Der wirksamste Hebel bleibt die Auswahl der Bereiche, die tatsächlich gebraucht werden.

Dienstkonto

Der Dienst läuft nach der Installation als LocalSystem. Das ist die Vorgabe und zugleich die Empfehlung:

• Es gibt kein Kennwort, das gespeichert oder abgerufen werden kann.
• Im Netz tritt der Dienst als Computerkonto auf. Rechte auf einer Freigabe werden dann an das Computerkonto vergeben.

Ein gruppenverwaltetes Dienstkonto ist möglich, aber nur als begründete Ausnahme. Es braucht lokale Administratorrechte, sonst kann sich der Konnektor nicht selbst aktualisieren und bleibt dauerhaft auf einem alten Stand. Mit lokalen Administratorrechten wiederum ist ein Domänenkonto sicherheitstechnisch schlechter gestellt als LocalSystem.

Ein klassisches Domänen-Dienstkonto mit gespeichertem Kennwort wird nicht empfohlen.

Ein Domänenadministrator wird nicht benötigt und soll nicht verwendet werden.

Benötigt werden lediglich: das Recht, sich als Dienst anzumelden, Lesezugriff auf den Registrierungszweig von DATEV, Lesezugriff auf das Sicherungsverzeichnis sowie Schreibzugriff auf das eigene Datenverzeichnis. Schreib- oder Löschrechte auf den Sicherungsdateien werden ausdrücklich nicht gebraucht.

DATEV-Benutzer

Für den Zugriff über DATEVconnect wird ein eigener DATEV-Benutzer benötigt, ein Service Account, nicht das Konto einer Mitarbeiterin oder eines Mitarbeiters. Er überlebt Urlaub, Rollenwechsel und das Ausscheiden von Mitarbeitern. Niemand muss die Rechte für das Auftragswesen an jede einzelne Person vergeben. DATEV beschreibt das Anlegen unter Benutzer für DATEVconnect in der Benutzerverwaltung und Rechteverwaltung anlegen.

Der Service Account braucht drei Zuordnungen, die alle gesetzt sein müssen:

1. ein Windows-Benutzer, unter dem er im Netz auftritt
2. ein Mitarbeiter in der Mitarbeiterverwaltung
3. ein Rechenzentrums-Benutzer

Die zweite wird gern übersehen. Sie ist fürs Buchen von Zeiten nicht verzichtbar, weil DATEV prüft, ob der Erfassende ein Mitarbeiter der Kanzlei ist. Der Abschnitt Zeiten buchen beschreibt, was dafür zusammenkommen muss.

Die Anmeldedaten stehen in der Benutzerverwaltung beim Service Account unter Windows-PC. Bei einem Domänenkonto gehört die Domäne vor den Benutzernamen.

• Der Benutzer muss lizenziert und anmeldbar sein. Die Meldung, der DATEV-Benutzer könne nicht ermittelt werden, bedeutet fast immer, dass keine auflösbare DATEV-Benutzersitzung besteht. Das ist auf der DATEV-Seite zu lösen.
• Die Rechte werden in der DATEV-Rechteverwaltung vergeben. SOFI erweitert sie nicht. Wer einen Auftraggeber in DATEV nicht sehen darf, sieht ihn auch über SOFI nicht. Maßgeblich sind Mandantennummern-Bereiche.
• Je Bereich, der genutzt werden soll, wird das entsprechende Recht benötigt: Rechnungswesen, Stammdaten, Dokumentenablage, Eigenorganisation, Lohn.
• Das Leserecht auf die Benutzerverwaltung ist ein eigenes Recht. Ohne dieses Recht lassen sich DATEV-Benutzer und Windows-Konten nicht sauber einander zuordnen.

Bei Anmeldung über das Windows-Verfahren gilt: der Dienst meldet sich mit seiner eigenen Identität an. Unter LocalSystem ist das das Computerkonto, kein Benutzer. Die DATEV-Rechte müssen dann an diesem Konto hängen. Liegen sie auf einer Person, verweigert DATEVconnect den Zugriff. Für das Windows-Verfahren mit Kerberos muss zusätzlich ein passender Dienstprinzipalname registriert sein.

Alternativ steht die einfache Anmeldung mit Benutzername plus Kennwort zur Verfügung. Das Kennwort wird im Portal eingegeben, versiegelt an den Konnektor übergeben und liegt danach nur auf dem Rechner der Kanzlei.

DATEVconnect

• Die Einrichtung beschreibt DATEV unter DATEVconnect einrichten.
• Die Adresse steht in DATEV unter Organisation, Basissoftware, Kommunikation, DATEVconnect Einrichtung. Üblich sind https://<rechnername>:58452/datev/api/ auf einem eigenen Server und http://localhost:58454/datev/api/ in einer betriebenen Umgebung.
• Erreichbar unter Port 58452 über HTTPS. Über Rechnergrenzen hinweg ist HTTPS Pflicht. Läuft der Konnektor auf dem DATEV-Server selbst, wird die lokale Installation angesprochen.
• Verwendet ein privates oder selbst ausgestelltes Zertifikat, muss es im Zertifikatspeicher des Rechners vertrauenswürdig hinterlegt sein. Alternativ wird sein Fingerabdruck in der Anbindung fest eingetragen. Ein Abschalten der Zertifikatsprüfung ist nicht vorgesehen.

Lizenz für die Dokumentenablage

Der Zugriff auf die Dokumentenablage über DATEVconnect ist gesondert zu lizenzieren. Fehlt die Lizenz, wird der Zugriff mit einem Hinweis auf das Produkt DATEVconnect Dokumentenmanagement abgewiesen. Die übrigen Bereiche sind davon nicht betroffen.

Bestellt bedeutet dabei nicht wirksam. Zu tun sind drei Schritte: bestellen, abrufen, dem Bestand zuordnen. Danach gegenprüfen.

Bei DATEV nachzulesen: DATEVconnect Dokumentenmanagement einrichten sowie die Meldung zur fehlenden Lizenz, die genau diesen Fall behandelt.

DATEV-Datensicherung

Der Konnektor liest die Sicherungsdateien, die DATEV selbst erzeugt. Daraus ergeben sich mehrere Bedingungen.

• Die DATEV-Sicherung muss täglich laufen und erfolgreich sein. Meldet der jüngste Lauf einen Fehler, wird nichts übertragen. Die zugehörige Prüfung richtet DATEV unter Automatische Prüfung der Datenbanken mit dem Tool DSQLCHECK ein, für die Online-Sicherung unter Automatische Prüfung mit SQL-Online-Sicherung einrichten.
• Die Sicherung darf nicht älter als 24 Stunden sein. Ältere Stände gelten als veraltet.
• Die Sicherung muss abgeschlossen sein. Eine Sicherung, die noch geschrieben wird, wird nicht übertragen.
• Das Dienstkonto braucht Lesezugriff auf die Sicherungsdateien. Das ist die mit Abstand häufigste Ursache dafür, dass nichts ankommt. DATEV schreibt die Sicherungen mit abgeschalteter Vererbung, das Recht muss also ausdrücklich vergeben werden. Am verlässlichsten geschieht das über die Leserliste des DATEV-Sicherungsprofils. Wird das Recht nur am Verzeichnis gesetzt, kann DATEV es beim nächsten Lauf wieder entfernen.

Aufbau des Sicherungsverzeichnisses

Erwartet wird die übliche verschachtelte Ablage von DATEV mit einer Ebene je Bereich. Liegen alle Dateien flach in einem Verzeichnis, wie es bei ausschließlicher Nutzung der Online-Sicherung vorkommt, wird der Pfad bei der Einrichtung fest hinterlegt. Er muss dabei auf die Datenebene zeigen, nicht auf die Laufwerkswurzel.

Werden mehrere Datenpfade genutzt, ist zu prüfen, ob jeder davon gesichert wird. DATEV beschreibt sie unter Datenpfade für die Rechnungswesen-Datenbestände verwalten.

Als Größenordnung für den Platzbedarf auf dem Sicherungslaufwerk: bei den bisherigen Installationen einige hundert Gigabyte.

Netzwerk und Firewall

Der Konnektor baut ausschließlich Verbindungen nach außen auf. Er öffnet keinen Port und nimmt keine Verbindungen an.

Nach außen freizugeben:

Ziel	Zweck
api.sofi.tax über 443	Übertragung, Statusmeldungen, Installationspaket
app.sofi.tax über 443	die Anwendung selbst, für die Mitarbeitenden

Im internen Netz erreichbar sein müssen: der DATEVconnect-Rechner über Port 58452, das Sicherungsverzeichnis, sowie bei eingeschaltetem Verzeichnisabgleich ein Domänencontroller.

Nicht benötigt werden: eine eingehende Portfreigabe, eine Veröffentlichung nach außen, ein VPN sowie ein Zertifikat von SOFI.

Der Konnektor hält Verbindungen längere Zeit offen. Eine zwischengeschaltete Komponente mit sehr kurzem Leerlauf-Zeitlimit führt zu ständigen Verbindungsabbrüchen.

Proxy

Vorausgesetzt wird eine direkte Verbindung. Der Rechner soll api.sofi.tax über Port 443 ohne zwischengeschalteten Proxy erreichen.

Ist das nicht möglich, ist das vor dem Termin abzustimmen. Ein Proxy lässt sich eintragen, allerdings unter drei Bedingungen. Er darf keine Anmeldung mit Domänenkonto verlangen; zulässig ist nur ein Proxy ohne Anmeldung oder mit einfacher Anmeldung. Der Eintrag muss vor Ort erfolgen und lässt sich nicht aus der Ferne nachziehen. Und der DATEVconnect-Rechner im internen Netz muss vom Proxy ausgenommen werden.

Installation und Abnahme

Die Installation erfolgt über ein Skript, das SOFI erzeugt und der IT der Kanzlei übergibt. Es installiert den Dienst, meldet den Rechner an und startet ihn.

Das Skript enthält einen Zugang, der diesen Rechner ausweist. Er ist wie ein Kennwort zu behandeln:

• Der Zugang ist befristet, bis er zum ersten Mal benutzt wird. Standardmäßig 24 Stunden. Ein Skript, das über ein langes Wochenende im Postfach liegt, funktioniert danach nicht mehr; in dem Fall stellen wir einen neuen aus. Nach der ersten Anmeldung des Konnektors gilt der Zugang unbefristet, bis das Gerät widerrufen wird.
• Nicht per E-Mail, nicht über ein Ticketsystem, nicht über Chat weitergeben.
• Nach der Installation die Skriptdatei löschen.
• Nicht mehrfach anfordern. Ein neuer Zugang zieht einen bisherigen, noch nie verbundenen zurück, ein bereits verbundener Konnektor bleibt dagegen bestehen.

Nach der Installation trägt die Kanzlei im Portal unter Integrationen die Zugangsdaten für DATEVconnect ein. Mehr ist dort nicht zu tun.

Zur Abnahme kann SOFI aus der Ferne einen Diagnoselauf auslösen. Er prüft, ohne Daten zu verändern, ob Anmeldung, DATEVconnect, Dokumentenablage und Sicherungspfad erreichbar sind. Damit lässt sich am Termin belegen, dass die Voraussetzungen erfüllt sind.

Antworten auf DATEV-Fragen liefert die Anwendung erst, wenn die erste Sicherung vollständig übertragen ist.

Betrieb und Überwachung

Ob der Konnektor arbeitet, lässt sich an drei Stellen ablesen:

• Im Portal, an der Statusanzeige der Anbindung.
• Im Windows-Ereignisprotokoll, unter dem Namen des Dienstes. Damit lässt sich der Zustand über vorhandene Überwachungswerkzeuge auswerten, ohne etwas zu installieren.
• In der Protokolldatei im Datenverzeichnis. Sie enthält die ausführlichste Auskunft.

Die Protokolldatei wird nicht automatisch begrenzt. Auf Dauer wächst sie. Ein eigener Aufräumauftrag ist sinnvoll.

Der Konnektor aktualisiert sich selbst, gesteuert von SOFI. Ein Eingriff der IT ist dafür nicht nötig, der Vorgang sollte aber im Änderungsmanagement bekannt sein.

Das Anhalten des Dienstes kann bis zu 90 Sekunden dauern. Skripte mit kürzerem Zeitlimit melden dann fälschlich einen Fehler.

Serverumzug, Klonen und Außerbetriebnahme

Je Kanzlei ist genau ein Konnektor vorgesehen. Zwei gleichzeitig aktive Installationen führen zu Abfragen, die sporadisch fehlschlagen. Wird ein Server geklont, trägt der Klon denselben Ausweis; er ist umgehend abzuschalten oder sein Dienst zu deaktivieren.

Die hinterlegten Zugangsdaten sind an den Rechner gebunden. Daraus folgt:

• Sicherung sowie Rückspielen derselben Maschine, eine Migration des gesamten Abbilds sowie eine Umbenennung sind unproblematisch.
• Ein neuer Server oder das Rückspielen einzelner Verzeichnisse auf ein anderes System erfordert eine Neuanmeldung. Diese kann die IT nicht allein durchführen, sie ist bei SOFI anzustoßen. Entsprechend Vorlauf einplanen. Der bisherige Rechner ist vorher abzumelden.

Bei Außerbetriebnahme oder Kündigung:

1. Abmeldung des Rechners bei SOFI anstoßen.
2. Das Programm deinstallieren.
3. Das Datenverzeichnis von Hand löschen. Die Deinstallation lässt es absichtlich stehen. Es enthält weiterhin die hinterlegten Zugangsdaten.
4. Den DATEV-Benutzer deaktivieren.
5. Vergebene Leserechte auf dem Sicherungsverzeichnis zurücknehmen.

Fehlerbehebung

Die Protokolldatei nennt bei jedem übersprungenen Bereich einen Grund. Die häufigsten:

• Kein Sicherungspfad gefunden. Die Sicherung liegt an einer ungewöhnlichen Stelle. Der Pfad lässt sich fest hinterlegen.
• Zugriff verweigert. Das Dienstkonto hat kein Leserecht auf den Sicherungsdateien. Der mit Abstand häufigste Fall.
• Keine Sicherungsdatei im Bereich. Der Bereich wird nicht gesichert. Oder die Ablage ist flach statt verschachtelt.
• Datei noch in Bearbeitung. Die Sicherung schreibt noch. Ein späteres Zeitfenster wählen.
• Sicherung zu alt. Die DATEV-Sicherung läuft nicht mehr, die Systemuhr ist falsch, oder die Übertragung dauert länger als das Nachtfenster.
• Sicherung fehlgeschlagen. Die DATEV-Sicherung meldet einen Fehler. Das ist auf der DATEV-Seite zu klären.

Weitere Fehlerbilder:

• Die Anmeldung des Konnektors wird abgewiesen, obwohl das Skript unverändert ist. Der Zugang war vermutlich zu lange ungenutzt und ist verfallen. Wir stellen dann einen neuen aus.
• Der Verbindungstest im Portal ist grün, es kommen trotzdem keine Daten. Der Test prüft, ob der Konnektor erreichbar ist sowie ob die Zugangsdaten angekommen sind. Ob DATEV sie annimmt, zeigt sich erst beim ersten Zugriff. Der Diagnoselauf gibt darüber Auskunft.
• Ein Bereich fehlt vollständig. Dann ist er in der DATEV-Installation nicht lizenziert oder nicht freigegeben.
• Es fehlen Auftraggeber. Dann greift das DATEV-Recht der hinterlegten Zugangsdaten oder der eingestellte Umfang.