Konnektor: Informationen für IT-Dienstleister und DATEV-Partner

Diese Seite richtet sich an die IT der Kanzlei oder an das beauftragte Systemhaus. Sie beschreibt, was auf dem DATEV-Server vorhanden sein muss, damit die Einrichtung des Konnektors an einem Termin gelingt. Was die Anbindung fachlich leistet, steht unter DATEV-Anbindung.

Stand dieser Seite: 18. Oktober 2026.

Voraussetzungen (Checkliste)

Diese sechs Fragen entscheiden über den Aufwand. Sie sollten vor dem Termin beantwortet sein.

1. Liegen die Bestände lokal oder im DATEV-Rechenzentrum? Bei Kanzleien, die im DATEV-Rechenzentrum arbeiten, ist die Buchhaltung über die lokale Sicherung nicht erreichbar. Dann führt nur der Weg über DATEVconnect zum Ziel. DATEV beschreibt den Gegenweg unter Rechnungswesen-Mandantenbestand zur Bearbeitung am PC aus dem DATEV-Rechenzentrum holen; er überschreibt einen vorhandenen Bestand am Rechner vollständig.
2. Welche DATEV-Bereiche werden eingesetzt? Rechnungswesen, Lohn, Eigenorganisation, Dokumentenablage. Der Umfang bestimmt die nächtliche Last.
3. Welcher DATEV-Programmstand ist installiert? Vorausgesetzt wird mindestens DATEV-Programme 19.0. Mit dieser Fassung stellt DATEV die Datenbankbasis auf Microsoft SQL Server 2022 um; ältere Stände werden nicht unterstützt. DATEV beschreibt die Umstellung unter Umstellung auf Microsoft SQL Server 2022.
4. Wie viel Upstream steht dauerhaft zur Verfügung? Siehe Bandbreite. Das ist erfahrungsgemäß der Punkt, der am häufigsten unterschätzt wird.
5. Wurde das Installationspaket schon einmal von Hand installiert? Falls ja, unbedingt vorher melden. Eine Neuinstallation derselben Fassung über eine laufende scheitert.
6. Ist ein Proxy für ausgehende Verbindungen zwingend? Siehe Netzwerk und Firewall.

Informationen zum Datenaustausch

Der Konnektor ist ein Windows-Dienst, der im Netz der Kanzlei läuft. Er baut ausschließlich Verbindungen nach außen auf. Von außen ist nichts erreichbar.

Benötigt werden die vollständige nächtliche DATEV-SQL-Sicherung und der Pfad, unter dem sie liegt. Die Übertragung ist verschlüsselt. Der Schlüssel gehört der Kanzlei; ohne ihn wird eine Übertragung abgewiesen. Ein unverschlüsselter Upload findet nicht statt.

Das ist wichtig für die Planung: es handelt sich nicht um einen gelegentlichen Zugriff, sondern um eine nächtliche Vollübertragung, den nächtlichen DATEV-Abgleich. Hinzu kommen direkte Abrufe über DATEVconnect für einzelne Abfragen.

Mit DATEV live entfällt die nächtliche Vollübertragung. Der Konnektor liest dann bei Bedarf direkt vom DATEV SQL Server auf demselben Rechner und überträgt nur die Ergebnisse, verschlüsselt mit dem Schlüssel der Kanzlei.

Ein SQL-Benutzer wird nicht benötigt und nicht angelegt.

Systemvoraussetzungen

Der Konnektor läuft üblicherweise auf dem DATEV-Server selbst.

• Windows Server 2019 x64 oder neuer. 64-Bit ist zwingend.
• 2 Kerne, 4 GB Arbeitsspeicher genügen.
• Kein Laufzeitpaket. Kein .NET, keine Zusatzinstallation.
• Kein zusätzlicher Plattenplatz für die Übertragung.
• Administratorrechte für die Installation.
• Zeitsynchronität. Die Abweichung muss unter fünf Minuten liegen. Die eingestellte Zeitzone des Servers spielt keine Rolle.

Zwei Verzeichnisse werden angelegt: eines unter Programme für das Programm selbst, eines unter ProgramData für Konfiguration, Zustand und Protokoll. Eine Aktualisierung fasst das zweite nicht an.

Anwendungssteuerung und Virenschutz

Der Dienst ruft im Betrieb powershell.exe (nur beim optionalen Abgleich des Benutzerverzeichnisses), schtasks.exe sowie msiexec.exe auf. Die beiden letzten braucht die Selbstaktualisierung.

Regeln in AppLocker, WDAC oder einer Endpunktsicherung, die das Anlegen von Aufgaben oder das Starten von Skripten aus dem temporären Verzeichnis unterbinden, verhindern damit jede Aktualisierung. Ein sichtbarer Fehler entsteht dabei nicht. Als Grundlage für eine Freigabe: das Installationspaket ist signiert und wird bei ungültiger Signatur nie ausgeführt.

Dasselbe gilt für das Setup selbst: seine Dialoge laufen als Bibliothek, die der Windows Installer in das temporäre Verzeichnis des angemeldeten Administrators entpackt. Regeln, die Bibliotheken von dort blockieren, lassen das Setup beim ersten Dialog stehen.

Ausnahmen im Virenscanner sind keine Voraussetzung für den Betrieb. Wo sie aus Geschwindigkeitsgründen nötig sind, gilt:

• Vertretbar ist eine lesende Ausnahme auf dem Sicherungsverzeichnis. Microsoft empfiehlt das für SQL Server ohnehin.
• Vertretbar ist eine Ausnahme für das Programm unter Programme.
• Nicht auszunehmen sind das Datenverzeichnis unter ProgramData sowie temporäre Verzeichnisse.

Bandbreite

Der wichtigste Punkt dieser Seite.

Übertragen wird jede Nacht die vollständige Sicherung, nicht nur die Änderungen. Ein Rechnungswesen-Bestand liegt erfahrungsgemäß bei rund 27 GB. Weitere Bereiche kommen nacheinander hinzu.

Die Werte sind rechnerisch und gelten für eine Leitung, die währenddessen nichts anderes tut. In der Praxis dauert es länger.

Verfügbarer Upstream	Dauer für 27 GB
10 Mbit/s	rund 6 Stunden
25 Mbit/s	rund 2,5 Stunden
50 Mbit/s	rund 1,2 Stunden
100 Mbit/s	rund 36 Minuten

Vorausgesetzt werden mindestens 50 Mbit/s dauerhaft verfügbarer Upstream. Unterhalb von 25 Mbit/s ist ein zuverlässiger Betrieb nicht zugesichert.

Zu wenig Bandbreite führt nicht zu einem langsamen, sondern zu einem unvollständigen Betrieb: Bereiche, die nicht innerhalb des Nachtfensters ankommen, fehlen am nächsten Tag.

Zu bedenken sind außerdem Volumentarife, Ersatzleitungen über Mobilfunk sowie Fair-Use-Klauseln. Als Größenordnung: einige hundert Gigabyte im Monat.

Der Lauf beginnt standardmäßig um 23:30 deutscher Zeit. Kollidiert er mit der eigenen Datensicherung der Kanzlei, lässt sich die Uhrzeit verschieben. Der wirksamste Hebel bleibt die Auswahl der Bereiche, die tatsächlich gebraucht werden.

Mit DATEV live entfällt die nächtliche Vollübertragung. Übertragen wird dann laufend, was SOFI gerade braucht. Die Menge hängt von der Nutzung ab und verteilt sich über den Tag.

Dienstkonto

Der Dienst läuft nach der Installation als LocalSystem. Das ist die Vorgabe und zugleich die Empfehlung:

• Es gibt kein Kennwort, das gespeichert oder abgerufen werden kann.
• Im Netz tritt der Dienst als Computerkonto auf. Rechte auf einer Freigabe werden dann an das Computerkonto vergeben.

Ein gruppenverwaltetes Dienstkonto ist möglich, aber nur als begründete Ausnahme. Es braucht lokale Administratorrechte, sonst kann sich der Konnektor nicht selbst aktualisieren und bleibt dauerhaft auf einem alten Stand. Mit lokalen Administratorrechten wiederum ist ein Domänenkonto sicherheitstechnisch schlechter gestellt als LocalSystem.

Ein klassisches Domänen-Dienstkonto mit gespeichertem Kennwort wird nicht empfohlen.

Ein Domänenadministrator wird nicht benötigt und soll nicht verwendet werden.

Benötigt werden lediglich: das Recht, sich als Dienst anzumelden, Lesezugriff auf den Registrierungszweig von DATEV, Lesezugriff auf das Sicherungsverzeichnis sowie Schreibzugriff auf das eigene Datenverzeichnis. Schreib- oder Löschrechte auf den Sicherungsdateien werden ausdrücklich nicht gebraucht.

DATEV-Benutzer

Für den Zugriff über DATEVconnect wird ein eigener DATEV-Benutzer benötigt, ein Service Account, nicht das Konto einer Mitarbeiterin oder eines Mitarbeiters. Er überlebt Urlaub, Rollenwechsel und das Ausscheiden von Mitarbeitern. Niemand muss die Rechte für das Auftragswesen an jede einzelne Person vergeben. DATEV beschreibt das Anlegen unter Benutzer für DATEVconnect in der Benutzerverwaltung und Rechteverwaltung anlegen.

Der Service Account braucht drei Zuordnungen, die alle gesetzt sein müssen:

1. ein Windows-Benutzer, unter dem er im Netz auftritt
2. ein Mitarbeiter in der Mitarbeiterverwaltung
3. ein Rechenzentrums-Benutzer

Die zweite wird gern übersehen. Sie ist fürs Buchen von Zeiten nicht verzichtbar, weil DATEV prüft, ob der Erfassende ein Mitarbeiter der Kanzlei ist. Der Abschnitt Zeiten buchen beschreibt, was dafür zusammenkommen muss.

Die Anmeldedaten stehen in der Benutzerverwaltung beim Service Account unter Windows-PC. Bei einem Domänenkonto gehört die Domäne vor den Benutzernamen.

• Der Benutzer muss lizenziert und anmeldbar sein. Die Meldung, der DATEV-Benutzer könne nicht ermittelt werden, bedeutet fast immer, dass keine auflösbare DATEV-Benutzersitzung besteht. Das ist auf der DATEV-Seite zu lösen.
• Die Rechte werden in der DATEV-Rechteverwaltung vergeben. SOFI erweitert sie nicht: welche Auftraggeber eine Person auswählen kann und welche Daten SOFI für sie abruft, entscheidet allein die DATEV-Rechteverwaltung. Maßgeblich sind Mandantennummern-Bereiche. Bei geteilten Workflows und in Kanälen von Projekten gilt das nicht, siehe Geteilte Workflows und Kanäle in Projekten.
• Je Bereich, der genutzt werden soll, wird das entsprechende Recht benötigt: Rechnungswesen, Stammdaten, Dokumentenablage, Eigenorganisation, Lohn.
• Das Leserecht auf die Benutzerverwaltung ist ein eigenes Recht. Ohne dieses Recht lassen sich DATEV-Benutzer und Windows-Konten nicht sauber einander zuordnen.

Bei Anmeldung über das Windows-Verfahren gilt: der Dienst meldet sich mit seiner eigenen Identität an. Unter LocalSystem ist das das Computerkonto, kein Benutzer. Die DATEV-Rechte müssen dann an diesem Konto hängen. Liegen sie auf einer Person, verweigert DATEVconnect den Zugriff. Für das Windows-Verfahren mit Kerberos muss zusätzlich ein passender Dienstprinzipalname registriert sein.

Alternativ steht die einfache Anmeldung mit Benutzername plus Kennwort zur Verfügung. Das Kennwort wird im Portal eingegeben, versiegelt an den Konnektor übergeben und liegt danach nur auf dem Rechner der Kanzlei.

DATEVconnect

• Die Einrichtung beschreibt DATEV unter DATEVconnect einrichten.
• Die Adresse steht in DATEV unter Organisation, Basissoftware, Kommunikation, DATEVconnect Einrichtung. Üblich sind https://<rechnername>:58452/datev/api/ auf einem eigenen Server und http://localhost:58454/datev/api/ in einer betriebenen Umgebung.
• Erreichbar unter Port 58452 über HTTPS. Über Rechnergrenzen hinweg ist HTTPS Pflicht. Läuft der Konnektor auf dem DATEV-Server selbst, wird die lokale Installation angesprochen.
• Verwendet ein privates oder selbst ausgestelltes Zertifikat, muss es im Zertifikatspeicher des Rechners vertrauenswürdig hinterlegt sein. Alternativ wird sein Fingerabdruck in der Anbindung fest eingetragen. Ein Abschalten der Zertifikatsprüfung ist nicht vorgesehen.

Lizenz für die Dokumentenablage

Der Zugriff auf die Dokumentenablage über DATEVconnect ist gesondert zu lizenzieren. Fehlt die Lizenz, wird der Zugriff mit einem Hinweis auf das Produkt DATEVconnect Dokumentenmanagement abgewiesen. Die übrigen Bereiche sind davon nicht betroffen.

Alle fünf Lizenzzeilen auf einer Seite, mit dem, was ohne sie fehlt: Lizenzen auf einen Blick.

Bestellt bedeutet dabei nicht wirksam. Zu tun sind drei Schritte: bestellen, abrufen, dem Bestand zuordnen. Danach gegenprüfen.

Bei DATEV nachzulesen: DATEVconnect Dokumentenmanagement einrichten sowie die Meldung zur fehlenden Lizenz, die genau diesen Fall behandelt.

DATEV-Datensicherung

Der Konnektor liest die Sicherungsdateien, die DATEV selbst erzeugt. Daraus ergeben sich mehrere Bedingungen.

• Die DATEV-Sicherung muss täglich laufen und erfolgreich sein. Meldet der jüngste Lauf einen Fehler, wird nichts übertragen. Die zugehörige Prüfung richtet DATEV unter Automatische Prüfung der Datenbanken mit dem Tool DSQLCHECK ein, für die Online-Sicherung unter Automatische Prüfung mit SQL-Online-Sicherung einrichten.
• Die Sicherung darf nicht älter als 24 Stunden sein. Ältere Stände gelten als veraltet.
• Die Sicherung muss abgeschlossen sein. Eine Sicherung, die noch geschrieben wird, wird nicht übertragen.
• Das Dienstkonto braucht Lesezugriff auf die Sicherungsdateien. Das ist die mit Abstand häufigste Ursache dafür, dass nichts ankommt. DATEV schreibt die Sicherungen mit abgeschalteter Vererbung, das Recht muss also ausdrücklich vergeben werden. Am verlässlichsten geschieht das über die Leserliste des DATEV-Sicherungsprofils. Wird das Recht nur am Verzeichnis gesetzt, kann DATEV es beim nächsten Lauf wieder entfernen.

Aufbau des Sicherungsverzeichnisses

Erwartet wird die übliche verschachtelte Ablage von DATEV mit einer Ebene je Bereich. Liegen alle Dateien flach in einem Verzeichnis, wie es bei ausschließlicher Nutzung der Online-Sicherung vorkommt, wird der Pfad bei der Einrichtung fest hinterlegt. Er muss dabei auf die Datenebene zeigen, nicht auf die Laufwerkswurzel.

Werden mehrere Datenpfade genutzt, ist zu prüfen, ob jeder davon gesichert wird. DATEV beschreibt sie unter Datenpfade für die Rechnungswesen-Datenbestände verwalten.

Als Größenordnung für den Platzbedarf auf dem Sicherungslaufwerk: bei den bisherigen Installationen einige hundert Gigabyte.

DATEV live

Mit DATEV live liest SOFI die DATEV-Daten über den Konnektor direkt vom DATEV SQL Server, statt nachts die Sicherung zu übertragen. Eingeschaltet wird es nur durch SOFI, auf Wunsch der Kanzlei. Vorher prüft SOFI die folgenden Punkte über den Konnektor.

• Derselbe Rechner. Der Konnektor muss auf dem Rechner laufen, auf dem auch die SQL-Server-Instanz von DATEV läuft. Ein DATEV SQL Server auf einem anderen Rechner wird vorerst nicht unterstützt.
• SQL Server 2017 oder neuer (mit DATEV-Programme 19.0 erfüllt) und Konnektor ab Version 1.15.1.
• Keine Einrichtung. Kein SQL-Benutzer, kein Kennwort, kein Skript, keine Regel in der Firewall. Der Konnektor meldet sich mit der Windows-Anmeldung seines Dienstkontos an und verbindet sich nur lokal: über Shared Memory, über Named Pipes oder über 127.0.0.1 mit dem Port aus der Registrierung. Der Dienst SQL Server Browser wird nicht gebraucht.
• Dienstkonto LocalSystem. Auf einem DATEV-Server ist LocalSystem Mitglied der Serverrolle sysadmin; so richtet DATEV es bei der Installation ein. Der Konnektor prüft bei jeder Verbindung, dass er als LocalSystem angemeldet ist und diese Rolle hat. Fehlt eines davon, bleibt DATEV live aus. Der nächtliche DATEV-Abgleich ist davon nicht betroffen. Läuft der Dienst unter einem anderen Konto, etwa weil sich DATEVconnect mit dem Windows-Konto des Dienstes anmeldet, ist DATEV live erst nach der Umstellung auf LocalSystem möglich; DATEVconnect braucht dann Benutzer und Kennwort.
• Nur lesend, vom Konnektor erzwungen. Weil das Konto technisch uneingeschränkt ist, sorgt der Konnektor selbst für das Nur-Lesen: Er prüft jede Abfrage vor der Ausführung, lässt nur lesende Anweisungen zu, nimmt jede Transaktion danach zurück und liest nur die DATEV-Datenbanken, die auch der nächtliche DATEV-Abgleich verwendet. Diese Regeln und feste Grenzen für Laufzeit und Ergebnisgröße stehen im Programm und sind aus der Cloud nicht veränderbar.
• Die Sicherung bleibt. Der Konnektor sucht die DATEV-Sicherung weiter jede Nacht, überträgt sie aber nicht. Aus ihr leitet er ab, welche Datenbank er je Bereich liest: genau die, deren Sicherung auch der nächtliche DATEV-Abgleich nehmen würde. Die DATEV-Sicherung und das Leserecht des Dienstkontos darauf bleiben deshalb nötig.
• Freier Speicherplatz. Ergebnisse legt der Konnektor verschlüsselt auf der Festplatte ab, bevor er sie überträgt, höchstens 2 GB zugleich. Auf diesem Laufwerk müssen mindestens 10 GB frei bleiben, sonst lehnt der Konnektor Abfragen ab, damit DATEV den Platz behält. Versionen vor 1.16.1 verlangen zusätzlich ein Zehntel des Laufwerks. Ab Version 1.16.1 lässt sich der Ablageort mit dem Eintrag sqlSpoolDir in der Konfigurationsdatei auf eine andere lokale Festplatte legen, etwa D:\SOFI\sqlspool. Am einfachsten geben Sie einen Ordner an, den es noch nicht gibt; der Konnektor legt ihn geschützt an. Freigaben, Netzlaufwerke, Wechseldatenträger, einen Laufwerksstamm, einen Ordner mit anderem Inhalt und einen übergeordneten Ordner, den andere Konten als Administratoren ändern dürfen, nimmt der Konnektor nicht; er bleibt dann beim Datenverzeichnis und vermerkt den Grund in der Protokolldatei.
• Wartung. Sperrt DATEV eine Datenbank für eine Wartung, bricht der Konnektor seine Abfragen darauf ab. SOFI lädt dann 30 Minuten lang nichts im Hintergrund.
• Diagnose und Protokoll. Der Diagnoselauf enthält einen Abschnitt „DATEV live“ mit Modus, Dienstkonto, lokaler Instanz und dem Ergebnis der letzten Prüfung, nur als Codes und Zahlen. Jede Abfrage steht in einer Protokolldatei je Monat im Datenverzeichnis: Bereich, Zeilen, Dauer und Ergebnis, nie Abfragetext, Werte oder Datenbanknamen. Ab Version 1.16.1 löscht der Konnektor Monatsdateien, die älter als 13 Monate sind; frühere Versionen löschen sie nicht.
• Keine Rückkehr zu älteren Versionen. Ab Version 1.15.0 nimmt der Konnektor bei der Selbstaktualisierung keine ältere Version mehr an.

Netzwerk und Firewall

Der Konnektor baut ausschließlich Verbindungen nach außen auf. Er öffnet keinen Port und nimmt keine Verbindungen an.

Nach außen freizugeben:

Ziel	Zweck
api.sofi.tax über 443	Übertragung, Statusmeldungen, Installationspaket
app.sofi.tax über 443	die Anwendung selbst, für die Mitarbeitenden

Im internen Netz erreichbar sein müssen: der DATEVconnect-Rechner über Port 58452, das Sicherungsverzeichnis, sowie bei eingeschaltetem Verzeichnisabgleich ein Domänencontroller.

Nicht benötigt werden: eine eingehende Portfreigabe, eine Veröffentlichung nach außen, ein VPN sowie ein Zertifikat von SOFI.

Der Konnektor hält Verbindungen längere Zeit offen. Eine zwischengeschaltete Komponente mit sehr kurzem Leerlauf-Zeitlimit führt zu ständigen Verbindungsabbrüchen.

Proxy

Vorausgesetzt wird eine direkte Verbindung. Der Rechner soll api.sofi.tax über Port 443 ohne zwischengeschalteten Proxy erreichen.

Ist das nicht möglich, ist das vor dem Termin abzustimmen. Ein Proxy lässt sich eintragen, allerdings unter drei Bedingungen. Er darf keine Anmeldung mit Domänenkonto verlangen; zulässig ist nur ein Proxy ohne Anmeldung oder mit einfacher Anmeldung. Der Eintrag muss vor Ort erfolgen und lässt sich nicht aus der Ferne nachziehen. Und der DATEVconnect-Rechner im internen Netz muss vom Proxy ausgenommen werden.

Installation und Abnahme

Die Installation erfolgt über das Setup der MSI. Es installiert den Dienst, meldet den Rechner an, nimmt Sicherungsordner und DATEVconnect-Zugang entgegen, prüft beides auf dem Server und startet den Dienst. Ein Skript gibt es nicht mehr.

Sie brauchen zwei Dinge: die freigegebene MSI und den Installationstoken. Beides bekommen Sie über den Einrichtungslink, den die Kanzlei Ihnen schickt (nächster Abschnitt). Hat die Kanzlei die Einrichtung bei SOFI beauftragt, kommen beide direkt von SOFI.

Der Installationstoken ist wie ein Kennwort zu behandeln:

• Er gilt 14 Tage und wird mit dem Setup eingelöst. Jeder Lauf des Setups löst ihn erneut ein; das vorher angemeldete Gerät wird dabei zurückgezogen.
• Nicht per E-Mail an Dritte, nicht über ein Ticketsystem, nicht über Chat weitergeben.
• Nach der Einrichtung wird er nicht mehr gebraucht.

Die Zugangsdaten für DATEVconnect nimmt das Setup auf dem Server entgegen. Das Kennwort wird verschlüsselt an SOFI übergeben, an den Schlüssel dieses Konnektors versiegelt und liegt nirgends auf dem Server. Meldet sich Ihr DATEVconnect nicht mit Benutzer und Kennwort an, sondern mit dem Windows-Konto des Dienstes, setzen Sie im Setup das entsprechende Häkchen; den Zugang trägt die Kanzlei danach im Portal unter Integrationen ein.

Zur Abnahme kann SOFI aus der Ferne einen Diagnoselauf auslösen; über den Einrichtungslink stoßen Sie denselben Lauf selbst an. Er prüft, ohne Daten zu verändern, ob Anmeldung, DATEVconnect, Dokumentenablage und Sicherungspfad erreichbar sind. Damit lässt sich am Termin belegen, dass die Voraussetzungen erfüllt sind.

Antworten auf DATEV-Fragen liefert die Anwendung erst, wenn die erste Sicherung vollständig übertragen ist.

Einrichtung über den Einrichtungslink

Die Kanzlei erzeugt in SOFI einen persönlichen Link und schickt ihn Ihnen per E-Mail. Er gilt 14 Tage, lässt sich mehrfach öffnen und ist nach dem Fertigstellen gesperrt. Ein SOFI-Konto brauchen Sie nicht. Der Link ist ein Schlüssel zu dieser Anbindung: nicht weiterleiten, nicht in ein Ticket kopieren.

Was Sie brauchen

• Administratorrechte auf dem DATEV-Server. Den Link können Sie auch am Arbeitsplatz öffnen und die MSI auf den Server kopieren; der Installationstoken steht auf derselben Seite zum Kopieren.
• Den Ordner der DATEV SQL-Sicherung (viele Dateien mit den Endungen .bak und .I) und ein Dienstkonto mit Leserecht darauf.
• Einen DATEVconnect-Benutzer mit Zugriff auf die Auftraggeber, die SOFI sehen darf.

Die vier Schritte

1. Vorbereitung. Die Seite nennt die Kanzlei, die Geltung des Links und diese Voraussetzungen.
2. Herunterladen. Sie laden die freigegebene MSI und kopieren den Installationstoken. Die Seite zeigt Version, Größe und Prüfsumme.
3. Setup auf dem Server. Doppelklick auf die MSI, eine Abfrage der Benutzerkontensteuerung, dann vier Dialoge: Installationstoken, Sicherungsordner, DATEVconnect, Zusammenfassung. Jeder Schritt prüft seine Angabe sofort auf dem Server und sagt, was fehlt. Am Ende steht, was erreichbar ist und was nicht.
4. Abschluss. Der Dienst meldet sich von selbst, meist innerhalb einer Minute. Die Seite wechselt dann auf „Abgeschlossen“. Die Kanzlei bekommt eine Nachricht, Sie müssen nichts weiter tun.

Im Setup tragen Sie ein:

• Sicherungsordner. Als Laufwerkspfad (D:\DATEV\Sicherung) oder als Netzwerkpfad zu einem internen Rechner (\\server\sicherung). Das Setup schlägt den Pfad aus der DATEV-Registrierung vor, zählt die gefundenen Sicherungen und trägt dem Dienstkonto bei einem lokalen Ordner das fehlende Leserecht ein. Bei einem Netzwerkpfad prüft es nur; dort gehört das Computerkonto des Servers in die Freigabe.
• DATEVconnect. Server (in der Regel dieser Rechner), Port 58452, Benutzer und Kennwort. Das Setup meldet sich testweise an und nennt die Zahl der erreichbaren Auftraggeber. Ist das Zertifikat des DATEV-Servers nicht vertrauenswürdig, zeigt das Setup es an und übernimmt es auf Wunsch für genau diesen Zugang.

Browser und Ausführung auf dem Server

Beim Herunterladen der MSI meldet Edge unter Umständen, die Datei werde selten heruntergeladen. Wählen Sie „Beibehalten“. Die MSI ist signiert; Herausgeber ist die Indeno GmbH. Starten Sie sie per Doppelklick und bestätigen Sie die Abfrage der Benutzerkontensteuerung. Ein Aufruf aus einer bereits erhöhten Eingabeaufforderung ist möglich und fragt dann nicht erneut.

Das Protokoll des Setups liegt unter %TEMP%\MSI*.LOG; der Abschlussdialog nennt den Pfad. Es enthält weder den Installationstoken noch das DATEVconnect-Kennwort.

Wenn etwas hakt

• Der Installationstoken wird nicht angenommen. Prüfen Sie, ob Sie den vollständigen Token eingefügt haben. Steht auf der Seite kein Token, hat die Kanzlei noch keine Fassung freigegeben, die das Setup mitbringt; melden Sie sich bei SOFI.
• Der Ordner wurde nicht gefunden. Prüfen Sie den Pfad und das Leserecht des Dienstkontos. Steht am Ordner ein ausdrückliches Verbot für das Systemkonto, ändert das Setup es nicht; entfernen Sie es bewusst oder tragen Sie den Ordner in die Leserliste des DATEV-Sicherungsprofils ein.
• 0 Auftraggeber erreichbar. DATEVconnect antwortet, aber der Benutzer hat keine Rechte auf Auftraggeber. Die Rechte im DATEV Arbeitsplatz prüfen.
• Die Anmeldung wird abgewiesen. Prüfen Sie Benutzer und Kennwort. Nimmt Ihr DATEVconnect nur die Windows-Anmeldung an, setzen Sie das Häkchen im Dialog; der Zugang wird dann im Portal eingetragen.
• Der Link ist abgelaufen. Die Kanzlei erzeugt einen neuen; was Sie schon erledigt haben, bleibt erhalten.
• Angaben ändern. Starten Sie dasselbe Setup erneut. Es übernimmt die bisherigen Angaben und lässt den DATEVconnect-Zugang auf Wunsch unverändert.

Betrieb und Überwachung

Ob der Konnektor arbeitet, lässt sich an drei Stellen ablesen:

• Im Portal, an der Statusanzeige der Anbindung.
• Im Windows-Ereignisprotokoll, unter dem Namen des Dienstes. Damit lässt sich der Zustand über vorhandene Überwachungswerkzeuge auswerten, ohne etwas zu installieren.
• In der Protokolldatei im Datenverzeichnis. Sie enthält die ausführlichste Auskunft.

Die Protokolldatei wird nicht automatisch begrenzt. Auf Dauer wächst sie. Ein eigener Aufräumauftrag ist sinnvoll.

Der Konnektor aktualisiert sich selbst, gesteuert von SOFI. Ein Eingriff der IT ist dafür nicht nötig, der Vorgang sollte aber im Änderungsmanagement bekannt sein.

Das Anhalten des Dienstes kann bis zu 90 Sekunden dauern. Skripte mit kürzerem Zeitlimit melden dann fälschlich einen Fehler.

DATEV-System nicht erreichbar

SOFI prüft die Verbindung zum DATEV-System der Kanzlei regelmäßig. Bleibt sie länger als einen Tag ohne Antwort, erhält der Ansprechpartner der Kanzlei eine Nachricht mit einem Prüfungslink. Die Nachricht nennt, was von beidem vorliegt:

• Der Konnektor meldet sich nicht. Der Windows-Dienst des Konnektors ist gestoppt, der Server ist heruntergefahren oder hat keine Verbindung ins Internet. Dienst starten, Verbindung prüfen, Ereignisprotokoll lesen.
• DATEVconnect antwortet nicht. Der Konnektor läuft, aber DATEVconnect auf dem DATEV-Server liefert einen Fehler (häufig den Status 503). Meist genügt ein Neustart des Dienstes DATEVconnect auf dem DATEV-Server. Danach prüfen, ob die Adresse aus dem Abschnitt DATEVconnect vom Rechner des Konnektors erreichbar ist.

Die Prüfungsseite. Der Link aus der Nachricht öffnet eine Seite ohne Anmeldung. Der Knopf Verbindung jetzt prüfen schickt eine Anfrage über den Konnektor an das DATEV-System und zeigt nach spätestens einer halben Minute, ob es antwortet; darunter stehen die letzten Prüfungen. Zwischen zwei Prüfungen liegt eine Minute Wartezeit. Der Link gilt 30 Tage.

Sobald zwei Prüfungen hintereinander gelingen, schließt SOFI den Vorgang von selbst und benachrichtigt den Ansprechpartner. Bleibt das Problem bestehen, hilft eine Antwort auf die Nachricht: sie erreicht den Support von SOFI.

Serverumzug, Klonen und Außerbetriebnahme

Je Kanzlei ist genau ein Konnektor vorgesehen. Zwei gleichzeitig aktive Installationen führen zu Abfragen, die sporadisch fehlschlagen. Wird ein Server geklont, trägt der Klon denselben Ausweis; er ist umgehend abzuschalten oder sein Dienst zu deaktivieren.

Die hinterlegten Zugangsdaten sind an den Rechner gebunden. Daraus folgt:

• Sicherung sowie Rückspielen derselben Maschine, eine Migration des gesamten Abbilds sowie eine Umbenennung sind unproblematisch.
• Ein neuer Server oder das Rückspielen einzelner Verzeichnisse auf ein anderes System erfordert eine Neuanmeldung. Diese kann die IT nicht allein durchführen, sie ist bei SOFI anzustoßen. Entsprechend Vorlauf einplanen. Der bisherige Rechner ist vorher abzumelden.

Bei Außerbetriebnahme oder Kündigung:

1. Abmeldung des Rechners bei SOFI anstoßen.
2. Das Programm deinstallieren.
3. Das Datenverzeichnis von Hand löschen. Die Deinstallation lässt es absichtlich stehen. Es enthält weiterhin die hinterlegten Zugangsdaten.
4. Den DATEV-Benutzer deaktivieren.
5. Vergebene Leserechte auf dem Sicherungsverzeichnis zurücknehmen.

Fehlerbehebung

Die Protokolldatei nennt bei jedem übersprungenen Bereich einen Grund. Die häufigsten:

• Kein Sicherungspfad gefunden. Die Sicherung liegt an einer ungewöhnlichen Stelle. Der Pfad lässt sich fest hinterlegen.
• Zugriff verweigert. Das Dienstkonto hat kein Leserecht auf den Sicherungsdateien. Der mit Abstand häufigste Fall.
• Keine Sicherungsdatei im Bereich. Der Bereich wird nicht gesichert. Oder die Ablage ist flach statt verschachtelt.
• Datei noch in Bearbeitung. Die Sicherung schreibt noch. Ein späteres Zeitfenster wählen.
• Sicherung zu alt. Die DATEV-Sicherung läuft nicht mehr, die Systemuhr ist falsch, oder die Übertragung dauert länger als das Nachtfenster.
• Sicherung fehlgeschlagen. Die DATEV-Sicherung meldet einen Fehler. Das ist auf der DATEV-Seite zu klären.

Weitere Fehlerbilder:

• Die Anmeldung des Konnektors wird abgewiesen, obwohl an der Installation nichts geändert wurde. Das Gerät wurde vermutlich zurückgezogen, weil das Setup danach ein zweites Mal gelaufen ist. Führen Sie das Setup mit dem Installationstoken der Kanzlei erneut aus.
• Der Verbindungstest im Portal ist grün, es kommen trotzdem keine Daten. Der Test prüft, ob der Konnektor erreichbar ist sowie ob die Zugangsdaten angekommen sind. Ob DATEV sie annimmt, zeigt sich erst beim ersten Zugriff. Der Diagnoselauf gibt darüber Auskunft.
• Ein Bereich fehlt vollständig. Dann ist er in der DATEV-Installation nicht lizenziert oder nicht freigegeben.
• Es fehlen Auftraggeber. Dann greift das DATEV-Recht der hinterlegten Zugangsdaten oder der eingestellte Umfang.