API für automatisierte E-Rechnungsprüfung
E-Rechnungen automatisiert validieren.
XRechnung und ZUGFeRD per API.
E-Rechnungen automatisiert prüfen und verarbeiten statt einzeln hochladen: Die REST-API validiert XRechnung, ZUGFeRD und Factur-X direkt im Rechnungseingang, im ERP oder in der Buchhaltung — auf Wunsch auch mit dem KoSIT-Validator. Zugangsschlüssel und AVV am nächsten Werktag, ab 39 € netto im Monat.
Das Problem
Manuell prüfen kostet Zeit. Selbst betreiben kostet Aufwand.
500+ Rechnungen / Monat?
Die kostenlose Web-Oberfläche prüft eine Datei pro Upload und ist auf 10 Prüfungen pro Tag und IP-Adresse begrenzt. Bei 500 Rechnungen sind das Stunden Klick-Arbeit ohne Protokoll.
KoSIT selbst betreiben?
Möglich: Der Validator ist Open Source und hat einen Dienstmodus. Dann betreibst du den Dienst selbst, ziehst die Prüfkonfiguration bei jedem Release nach und baust PDF-Extraktion und PDF/A-Prüfung dazu.
Vertriebsgespräch für 20 Validierungen/Tag?
Für eine REST-API mit 600 Validierungen im Monat sollte eine E-Mail reichen: Volumen nennen, Antwort am nächsten Werktag. Kein RfP, kein Workshop, keine Einrichtungsgebühr.
Stattdessen: eine API · AVV mit dem Zugang · Antwort am nächsten Werktag.
So funktioniert es
Zugang am nächsten Werktag, danach in Minuten startklar.
Kurz melden
Eine E-Mail mit dem erwarteten Volumen genügt. Wir melden uns am nächsten Werktag mit der passenden Stufe und dem AVV.
Zugangsschlüssel erhalten
Du bekommst einen Zugangsschlüssel für die Testphase. Er wird als Header mitgeschickt und lässt sich jederzeit tauschen.
Testen
POST deine XRechnung oder dein ZUGFeRD-PDF an /api/validate. Antwort als JSON mit Urteil (valid), Befundliste (Regelkennung, Originalmeldung, Fundstelle, Stufe) und dem Roh-Prüfbericht der Engine.
Entscheiden
Vier Wochen kostenlos gegen echte Rechnungen laufen lassen. Danach entscheidest du über Stufe und Laufzeit — der Preis gilt für zwölf Monate.
Beispiel · cURL und Antwort (gekürzt)
curl -X POST https://e-rechnung-validator.de/api/validate \
-H "X-API-Key: $API_KEY" \
-F "file=@rechnung.xml"
{
"valid": false,
"fileName": "rechnung.xml",
"fileType": "xml",
"documentTypeLabel": "XRechnung 3.0",
"engine": { "name": "mustang", "version": "2.26.0" },
"rulesFired": 11,
"rulesFailed": 1,
"errors": [
{
"code": "BR-DE-15",
"message": "[BR-DE-15] Das Element \"Buyer reference\" (BT-10) muss übermittelt werden. [ID BR-DE-15] from /xslt/XR_30/XRechnung-UBL-validation.xslt)",
"severity": "error",
"source": "xml",
"location": "/Invoice",
"criterion": "cbc:BuyerReference[boolean(normalize-space(.))]"
}
],
"warnings": [],
"info": [],
"mustangReport": "<?xml version=\"1.0\" encoding=\"UTF-8\"?> …"
} mustangReport enthält den unveränderten Prüfbericht der Engine — die maßgebliche
Ausgabe liegt dir damit in jeder Antwort im Original vor. Zu jedem Befund gehören Regelkennung
(code), Originalmeldung (message), Fundstelle (location) und Stufe (severity).
Open Source oder gehostet
KoSIT-Validator selbst betreiben oder als Dienst nutzen.
Der KoSIT-Validator ist das frei verfügbare Prüfprogramm der Koordinierungsstelle für IT-Standards (KoSIT). Du kannst ihn selbst betreiben oder uns den Betrieb überlassen. Wir sind ein unabhängiger Dienst, kein Angebot der KoSIT.
Selbst betreiben
Der Validator ist Open Source (github.com/itplr-kosit/validator) und läuft auch als Dienst. Dann gehören dir der Betrieb samt Überwachung, die Aktualisierung der Prüfkonfiguration bei jedem Release, die Extraktion der XML aus ZUGFeRD-/Factur-X-PDFs und die PDF/A-Prüfung.
Als Dienst bei uns
Wir übernehmen Betrieb, Aktualisierung der Prüfkonfiguration, PDF-Extraktion und PDF/A-Prüfung. Dazu kommen AVV nach Art. 28 DSGVO und Support — als REST-API mit Zugangsschlüssel.
Beispiel · cURL mit ?kosit=true
curl -X POST "https://e-rechnung-validator.de/api/validate?kosit=true" \
-H "X-API-Key: $API_KEY" \
-F "file=@rechnung.xml"
Die Antwort enthält zusätzlich das Feld kosit: das Urteil und den Prüfbericht
des KoSIT-Validators 1.6.3 mit der Prüfkonfiguration XRechnung vom 31.08.2026. valid bleibt Mustangs Urteil, und ohne den Parameter bleibt die Antwort wie
bisher. Für Factur-X/ZUGFeRD EXTENDED und ältere XRechnung-Fassungen 2.x hat KoSIT kein Prüfszenario
— dort gibt es nur Mustangs Urteil.
Wer nutzt das
Einsatzfälle.
Eingangsrechnungen prüfen, bevor sie ins System wandern
Rechnungen der Mandanten vorab prüfen lassen. Jeder Befund mit Regelkennung und Originalmeldung, dazu der Roh-Prüfbericht der Engine als Nachweis zum Ablegen.
Prüfung in die eigene Software einbauen
REST-API mit Zugangsschlüssel im Header, dokumentiert mit Beispielen für curl, PHP und Python. Wir pflegen Engine und Prüfkonfiguration, du konzentrierst dich auf deine Kunden. Export-Check auf Anfrage: Wir prüfen die E-Rechnungs-Ausgabe deiner Software.
Eingangsrechnungs-Vorprüfung vor Verbuchung
Vor jeder Verbuchung die Rechnung durch die API schicken. Befunde mit Originalmeldung an den Lieferanten zurückgeben, den Roh-Bericht der Engine als Nachweis ins eigene Archiv legen.
Vorab-Prüfung vor jedem Versand an öffentliche Auftraggeber
Prüfung nach XRechnung 3.0.x, darunter die Pflichtangabe der Käuferreferenz (Leitweg-ID, BR-DE-15). Regelverstöße fallen vor dem Versand auf und senken das Risiko einer Rückweisung samt Zahlungsverzögerung.
Was du bekommst
Leistungen.
Mustang, auf Wunsch mit dem KoSIT-Validator
Die API prüft mit Mustang 2.26.0. Mit dem Parameter ?kosit=true liefert sie zusätzlich das Urteil und den Prüfbericht des KoSIT-Validators 1.6.3 (Prüfkonfiguration XRechnung vom 31.08.2026) im Feld kosit. Das Feld valid bleibt Mustangs Urteil. Abgedeckt sind XRechnung, ZUGFeRD und Factur-X in allen Profilen.
Kurzer Weg statt Vertriebsprozess
Kein Vertriebsgespräch, keine Ausschreibung, kein Workshop. Eine E-Mail mit dem erwarteten Volumen, Antwort am nächsten Werktag, Zugangsschlüssel und AVV dazu.
Transparente Preise
Feste Stufen nach Volumen, unten auf dieser Seite einsehbar. Keine versteckten Einrichtungsgebühren, keine Sternchen-Fußnoten, Preis für zwölf Monate zugesichert.
Befunde mit Regelkennung und Fundstelle
Jeder Befund trägt die Regelkennung, die Originalmeldung des Prüfers im Wortlaut, die Fundstelle (XPath) und die Stufe (Fehler, Warnung, Hinweis). Zu den häufigsten Meldungen gibt es Lösungsseiten in der Fehlerdatenbank.
Nachvollziehbar statt Blackbox
Jede Antwort enthält den unveränderten Roh-Prüfbericht der Engine. Du musst unserer Auslegung nicht vertrauen — du kannst sie prüfen. Bei ZUGFeRD-PDFs liefern wir auf Wunsch (?sourceXml=true) die extrahierte XML mit.
Deine Rechnung wird nicht gespeichert
Hochgeladene Dateien liegen nur während der Prüfung im Arbeitsspeicher und werden danach gelöscht. Keine Kopie, kein gespeicherter Prüfbericht. Verarbeitung ausschließlich in der EU, ohne Subprozessoren außerhalb.
Preise
Vier Tarife. Kein Angebotstheater.
Vier Profile für unterschiedliche Bedürfnisse. Preise nach Volumen und Leistung, fair und transparent — wir machen ein Angebot innerhalb von 2 Werktagen.
Free
Kostenlos
Einzelprüfung über die Web-Oberfläche · 10/Tag pro IP
- → Web-Oberfläche, ohne Anmeldung
- → XRechnung 3.0.x, ZUGFeRD und Factur-X in allen Profilen
- → Rechnungsdaten mit dem KoSIT-Validator geprüft
- → Prüfbericht als ZIP (HTML, Kurz-PDF, XML, KoSIT-Bericht)
Starter
39 € /Monat netto · oder 420 € im Jahr
für KMU bis 1.000 Validierungen/Monat
- → REST-API mit Zugangsschlüssel
- → Roh-Prüfbericht der Engine in jeder Antwort
- → AVV als PDF
- → E-Mail-Support, Antwort binnen 1 Werktag
Pro
89 € /Monat netto · oder 960 € im Jahr
für Mittelstand bis 5.000 Validierungen/Monat
- → Alles aus Starter
- → Höheres Kontingent für Ein- und Ausgangsrechnungen
- → Monatliche Nutzungsübersicht
- → Priorisierter Support
- → Bearbeitungsbeginn werktags binnen 24 Stunden
Enterprise
Auf Anfrage
für höhere Volumen als 5.000 Validierungen/Monat
- → Volumen nach Bedarf
- → Verfügbarkeit individuell vereinbar
- → Eigene Schematron-Regeln nach Absprache
- → Fester Ansprechpartner
- → Jahresvertrag, Rechnung per Überweisung
Sicherheit und Compliance
Gebaut für Steuerberater, CFOs und Datenschutzbeauftragte.
Rechnungsinhalte sind Geschäftsgeheimnisse. Wir behandeln sie entsprechend: Hochgeladene Dateien liegen nur während der Prüfung im Arbeitsspeicher und werden danach gelöscht, es gibt keine Kopie und keinen gespeicherten Prüfbericht. Verarbeitung in der EU, AVV nach Art. 28 DSGVO auf Anfrage. Für Rechnungsdaten setzen wir keine Subprozessoren außerhalb der EU ein, keine Trainingsdaten, keine Sekundärverwertung.
- → DSGVO Art. 32: Verarbeitung im Arbeitsspeicher statt auf der Platte, TLS 1.3 (1.2 als Rückfallebene)
- → AVV nach Art. 28 inkl. Sub-Processor-Liste als PDF
- → Server ausschließlich in der EU (Wien, Österreich, netcup GmbH)
- → Mustang 2.26.0, auf Wunsch zusätzlich KoSIT-Validator 1.6.3 (?kosit=true)
- → Roh-Prüfbericht der Engine in jeder Antwort
- → Keine Speicherung
- → Keine Auswertung deiner Daten für Modelltraining
- → Keine Subprozessoren außerhalb der EU
FAQ
Häufige Fragen.
Wie schnell bekomme ich den AVV?
Wir schicken dir den AVV inklusive Sub-Processor-Liste als PDF zusammen mit dem Zugangsschlüssel — in der Regel am nächsten Werktag. Gegenzeichnen kannst du ihn digital oder ausgedruckt.
Wo stehen die Server?
EU-Hosting in Wien (Österreich) bei netcup, ausschließlich innerhalb der EU. Keine US-Cloud, keine Subprozessoren außerhalb der EU für Rechnungsdaten.
Welche SLA gilt?
In Starter und Pro sagen wir derzeit keinen prozentualen Verfügbarkeitswert zu. Wir nennen bewusst keine Zahl, für die uns noch das belastbare Messverfahren, eine Bereitschaft und ein dokumentiertes Wiederherstellungskonzept fehlen — sobald das steht, lässt sich ein Wert vereinbaren, dann mit Gutschriftenregelung. Für Enterprise wird die Verfügbarkeit individuell vereinbart. Störungen meldest du per E-Mail; wir beginnen werktags innerhalb von 24 Stunden mit der Bearbeitung.
Wie sieht die API aus?
REST/JSON, Authentifizierung per Zugangsschlüssel im Header (X-API-Key). POST der XML- oder PDF-Datei als multipart/form-data im Feld file, Antwort mit Urteil (valid), Befundliste (Regelkennung, Originalmeldung, Fundstelle, Stufe) und dem Roh-Prüfbericht der Engine. Mit ?kosit=true kommt zusätzlich das Feld kosit dazu: das Urteil und der Prüfbericht des KoSIT-Validators.
Wie groß dürfen Batches sein?
Die API nimmt aktuell eine Datei pro Aufruf entgegen — für den typischen Fall, dass ein System jede Rechnung beim Erstellen prüft, ist das der passende Weg. Für Massenprüfungen genügt eine Schleife im Rahmen deines Kontingents. Sag uns Bescheid, wenn du einen Sammel-Endpunkt brauchst.
Wie lange dauert das Onboarding?
Nach deiner Anfrage melden wir uns am nächsten Werktag mit Zugangsschlüssel und AVV. Die erste Validierung per cURL dauert dann wenige Minuten — kein Implementierungsprojekt, keine Beratungspartner, keine Schulungswoche.
Gibt es einen Testzugang?
Ja. Über die Web-Oberfläche kannst du ohne Anmeldung bis zu 10 Prüfungen pro Tag durchführen. Für die API-Anbindung richten wir dir einen Zugang ein, mit dem du vier Wochen kostenlos gegen deine echten Rechnungen testest — ohne Zahlungsdaten und ohne automatische Verlängerung.
Wie läuft die Abrechnung?
Rechnung per Überweisung, monatlich oder jährlich, mit ausgewiesener Umsatzsteuer. Bei jährlicher Zahlung sind es zehn Prozent weniger. Kündigung zum Ende der jeweiligen Laufzeit, der Preis ist für zwölf Monate zugesichert.
Welcher Validator und welche Spezifikationen werden eingesetzt?
Die API prüft mit Mustang 2.26.0 (EN-16931-Schematron 1.3.16, XRechnung-Schematron 2.4.0) und bei PDFs mit veraPDF 1.30.2 für das PDF/A-Format. Mit ?kosit=true liefert sie zusätzlich das Urteil und den Prüfbericht des KoSIT-Validators 1.6.3 mit der Prüfkonfiguration XRechnung vom 31.08.2026 (EN-16931-Schematron 1.3.16, XRechnung-Schematron 2.6.0) im Feld kosit. Das Feld valid bleibt in beiden Fällen Mustangs Urteil; ohne den Parameter bleibt die Antwort unverändert. KoSIT urteilt über alles, wofür es ein Prüfszenario hat: XRechnung 3.0.x und reine EN 16931, jeweils in UBL und CII. Bei Factur-X/ZUGFeRD EXTENDED und älteren XRechnung-Fassungen 2.x gibt es nur Mustangs Urteil. Geprüft werden XRechnung 3.0.x (UBL und CII, Rechnung und Gutschrift), XRechnung 2.x (ältere Fassungen, geprüft mit Mustang), ZUGFeRD 1.0 und 2.0 bis 2.5, Factur-X in allen Profilen (MINIMUM bis EXTENDED), PDF bis 10 MB (ZUGFeRD und Factur-X mit eingebetteter XML). Mustang-Releases mit Schema-/Schematron-Updates spielen wir innerhalb von 30 Tagen ein, ohne Wartungsfenster auf deiner Seite. Dies ist ein unabhängiger Dienst, kein Angebot der KoSIT.
Was passiert mit meinen Rechnungsdaten?
Sie werden nicht gespeichert. Hochgeladene Dateien liegen nur während der Prüfung im Arbeitsspeicher und werden danach gelöscht. Es entsteht keine Kopie, kein Prüfbericht auf dem Server, keine Auswertung für Training, keine Weitergabe.
Taugt das für Steuerberater mit vielen Mandanten?
Ja. Für getrennte Mandate können wir mehrere Zugangsschlüssel ausstellen, sodass sich die Nutzung je Mandat auseinanderhalten lässt. Sprich uns an, wir richten das ein.
Funktioniert das auch für Behörden-Zulieferer?
Ja, soweit es um die technische Prüfung geht: XRechnung 3.0.x nach den Regeln der Prüfkonfiguration, darunter die Pflichtangabe der Käuferreferenz (Leitweg-ID, BR-DE-15). Regelverstöße fallen so vor dem Versand auf. Ob ein Empfänger die Rechnung annimmt, hängt zusätzlich von dessen eigenen Prüfungen ab.
Kann ich den KoSIT-Validator selbst betreiben?
Ja, unabhängig von uns: Der KoSIT-Validator ist Open Source (github.com/itplr-kosit/validator) und lässt sich auch als Dienst betreiben, die Prüfkonfiguration für XRechnung veröffentlicht die KoSIT. Dann gehören Betrieb, die Aktualisierung der Prüfkonfiguration bei jedem Release, die Extraktion der XML aus ZUGFeRD-/Factur-X-PDFs und die PDF/A-Prüfung dir. Unser Dienst nimmt dir das ab: Betrieb, Aktualisierung der Prüfkonfiguration, PDF-Extraktion und PDF/A-Prüfung, AVV und Support. Unseren Dienst selbst zu hosten ist nicht möglich — wir bieten ihn ausschließlich als gehostete Schnittstelle an.
Gibt es einen individuellen Vertrag?
Grundlage ist immer das individuelle Angebot in Textform zusammen mit den AGB und der Leistungsbeschreibung; ein Zugang wird erst nach Annahme und Abschluss der Auftragsverarbeitungsvereinbarung freigeschaltet. Ab Enterprise kommen Jahresvertrag, ISO-Fragenkatalog, eigene Schematron-Regeln und eine DSFA-Vorlage hinzu.
Vier Wochen kostenlos testen.
Kein Vertriebsgespräch, kein Implementierungsprojekt, keine Zahlungsdaten. Kurz melden, Zugangsschlüssel erhalten, gegen echte Rechnungen prüfen.