Was ist Revisionssicherheit? Einfach erklärt für IT-Entscheider

Defi­ni­ti­on: Die 6 Kern­for­de­run­gen #

Revi­si­ons­si­cher­heit bedeu­tet, dass Geschäftsunterlagen:

1. Voll­stän­dig: Alle Geschäfts­vor­fäl­le wer­den erfasst. Nichts geht verloren.
2. Rich­tig: Die erfass­ten Daten ent­spre­chen der Rea­li­tät. Kei­ne Verfälschung.
3. Zeit­ge­recht: Unter­la­gen wer­den zum rich­ti­gen Zeit­punkt doku­men­tiert. Nicht im Nach­hin­ein gefälscht.
4. Ord­nungs­ge­mäß: Nach fest­ge­leg­tem Ver­fah­ren doku­men­tiert (GoBD Standard).
5. Unver­än­der­bar: Nach Erfas­sung nicht mehr ver­än­der­bar (WORM-Prin­zip).
6. Ver­füg­bar: Auf­find­bar und rekon­stru­ier­bar (mit Indexierung).

Alle 6 sind erfor­der­lich. Wenn eine fehlt, ist das Archiv nicht revisionssicher.

Unter­schied zu ein­fa­chem Back­up #

Das ist eine häu­fi­ge Ver­wechs­lung. Ein Back­up schützt vor Daten­ver­lust. Revi­si­ons­si­cher­heit schützt vor Datenverfälschung.

Back­up:

• “Kopie­re alle Datei­en auf exter­ne Festplatte”
• Schützt vor: Hard­ware-Aus­fall, Feuer
• Pro­blem: Kann geän­dert, gelöscht werden
• Nut­zen: Dis­as­ter Recovery

Revi­si­ons­si­che­res Archiv:

• “Schrei­be Geschäfts­da­ten auf WORM-Hard­ware und lage­re sie im Tresor”
• Schützt vor: Mani­pu­la­ti­on, Daten­ver­lust, Prüfer-Fragen
• Pro­blem: Nicht schnell zugreifbar
• Nut­zen: Com­pli­ance, Audit-Sicherheit

Ein Unter­neh­men mit per­fek­tem Back­up, aber ohne revi­si­ons­si­che­res Archiv, kann bei einer Betriebs­prü­fung schei­tern. Grund: Der Prü­fer kann nicht veri­fi­zie­ren, dass die Daten nicht mani­pu­liert wurden.

Recht­li­che Grund­la­gen #

HGB §257 (Han­dels­ge­setz­buch) #

Wort­laut: ​“Der Kauf­mann muss sei­ne Han­dels­bü­cher und Auf­zeich­nun­gen ord­nungs­ge­mäß füh­ren. Die Geschäfts­vor­fäl­le müs­sen voll­stän­dig, zeit­ge­recht und ohne Lücke auf­ge­zeich­net werden.”

In Pra­xis:

• Han­dels­bü­cher (Bilanz, Gewinn-Ver­lust-Rech­nung) müs­sen 10 Jah­re archi­viert werden
• Buchungs­be­le­ge müs­sen 10 Jah­re archi­viert werden
• Han­dels­brie­fen müs­sen 6 Jah­re archi­viert wer­den (nicht 10!)
• Auf­be­wah­rungs­fris­ten begin­nen am Ende des Jah­res, in dem die Unter­la­gen ent­stan­den sind

AO §147 (Abga­ben­ord­nung) #

Wort­laut: ​“Ord­nungs­ge­mä­ße Geschäfts­auf­zeich­nun­gen müs­sen 10 Jah­re auf­be­wahrt werden.”

Par­al­lel zu HGB, aber für Tax-Com­pli­ance relevant.

GoBD (Goe­prue­fungs-Behil­fe­richt­li­nie) BMF-Schrei­ben 28.11.2019 #

Das ist die prak­ti­sche Anlei­tung: Wie set­zen Sie HGB/AO tech­nisch um?

• Tz. 58 – 63: Unver­än­der­bar­keit (tech­ni­sches Ver­fah­ren: WORM)
• Tz. 151 – 155: Ver­fah­rens­do­ku­men­ta­ti­on (wie läuft Ihr Archivierungsprozess?)

GoBD ist nicht Gesetz, aber es ist die BSI-Emp­feh­lung und wird in Prü­fun­gen als Stan­dard genutzt.

Wer ist betrof­fen? #

• Gewer­be­trei­ben­de: Immer (HGB §257)
• Frei­be­ruf­ler: Nur wenn umsatz­steu­er­pflich­tig (AO §147)
• Ein­zel­un­ter­neh­mer: Nur wenn Buch­füh­rungs­pflicht besteht (> bestimm­te Umsatz-/Ge­winn-Schwel­le)
• GmbH/​AG/​KG: Immer (HGB §257)
• Gemein­nüt­zi­ge Orga­ni­sa­tio­nen: Ja, mit Auf­be­wah­rungs­fris­ten nach rele­van­ter Klassifizierung

Im Klar­text: Fast alle Unter­neh­men außer bestimm­ten Kleinunternehmen.

Kon­se­quen­zen bei Nicht-Com­pli­ance #

Bei Betriebs­prü­fung (Finanz­amt):

• Revi­si­ons­si­che­re Archi­vie­rung fehlt → Prü­fer kann Kor­rekt­heit nicht verifizieren
• Fol­ge: Geschät­zung von Einkommen/​Gewinnen (oft zu Unguns­ten des Unternehmens)
• Buß­geld: bis zu 1 Mio. EUR für Ordnungswidrigkeiten

Bei Wirt­schafts­prü­fung (für grö­ße­re Unternehmen):

• WP-Tes­tat wird ver­wei­gert (Qua­li­fi­zier­tes Tes­tat oder Nichttestat)
• Kreditgeber/​Investoren sind beunruhigt
• Geschäfts-Repu­ta­ti­ons-Scha­den

Bei Daten­ver­lust:

• Kei­ne Bewei­se, dass Archiv unver­än­der­lich war
• Risi­ko von Anschul­di­gung der Manipulation

Prak­ti­sches Bei­spiel #

Sze­na­rio: Ein Ein­zel­han­dels­be­trieb mit 2 Mio. EUR Jah­res­um­satz wird vom Finanz­amt überprüft.

Revi­si­ons­si­cher:

• “Alle Kas­sen­bon-Daten und Rech­nun­gen wer­den täg­lich in ein revi­si­ons­si­che­res DMS (Doku­men­ten­ma­nage­ment-Sys­tem) importiert.”
• “Das Sys­tem schreibt Daten monat­lich auf Hard­ware-WORM (Tier 3 Archive).”
• “Die Hard­ware wird im Tre­sor gelagert.”
• “Prü­fer kann Daten aus 2020 abru­fen und veri­fi­zie­ren, dass sie nicht geän­dert wurden.”
• Ergeb­nis: Audit-Bestä­ti­gung, kei­ne Fra­gen zu Daten-Integrität.

Nicht revi­si­ons­si­cher:

• “Wir haben alle Daten auf der File­ser­ver, und wöchent­lich machen wir ein Back­up auf exter­ne Festplatte.”
• “Prü­fer: Kann die­se Daten mani­pu­liert wor­den sein? Wer hat­te Zugriff? Wie veri­fi­zie­ren Sie Integrität?”
• “IT: Hmm, theo­re­tisch ja, aber…”
• Ergeb­nis: Prü­fer kann nicht veri­fi­zie­ren, Geschät­zung von Ein­kom­men, Buß­geld möglich.

Die 3‑Schrit­te-Imple­men­ta­ti­on #

Schritt 1: Verfahrensdokumentation

• Wie wer­den Daten erfasst? (Online-For­mu­la­re, POS-Sys­tem, Scan?)
• Wie wer­den sie archi­viert? (DMS, direkt auf WORM?)
• Wie lan­ge wer­den sie gela­gert? (10 Jah­re, 30 Jah­re für Röntgen?)
• Wer ist verantwortlich?

Schritt 2: Tech­ni­sche Infrastruktur

• DMS (Doku­men­ten­ma­nage­ment-Sys­tem) mit WORM-Schnittstelle
• WORM-Hard­ware (Silent Cubes) oder Soft­ware-WORM (je nach Klassifizierung)
• Meta­da­ten-Ver­wal­tung (Inde­xie­rung, Auffindbarkeit)

Schritt 3: Audit-Readiness

• Test mit Prü­fer-Tools (IDEA, ACL)
• Doku­men­ta­ti­on für Betriebs­prü­fung vorbereiten
• Jähr­li­che Integrität-Checks

Häu­fi­ge Fra­gen #

Ist Cloud-Archi­vie­rung revisionssicher? Tech­nisch ja, wenn der Anbie­ter unver­än­der­li­che Spei­che­rung garan­tiert. Aber: Sie müs­sen ver­trag­lich fest­le­gen und die Ver­fah­rens­do­ku­men­ta­ti­on anpassen.

Kön­nen wir Revi­si­ons­si­cher­heit mit Hoch­ver­füg­bar­keit kombinieren? Nicht direkt. Hoch­ver­füg­bar­keit = kon­ti­nu­ier­li­che Repli­ka­ti­on. Revi­si­ons­si­cher­heit = iso­lier­te, unver­än­der­li­che Kopie. Sie brau­chen bei­des, aber getrennt.

Kos­tet Revi­si­ons­si­cher­heit viel? Für ein KMU mit 500GB Daten: 30 – 50k EUR Anschaf­fung, dann 5 – 10k EUR/​Jahr Betrieb. Das ist nicht bil­lig, aber notwendig.

---