Revi­si­ons­si­cher­heit ist kei­ne optio­na­le IT-Anfor­de­rung, son­dern gesetz­li­che Pflicht. Die recht­li­chen Grund­la­gen bil­den das Han­dels­ge­setz­buch (HGB §§238, 239, 257), die Abga­ben­ord­nung (AO §§146, 147) und die (Grund­sät­ze zur ord­nungs­mä­ßi­gen Füh­rung und Auf­be­wah­rung von Büchern, Auf­zeich­nun­gen und Unter­la­gen in elek­tro­ni­scher Form). Kauf­leu­te sind ver­pflich­tet, steu­er­re­le­van­te Unter­la­gen für 6 bzw. 10 Jah­re unver­än­der­lich auf­zu­be­wah­ren — Rech­nun­gen, Buchungs­be­le­ge, Han­dels­bü­cher, Jahresabschlüsse.

Revi­si­ons­si­cher­heit ist dabei mehr als Unver­än­der­lich­keit. Ein revi­si­ons­si­che­res Archiv erfüllt zehn kumu­la­ti­ve Kri­te­ri­en: ord­nungs­ge­mä­ße Auf­be­wah­rung aller Pflicht­do­ku­men­te, Voll­stän­dig­keit ohne Infor­ma­ti­ons­ver­lust, frü­hest­mög­li­che Archi­vie­rung, Zuord­nung zum Geschäfts­vor­fall, tech­ni­sche Unver­än­der­bar­keit (), Schutz vor Ver­lust, Auf­find­bar­keit durch sys­te­ma­ti­sche Inde­xie­rung, Repro­du­zier­bar­keit in les­ba­rer Form über die gesam­te Auf­be­wah­rungs­frist, Nach­voll­zieh­bar­keit durch lücken­lo­se Zugriffs­pro­to­kol­le sowie Prüf­bar­keit durch eine voll­stän­di­ge Ver­fah­rens­do­ku­men­ta­ti­on nach Tz. 151 – 155. Alle zehn Kri­te­ri­en müs­sen gleich­zei­tig erfüllt sein — ein teil­wei­ses Erfül­len genügt nicht.

Die häu­figs­ten Feh­ler in der Pra­xis: File­ser­ver ohne tech­ni­sche Unver­än­der­bar­keit wer­den als Archiv betrie­ben, Soft­ware- wird ohne die erfor­der­li­chen orga­ni­sa­to­ri­schen Maß­nah­men ein­ge­setzt, die Ver­fah­rens­do­ku­men­ta­ti­on fehlt voll­stän­dig, Auf­be­wah­rungs­fris­ten wer­den nicht sys­te­ma­tisch gema­nagt, oder die Les­bar­keit über die gesam­te Auf­be­wah­rungs­frist wird nicht sicher­ge­stellt. Bei einer Betriebs­prü­fung kann das Finanz­amt die Ord­nungs­mä­ßig­keit der Buch­füh­rung ver­wer­fen (§158 AO) und Besteue­rungs­grund­la­gen schät­zen — regel­mä­ßig zu Unguns­ten des Steuerpflichtigen.

Bran­chen­spe­zi­fi­sche Beson­der­hei­ten ver­schär­fen die Anfor­de­run­gen: Im Gesund­heits­we­sen müs­sen Rönt­gen­bil­der 30 Jah­re auf­be­wahrt wer­den (§10 RöV), Pati­en­ten­ak­ten 10 Jah­re nach letz­ter Behand­lung (§630f BGB), Blut­pro­duk­te-Doku­men­ta­ti­on 30 Jah­re (§14 TFG). In der Finanz­bran­che ver­lan­gen BAIT und nach­weis­ba­re Inte­gri­tät von Back­up- und Archiv­da­ten. In der öffent­li­chen Ver­wal­tung gel­ten Lan­des­ar­chiv­ge­set­ze und ver­gleich­ba­re Anforderungen.

Fragen und Antworten

Das Finanzamt kann die Ordnungsmäßigkeit der Buchführung nach §158 AO verwerfen. Die Folge ist eine Schätzung der Besteuerungsgrundlagen — typischerweise zu Ungunsten des Steuerpflichtigen. Zusätzlich drohen Bußgelder. In schwerwiegenden Fällen, bei denen eine bewusste Manipulation vorliegt, kann die Staatsanwaltschaft eingeschaltet werden (Steuerhinterziehung, §370 AO).
Die Verfahrensdokumentation (GoBD Tz. 151–155) beschreibt den vollständigen Archivierungsprozess: Welche Dokumente werden erfasst, wie werden sie verarbeitet (Indexierung, Formatkonvertierung), wo werden sie gespeichert, wie wird die Unveränderbarkeit sichergestellt, wer ist verantwortlich. Die GoBD verlangen, dass ein sachverständiger Dritter den gesamten Prozess in angemessener Zeit nachvollziehen kann. Ohne Verfahrensdokumentation ist kein Archiv revisionssicher — unabhängig von der eingesetzten Technologie.
Grundsätzlich ja — wenn der Cloud-Dienst WORM-Funktionalität bietet, die Verfahrensdokumentation vollständig ist und die organisatorischen Maßnahmen dokumentiert und durchgesetzt werden. Allerdings ist Software-WORM in der Cloud mit Admin-Rechten umgehbar. Hardware-WORM bietet die belastbarere Position, da keine Software die Unveränderbarkeit aufheben kann. Zudem muss die DSGVO-Konformität des Cloud-Anbieters sichergestellt sein.