Revisionssichere Archivierung

Ausführliche Erklärung

Revisionssichere Archivierung ist weit mehr als das bloße Speichern von Dateien auf einem Server oder in der Cloud. Sie verbindet technische Systeme, organisatorische Prozesse und rechtliche Anforderungen zu einem ganzheitlichen Verfahren. Im Kern geht es darum, Geschäftsdokumente so zu archivieren, dass sie bei einer Betriebsprüfung oder Revision jederzeit vollständig, unverändert und nachvollziehbar vorgelegt werden können. Ohne diese Fähigkeit drohen empfindliche Konsequenzen: Das Finanzamt kann die Buchführung als nicht ordnungsgemäß einstufen, die Besteuerungsgrundlage schätzen und in besonders schweren Fällen strafrechtliche Schritte einleiten.

In Deutschland bilden die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD) die zentrale Richtlinie. Diese definieren präzise Anforderungen wie Nachvollziehbarkeit, Vollständigkeit, Richtigkeit, Unveränderbarkeit und zeitnahe Erfassung. In Österreich sind die Aufbewahrungspflichten in § 132 BAO (Bundesabgabenordnung) sowie im Unternehmensgesetzbuch (UGB) geregelt; die Standardfrist beträgt sieben Jahre. Die Grundlagen beruhen auf BAO, UGB und ergänzenden steuerlichen Sonderregelungen sowie den Grundsätzen ordnungsmäßiger Buchführung (GoB). Auch wenn in Österreich kein so detailliertes Regelwerk wie die GoBD existiert, sind die grundlegenden Prinzipien vergleichbar: Wer nach GoBD archiviert, erfüllt in der Regel auch die österreichischen Anforderungen.

Ein Dokumentenmanagement-System ist GoBD-konform, wenn die fünf technischen Kernanforderungen – Unveränderbarkeit, Vollständigkeit, Nachvollziehbarkeit, Verfügbarkeit und Ordnung – erfüllt werden und eine unternehmenseigene Verfahrensdokumentation gegeben ist. Die Unveränderbarkeit wird beispielsweise durch WORM-Speicherung (Write Once, Read Many) erreicht, die sicherstellt, dass Dokumente nach der Ablage nicht mehr manipuliert werden können. Jeder Vorgang muss dokumentiert und nachvollziehbar sein; elektronische Dokumente dürfen nach der Ablage nicht mehr gelöscht oder verändert werden – Änderungen müssen versioniert und protokolliert werden. Vollständigkeit bedeutet, dass es keine Lücken im Belegarchiv geben darf und sämtliche aufbewahrungspflichtigen Dokumente lückenlos erfasst werden.

Rechtliche Rahmenbedingungen in Deutschland und Österreich

Die Aufbewahrungsfrist beginnt mit Ende des Kalenderjahres, in dem die letzte Eintragung erfolgt ist oder der Beleg entstanden ist. In Deutschland betragen die Aufbewahrungsfristen je nach Dokumenttyp sechs bis zehn Jahre. Wer 2026 eine Rechnung erhält, muss diese bis 31.12.2033 aufbewahren. Bei Grundstücken greift in Österreich eine verlängerte Frist von bis zu 22 Jahren gemäß § 18 Abs. 10 UStG, Hintergrund ist die mögliche Berichtigung des Vorsteuerabzugs im Rahmen der 20-jährigen Berichtigungsfrist für Immobilien.

Wird ein Finanzstrafverfahren eingeleitet oder ist ein Rechtsmittel (Beschwerde gegen Bescheid) offen, verlängert sich die Aufbewahrungsfrist bis zum Abschluss des Verfahrens – auch über die sieben Jahre hinaus. Die Aufbewahrung muss geordnet, vollständig und lesbar erfolgen – unabhängig davon, ob in Papier oder digital. Nach dem Scannen dürfen Papierbelege vernichtet werden, wenn der Scan unveränderbar, lesbar und durchsuchbar archiviert wird; Ausnahme: Originalurkunden mit Unterschrift (Verträge) sollten im Original bleiben.

Verfahrensdokumentation als Pflichtbestandteil

Die Verfahrensdokumentation dokumentiert die eingesetzten Prozesse und Techniken zur elektronischen Archivierung, die verwendete Software sowie die Arbeitsweise der Mitarbeitenden; im Zentrum steht die Überprüfbarkeit und Nachvollziehbarkeit. Die Verfahrensdokumentation sollte sämtliche Inhalte einer GoBD-konformen Verfahrensdokumentation beinhalten: neben der Anwender- und technischen Systemdokumentation auch Konzepte zum sicheren IT-Betrieb wie Datensicherungskonzept und Berechtigungskonzept sowie eine nachvollziehbare Prozessdokumentation samt Darstellung des internen Kontrollsystems.

Ohne diese Dokumentation gilt ein Archiv selbst bei guter Technik als nicht vollständig revisionssicher. Spätestens bei der nächsten Betriebsprüfung müssen Unternehmer damit rechnen, dass das Finanzamt nach der Verfahrensdokumentation fragt; darin sollte unter anderem klar beschrieben sein, wie das Unternehmen die GoBD-konforme Archivierung steuerlich relevanter Belege sicherstellt. Da sich Prozesse immer wieder ändern und die GoBD eine stets aktuelle Verfahrensdokumentation fordern, sollten Unternehmen bereits bei der Einführung einen Termin für einen Review festlegen und diesen in regelmäßigen Abständen wiederholen.

Praxis für KMU im DACH-Raum

Für KMU ist revisionssichere Archivierung nicht nur eine Pflicht, sondern auch ein Schutz vor rechtlichen und finanziellen Risiken. Bei Verstößen kann das Finanzamt die Buchführung als nicht ordnungsgemäß einstufen und die Besteuerungsgrundlage schätzen – was meist erheblich teurer wird. In der Praxis scheitern viele Archivierungsprojekte nicht an der Technik, sondern an organisatorischen Schwächen.

Ein typisches KMU-Szenario: Kreditorenrechnungen gehen per Post und per E-Mail ein, ein Teil wird ausgedruckt, ein Teil als PDF auf dem Server gespeichert, einzelne Rechnungen bleiben im Mailpostfach; in der Buchhaltung wird gebucht, aber nicht jeder Beleg ist direkt mit der Buchung verknüpft – bei Rückfragen beginnt die Suche über Papierordner, E-Mail, Serverlaufwerk und Buchhaltungssoftware. Genau diese dezentrale, unstrukturierte Ablage führt zu erheblichen Risiken bei Betriebsprüfungen.

E-Mail-Programme erfüllen keine GoBD-Anforderungen; E-Mails können gelöscht, verschoben oder verändert werden, ohne dass dies revisionssicher nachvollziehbar ist, und lassen sich nicht strukturiert, vollständig und prüfungssicher über Jahre hinweg aufbewahren – gerade im Zeitalter der E-Rechnung ist das besonders riskant. Ein häufiger Fehler ist die Annahme, dass eine digitale Ablage automatisch GoBD-konform sei; in der Praxis werden Dokumente oft manuell abgelegt, mehrfach gespeichert oder versehentlich überschrieben.

Eine revisionssichere Lösung erfordert spezialisierte Archivierungssoftware oder Dokumentenmanagementsysteme, die Änderungen protokollieren, Zugriffe dokumentieren und nachträgliche Manipulationen technisch verhindern. Bei der Auswahl des Systems sollten KMU formulieren: Sollen Daten künftig per Scan, Dokumentkonvertierung oder Barcode erfolgen; wie sieht das Berechtigungskonzept aus, wer erhält Zugriff auf die Daten, wie erfolgt die Integration in die bestehende IT-Landschaft, und lässt sich das Tool später an veränderte Bedürfnisse anpassen? In Österreich unterstützen Institutionen wie die Wirtschaftskammer KMU mit Leitfäden und Beratung.

Technische Umsetzung und häufige Stolpersteine

Eine revisionssichere Ablage entsteht nicht nur durch Software; die Software ist ein Hilfsmittel; entscheidend ist, dass sie richtig eingerichtet und im Alltag konsequent genutzt wird; besonders wichtig ist der Prozess vom Belegeingang bis zur Archivierung – wenn Rechnungen per Post, E-Mail und Upload eingehen, braucht es eine zentrale Logik, sonst entstehen doppelte Ablagen, fehlende Belege und unnötige Rückfragen. Genau daran scheitern viele Projekte in KMU, nicht am Speicherplatz, sondern an fehlender Indizierung, verlorenem Schema und nicht getesteter Wiederherstellung.

Unternehmen müssen Lesbarkeit, Medienzustand und Wiederherstellung selbst regelmäßig prüfen; genau daran scheitern viele Archive in der Praxis, nicht an der Technik an sich, sondern an fehlenden Tests und an zu lockerem Betrieb. Ein Speicher, der Daten nur ablegt, reicht nicht; ohne saubere Suchlogik, Metadaten und nachvollziehbare Zugriffsrechte wird aus einem sicheren Zielsystem kein revisionssicheres Archiv – genau hier entstehen bei Audits die teuren Lücken.

Ohne eine rechtssichere Archivierung kann es bei Betriebsprüfungen zu Problemen kommen: Dokumente könnten fehlen oder nicht unverändert vorliegen, was zu Bußgeldern oder sogar rechtlichen Auseinandersetzungen führen kann – um das zu vermeiden, ist die richtige Lösung für die Archivierung unerlässlich. Moderne DMS bieten neben der Archivierung auch Funktionen zur Zugriffssteuerung, Versionierung und Workflow-Automatisierung, was den administrativen Aufwand deutlich reduziert und die Compliance-Anforderungen vereinfacht.

Abgrenzung zu verwandten Begriffen

Revisionssichere Archivierung ist nicht gleichzusetzen mit einem Dokumentenmanagementsystem (DMS): Ein DMS bietet umfassende Funktionen zur Verwaltung, Bearbeitung und Verteilung von Dokumenten während ihres gesamten Lebenszyklus, während revisionssichere Archivierung speziell die langfristige, unveränderbare Aufbewahrung nach gesetzlichen Vorgaben sicherstellt. Ein DMS kann revisionssichere Archivierung als Teilfunktion enthalten, umgekehrt ist nicht jedes Archivsystem ein vollwertiges DMS.

Von der Zugriffssteuerung unterscheidet sich die revisionssichere Archivierung dadurch, dass Zugriffssteuerung definiert, wer wann auf welche Dokumente zugreifen darf, während die Archivierung die Unveränderbarkeit und Vollständigkeit der Dokumente selbst sicherstellt. Beide Konzepte ergänzen sich: Eine Zugriffssteuerung nach Rollen und Rechten ist notwendiger Bestandteil einer revisionssicheren Gesamtlösung.

Das Auditrecht wiederum beschreibt die rechtliche Befugnis von Prüfern und Behörden, auf gespeicherte Unterlagen zuzugreifen. Revisionssichere Archivierung schafft die technischen und organisatorischen Voraussetzungen, damit diesem Auditrecht entsprochen werden kann – ohne revisionssichere Archivierung wäre ein Audit faktisch nicht ordnungsgemäß durchführbar.