E-Rechnung revisionssicher archivieren: So geht die technische Umsetzung

Kurz & knapp: Revisionssichere Archivierung bedeutet, dass eine E-Rechnung nach der Speicherung nicht mehr unbemerkt verändert oder gelöscht werden kann und jeder Zugriff lückenlos protokolliert wird. Das erfordert WORM-Speicherprinzipien (Write Once, Read Many), vollständige Audit-Trails sowie ein System, das diese Eigenschaften technisch garantiert – ein reines Backup oder ein Cloud-Ordner ohne diese Funktionen erfüllt die Anforderung nicht.

Wer diesen Artikel braucht: Von der Theorie zur Systemauswahl

Während die Grundlagenbeiträge zur E-Rechnung Archivierungspflicht und zum GoBD-konformen Speichern die rechtlichen und konzeptionellen Anforderungen klären, geht es in diesem Beitrag um die konkrete technische Umsetzung für Unternehmen, die aktuell ein System auswählen oder einführen. Wer bereits weiß, dass archiviert werden muss und welche Prinzipien gelten, aber noch offene Fragen zur tatsächlichen technischen Realisierung hat – WORM-Speicher, Audit-Trails, Zertifizierungen –, findet hier die vertiefende Antwort.

Was „revisionssicher“ technisch bedeutet

Der Begriff „revisionssicher“ ist kein gesetzlich exakt definierter Fachbegriff, hat sich aber in der Praxis als Sammelbezeichnung für Archivsysteme etabliert, die folgende technische Eigenschaften nachweislich erfüllen:

• Unveränderbarkeit: Einmal archivierte Dokumente können nicht mehr überschrieben oder inhaltlich verändert werden, ohne dass dies erkennbar wird.
• Vollständige Protokollierung: Jeder Zugriff, jeder Exportversuch und jede etwaige Änderung wird mit Zeitstempel und Benutzerkennung dokumentiert.
• Verfügbarkeit über die gesamte Frist: Das System stellt sicher, dass Dokumente über die komplette gesetzliche Aufbewahrungsfrist hinweg zugänglich und lesbar bleiben.
• Nachweisbarkeit der Integrität: Über kryptografische Prüfsummen oder vergleichbare Verfahren lässt sich jederzeit belegen, dass ein Dokument seit der Archivierung unverändert geblieben ist.

WORM-Speicher als technisches Fundament

Das WORM-Prinzip (Write Once, Read Many) ist die technische Grundlage vieler revisionssicherer Archivsysteme. Dabei wird ein Dokument nach dem einmaligen Schreibvorgang so gespeichert, dass ein nachträgliches Überschreiben oder Löschen entweder physikalisch unmöglich ist (etwa bei bestimmten optischen Speichermedien) oder durch Softwaremechanismen zuverlässig verhindert und protokolliert wird. Moderne Systeme setzen WORM heute überwiegend softwarebasiert um, beispielsweise durch:

1. Objektspeicher mit aktivierter Object-Lock-Funktion, bei der Objekte für eine definierte Zeitspanne unveränderbar gesperrt werden.
2. Datenbanksysteme mit Append-Only-Struktur, bei denen Änderungen nur als neue Einträge, nie als Überschreibung bestehender Datensätze erfolgen.
3. Spezialisierte Archivierungssoftware, die eine eigene Integritätsschicht über einem Standardspeichersystem legt.

Wichtig ist, dass die WORM-Eigenschaft nicht durch Administratorrechte umgangen werden kann. Ein System, bei dem ein Administrator jederzeit Dateien löschen oder überschreiben kann, ohne dass dies protokolliert wird, gilt nicht als revisionssicher, selbst wenn es technisch als „WORM-fähig“ beworben wird.

Audit-Trails: Die zweite Säule der Revisionssicherheit

Neben der reinen Unveränderbarkeit der Dokumente selbst ist ein lückenloses Audit-Trail (Prüfprotokoll) unverzichtbar. Ein vollständiger Audit-Trail dokumentiert für jede archivierte E-Rechnung mindestens:

Dieses Protokoll muss selbst ebenfalls vor nachträglicher Manipulation geschützt sein – häufig wird es deshalb in einer separaten, ebenfalls unveränderbaren Datenstruktur geführt, getrennt von den eigentlichen Rechnungsdaten.

Zertifizierte DMS-Systeme: Worauf bei der Auswahl zu achten ist

Viele Anbieter von Dokumentenmanagementsystemen werben mit einer GoBD- oder DSGVO-konformen Archivierung. Da es keine staatliche Pflichtzertifizierung für Archivsysteme gibt, lohnt sich bei der Auswahl ein genauer Blick auf unabhängige Testate, etwa Prüfberichte von Wirtschaftsprüfungsgesellschaften, die die Verfahrensdokumentation und technische Umsetzung eines Systems begutachtet haben. Folgende Kriterien sollten bei der Systemauswahl konkret abgefragt werden:

• Liegt ein unabhängiges Prüftestat zur GoBD-Konformität vor, und wie aktuell ist dieses?
• Ist die WORM-Funktion technisch nachweisbar und nicht durch Systemadministratoren umgehbar?
• Wird ein vollständiges, manipulationssicheres Audit-Trail geführt?
• Bietet das System eine Exportfunktion, die den Anforderungen einer digitalen Betriebsprüfung (Z1/Z2/Z3-Zugriff) genügt?
• Was passiert mit den archivierten Daten bei Vertragsende oder Insolvenz des Anbieters?

Praxisbeispiel: Systemumstellung bei der Petersen Logistik GmbH

Die Petersen Logistik GmbH, ein Speditionsunternehmen mit 70 Mitarbeitenden aus Bremen, archivierte Eingangsrechnungen bislang in einem einfachen Netzwerkordner mit regelmäßigem Backup. Im Rahmen eines internen Audits stellte die Geschäftsführung fest, dass dieses Vorgehen keine echte Revisionssicherheit bot: Jede Mitarbeiterin und jeder Mitarbeiter mit Schreibrechten hätte Dateien unbemerkt löschen oder ersetzen können, ohne dass ein Protokoll dies aufgezeichnet hätte. Das Unternehmen führte daraufhin ein spezialisiertes Archivsystem mit Object-Lock-Funktion ein, bei dem jede eingehende E-Rechnung nach der Prüfung automatisch mit einer festen Aufbewahrungsfrist von acht Jahren versehen und softwareseitig gegen Löschung gesperrt wird. Zusätzlich protokolliert das System jeden Zugriff und erstellt monatlich einen automatisierten Integritätsbericht, der etwaige Unstimmigkeiten zwischen gespeicherten Prüfsummen und aktuellem Dateizustand meldet. Der Wechsel wurde von einem externen Prüfer begleitet, der die Verfahrensdokumentation testierte.

Backup versus revisionssichere Archivierung: Der entscheidende Unterschied

Ein Missverständnis, das in der Praxis besonders häufig auftritt, ist die Gleichsetzung von Backup und revisionssicherer Archivierung. Beide Konzepte verfolgen unterschiedliche Ziele:

Ein Backup schützt vor technischem Datenverlust, etwa durch einen Festplattendefekt. Es schützt jedoch nicht vor absichtlicher oder versehentlicher Manipulation durch berechtigte Nutzer, da Backup-Dateien in der Regel genauso veränderbar sind wie die Originaldateien. Für die steuerliche Nachweisführung ist deshalb ein Backup allein nicht ausreichend.

On-Premise, Cloud oder Hybrid: Architekturentscheidungen für die Revisionssicherheit

Bei der technischen Umsetzung stellt sich neben der Frage nach WORM und Audit-Trail auch die Frage nach der grundlegenden Architektur. On-Premise-Lösungen, bei denen die Archivierungsinfrastruktur im eigenen Rechenzentrum betrieben wird, bieten maximale Kontrolle über die technische Umsetzung, erfordern jedoch eigenes Fachpersonal, das WORM-Speicher, Zugriffsschutz und regelmäßige Integritätsprüfungen korrekt konfiguriert und dauerhaft betreibt. Cloud-basierte Archivlösungen übernehmen diese technische Komplexität, verlagern jedoch die Verantwortung für eine sorgfältige Anbieterprüfung auf das Unternehmen: Wo genau werden die Daten physisch gespeichert, welche Zertifizierungen liegen für das Rechenzentrum vor, und wie ist der Zugriff im Fall einer Anbieterinsolvenz vertraglich abgesichert? Hybride Modelle, bei denen die eigentliche Archivierung in der Cloud erfolgt, aber zusätzlich regelmäßige, unveränderbare Exportkopien lokal vorgehalten werden, kombinieren die Vorteile beider Ansätze und werden von größeren Unternehmen zunehmend als Kompromiss gewählt, um nicht vollständig von einem einzelnen externen Anbieter abhängig zu sein.

Verschlüsselung und Zugriffsschutz als ergänzende Sicherheitsebene

Revisionssicherheit im engeren Sinne betrifft die Unveränderbarkeit und Nachvollziehbarkeit der Daten, doch in der praktischen Umsetzung gehört auch der Schutz vor unbefugtem Zugriff zu einem vollständigen Sicherheitskonzept. Archivierte E-Rechnungen enthalten häufig sensible Geschäftsdaten, weshalb eine Verschlüsselung sowohl bei der Übertragung als auch bei der Speicherung (Encryption at Rest) empfehlenswert ist. Rollenbasierte Zugriffskonzepte sollten sicherstellen, dass nur tatsächlich berechtigte Personen archivierte Dokumente einsehen können, während technische Administratoren zwar die Infrastruktur betreiben, aber keinen inhaltlichen Zugriff auf die Rechnungsdaten selbst benötigen. Diese Trennung von administrativem Systemzugriff und inhaltlichem Dokumentenzugriff ist ein wichtiges, aber oft vernachlässigtes Detail bei der Auswahl eines revisionssicheren Archivsystems, da sie zusätzlich verhindert, dass eine einzelne Person sowohl Daten manipulieren als auch die Spuren dieser Manipulation verwischen könnte.

Kosten und Aufwand realistisch einschätzen

Die Einführung eines echten revisionssicheren Archivsystems verursacht in der Regel höhere Kosten als eine einfache Dateiablage, sowohl bei der Anschaffung als auch im laufenden Betrieb. Für kleinere Unternehmen mit überschaubarem Rechnungsvolumen bieten viele Buchhaltungssoftware-Anbieter inzwischen integrierte, bereits revisionssicher zertifizierte Archivmodule an, sodass keine separate Speicherlösung beschafft werden muss. Größere Unternehmen mit hohem Rechnungsaufkommen oder komplexer Systemlandschaft sollten dagegen eine dedizierte Archivlösung in Betracht ziehen, deren Kosten sich meist nach Speichervolumen und Anzahl der Nutzer richten. In beiden Fällen gilt: Die Investition in ein tatsächlich revisionssicheres System ist regelmäßig günstiger als die potenziellen Folgekosten einer im Prüfungsfall als unzureichend eingestuften Archivierung, etwa durch nachträgliche Schätzungen der Besteuerungsgrundlagen. Eine frühzeitige Investition zahlt sich zudem langfristig aus, da ein einmal korrekt eingerichtetes System über viele Jahre hinweg mit vergleichsweise geringem Pflegeaufwand weiterläuft.

Häufige Fehler bei der Umsetzung revisionssicherer Archivierung

• Ein Cloud-Speicherdienst ohne aktivierte Object-Lock- oder Versionierungsfunktion wird fälschlich als „revisionssicher“ betrachtet.
• Administratoren behalten uneingeschränkte Löschrechte auf das Archivsystem, was die Unveränderbarkeit faktisch aushebelt.
• Das Audit-Trail wird zwar geführt, aber gemeinsam mit den Dokumenten in einer Struktur gespeichert, die ebenfalls verändert werden kann.
• Es fehlt eine klare Verfahrensdokumentation, aus der hervorgeht, wie das System die Revisionssicherheit technisch gewährleistet.
• Migrationen auf ein neues System erfolgen ohne Übernahme der historischen Audit-Trail-Daten.

Fazit

Revisionssichere Archivierung von E-Rechnungen ist kein abstraktes Konzept, sondern eine Reihe konkret überprüfbarer technischer Anforderungen: WORM-basierte Unveränderbarkeit, lückenlose Audit-Trails, verlässliche Verfügbarkeit über die gesamte Aufbewahrungsfrist und nachweisbare Datenintegrität. Unternehmen, die aktuell ein Archivsystem auswählen, sollten diese Kriterien konkret bei Anbietern abfragen und sich nicht allein auf Marketingaussagen wie „GoBD-konform“ verlassen, sondern auf unabhängige Prüftestate und eine nachvollziehbare technische Verfahrensdokumentation bestehen.

Häufig gestellte Fragen

Was unterscheidet ein normales Backup von revisionssicherer Archivierung?

Ein Backup schützt vor technischem Datenverlust, lässt aber in der Regel nachträgliche Änderungen zu. Revisionssichere Archivierung verhindert zusätzlich unbemerkte Manipulation und protokolliert jeden Zugriff.

Ist WORM-Speicher zwingend erforderlich für Revisionssicherheit?

WORM-Prinzipien sind die gängigste technische Umsetzung der geforderten Unveränderbarkeit, auch wenn andere technische Verfahren mit vergleichbarer Schutzwirkung grundsätzlich denkbar sind.

Gibt es eine offizielle Zertifizierung für revisionssichere Archivsysteme?

Eine staatliche Pflichtzertifizierung existiert nicht. Anerkannt sind unabhängige Prüftestate, etwa von Wirtschaftsprüfungsgesellschaften, die die technische Umsetzung begutachten.

Können Administratoren archivierte Rechnungen trotzdem löschen?

In einem korrekt konfigurierten revisionssicheren System nicht ohne Protokollierung. Uneingeschränkte Löschrechte für Administratoren widersprechen dem Prinzip der Revisionssicherheit.

Reicht ein Cloud-Speicher wie ein gewöhnliches Dateihosting für revisionssichere Archivierung?

Nur, wenn zusätzliche Funktionen wie Object-Lock, Versionierung und Zugriffsprotokollierung aktiv genutzt werden. Ein Standard-Fileshare ohne diese Funktionen erfüllt die Anforderungen nicht.

Was passiert mit dem Audit-Trail, wenn das System gewechselt wird?

Die historischen Protokolldaten sollten vollständig migriert oder das Altsystem für die restliche Aufbewahrungsfrist zugänglich gehalten werden, um die Nachvollziehbarkeit nicht zu unterbrechen.

Wie hängt dieser Beitrag mit der allgemeinen GoBD-konformen Speicherung zusammen?

Der Beitrag E-Rechnung GoBD-konform speichern beschreibt die grundlegenden Prinzipien; dieser Artikel vertieft speziell die technische Methode zur Erreichung echter Revisionssicherheit mittels WORM und Audit-Trails.