Revisionssichere Archivierung für Finanzabteilungen und IT

Revisionssichere Archivierung: Anforderungen & Umsetzung

Geschätzte Lesezeit: 8 Minuten

Jetzt kostenlos testen

Wesentliche Erkenntnisse

Revisionssicher bedeutet: vollständig, unveränderbar, nachvollziehbar und langfristig lesbar.
Rechtsgrundlagen: § 147 AO, § 257 HGB, § 14b UStG sowie die GoBD; Produkt allein reicht nicht.
Seit 01.01.2025: Buchungsbelege 8 Jahre, Handelsbücher und Abschlüsse weiter 10 Jahre.
Bei E‑Rechnungen ist die strukturierte XML-Datei das Original — archivieren Sie das Originalformat.
Verfahrensdokumentation ist Pflicht und entscheidend für jede Betriebsprüfung.

Inhaltsverzeichnis

1. Was revisionssichere Archivierung wirklich bedeutet
2. Rechtliche Grundlagen: AO, HGB, UStG und GoBD
3. Aufbewahrungsfristen: was sich 2025 geändert hat
4. Die sechs Kernanforderungen an ein revisionssicheres Archiv
5. E‑Rechnungen archivieren: das XML ist das Original
6. Verfahrensdokumentation: das Dokument, das alle aufschieben
7. Umsetzung im DMS: Technik, Rollen und Prüfpfade
8. Typische Fehler in Finanzabteilungen – und wie Sie sie vermeiden
FAQ

1. Was revisionssichere Archivierung wirklich bedeutet

Illustration eines Prüfers, der Belege überprüft und auf Unveränderbarkeit achtet

Revisionssichere Archivierung ist kein gesetzlicher Begriff, sondern eine Prüfungsanforderung aus der Praxis: Ein Prüfer muss jeden Beleg finden, lesen und darauf vertrauen können, dass dieser nicht nachträglich verändert wurde. Das ist der Kern — die technischen Details sind die Umsetzung.

Der häufigste Denkfehler ist: „Speicherplatz = Archiv“. Speicher ist billig; Nachvollziehbarkeit ist aufwändig. Ein Archiv wird revisionssicher durch definierte Prozesse: Wer legt was wann wie ab, und wie werden diese Vorgänge protokolliert?

Vier Prüf-Fragen, die jede Finance- und IT-Abteilung beantworten muss:

Ist alles da? (Vollständigkeit)
Kann es jemand ändern, ohne Spur? (Unveränderbarkeit)
Kann ich den Weg des Belegs erklären? (Nachvollziehbarkeit)
Kann ich es in zehn Jahren noch lesen? (Verfügbarkeit & Lesbarkeit)

Wenn Sie alle vier Fragen mit „Ja“ beantworten und das schriftlich dokumentieren können, sind Sie gut aufgestellt. Beachten Sie: Es gibt keine GoBD‑Zertifizierung für Anwender. IDW PS 880-Bescheinigungen bestätigen nur die Eignung einer Software bei sachgerechter Nutzung.

2. Rechtliche Grundlagen: AO, HGB, UStG und GoBD

Grafik der rechtlichen Grundlagen mit Paragraphen und Gesetzbüchern

Die Archivierungspflichten ergeben sich primär aus vier Quellen:

§ 147 AO

Regelt, was aufzubewahren ist (Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Belege). Abs. 2 erlaubt Aufbewahrung auf Datenträgern, wenn die Wiedergabe bildlich mit dem Original übereinstimmt und maschinell auswertbar bleibt.

§ 257 HGB

Ähnliche Regelungen aus handelsrechtlicher Sicht für Kaufleute; Fristen laufen parallel.

§ 14b UStG

Legt fest, dass Echtheit der Herkunft und Unversehrtheit des Inhalts über die Aufbewahrungszeit gewährleistet sein müssen — zentral bei E‑Rechnungen.

GoBD

Kein Gesetz, sondern die Verwaltungsauffassung des BMF (aktualisiert 2019). Konkretisiert Anforderungen: zeitgerechte Erfassung, Unveränderbarkeit, Protokollierung, Verfahrensdokumentation, Datenzugriff. Wer die GoBD ignoriert riskiert Schätzungen nach § 162 AO.

Seit 2025 kommt die E‑Rechnungspflicht nach EN 16931 hinzu; ab 2030/2035 kommen EU‑weit weitere Harmonisierungsschritte durch ViDA. Für die Praxis: Achten Sie auf strukturierte Formate und kompatible Archivierung.

3. Aufbewahrungsfristen: was sich 2025 geändert hat

Timeline mit Aufbewahrungsfristen 6/8/10 Jahre

Wichtiges Update: Ab 01.01.2025 gelten neue Fristen für viele Belege. Übersicht:

8 Jahre für Buchungsbelege (Rechnungen, Kontoauszüge, Kassenbelege, Lieferscheine mit Buchungsfunktion) — Auswirkungen des BEG IV.
10 Jahre bleiben für Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte.
6 Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe und sonstige steuerrelevante Unterlagen.

Die Frist beginnt mit dem Ende des Kalenderjahres, in dem der Beleg entstanden ist. Beispiel: Rechnung März 2025 → Beginn 31.12.2025 → Ende Aufbewahrung 31.12.2033.

Ablaufhemmung: Läuft eine Prüfung oder ein Einspruch, verlängern sich Fristen automatisch. Implementieren Sie einen Lösch-Stopp-Marker im DMS, um ungewolltes Löschen zu verhindern.

Bedenken Sie auch die DSGVO: Daten dürfen nicht unbegrenzt aufgehoben werden, wenn der Zweck entfallen ist.

4. Die sechs Kernanforderungen an ein revisionssicheres Archiv

Icons für Vollständigkeit, Unveränderbarkeit, Protokoll, Verfügbarkeit, Auswertbarkeit, Ordnung

Prüfer prüfen typischerweise diese sechs Bereiche:

1. Vollständigkeit

Alle steuerrelevanten Belege müssen lückenlos im Archiv landen. Verteilte Ablagen (persönliche Postfächer, NAS, Shop-System) sind eine häufige Fehlerquelle.

2. Unveränderbarkeit

Technisch mit WORM, Object Lock, Hashwerte oder Versionierung + Protokoll umgesetzt. Reine Ordnerstrukturen auf Fileservern reichen nicht aus.

3. Nachvollziehbarkeit & Protokollierung

Wer hat wann was getan? Das Audit-Log muss selbst schreibgeschützt und unveränderbar sein.

4. Verfügbarkeit & Lesbarkeit

Langzeitlesbarkeit erfordert Formatmigration, Medienwechsel und ggf. Signatur-/Zeitstempel‑Erneuerung (Referenz: BSI TR-03125/TR-ESOR).

5. Maschinelle Auswertbarkeit

Der Prüfer will filtern und summieren. Strukturierte Daten müssen strukturiert archiviert werden — XML behalten, nicht nur PDF‑Bilder.

6. Ordnung

Ein nachvollziehbares Ordnungssystem mit Metadaten (Belegart, -nummer, Datum, Betrag, Geschäftspartner, Steuerschlüssel, Land) ist erforderlich.

Dazu kommen die GoBD-Zugriffsformen Z1 (unmittelbar), Z2 (mittels Auswertung) und Z3 (Datenüberlassung). Testen Sie einen Export inklusive Metadaten regelmäßig — idealerweise jährlich.

5. E‑Rechnungen archivieren: das XML ist das Original

Schema einer E-Rechnung mit XML und PDF-Komponente

Seit 01.01.2025 müssen Unternehmen E‑Rechnungen empfangen können. Technische Formate:

XRechnung: Reines XML nach EN 16931.
ZUGFeRD (ab v2.0.1): PDF/A‑3 mit eingebettetem XML — PDF ist nur die Sichtkomponente.

Regel: Archivieren Sie die Datei so, wie sie eingegangen ist. Kein Umwandeln in ein bloßes PDF; das XML ist das rechtliche Original.

Prüfen Sie Mailgateways, Scanner und Konverter: Häufig entfernen Tools die XML-Einbettung unbemerkt. Validieren Sie regelmäßig, ob das XML aus dem Archiv extrahierbar und valide ist.

Für die Erzeugung strukturierter Ausgangsrechnungen ohne ERP-Projekt empfiehlt sich ein Web-Generator wie e-rechn.de, der XRechnung und ZUGFeRD erzeugt und Dateien ausgibt, die direkt archiviert werden können.

Wichtig: Bei Korrekturen nie die Originaldatei überschreiben — neue Datei mit Referenz zum Original erzeugen, beide im Archiv behalten.

6. Verfahrensdokumentation: das Dokument, das alle aufschieben

Dokumentationsstruktur: Prozesse, Technik, Anwender, Betrieb

Die GoBD verlangen eine Verfahrensdokumentation. Sie ist kein optionales Nice‑to‑have, sondern Pflicht — und sie entscheidet oft über die Beurteilung in einer Prüfung.

Vier Teile einer praktikablen Verfahrensdokumentation:

Allgemeine Beschreibung: Geschäftsmodell, Belegarten, Systeme (Shop, ERP, Kasse, DMS, Bank).
Anwenderdokumentation: Konkrete Arbeitsschritte, Rollen, Screenshots.
Technische Systemdokumentation: Schnittstellen, Datenflüsse, Speicherorte, Formate, Backups, Protokollierung.
Betriebsdokumentation: Zugriffsrechte, Notfallkonzept, Tests, Freigaben.

Bei ersetzendem Scannen ist eine Scan-Anweisung zwingend: Auflösung, Farbtiefe, Prüfprozesse, Vernichtung des Originals. Nutzen Sie Tabellen und Ablaufdiagramme statt langer Prosa — Prüfer suchen Antworten, keine Romane.

Jede neue Anwendung, die Belege liest oder erzeugt (z. B. Chatbots), gehört in die Dokumentation. Halten Sie eine Änderungshistorie mit Version, Datum und Autor.

7. Umsetzung im DMS: Technik, Rollen und Prüfpfade

Fünf-Schritte-Diagramm für DMS-Implementierung

Praktische Schritte für ein revisionssicheres Archiv (fünf Schritte):

Schritt 1: Belegarten aufnehmen

Liste aller Belegarten mit Quelle, Format, Menge, Frist, Verantwortlichem — Grundlage der Verfahrensdokumentation.

Schritt 2: Eingangskanäle bündeln

Zentrale Rechnungsadresse, Scan‑Arbeitsplatz, definierte Schnittstellen zum Shop und ERP. Weniger Kanäle = weniger Lücken.

Schritt 3: Ablage technisch absichern

Object Lock/WORM, Hashbildung beim Eingang, Rollenbasierte Zugriffsrechte, Vier‑Augen bei Löschungen. Logs auf separatem System speichern.

Schritt 4: Metadaten & Index

Mindestens: Belegart, Nummer, Datum, Geschäftspartner, Beträge, Währung, Land, Referenz zur Buchung. Bei E‑Rechnungen viele Felder automatisierbar aus XML.

Schritt 5: Löschkonzept & Migrationsplan

Automatische Fristberechnung, Lösch-Stopp bei Prüfungen, Protokoll jeder Löschung. Bei Systemwechsel: Export/Import mit Prüfsummen und Vollständigkeitsnachweis.

Cloudspeicher ist erlaubt, aber dokumentieren Sie Speicherort und Auftragsverarbeitung. Bei Verlagerung in Drittländer ist ggf. eine Bewilligung des Finanzamts nach § 146 Abs. 2a AO erforderlich.

8. Typische Fehler in Finanzabteilungen – und wie Sie sie vermeiden

Checkliste mit typischen Archivierungsfehlern

Häufige Mängel und pragmatische Lösungen:

Fehler: E‑Mail-Postfach als Archiv. Lösung: Automatische Übernahme ins DMS beim Eingang.
Fehler: Nur PDF behalten, XML wegwerfen. Lösung: Originalformat ablegen, XML separat indexieren und validieren.
Fehler: Keine oder veraltete Verfahrensdokumentation. Lösung: Dokument erstellen und halbjährlich in 30 Minuten aktualisieren.
Fehler: Papier zu früh vernichten. Lösung: Scan-Anweisung, Stichprobenprüfung, Dokumentation vor Vernichtung.
Fehler: Löschen nach Bauchgefühl. Lösung: Fristbasiertes Löschkonzept + Lösch‑Stopp.
Fehler: Admin-Rechte ohne Kontrolle. Lösung: Rollentrennung, Vier‑Augen, getrennte Log‑Speicherung.
Fehler: Kein Test des Datenzugriffs. Lösung: Jährlicher Trockenlauf, Export eines Quartals prüfen.
Fehler: Ausgangsrechnungen in Eigenbau-Formaten. Lösung: Rechnungen nach EN 16931 erzeugen (z. B. per e-rechn.de).

Fazit: Beginnen Sie an der Quelle: Sauberes Format, zentraler Eingang, revisionssichere Ablage, geschriebener Prozess — das reicht oft für kleine Shops wie für Konzerne.

Jetzt kostenlos testen

FAQ

Was bedeutet revisionssicher genau?

Revisionssicher heißt: Belege sind vollständig, unveränderbar, nachvollziehbar, verfügbar und maschinell auswertbar – über die gesamte Aufbewahrungsfrist. Der Begriff kommt aus der Prüfungspraxis und umfasst Technik, Prozess und Dokumentation zusammen.

Gibt es eine GoBD‑Zertifizierung für Software?

Nein. Die Finanzverwaltung erkennt keine Zertifikate oder Testate als Nachweis an. Es gibt Softwarebescheinigungen nach IDW PS 880, die bestätigen, dass ein Programm die Anforderungen unterstützen kann. Verantwortlich für die richtige Nutzung bleiben Sie.

Wie lange muss ich Rechnungen aufbewahren?

Seit dem 1.1.2025 gilt für Buchungsbelege – dazu gehören Rechnungen – eine Frist von 8 Jahren. Handelsbücher, Inventare und Jahresabschlüsse bleiben bei 10 Jahren, sonstige Geschäftsbriefe bei 6 Jahren. Die Frist beginnt mit dem Ende des Kalenderjahres.

Reicht es, eine E‑Rechnung als PDF auszudrucken und abzulegen?

Nein. Bei einer E‑Rechnung ist der strukturierte Datensatz das Original. Sie müssen das XML beziehungsweise die vollständige PDF/A‑3 mit eingebettetem XML aufbewahren. Ein Ausdruck oder ein konvertiertes PDF erfüllt die Anforderungen nicht.

Darf ich Papierbelege nach dem Scannen vernichten?

In der Regel ja, wenn Sie eine dokumentierte Scan-Anweisung haben, die bildliche Übereinstimmung sichergestellt und geprüft ist. Ausnahmen gelten für Unterlagen, bei denen das Original vorgeschrieben ist, etwa notarielle Urkunden oder bestimmte Zollbelege.

Ist ein Ordner auf dem Fileserver ausreichend?

Nein. Ohne technische Absicherung gegen Änderungen und ohne Protokollierung fehlt die Unveränderbarkeit. Nutzen Sie WORM‑ beziehungsweise Object‑Lock‑Speicher oder ein DMS mit revisionssicherer Ablage.

Darf mein Archiv in der Cloud liegen?

Ja, mit Auflagen. Innerhalb der EU ist das unkritisch, wenn Auftragsverarbeitung und Speicherort dokumentiert sind. Bei einer Verlagerung der elektronischen Buchführung in ein Drittland brauchen Sie eine Bewilligung des Finanzamts nach § 146 Abs. 2a AO.

Was passiert bei einem Systemwechsel?

Sie müssen die Daten migrieren oder das Altsystem lesbar halten und die Vollständigkeit der Migration nachweisen – am besten über Prüfsummen und Abgleichprotokolle. Die alte Verfahrensdokumentation bleibt bis zum Ende der Fristen aufzubewahren.

Wer haftet, wenn das Archiv Mängel hat?

Die Geschäftsführung. Formelle Mängel können zur Verwerfung der Buchführung und zu Schätzungen nach § 162 AO führen. Dokumentieren Sie Verantwortlichkeiten zwischen Finanzabteilung und IT schriftlich.