Revisionssichere Archivierung (GoBD & WORM)

Revisionssichere Archivierung bezeichnet die technisch und organisatorisch geschützte Langzeitaufbewahrung elektronischer Geschäftsdokumente, Buchungsbelege, E-Rechnungen und geschäftlicher E-Mails nach den Vorgaben der GoBD** (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff).

Aus technischer Sicht muss ein Dokumentenmanagementsystem (DMS) oder Archivspeicher dabei vor allem sicherstellen, dass Belege nach der Erfassung unveränderbar gespeichert werden (bzw. Änderungen nur als neue, klar protokollierte Version möglich sind), vollständig wiedergefunden werden können und über die gesamte Aufbewahrungsfrist von sechs bzw. zehn Jahren maschinell auswertbar bleiben.**

Warum normale Dateiordner bei der E-Rechnung technisch nicht mehr ausreichen

In vielen mittelständischen Betrieben werden Eingangsrechnungen noch immer als PDF-Datei in normalen Windows-Netzwerkordnern abgelegt. Da Dateien auf einem normalen Netzlaufwerk jederzeit unbemerkt umbenannt, überschrieben oder gelöscht werden können, erfüllt eine reine Ordnerablage ohne Schreibschutz und Änderungsprotokoll die technischen Anforderungen an die Unveränderbarkeit nicht.

Mit der verbindlichen Einführung der elektronischen Rechnung (E-Rechnung im Format XRechnung oder ZUGFeRD nach EN 16931**) kommt eine weitere technische Anforderung hinzu: Bei einer strukturierten E-Rechnung ist der eingebettete XML-Datensatz das eigentliche Originaldokument. Das Archivsystem muss daher diese XML-Struktur unverändert speichern und durchsuchbar halten.

Was neben der Software oft vergessen wird: Die Verfahrensdokumentation

Selbst ein perfekt eingerichtetes Archivsystem mit WORM-Schreibschutz reicht im Prüfungsfall allein nicht aus, wenn im Unternehmen keine aktuelle Verfahrensdokumentation vorliegt. Darin muss nachvollziehbar beschrieben sein, wie digitale Belege im Unternehmen eingehen, geprüft, freigegeben, im Archiv abgelegt und gegen Verlust gesichert werden.

Ein zweiter Schwachpunkt betrifft geschäftliche E-Mails (z. B. Angebote, Auftragsbestätigungen oder Reklamationen): Liegen diese nur in den persönlichen Postfächern einzelner Mitarbeitender, gehen sie beim Ausscheiden von Personal oder durch versehentliches Löschen leicht verloren.

3 Schritte für eine saubere Beleg- und E-Mail-Archivierung

• Automatische E-Mail-Archivierung direkt am Mailserver einrichten: Leiten Sie ein- und ausgehende geschäftsrelevante E-Mails per Journaling automatisiert in ein zentrales, unveränderbares E-Mail-Archiv weiter.
• DMS und ERP auf native XRechnung-/ZUGFeRD-Verarbeitung prüfen: Stellen Sie sicher, dass Ihr Dokumentenmanagement- oder ERP-System (z. B. Odoo, ERPNext oder ein spezialisiertes DMS mit WORM-Speicher) den XML-Teil elektronischer Rechnungen im Original archiviert.
• Verfahrensdokumentation schlank und aktuell halten: Dokumentieren Sie Ihren Belegfluss, die Zugriffsrechte und das Backup-Konzept in einem klaren Leitfaden und aktualisieren Sie diesen bei Systemänderungen.

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.