Revisionssicherheit bezeichnet die Eigenschaft eines Systems oder Archivs, Daten und Dokumente so zu speichern, dass sie über den gesamten Aufbewahrungszeitraum unverändert, vollständig, jederzeit reproduzierbar und für Prüfer nachvollziehbar bleiben. Revisionssichere Systeme stellen sicher, dass aufbewahrte Daten nicht nachträglich verändert, gelöscht oder manipuliert werden können – und dass im Zweifelsfall der Nachweis erbracht werden kann, dass keine Manipulation stattgefunden hat.
Im deutschen Steuerrecht sind die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) die maßgebliche Richtlinie für revisionssichere Aufbewahrung geschäftlicher Dokumente. Für Automatisierungssysteme, die steuerrelevante Dokumente verarbeiten – insbesondere Rechnungen – ist revisionssichere Archivierung keine optionale Ergänzung, sondern gesetzliche Pflicht.
Eigenschaften revisionssicherer Systeme
Unveränderlichkeit
Einmal gespeicherte Daten können nicht verändert oder gelöscht werden
Vollständigkeit
Alle relevanten Dokumente und Vorgänge werden lückenlos erfasst
Ordnungsmäßigkeit
Klare Strukturierung und Indizierung, die schnellen Abruf ermöglicht
Zeitgerechtheit
Dokumente werden unverzüglich nach Entstehung archiviert
Nachvollziehbarkeit
Jede Änderung wird protokolliert, Versionen werden nachvollziehbar geführt
Reproduzierbarkeit
Dokumente sind über den gesamten Aufbewahrungszeitraum lesbar abrufbar
Revisionssicherheit in der Automatisierungspraxis
- Write-Once-Speicher: Dokumente werden auf Speicher mit WORM-Eigenschaft (Write Once, Read Many) gespeichert – S3 Object Lock, Azure Immutable Blob Storage
- Hash-Verifizierung: Beim Speichern wird ein kryptographischer Hash des Dokuments berechnet und separat gespeichert – Manipulationserkennung durch Hashvergleich
- Zeitstempelung: Qualifizierte elektronische Zeitstempel belegen, dass ein Dokument zu einem bestimmten Zeitpunkt existiert hat
- Lückenloses Änderungsprotokoll: Jede Zustandsänderung eines Dokuments (Eingang, Prüfung, Freigabe, Zahlung) wird mit Zeitstempel und User-ID protokolliert
Praxisbeispiel
Ein Automationsdienstleister baut revisionssichere Rechnungsarchivierung für einen Kunden. Anforderung: Rechnungen müssen 10 Jahre nach GoBD archiviert werden, jederzeit für Betriebsprüfungen abrufbar. Lösung: Eingehende Rechnungs-PDFs werden automatisch in S3 mit Object Lock (Compliance Mode, 10 Jahre) gespeichert – kein Überschreiben oder Löschen auch durch Admins möglich. SHA-256-Hash des PDFs wird in der Datenbank gespeichert – Integritätsnachweis bei Abruf. Qualifizierter Zeitstempel über externen TSP-Dienst angebracht. Vollständiges Verarbeitungsprotokoll: Eingang, OCR-Ergebnis, manueller Review wenn nötig, ERP-Buchung, Zahlungsstatus – alles mit Timestamps und User-IDs. Bei Betriebsprüfung: Prüfer bekommt Read-Only-Zugang zum Archiv, kann alle Rechnungen des Prüfungszeitraums vollständig abrufen und Integrität verifizieren.
