FAQ zum revisionssicheren Speichern von E-Rechnungen auf WORM-USB-Sticks

Erfüllt ein WORM-Speichermedium die Anforderung an revisionssicheres Speichern von E-Rechnungen?

Ein WORM-Speichermedium (Write Once, Read Many) erfüllt die Anforderungen an revisionssicheres Speichern, auch für Eingangsrechnungen, da es die gesetzlichen Anforderungen der GoBD und anderer relevanter Vorschriften unterstützt. Hier sind die wichtigsten Punkte:

Warum WORM-Speicher revisionssicher ist

1. Unveränderbarkeit: Daten können nach der ersten Speicherung nicht mehr geändert oder gelöscht werden, was Manipulationen verhindert.
2. Nachvollziehbarkeit: Änderungen oder Ergänzungen können nur durch Protokollierung (Audit-Trail) dokumentiert werden.
3. Langlebigkeit: Die Daten bleiben für die gesetzlich vorgeschriebene Aufbewahrungsdauer (z. B. 10 Jahre) erhalten.
4. Rechtssicherheit: WORM-Speicher wird häufig in rechtskonformen Archivierungslösungen eingesetzt und entspricht den Anforderungen der GoBD, GDPdU und anderen regulatorischen Vorschriften.

Einsatz von WORM-Speicher in der Praxis

• Physische Medien: Beispielsweise optische Speichermedien wie WORM-DVDs oder Blu-rays.
• Elektronische Speicherlösungen: Softwaregestützte Systeme, die die WORM-Technologie nutzen, z. B. Cloud-Speicher oder spezialisierte Archivierungslösungen.

Beispiele für gesetzliche Anforderungen, die erfüllt werden

• GoBD (Deutschland): Daten müssen unveränderbar und vollständig gespeichert werden.
• HGB/Abgabenordnung: Buchungsbelege müssen nachvollziehbar archiviert werden.
• EU-DSGVO: Schutz vor Datenverlust und Manipulation.

Vorteile von WORM gegenüber anderen Speichermedien

• Garantierte Unveränderbarkeit.
• Hohe Datenintegrität.
• Erfüllung spezifischer regulatorischer Vorgaben.

Zusätzliche Anforderungen

Auch bei WORM-Speichern ist ein ordentliches Archivierungssystem notwendig, um revisionssichere Prozesse zu gewährleisten, wie:

• Protokollierung von Zugriffen und Änderungen.
• Schutz vor physikalischen Schäden (z. B. durch Backup-Kopien oder redundante Systeme).
• Einhaltung organisatorischer Anforderungen, wie die Dokumentation von Archivierungsrichtlinien.

Insgesamt ist ein WORM-Speichermedium eine geeignete Lösung, jedoch nur in Kombination mit einer korrekten Protokollierung, um die gesetzlichen Anforderungen umfassend zu erfüllen.

Wie kann man die Einhaltung organisatorischer Anforderungen, wie die Dokumentation von Archivierungsrichtlinien für Eingangsrechnungen ohne Archivsoftware gewährleisten?

Die Einhaltung organisatorischer Anforderungen, wie die Dokumentation von Archivierungsrichtlinien, kann auch ohne spezialisierte Archivsoftware gewährleistet werden, indem man manuelle und strukturelle Maßnahmen implementiert. Hier sind die wesentlichen Schritte:

1. Erstellung einer Archivierungsrichtlinie

• Dokumentation der Prozesse: Erstellen eines schriftlichen Dokuments, das beschreibt, wie Eingangsrechnungen archiviert werden.
  • Zuständigkeiten (Wer archiviert die Rechnungen? Wer kontrolliert den Prozess?).
  • Aufbewahrungsfristen (z. B. 10 Jahre laut HGB/Abgabenordnung).
  • Speichermedien und -orte (z. B. WORM-Medien, externe Festplatten).
• Prozessabläufe: Beschreiben, wann und wie Rechnungen erfasst, geprüft und archiviert werden.

2. Manuelle Versionierung und Sicherung

• Unveränderbarkeit sicherstellen: Verwenden Sie schreibgeschützte Formate wie PDF/A für die digitale Archivierung.
• Manuelle Protokollierung: Führen Sie ein Änderungsprotokoll in einer Excel-Datei oder auf Papier, um Zugriffe, Bearbeitungen oder Löschungen nachvollziehbar zu machen.
• Sicherheitskopien: Regelmäßiges Erstellen von Backups auf separaten, sicheren Speichermedien (z. B. WORM-DVDs oder externe Festplatten).

3. Zugriffsmanagement

• Eingeschränkter Zugriff: Implementieren Sie klare Berechtigungen, z. B. nur befugtes Personal darf auf die archivierten Rechnungen zugreifen.
• Protokollierung von Zugriffen: Notieren Sie, wer wann welche Dokumente geöffnet hat (manuell durch ein Register oder elektronische Verzeichnisse).

4. Sicherstellung der Revisionssicherheit

• Lückenlose Dokumentation: Alle Rechnungen müssen vollständig und unverändert archiviert werden.
• Prüfung auf Manipulationsfreiheit: Verwenden Sie digitale Signaturen oder Hash-Werte, um Manipulationen zu erkennen.
• Protokollierung der Abläufe: Notieren Sie manuell, wann Rechnungen in das Archiv aufgenommen wurden.

5. Prüfung und Kontrolle

• Regelmäßige Audits: Führen Sie regelmäßig Überprüfungen durch, um sicherzustellen, dass die Prozesse eingehalten werden.
• Checklisten: Arbeiten Sie mit standardisierten Checklisten, um sicherzustellen, dass alle Anforderungen erfüllt sind.

6. Externe Beratung und Schulung

• Fachberatung: Ziehen Sie bei Unsicherheiten einen Steuerberater oder IT-Sicherheitsexperten hinzu, der die Einhaltung der GoBD prüft.
• Schulung von Mitarbeitern: Stellen Sie sicher, dass alle Beteiligten über die Archivierungsvorgaben informiert und geschult sind.

7. Physische Organisation

• Ordnungssystem: Nutzen Sie ein gut strukturiertes Ablagesystem, sowohl physisch (bei Papierbelegen) als auch digital (klar benannte Ordnerstrukturen).
• Schutz vor Verlust: Lagern Sie physische Speichermedien sicher und schützen Sie sie vor Umwelteinflüssen (z. B. Feuer, Wasser).

8. Regelmäßige Updates der Prozesse

• Anpassung an rechtliche Änderungen: Halten Sie sich über Änderungen der GoBD und anderer Vorschriften auf dem Laufenden und passen Sie die Richtlinien entsprechend an.
• Erfahrungslernen: Aktualisieren Sie die Richtlinien auf Basis von Auditergebnissen und Feedback.

Fazit

Auch ohne Archivsoftware kann die Einhaltung organisatorischer Anforderungen gewährleistet werden, indem sorgfältige manuelle Prozesse und klare Dokumentationen etabliert werden. Es erfordert allerdings mehr Aufwand und Disziplin, insbesondere in der Protokollierung und Zugriffsverwaltung. Eine Kombination aus organisatorischen Maßnahmen und bewährten Speichertechniken (z. B. WORM) stellt eine kostengünstige Alternative dar.

Befreit mich die Verwendung von einer Archivsoftware davon, eine Prozessdokumentation für die Rechnungsablage erstellen zu müssen?

Die Verwendung einer Archiv-Software befreit nicht von der Verpflichtung, eine Prozessdokumentation für die Rechnungsablage zu erstellen. Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) verlangen, dass alle steuerlich relevanten Prozesse dokumentiert werden, unabhängig davon, ob sie manuell oder mithilfe einer Software erfolgen.

Warum ist eine Prozessdokumentation trotzdem erforderlich?

1. Nachvollziehbarkeit:
   • Eine Prozessdokumentation dient dazu, die Vorgehensweise bei der Archivierung von Eingangsrechnungen nachvollziehbar zu machen, auch für Außenstehende (z. B. Steuerprüfer).
   • Die Software bildet zwar die technischen Abläufe ab, aber nicht die organisatorischen Maßnahmen und Verantwortlichkeiten in Ihrem Unternehmen.
2. Erläuterung der Software-Nutzung:
   • Es muss dokumentiert werden, welche Software verwendet wird, wie sie konfiguriert ist und welche Schritte damit durchgeführt werden (z. B. Hochladen, Archivieren, Prüfen).
   • Auch muss festgehalten werden, wie die Software die Anforderungen der GoBD unterstützt (z. B. Unveränderbarkeit der Daten).
3. Verantwortlichkeiten:
   • Die Dokumentation muss festlegen, wer in einem Unternehmen für die verschiedenen Schritte im Archivierungsprozess verantwortlich ist.
4. Organisatorische Abläufe:
   • Die Software regelt technische Aspekte, aber nicht, wie Rechnungen ins System gelangen, wer die Daten prüft oder wie Zugriffsrechte organisiert werden. Diese organisatorischen Aspekte müssen ebenfalls dokumentiert sein.

Was muss in der Prozessdokumentation enthalten sein?

• Allgemeine Beschreibung der Abläufe: Wie werden Eingangsrechnungen erfasst, geprüft und archiviert?
• Softwarebeschreibung: Welche Software wird genutzt, wie ist sie konfiguriert und welche Funktionen werden verwendet?
• Organisatorische Maßnahmen:
  • Zuständigkeiten für die Erfassung und Archivierung.
  • Regelungen für Zugriffsrechte und Datenschutz.
• Sicherheitsmaßnahmen: Wie werden Daten geschützt (z. B. Backup, Schutz vor Verlust oder Manipulation)?
• Prüf- und Kontrollprozesse: Wie wird die Einhaltung der Prozesse regelmäßig überprüft?

Was passiert, wenn keine Prozessdokumentation vorliegt?

• Bei einer steuerlichen Prüfung wird die fehlende Prozessdokumentation als Verstoß gegen die GoBD gewertet. Dies kann dazu führen, dass die Buchführung als nicht ordnungsgemäß eingestuft wird, was steuerliche Risiken birgt (z. B. Schätzungen durch das Finanzamt).

Fazit

Die Verwendung einer Archiv-Software erleichtert zwar die Einhaltung technischer Anforderungen (z. B. Unveränderbarkeit und Vollständigkeit), befreit aber nicht von der Verpflichtung, eine Prozessdokumentation zu erstellen. Die Kombination aus einer gut dokumentierten Software-Nutzung und klar definierten organisatorischen Maßnahmen sorgt für eine revisionssichere und GoBD-konforme Rechnungsablage.

Warum wird über WORM-USB-Sticks als mögliche Speicherlösung für E-Rechnungen so wenig berichtet?

Die begrenzte Berichterstattung über USB-WORM-Sticks als Lösung für die revisionssichere Speicherung von E-Rechnungen kann auf mehrere Faktoren zurückgeführt werden:

1. Marktpräferenz für Cloud-Lösungen: Viele Unternehmen bevorzugen cloudbasierte Archivierungssysteme, die skalierbar sind und zusätzliche Funktionen wie automatisierte Workflows und einfachen Datenzugriff bieten. Diese Lösungen werden häufig in Fachartikeln und von Anbietern hervorgehoben.
2. Unkenntnis über WORM-Technologie: Die WORM-Technologie (Write Once, Read Many) ist möglicherweise weniger bekannt, insbesondere in Form von USB-Sticks. Dies könnte dazu führen, dass ihre Anwendung in der Praxis und somit auch die Berichterstattung darüber begrenzt ist.
3. Bedenken hinsichtlich Langzeitarchivierung: Physische Speichermedien wie USB-Sticks können über lange Zeiträume hinweg anfällig für Beschädigungen oder Datenverluste sein. Dies könnte dazu führen, dass sie weniger als zuverlässige Lösung für die gesetzlich vorgeschriebene 10-jährige Aufbewahrung angesehen werden.
4. Fehlende Standardisierung und Zertifizierung: Cloudbasierte Archivierungslösungen sind oft zertifiziert und entsprechen spezifischen gesetzlichen Anforderungen, was bei USB-WORM-Sticks möglicherweise nicht der Fall ist. Dies könnte ihre Akzeptanz und somit die Berichterstattung darüber beeinträchtigen.

Diese Faktoren könnten erklären, warum USB-WORM-Sticks in der Diskussion um revisionssichere Archivierungslösungen für E-Rechnungen weniger Beachtung finden.

Beiträge zu dem Thema im Internet:

• Digitalzentrum Augsburg
• NT4Admins
• Storage Consortium

Wenn man im Gegensatz zu einem USB-WORM-Stick eine zertifizierte cloudbasierte Archivlösung verwendet, benötigt man dann keine Audit-Logs und Zugriffsbeschränkungen?

Auch bei einer zertifizierten cloudbasierten Archivlösung sind Audit-Logs und Zugriffsbeschränkungen erforderlich, um die Anforderungen an die revisionssichere Archivierung zu erfüllen. Diese Anforderungen gelten unabhängig davon, ob man eine Cloud-Lösung oder ein lokales Speichermedium wie einen USB-WORM-Stick verwendet. Der Unterschied liegt darin, dass bei Cloud-Lösungen diese Funktionen oft vom Anbieter integriert und automatisiert bereitgestellt werden, während man bei einem USB-WORM-Stick oder anderen lokalen Lösungen selbst für die Umsetzung verantwortlich ist.

Warum Audit-Logs und Zugriffsbeschränkungen notwendig sind

• Audit-Logs:
  • Sie dokumentieren sämtliche Zugriffe und Änderungen an den gespeicherten Daten.
  • Bei E-Rechnungen müssen Zugriffe nachvollziehbar sein, um Manipulationen auszuschließen.
  • Cloud-Lösungen führen solche Logs automatisch und stellen sie in der Regel bei Bedarf bereit.
• Zugriffsbeschränkungen:
  • Nicht jeder Mitarbeiter darf auf alle archivierten Daten zugreifen können.
  • Zugriffskontrollen stellen sicher, dass nur autorisierte Personen Rechnungen einsehen oder bearbeiten können.
  • In Cloud-Systemen werden solche Berechtigungen oft durch Benutzerkonten und Rollenmanagement gesteuert.

Was ist der Vorteil einer Cloud-Lösung in diesem Kontext?

• Automatisierung und Komfort:
  • Anbieter zertifizierter Cloud-Lösungen implementieren diese Anforderungen standardmäßig, sodass man sich nicht selbst darum kümmern muss.
  • Funktionen wie revisionssichere Speicherung, Audit-Logs und Zugriffsbeschränkungen sind in den meisten professionellen Archivsystemen integriert.
• Zertifizierung:
  • Cloud-Lösungen sind oft GoBD- und DSGVO-konform zertifiziert, was den Nachweis der Einhaltung erleichtert.
  • Bei einer Prüfung durch Behörden kann man sich auf die Zertifikate und Funktionen des Anbieters berufen.

Was bedeutet das im Vergleich zum USB-WORM-Stick?

• Bei einem USB-WORM-Stick kann man zwar sicherstellen, dass die gespeicherten Daten nicht verändert werden (dank WORM-Technologie), aber:
  • Audit-Logs und Zugriffskontrollen müssen manuell dokumentiert und umgesetzt werden, z. B. durch Protokollierung der Zugriffe oder physische Sicherung des Sticks.
  • Ohne diese zusätzlichen Maßnahmen könnte ein USB-WORM-Stick alleine nicht alle Anforderungen an die revisionssichere Archivierung erfüllen.

Zusammenfassung

Egal ob Cloud-Lösung oder USB-WORM-Stick:

• Audit-Logs und Zugriffsbeschränkungen sind immer notwendig.
• Bei Cloud-Lösungen übernimmt der Anbieter diese Funktionen, bei lokalen Lösungen wie dem USB-WORM-Stick ist man selbst verantwortlich.

Wie kann ein Archiv-Anbieter einen Audit-Log und eine Bescheinigung über Zugriffsbeschränkungen über die Benutzung in meinem Betrieb machen?

ein Archiv-Anbieter kann zwar technische Mechanismen zur Verfügung stellen, wie z. B. Audit-Logs und Zugriffsbeschränkungen, aber die tatsächliche Nutzung und Einhaltung der Vorgaben innerhalb deines Betriebs liegt in eigener Verantwortung. Der Anbieter kann lediglich sicherstellen, dass die notwendigen Werkzeuge und Funktionen bereitgestellt werden, damit man die Anforderungen erfüllen kann.

1. Wie der Anbieter Audit-Logs bereitstellt

Ein Anbieter stellt in der Regel ein technisches System bereit, das alle relevanten Aktionen automatisch protokolliert:

• Was protokolliert wird:
  • Zugriffe: Wer hat wann auf welche Daten zugegriffen?
  • Änderungen: Welche Aktionen wurden durchgeführt (z. B. Speichern, Löschen, Exportieren)?
  • Fehler: Wurden unbefugte Zugriffsversuche oder andere sicherheitsrelevante Ereignisse erkannt?
• Bereitstellung der Logs:
  • Die Audit-Logs können in einem Dashboard oder als Datei-Export bereitgestellt werden.
  • Man kann diese Daten bei Bedarf prüfen oder zur Verfügung stellen (z. B. bei einer GoBD-Prüfung).

Beispiel: Ein Anbieter könnte sagen: „Wir protokollieren jeden Zugriff mit Benutzername, IP-Adresse und Datum/Uhrzeit. Die Logs stehen Ihnen jederzeit zur Einsicht zur Verfügung.“

2. Zugriffsbeschränkungen durch den Anbieter

Der Anbieter stellt die technischen Mittel bereit, damit man die Zugriffsrechte in seinem Betrieb umsetzen kann:

• Benutzerrollen und Berechtigungen:
  • Man kann Benutzerkonten anlegen und Rollen definieren (z. B. „Administrator“, „Buchhalter“, „Leseberechtigung“).
  • Der Anbieter sorgt dafür, dass die Daten nur für autorisierte Benutzer zugänglich sind.
• Passwortschutz und 2-Faktor-Authentifizierung (2FA):
  • Der Anbieter implementiert technische Schutzmechanismen, um unbefugte Zugriffe zu verhindern.
• Rechtemanagement:
  • Man kann einstellen, welche Benutzer welche Daten sehen oder bearbeiten dürfen.

Beispiel: Der Anbieter stellt ein Benutzerportal bereit, in dem man als Administrator die Rechte seiner Mitarbeiter verwalten kann. Er protokolliert alle Änderungen an den Benutzerrechten.

3. Was der Anbieter NICHT garantieren kann

Der Anbieter kann nicht überwachen oder garantieren, wie man die bereitgestellten Funktionen in deinem Betrieb einsetzt:

• Einhaltung der Zugriffsbeschränkungen: Es liegt an Ihnen, sicherzustellen, dass nur berechtigte Personen Zugang zu den Benutzerkonten haben.
• Schulung der Mitarbeiter: Der Anbieter kann nicht garantieren, dass alle Benutzer in einem Unternehmen die Sicherheitsstandards einhalten (z. B. keine Weitergabe von Passwörtern).

Beispiel: Wenn ein Mitarbeiter sein Passwort weitergibt und ein unbefugter Dritter daraufhin Zugriff erhält, kann der Anbieter dies nicht verhindern.

4. Bescheinigung des Anbieters

Ein seriöser Anbieter kann Bescheinigungen oder Zertifikate über die Einhaltung von Standards ausstellen:

• Zertifikate für die Plattform:
  • Der Anbieter kann ein Zertifikat für GoBD- oder ISO-27001-Konformität vorlegen, das die Sicherheit und Revisionsfähigkeit seiner Plattform bestätigt.
• Erklärungen zur Einhaltung:
  • Der Anbieter kann schriftlich bestätigen, dass alle Zugriffe und Aktionen protokolliert werden und dass technische Zugriffsbeschränkungen korrekt umgesetzt sind.
• Zugriff auf Audit-Logs:
  • Der Anbieter kann garantieren, dass die Logs vollständig zur Verfügung gestellt werden, sodass man diese im Prüfungsfall nutzen kann.

5. Was man in seinem Betrieb tun muss

Auch mit einem zertifizierten Anbieter liegt die Verantwortung für die praktische Umsetzung bei Ihnen:

• Zugriffskontrollen implementieren: Man muss sicherstellen, dass nur autorisierte Personen Benutzerkonten erhalten.
• Audit-Logs prüfen: Nutzen Sie die bereitgestellten Logs, um unbefugte Zugriffe oder ungewöhnliche Aktivitäten zu erkennen.
• Interne Prozesse dokumentieren: Halten Sie schriftlich fest, wie die Zugriffskontrollen und Prüfungen im Unternehmen durchgeführt werden.

Zusammenfassung

Ein Anbieter kann:

• Sicherstellen, dass alle Zugriffe und Aktionen protokolliert werden (Audit-Logs).
• Technische Zugriffsbeschränkungen bereitstellen, die man in seinem Unternehmen nutzen kann.
• Zertifikate und Bescheinigungen über die Konformität der Plattform ausstellen.

Ein Anbieter kann jedoch nicht:

• Überwachen, wie Zugriffsbeschränkungen in einem Betrieb tatsächlich umgesetzt werden.
• Garantieren, dass alle Mitarbeiter die Vorgaben einhalten.

Die Kombination aus einem zuverlässigen Anbieter und sorgfältig umgesetzten internen Prozessen ist entscheidend, um die Anforderungen der revisionssicheren Archivierung zu erfüllen.