Was bedeutet revisionssichere Archivierung eigentlich?

Merkmale revisionssicherer Systeme

Der Begriff revisionssicher wird häufig verwendet, doch was steckt wirklich dahinter? In Deutschland gibt es keine einheitliche gesetzliche Definition. Stattdessen leiten sich die Anforderungen aus verschiedenen gesetzlichen Grundlagen ab, insbesondere aus dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO), sowie den GoBS (Grundsätze ordnungsgemäßer DV-gestützter Buchführungssysteme) und der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form).

Ein revisionssicheres Archivierungssystem muss insbesondere folgende Anforderungen erfüllen:

• Vollständigkeit: Alle relevanten Informationen müssen lückenlos erfasst und gespeichert werden.
• Unveränderbarkeit: Einmal archivierte Dokumente dürfen nicht mehr verändert oder gelöscht werden.
• Schutz vor Verlust und Verfälschung: Die Informationen müssen gegen unberechtigte Zugriffe, Manipulation und Datenverlust gesichert sein.
• Einhaltung der Aufbewahrungsfristen: Die archivierten Dokumente müssen für den gesetzlich vorgeschriebenen Zeitraum vorgehalten werden.
• Lesbarkeit und Zugriff: Dokumente müssen bei Bedarf lesbar, auffindbar und reproduzierbar sein – auch noch Jahre nach der Archivierung.
• Nachvollziehbarkeit: Änderungen und Zugriffe müssen lückenlos protokolliert werden, um die Prüfbarkeit sicherzustellen.

Gesetzliche Grundlagen und GoBD-Anforderungen

Die Revisionssicherheit betrifft vor allem steuerrechtlich und handelsrechtlich relevante Dokumente. Hierzu zählen unter anderem Rechnungen, Angebote, Verträge, Buchungsbelege oder steuerrelevante E-Mails. Welche Dokumente wie lange aufbewahrt werden müssen, hängt von ihrer rechtlichen Relevanz ab.

Die GoBD formulieren dabei nicht nur technische Anforderungen, sondern fordern auch die Etablierung geeigneter organisatorischer Maßnahmen. Diese beinhalten zum Beispiel:

• die Erstellung einer Verfahrensdokumentation,
• die Regelung von Zugriffsrechten,
• die Protokollierung aller Änderungen und Archivierungsprozesse,
• sowie die Integration in bestehende Geschäftsprozesse.

Damit wird klar: Eine technische Lösung allein mit z.B. Microsoft SharePoint reicht nicht aus. Erst die Kombination aus Technologie, organisatorischen Richtlinien und bewährten Verfahren macht eine Archivierung wirklich revisionssicher.

Ist Microsoft SharePoint revisionssicher einsetzbar?

SharePoint allein reicht nicht aus

Viele Unternehmen nutzen Microsoft SharePoint bereits intensiv für die Zusammenarbeit und das Dokumentenmanagement. Es liegt daher nahe, SharePoint auch als Grundlage für eine Archivierungslösung zu betrachten. Doch hier ist Vorsicht geboten: Kein SharePoint, egal ob On-Premises oder Online, ist von Haus aus revisionssicher.

Das gilt unabhängig davon, ob es sich um MOSS 2007, SharePoint 2013, 2016, 2019 oder SharePoint Online handelt. Revisionssicherheit entsteht nicht durch den Einsatz eines bestimmten Tools, sondern durch eine Kombination aus technischen, organisatorischen und prozessualen Maßnahmen.

Kurz gesagt: SharePoint kann Bestandteil einer revisionssicheren Archivierungslösung sein, ist jedoch nicht automatisch revisionssicher.

Rolle von Prozessen und organisatorischen Maßnahmen

Oft liegt der Fokus von DMS-Projekten auf der Technik: Versionierung, Metadaten, Workflows, Benutzerberechtigungen. Doch die eigentlichen Anforderungen an die Revisionssicherheit sind technikunabhängig.

Damit eine Lösung als revisionssicher gelten kann, müssen klare Prozesse definiert und dokumentiert sein. Dazu gehört zum Beispiel:

• Wer darf archivieren?
• Wann wird archiviert – manuell oder automatisch?
• Welche Dokumente unterliegen der Archivierungspflicht?
• Wie wird sichergestellt, dass archivierte Inhalte nicht verändert werden?
• Wie lange und auf welchem Medium werden die Daten gespeichert?

Ebenso wichtig: Die Einbindung der internen oder externen Revision. Nur so lässt sich bereits in der Konzeptionsphase sicherstellen, dass die Lösung später einem Audit standhält.

Empfehlung

Bevor Sie SharePoint zur revisionssicheren Archivierung einsetzen, sollten folgende Fragen beantwortet sein:

• Gibt es bereits bestehende Archivierungslösungen im Unternehmen?
• Welche rechtlichen und internen Anforderungen gelten?
• Ist eine Kombination mit WORM-Speichern oder Drittanbieter-Tools geplant?
• Ist die Aufbewahrung langfristig auch bei SharePoint Migrationen sichergestellt?

Die revisionssichere Archivierung ist keine rein technische Entscheidung. Sie erfordert strategisches Vorgehen, rechtliches Verständnis und Prozessdisziplin.

Welche Dokumente müssen archiviert werden – und wie lange?

Gesetzliche versus unternehmensinterne Vorgaben

Die zentrale Frage jeder Archivierungsstrategie lautet: Welche Dokumente unterliegen überhaupt einer Aufbewahrungspflicht? Und: Wie lange müssen sie aufbewahrt werden? Die Antwort hängt stark vom rechtlichen Kontext und den internen Unternehmensrichtlinien ab.

Es existieren unterschiedliche Quellen für die Pflicht zur Archivierung:

Gesetzliche Aufbewahrungspflichten (Legal Compliance)

Diese sind in Deutschland unter anderem geregelt durch:

• Abgabenordnung (AO) – für steuerlich relevante Dokumente
• Handelsgesetzbuch (HGB) – für handelsrechtlich relevante Dokumente
• Produkthaftungsgesetz (ProdHaftG) – für produkthaftungsrelevante Dokumente

Beispiele für aufbewahrungspflichtige Unterlagen:

• Eingangs- und Ausgangsrechnungen
• Handels- und Geschäftsbriefe
• Verträge und Angebotsunterlagen
• Konstruktions- oder Herstellungsdokumentation (im Produktkontext)
• Buchungsbelege und Jahresabschlüsse

Typische Aufbewahrungsfristen:

• Buchungsbelege, Rechnungen: 10 Jahre (AO §147)
• Handelsbriefe (ein- & ausgehend): 6 Jahre (HGB §257)
• Produkthaftungsrelevante Unterlagen: 10+ Jahre (ProdHaftG, je nach Risiko)

Unternehmensrichtlinien (Corporate Compliance)

Unabhängig von gesetzlichen Vorgaben können Unternehmen eigene Archivierungsregeln definieren, z. B.:

• Längere Aufbewahrungsfristen für bestimmte Dokumente
• Archivierung zusätzlicher Unterlagen ohne gesetzliche Pflicht
• Branchenspezifische Anforderungen (z. B. Pharma, Bau, Maschinenbau)

Hier ist eine enge Zusammenarbeit mit den Fachabteilungen und der Rechtsabteilung essenziell. Auch Betriebsvereinbarungen oder internationale Regularien (z. B. DSGVO, FDA 21 CFR Part 11) können relevant sein.

Wann beginnt die Aufbewahrungsdauer?

Ein weitverbreiteter Irrtum ist die Annahme, dass die Aufbewahrungsfrist mit der Archivierung beginnt. Tatsächlich beginnt sie oft mit dem Schluss des Kalenderjahres der letzten Bearbeitung oder einem konkreten Ereignis, wie z. B.:

• Letzter Buchungsvorgang bei steuerrelevanten Dokumenten
• Abschluss der Herstellung bei produktbezogenen Unterlagen

Fazit

Eine revisionssichere Archivierungslösung muss nicht nur technisch stabil, sondern auch juristisch korrekt und organisatorisch verankert sein. Der erste Schritt ist stets: Klarheit schaffen, welche Dokumente betroffen sind und wie lange sie erhalten bleiben müssen.

SharePoint als technische Basis für Archivierung

Vorteile und Funktionen im DMS-Kontext

Microsoft SharePoint ist in vielen Unternehmen längst mehr als nur eine Plattform für Teamwebsites oder Intranets. Es hat sich als leistungsfähiges Dokumentenmanagementsystem (DMS) etabliert, dass sich mit umfangreichen Funktionen auch für Archivierungszwecke nutzen lässt.

Zu den zentralen Stärken von SharePoint im Kontext der Dokumentenverwaltung zählen:

• Dokumentenbibliotheken und Listen zur strukturierten Ablage
• Metadaten zur gezielten Kategorisierung und Wiederauffindbarkeit
• Versionierung, um Dokumentenhistorien nachvollziehbar zu machen
• Inhaltstypen zur standardisierten Verwaltung verschiedener Dokumentenarten
• Zugriffssteuerung und Rechtekonzepte
• Suche mit Filterfunktionen auf Basis von Metadaten
• Workflows für Genehmigungen, Freigaben oder automatische Abläufe
• Office-Integration, z. B. mit Word, Excel, Outlook und Teams
• Webbasierter Zugriff auch mobil, ideal für dezentrale Teams
• Anpassbarkeit durch Add-ins, Power Automate oder Drittanbieter-Integrationen

Diese Funktionen bilden eine solide Grundlage, um SharePoint auch für Archivierungsprozesse einzusetzen, vor allem, wenn bereits bestehende Infrastrukturen und Nutzergewohnheiten berücksichtigt werden sollen.

Office-Integration, Metadaten, Workflows & Co.

Besonders im Zusammenspiel mit Microsoft 365 bietet SharePoint Möglichkeiten, um Archivierung nahtlos in bestehende Workflows zu integrieren:

• Automatische Archivierung nach Freigabeprozessen
• Klassifizierung von Dokumenten via Metadaten zur Bestimmung von Aufbewahrungsfristen
• Nutzung von Power Automate zur Ablage auf spezielle Archivspeicher
• Automatische Protokollierung relevanter Ereignisse im Dokumentenlebenszyklus

Durch die vorhandene Nutzerakzeptanz und die weitreichende Verbreitung von SharePoint im Unternehmen entfallen oft lange Schulungsphasen. Zudem lassen sich bestehende Sicherheits- und Rechtekonzepte weiterverwenden.

Aber: SharePoint ≠ Archivsystem

Trotz aller Vorteile gilt: SharePoint ist kein Archivsystem im engeren Sinne. Es fehlen out-of-the-box essenzielle Funktionen wie:

• Unveränderbare Speicherung auf WORM-Medien
• Automatische Fristenüberwachung und Löschkonzepte
• Auditfeste Protokollierung sämtlicher Archivvorgänge

Wer SharePoint für die revisionssichere Archivierung einsetzen möchte, muss daher gezielt ergänzende Maßnahmen oder Tools einplanen, etwa über:

• Drittsysteme für Archivspeicherung
• Anbindung an zertifizierte Speicherlösungen
• Custom Workflows mit automatisierten Prüfmechanismen

Strategien zur Umsetzung einer revisionssicheren Archivierung

Archivierungsmethoden: WORM, Datenbanken, Mischformen

Für eine revisionssichere Archivierung mit Microsoft SharePoint reicht die bloße Ablage von Dateien nicht aus. Entscheidend ist die Auswahl der richtigen technischen Strategie abgestimmt auf bestehende Infrastruktur, Compliance Anforderungen und Datenvolumen. Es gibt drei Grundtypen von Archivierungslösungen:

Dateisystembasierte Archivierung

Hierbei werden Dokumente oft mit Unterstützung von WORM-Speichern (Write Once, Read Many) samt Metadaten in ein spezielles Dateisystem archiviert. Diese Technologie verhindert nachträgliche Änderungen oder Löschungen und bietet so ein hohes Maß an Unveränderbarkeit.

Vorteile:

• Hohe Kompatibilität mit bestehenden Systemen
• Besonders manipulationssicher bei Einsatz von WORM

Datenbankbasierte Archivierung

In dieser Variante erfolgt die Archivierung inklusive aller Dokumente und Metadaten vollständig in einer Datenbank. Der Schutz erfolgt hier nicht über das Speichermedium, sondern durch die Archivierungssoftware selbst.

Vorteile:

• Flexible Abfragen und Analysen
• Zentrale Verwaltung aller Archivdaten

Nachteil:

• Höhere technische Anforderungen an Integrität und Sicherung

Mischformen (hybride Archivsysteme)

Diese kombinieren die Vorteile beider Ansätze: Die Dokumente werden im Dateisystem gespeichert, während die Metadaten in einer separaten Referenzdatenbank abgelegt werden. Wichtig ist, dass der Zugriff ausschließlich über die gesicherte Datenbank erfolgt, da sonst die Gefahr besteht, dass archivierte Informationen verändert werden können.

Beispielhafte Anforderungen und Entscheidungsfragen

Die Auswahl der passenden Strategie hängt von zahlreichen Faktoren ab. Folgende Fragen helfen bei der Konzeption:

• Welche Dokumente sind zu archivieren und in welchem Volumen?
• Welche Speichermedien stehen zur Verfügung? (z. B. lokale Speicher, Cloud, zertifizierte WORM-Systeme)
• Ist eine Konvertierung des Dateiformats notwendig? (z. B. PDF/A zur Sicherstellung langfristiger Lesbarkeit)
• Wie soll mit Metadaten umgegangen werden? (Welche müssen gespeichert werden? Wie lange?)
• Wann beginnt die Aufbewahrungsdauer und was passiert nach Ablauf?
• Soll archiviert oder nur verlinkt werden?
• Wer darf archivieren?
• Wie archivieren wir – manuell oder automatisiert?
• Wie erfolgt der Zugriff auf archivierte Dokumente?

Diese Punkte müssen frühzeitig in enger Abstimmung mit IT, Fachabteilungen, Datenschutz, Rechtsabteilung und Revisionsstellen in der Projektphase geklärt werden.

Typische Missverständnisse & Stolperfallen

Die revisionssichere Archivierung ist ein sensibles Thema und in vielen Unternehmen mit Fehlannahmen verbunden, die Projekte unnötig verzögern oder gar scheitern lassen können. Im Folgenden räumen wir mit gängigen Mythen auf und zeigen, worauf wirklich zu achten ist.

Seitdem wir SharePoint im Einsatz haben, müssen wir archivieren

Diese Aussage ist schlicht falsch. Die Pflicht zur Archivierung ergibt sich nicht aus der eingesetzten Technologie, sondern aus gesetzlichen und organisatorischen Anforderungen. Ob ein Dokument in SharePoint, auf dem Fileserver oder lokal gespeichert ist, sobald es aufbewahrungspflichtig ist, muss es ordnungsgemäß archiviert werden.

Die Aufbewahrungsdauer beginnt mit der Archivierung

Auch das ist ein verbreiteter Irrtum. Tatsächlich beginnt die Frist in der Regel nicht mit dem Archivierungszeitpunkt, sondern mit einem klar definierten Ereignis, etwa:

• dem Ende des Kalenderjahres der letzten Bearbeitung (bei steuerlichen Dokumenten)
• dem Abschluss der Herstellung (bei produktbezogenen Dokumenten)

Wer zu spät archiviert, riskiert eine Verkürzung der tatsächlichen Aufbewahrungszeit und damit mögliche rechtliche Konsequenzen.

Die Anwender sollen Dokumente archivieren

Ein verständlicher Wunsch, aber organisatorisch riskant. Wenn Endanwender selbst über Archivierungszeitpunkt, Metadaten oder Aufbewahrungsdauer entscheiden sollen, steigt das Fehlerpotenzial erheblich. Deshalb gilt:

Besser: Zentrale Archivierungsregeln und automatisierte Prozesse.

Zum Beispiel über:

• Freigabe Workflows mit Archivierungstrigger
• Vordefinierte Metadaten-Tags
• Rollenbasierte Rechtevergabe

Es gibt revisionssichere Archivierungsprodukte zu kaufen

Auch das greift zu kurz. Kein Produkt ist per se revisionssicher, nur eine Gesamtlösung aus Technik, Prozessen und Governance kann dies leisten. Selbst spezialisierte Archivsysteme benötigen klare organisatorische Rahmenbedingungen, um GoBD-konform zu sein.

PDF/A-Konvertierung ist verlustfrei

PDF/A gilt als Standardformat für die Langzeitarchivierung, doch auch hier lauern Fallstricke. Bei der Konvertierung aus Office Dokumenten kann es zu Informationsverlusten oder Verfälschungen kommen:

• Dynamische Inhalte (z. B. aktuelles Datum) werden zum Zeitpunkt der Konvertierung eingefroren
• Externe Inhalte (z. B. eingebettete Objekte) fehlen möglicherweise
• Ausgeblendete Inhalte (z. B. Excel-Formeln) sind nicht mehr sichtbar

Deshalb muss im Projekt geklärt werden:

• Welche Inhalte sind kritisch?
• Wann ist ein Verlust akzeptabel und wann nicht?
• Wie kann Konvertierung automatisiert und kontrolliert erfolgen?

Site Collections sollen archiviert werden

Auch dieser Wunsch taucht häufig auf, ist aber in der Praxis schwer umzusetzen. Denn: Die Lebensdauer einer SharePoint Farm oder eines Microsoft 365 Tenants ist begrenzt. Bei langfristiger Archivierung müssen daher einzelne Inhalte (z. B. Dokumente mit Kontext) extrahiert, strukturiert und gesichert archiviert werden.

Revisionssichere Archivierung mit SharePoint: Unsere Empfehlung

Zentrale Regeln statt Benutzerpflichten

Die Umsetzung einer revisionssicheren Archivierung mit SharePoint ist möglich, aber nur mit einem klaren Konzept. Aus unserer Projekterfahrung ergibt sich ein zentrales Erfolgsprinzip: Automatisierung schlägt manuelle Prozesse.

Warum? Weil Fehler dort entstehen, wo Menschen individuell entscheiden müssen:

• Wird das Dokument überhaupt archiviert?
• Wurde der richtige Zeitpunkt gewählt?
• Stimmen die Metadaten?

Stattdessen empfehlen wir, auf vordefinierte Archivierungsregeln zu setzen, die technisch gesteuert werden, z. B. durch:

• Archivierungsereignisse nach Freigabeprozessen
• Zeitgesteuerte Workflows mit Lösch-/Archivierungs-Triggern
• Klassifizierung über Inhaltstypen und Metadaten
• Integration in Microsoft Power Automate oder Dritttools

So wird die Verantwortung auf Systemebene gehoben und gleichzeitig der Aufwand für die Anwender reduziert.

Kombination aus Technik, Prozessen & Einbindung der Auditoren

Ein technisch sauberes Setup allein reicht nicht. Um echten Revisionsschutz zu gewährleisten, braucht es:

• eine dokumentierte Verfahrensanweisung,
• eine vollständige Systemdokumentation,
• definierte Verantwortlichkeiten (Archivierung, Löschung, Zugriff),
• regelmäßige Schulungen & Awareness-Maßnahmen,
• sowie die Einbindung eines Auditors oder Revisors bereits in der Konzeptionsphase.

Besonders hilfreich: die Orientierung an den 10 Merksätzen des VOI (Verband Organisations- und Informationssysteme), die als praxisnahe Leitlinie für elektronische Archivierung gelten.

Checkliste für Ihre Umsetzung

• Ist geklärt, welche Dokumente wie lange archiviert werden müssen?
• Ist definiert, wann und durch wen archiviert wird?
• Wurde das Zusammenspiel aus technischer Plattform, Speichersystem und Organisation abgestimmt?
• Sind Maßnahmen zur Unveränderbarkeit und Protokollierung vorhanden?
• Wurde ein Auditor oder Revisor einbezogen?

Wenn alle Punkte mit Ja beantwortet werden können, steht Ihnen einer revisionssicheren Archivierung mit Microsoft SharePoint nichts mehr im Wege.