Revisionssichere Archivierung mit SharePoint

Gesetzeskonforme Dokumentenablage in drei Schritten

Anforderungen an die revisionssichere Aufbewahrung von Dokumenten richtig umsetzen

Revisionssicherheit in SharePoint

"Ist SharePoint eigentlich revisionssicher?" - mit dieser Frage beginnen viele DMS-Projekte in Microsoft SharePoint. Für die Beantwortung der Frage ist es unerheblich, ob MOSS 2007, SharePoint 2010, SharePoint 2013, SharePoint 2016, SharePoint 2019 oder SharePoint Online eingesetzt wird, die Antwort ist immer die gleiche:

Revisionssicherheit ist eine Kombination aus technischen Lösungen und organisatorischen Maßnahmen, daher kann ein Produkt alleine nicht revisionssicher sein.

Zusammenspiel technischer und organisatorischer Maßnahmen

Revisionssicherheit lässt sich nicht allein durch den Einsatz einer bestimmten technischen Lösung oder eines bestimmten Produkts erreichen. Entscheidend ist vielmehr die Kombination aus technischen Lösungen und den dazugehörigen organisatorischen Maßnahmen. Das bedeutet auch: SharePoint kann die technische Grundlage für die Aufbewahrung von Dokumenten bilden. Ob Dokumente tatsächlich revisionssicher archiviert werden, hängt jedoch ebenso davon ab, wie die Lösung im Unternehmen eingesetzt und organisatorisch umgesetzt wird.

Bedeutung der richtigen Nutzung

Die beste technische Lösung taugt nichts, wenn sie falsch bedient oder nicht genutzt wird. Neben der technischen Umsetzung spielt deshalb auch der Umgang mit der jeweiligen Lösung eine wichtige Rolle. Für eine revisionssichere Archivierung mit SharePoint muss daher geklärt werden, wie Dokumente aufbewahrt werden und welche organisatorischen Maßnahmen dafür erforderlich sind.

Ordnungsgemäße Aufbewahrung relevanter Dokumente

Revisionssichere Archivierung = Relevante Dokumente sind ordnungsgemäß aufzubewahren!

Im Folgenden möchten wir kurz aufzeigen, welche Grundfragen zu klären sind, um ohne Umwege zu einer revisionssicheren Archivierungslösung auf Basis SharePoint zu kommen.

Prüfung der Aufbewahrungspflicht

Im ersten Schritt ist zu klären, ob für Dokumente, die in SharePoint liegen oder dort abgelegt werden sollen, eine Aufbewahrungspflicht besteht.

Gesetzliche Aufbewahrungspflichten für Dokumente

Zum einen gibt es gesetzlich vorgegebene Aufbewahrungspflichten für Dokumente. Dazu gehören beispielsweise Dokumente im Zusammenhang mit der Produkthaftung oder Finanzdokumente gemäß Handelsgesetzbuch. Entsprechend muss zunächst geprüft werden, welche der in SharePoint vorhandenen oder zukünftig dort abgelegten Dokumente von solchen gesetzlichen Aufbewahrungspflichten betroffen sind.

Berücksichtigung zusätzlicher Unternehmensrichtlinien

Neben den gesetzlichen Vorgaben kann es zusätzliche Unternehmensrichtlinien geben, wonach auch weitere Dateien aufbewahrt werden müssen. Damit beschränkt sich die Prüfung nicht ausschließlich auf gesetzlich vorgeschriebene Dokumente. Auch interne Vorgaben des Unternehmens können bestimmen, welche Dokumente aufzubewahren sind. Ansprechpartner hierfür ist üblicherweise der "Herr der Daten". Im Zweifel kann eine Revision oder ein internes / externes Auditing Klarheit schaffen.

Festlegung der Aufbewahrungsanforderungen

Im zweiten Schritt ist zu klären, wie die aufbewahrungspflichtigen Dokumente konkret aufbewahrt werden. Dazu gibt es keine gesetzlichen Vorgaben, sondern lediglich Grundregeln, wie z. B. die GoDB - Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff.

Umsetzung grundlegender Anforderungen

Im Prinzip müssen folgende Grundanforderungen umgesetzt werden:

Unveränderbarkeit, Vollständigkeit und Richtigkeit
Zugriff und Lesbarkeit
Nachvollziehbarkeit und Nachprüfbarkeit

Diese Anforderungen bilden die Grundlage dafür, wie die Aufbewahrung der relevanten Dokumente im Unternehmen ausgestaltet werden muss.

Definition der konkreten Aufbewahrung

Das Unternehmen muss definieren, wie Dokumente aufbewahrt werden, damit die Grundanforderungen erfüllt sind. Folgende Fragestellungen können helfen:

In welcher Form sollen die Dokumente aufbewahrt werden (Original, Konvertierung)?
In welchem Medium dürfen die Dokumente aufbewahrt werden (Fileserver, Datenbank)?
Wer soll Zugriff auf die aufbewahrten Dokumente haben?
Welche Metadaten werden benötigt, um die Dokumente später zu finden?

Festlegung der Aufbewahrungsdauer

Neben Form, Medium, Zugriff und Metadaten muss auch die Dauer der Aufbewahrung berücksichtigt werden. Sofern diese nicht gesetzlich vorgegeben ist, muss daher geklärt werden, wie lange die Dokumente aufbewahrt werden müssen.

Technische Lösung

Nachdem geklärt wurde, ob und wie Dokumente aufbewahrt werden müssen, kann die Evaluierung entsprechender technischer Lösungen erfolgen.

Festlegung der funktionalen Anforderungen

Typische funktionale Anforderungen sind:

Manuell und ereignisgesteuerte Archivierung
Definition der Aufbewahrungsdauer, bzw. Verlängerung der Aufbewahrungsdauer
Unveränderbare Speicherung der Dokumente, ggf. Überführung auf ein anderes Speichermedium
Zugriff auf archivierte Dokumente über Metadaten, Links oder über die Suche
Konvertierung der Dateien in quelloffene Formate, um die Lesbarkeit sicherzustellen

Damit werden die zuvor definierten Anforderungen an die Aufbewahrung in konkrete Funktionen der technischen Lösung übertragen.

Berücksichtigung nicht funktionaler Kriterien

Neben funktionalen Anforderungen können auch nicht funktionale Kriterien für die Auswahl einer Lösung relevant sein:

Kostenentwicklung bezogen auf die gesamte Aufbewahrungsdauer
Zukunftsträchtigkeit der Lösung - kann in Zukunft auf andere Lösungen/Speichermedien gewechselt werden?
Integrierbarkeit in bestehende Archivlösungen

Diese Kriterien sollten bei der Evaluierung der technischen Lösung ebenfalls berücksichtigt werden.

Klärung der organisatorischen Umsetzung

Unabhängig von der technischen Lösung und dem Betrieb müssen auch organisatorische Themen definiert werden.

Wie wird sichergestellt, dass alle relevanten Dokumente über die Lösung archiviert werden?
Wie wird sichergestellt, dass relevante Metadaten korrekt befüllt sind?
Wer prüft die Aufbewahrungsdauer und was passiert nach Ablauf der Aufbewahrungsdauer?

Aufbewahrung mit SharePoint und Microsoft 365

Während sich die Funktionen zur Aufbewahrung von Dokumenten in SharePoint on-premise primär auf Recordsmanagement Funktionen in SharePoint, bzw. auf 3rd Party Produkte beschränken, bietet Office 365 hierzu weit mehr Funktionen an.

Nutzung der Recordsmanagement Funktionen

Für die Aufbewahrung von Dokumenten in SharePoint on-premise stehen primär die entsprechenden Recordsmanagement Funktionen in SharePoint zur Verfügung. Je nach Anforderungen können darüber hinaus 3rd Party Produkte für die Umsetzung eingesetzt werden.

Zentrale Definition von Retention Labels

Durch die Nutzung der Office 365 Retention Labels über das Office 365 Security & Compliance Center können entsprechende Labels zentral definiert werden. Damit lassen sich die für die Aufbewahrung vorgesehenen Labels zentral bereitstellen und verwalten. Die zentral definierten Labels können anschließend den Sites zugewiesen werden. Ob nach Projektende alles richtig gemacht wurde, sollte im Rahmen eines Audits geprüft werden.

Wie netunite Sie unterstützt

Eine revisionssichere Archivierung erfordert das Zusammenspiel aus technischen Lösungen und organisatorischen Maßnahmen. netunite unterstützt Sie bei der Konzeption und Umsetzung einer passenden Lösung auf Basis von SharePoint und Microsoft 365.

Analyse der Anforderungen

Wir analysieren gemeinsam mit Ihnen, welche Dokumente aufbewahrt werden müssen und welche Anforderungen an Aufbewahrung, Zugriff und Nachvollziehbarkeit bestehen.

Konzeption der Archivierungslösung

Auf Basis der Anforderungen entwickeln wir ein geeignetes Konzept für die Dokumentenaufbewahrung und berücksichtigen dabei die technischen sowie organisatorischen Rahmenbedingungen.

Umsetzung in Microsoft 365

Wir unterstützen Sie bei der technischen Umsetzung der definierten Anforderungen in SharePoint und Microsoft 365 sowie bei der Integration in Ihre bestehende Umgebung.