Was ist ein WORM-Speicher?

Einfach erklärt

WORM steht für „Write Once, Read Many“, auf Deutsch: einmal schreiben, beliebig oft lesen. Früher waren das Datenträger, die sich nur einmal beschreiben ließen, etwa eine CD-R. Heute ist es meist eine Einstellung in einem Speicherdienst: Zu jeder Datei wird ein Datum hinterlegt, bis zu dem sie gesperrt ist. Bis dahin kann niemand sie überschreiben oder löschen, in der strengsten Einstellung nicht einmal der Administrator. Das gleicht einem Tresor mit Zeitschloss.

Wofür das gut ist

• Belege lassen sich nachweislich nicht nachträglich verändern.
• Ein Erpressungstrojaner, siehe Ransomware, kann die gesperrten Fassungen nicht überschreiben.
• Versehentliches Löschen ist ausgeschlossen, solange die Sperre läuft.

Was Sie wissen sollten

Die GoBD verlangen keinen WORM-Speicher. Unveränderbarkeit lässt sich auch mit Software herstellen, etwa über Protokolle und Versionen. Auch organisatorische Mittel wie ein Rechtekonzept zählen. WORM ist eine von mehreren Möglichkeiten und dort sinnvoll, wo Sie sich nicht allein auf Rechte verlassen wollen. Eine einfache Dateiablage auf dem Server genügt ohne weitere Maßnahmen dagegen regelmäßig nicht. Mehr dazu steht im Beitrag zu den GoBD.

Was WORM nicht kann

Eine Sperre schützt vor Änderung, nicht vor dem Verlust des ganzen Speichers. Ein Backup an einem zweiten Ort bleibt nötig. Auch die Dauer will überlegt sein: Ist die Sperre länger als die Aufbewahrungsfrist, lassen sich Daten nicht löschen, wenn der Datenschutz es verlangt. Welche Frist für welchen Beleg gilt, zeigt der Aufbewahrungsfristen-Rechner. Die Sperrdauer legen Sie am besten mit Ihrem Steuerberater und bei Personaldaten mit Ihrem Datenschutzbeauftragten fest.

Umsetzungen

• Hardware: einmal beschreibbare optische Medien, Bandkassetten mit WORM-Funktion.
• Software im Speichersystem: Sperrfristen je Datei oder Objekt, etwa S3 Object Lock bei Amazon S3. Auch andere S3-kompatible Speicher bieten Object Lock an.
• Abgrenzung: Die GoBD nennen unveränderbare und fälschungssichere Datenträger nur als eine von drei Möglichkeiten neben Software und Organisation (Rz. 110).

S3 Object Lock

Object Lock wirkt je Objektversion und setzt eingeschaltete Versionierung im Bucket voraus. Gesperrt wird über eine Aufbewahrungsfrist (Retain Until Date) oder einen Legal Hold ohne Ablaufdatum.

• Governance: Wer s3:BypassGovernanceRetention hat, kann die Sperre mit dem Header x-amz-bypass-governance-retention:true aufheben. Geeignet zum Testen.
• Compliance: Niemand, auch nicht der Root-Benutzer, kann die Version vor Ablauf überschreiben oder löschen. Der Modus lässt sich nicht mehr ändern, die Frist nur verlängern.

aws s3api put-object-lock-configuration --bucket belege-archiv \
  --object-lock-configuration '{"ObjectLockEnabled":"Enabled","Rule":{"DefaultRetention":{"Mode":"GOVERNANCE","Years":9}}}'

Typische Fehler

• Frist ab Upload statt ab Jahresende. Die steuerliche Frist beginnt mit dem Schluss des Kalenderjahres (§ 147 Abs. 4 AO). Acht Jahre ab Upload enden bei Buchungsbelegen bis zu einem Jahr zu früh. Außerdem läuft sie nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 AO).
• Compliance-Modus ohne Test. Eine zu lange Frist lässt sich nicht mehr kürzen.
• Delete Marker übersehen. Ein einfaches DELETE ohne Versions-ID setzt einen Löschmarker. Die Datei scheint weg, die gesperrte Version ist noch da. Anwendungen und Lifecycle-Regeln müssen damit umgehen.
• Konto als Schwachstelle. Bei AWS lässt sich ein Objekt im Compliance-Modus vor Fristablauf nur entfernen, indem das ganze Konto gelöscht wird. Root-Zugang mit zweitem Faktor schützen und eine Kopie an einem zweiten Ort halten.

Prüfen

aws s3api get-object-lock-configuration --bucket belege-archiv
aws s3api get-object-retention --bucket belege-archiv --key 2026/RE-0815.pdf