Revisionssicherheit: Warum keine Software allein „revisionssicher" sein kann

„GoBD-zertifiziert", „revisionssicher", „finanzamtskonform" – kaum ein Software-Datenblatt kommt ohne diese Schlagworte aus. Für Entscheider, die ein Dokumentenmanagement einführen wollen, klingt das beruhigend. Es ist aber irreführend. Denn Revisionssicherheit ist keine Eigenschaft, die man kaufen kann. Sie entsteht erst aus dem Zusammenspiel von Technik, Organisation, einer sauberen Verfahrensdokumentation und Prozessen, die im Alltag auch tatsächlich gelebt werden.

Dieser Beitrag erklärt, woher der Begriff stammt, was die rechtlichen Grundlagen konkret verlangen, welche Missverständnisse teuer werden – und wie Sie in drei nachvollziehbaren Schritten dorthin kommen. Ohne Marketing-Versprechen, aber mit den entscheidenden Belegen aus Gesetz und Verwaltungsanweisung.

Was „revisionssicher" wirklich heißt – und was nicht

Der Begriff leitet sich vom lateinischen revidere ab – „wieder ansehen". Gemeint ist die rückblickende Prüfbarkeit: Lässt sich im Nachhinein zweifelsfrei nachweisen, dass alle aufbewahrungspflichtigen Informationen vollständig, unverändert, nachvollziehbar und verfügbar erfasst und aufbewahrt wurden? Genau das ist die Frage, die im Raum steht, wenn eine Betriebs- oder Steuerprüfung kommt.

Wichtig: „Revisionssicher" steht weder im Handelsgesetzbuch noch in der Abgabenordnung noch in den GoBD. Geprägt wurde der Begriff 1992 von Ulrich Kampffmeyer und vom damaligen VOI – Verband Optische Informationssysteme. Schon der Urheber selbst stellte unmissverständlich klar, dass es sich gerade nicht um ein Produktmerkmal handelt:

Die VOI-Definition fasst es ganzheitlich: Revisionssicherheit bezieht sich „nicht nur auf technische Komponenten, sondern auf die gesamte Lösung" – inklusive sicherer Abläufe, der Organisation des Unternehmens, der ordnungsgemäßen Nutzung, des sicheren Betriebs und des Nachweises in einer Verfahrensdokumentation. Wer also nach „der revisionssicheren Software" sucht, stellt die falsche Frage.

Die rechtliche Grundlage: ein Geflecht aus AO, HGB und GoBD

Auch wenn das Schlagwort fehlt – die Anforderungen sind verbindlich. Sie ergeben sich aus einem Zusammenspiel mehrerer Regelwerke: steuerlich aus § 146 und § 147 AO, handelsrechtlich aus § 238, § 239 und § 257 HGB, konkretisiert durch die GoBD (ein Schreiben des Bundesfinanzministeriums) und – für Wirtschaftsprüfer – durch die IDW-Standards FAIT 1 und FAIT 3. Für das Scannen und den langfristigen Beweiswert kommen die BSI-Richtlinien TR-03138 (RESISCAN) und TR-03125 (TR-ESOR) hinzu.

Das Kernstück ist das gesetzliche „Radierverbot". Es verlangt, dass nachträgliche Änderungen erkennbar bleiben müssen:

Ergänzend erlauben § 257 Abs. 3 HGB und § 147 Abs. 2 AO ausdrücklich die elektronische Aufbewahrung auf Datenträgern – vorausgesetzt, die Unterlagen sind während der gesamten Aufbewahrungsfrist verfügbar und können jederzeit innerhalb angemessener Frist lesbar gemacht werden.

Die sechs Grundsätze der GoBD

Die GoBD sind die maßgebliche Konkretisierung. Sie verlangen für jede Buchführung – ob elektronisch oder auf Papier – die Beachtung von sechs Grundsätzen: Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Buchung und Aufzeichnung, Ordnung und Unveränderbarkeit. Maßgeblich ist aktuell die GoBD-Fassung vom 28.11.2019, zuletzt geändert durch die BMF-Schreiben vom 11.03.2024 und 14.07.2025. Letzteres reagierte auf die seit 2025 geltende E-Rechnungspflicht: Bei hybriden Formaten wie ZUGFeRD genügt grundsätzlich die Aufbewahrung des strukturierten XML-Teils – der darf aber nicht durch Formatumwandlung gelöscht werden.

Das teuerste Missverständnis: Unveränderbarkeit ist keine WORM-Pflicht

Ein hartnäckiger Irrtum lautet: „GoBD-konform geht nur mit WORM-Speicher." Das ist falsch – und der Beleg steht direkt in der Verwaltungsanweisung:

Daraus folgen zwei Dinge. Erstens: Das Gesetz ist technologieoffen – Sie dürfen frei wählen, wie Sie Unveränderbarkeit herstellen, solange das Ergebnis trägt. Zweitens: Eine bloße Ordnerstruktur auf einem Server genügt nicht. Die GoBD ziehen sogar den Vergleich zum Papierarchiv: handschriftliche Bücher im verschlossenen Schrank einerseits, elektronische Bücher mit Zugriffsschutz andererseits. Entscheidend ist der nachweisbare Schutz vor unbemerkter Veränderung – nicht die Wahl eines bestimmten Speichermediums.

Technik und Organisation: zwei Seiten derselben Medaille

Revisionssicherheit hat immer zwei Hälften. Die technische Seite sorgt dafür, dass nichts unbemerkt verändert werden kann; die organisatorische Seite sorgt dafür, dass niemand es darf und dass das Vorgehen dokumentiert ist. Fehlt eine der beiden Hälften, fehlt die Revisionssicherheit.

Auf der Technikseite ist heute vor allem S3 Object Lock relevant: Objekte werden für eine definierte Frist gegen Löschen und Überschreiben gesperrt. Im „Compliance"-Modus kann selbst ein Administrator die Daten vor Fristablauf nicht entfernen. Hash-Werte belegen die Integrität jedes einzelnen Dokuments, Versionierung hält Änderungen nachvollziehbar, und Audit-Logs protokollieren jede ändernde Aktion. Weil Aufbewahrungsfristen die Lebensdauer jeder Hard- und Software überdauern, gehört auch die Migrationsfähigkeit dazu – bei jedem Systemwechsel müssen alle Grundsätze erhalten bleiben.

Backup ist kein Archiv

Eine der häufigsten und teuersten Verwechslungen: Backup und Archivierung sind nicht dasselbe. Ein Backup ist die Zeitmaschine für die letzten Stunden oder Tage – es wird laufend überschrieben und ist veränderbar. Ein Archiv ist das fälschungssichere Gedächtnis für die nächsten acht bis zehn Jahre. Wer seine „Archivierung" allein über das tägliche Backup abbildet, erfüllt die GoBD nicht: Backup-Daten lassen sich manipulieren oder fallen nach Ablauf der Rotation einfach weg.

Die Verfahrensdokumentation: das eigentliche Herzstück

Wenn es einen einzigen Hebel gibt, der über Erfolg oder Misserfolg einer Prüfung entscheidet, dann ist es die Verfahrensdokumentation. Die GoBD verlangen sie für jedes datenverarbeitende System:

Sie beschreibt den gesamten Weg eines Dokuments – von der Entstehung über Indizierung, Verarbeitung und Speicherung bis zum Wiederfinden, der Absicherung gegen Verlust und der Reproduktion. Die GoBD nennen vier Bestandteile: eine allgemeine Beschreibung, eine Anwenderdokumentation, eine technische Systemdokumentation und eine Betriebsdokumentation (inklusive internem Kontrollsystem). Entscheidend ist, dass über die gesamte Aufbewahrungsfrist nachweisbar bleibt, dass das dokumentierte Verfahren dem tatsächlich gelebten entspricht – Änderungen sind zu versionieren.

Fehlt die Verfahrensdokumentation oder weicht sie erkennbar von der Praxis ab, kann das im Ernstfall zur teilweisen oder vollständigen Verwerfung der Buchführung führen – mit Hinzu- oder Vollschätzungen als Folge. Das ist der Punkt, an dem aus einem Formalmangel ein finanzielles Risiko wird.

Warum ein „GoBD-Zertifikat" Sie nicht schützt

Hier wird es für Entscheider besonders wichtig, denn an dieser Stelle wird im Vertrieb am meisten versprochen. Die GoBD selbst nehmen Software-Zertifikaten jede rechtliche Schutzwirkung gegenüber dem Finanzamt:

Die Logik dahinter ist zwingend: Ein Zertifikat kann höchstens bescheinigen, dass eine Software bei korrekter Nutzung GoBD-Anforderungen erfüllen könnte. Über Ihre konkrete Implementierung, Parametrisierung, Datenqualität und gelebten Prozesse sagt es nichts – und genau diese Faktoren entscheiden über die Revisionssicherheit. Aus der Prüfungspraxis ist gut dokumentiert, dass vorgelegte „GoBD-Zertifikate" Betriebsprüfer schlicht nicht interessierten und es trotzdem zu Schätzungen kam. Oder wie es ein auf das Thema spezialisierter Steuerberater formuliert: GoBD-Zertifikate werden nicht von der Finanzverwaltung vergeben – deshalb sind Prüfer auch nicht an sie gebunden.

Die ehrliche Einordnung lautet daher: Mit einem als „GoBD-konform" beworbenen System kaufen Sie primär eine Haftungsverschiebung auf den Hersteller, keine Gewähr. Die Revisionssicherheit entsteht in jedem Fall erst durch Konfiguration plus Organisation plus Dokumentation.

Aufbewahrungsfristen 2025/2026: Was sich geändert hat

Mit dem Vierten Bürokratieentlastungsgesetz (BEG IV) wurde die Aufbewahrungsfrist für Buchungsbelege von 10 auf 8 Jahre verkürzt – in Kraft seit dem 1.1.2025, anzuwenden auf alle Belege, deren Frist am 31.12.2024 noch nicht abgelaufen war. Die wichtigsten Fristen im Überblick:

Zwei Sonderfälle sind wichtig: Für Banken, Versicherungen und Wertpapierinstitute wurde die Verkürzung wieder zurückgenommen – dort bleibt es bei 10 Jahren. Und die Frist läuft ohnehin nicht ab, solange die Unterlagen für noch nicht verjährte Steuern relevant sind. In der Praxis raten viele Berater, im Zweifel weiter zehn Jahre aufzubewahren, weil die Verjährungsfrist bei Steuerhinterziehung zehn Jahre beträgt und ältere Belege oft der eigenen Entlastung dienen.

Datenschutz: aufbewahren und löschen zugleich

Auf den ersten Blick widersprechen sich GoBD und DSGVO: Hier langfristige, unveränderbare Aufbewahrung – dort das „Recht auf Vergessenwerden" und der Grundsatz der Speicherbegrenzung. Die Auflösung liefert die DSGVO selbst: Gesetzliche Aufbewahrungspflichten aus AO und HGB gehen den Löschpflichten vor (Art. 17 Abs. 3 DSGVO). Solange Fristen laufen, dürfen die Daten nicht gelöscht werden – danach müssen sie gelöscht werden können.

Praktisch heißt das: Sie brauchen ein Löschkonzept (Orientierung bietet die DIN 66398) und ein Archiv, das fristgerechtes Löschen einzelner Objekte trotz Unveränderbarkeit ermöglicht. Gerade die verkürzten Fristen können sogar zusätzlichen Aufwand bedeuten, weil Löschkonzepte und IT entsprechend angepasst werden müssen.

Digitale Souveränität: Open Source als tragfähiger Baustein

Gerade für technische Betriebe – von der Hausverwaltung über Stadtwerke bis zum Prüfdienstleister – ist digitale Souveränität ein starkes Argument: Daten im eigenen Haus oder bei einem deutschen Hoster, ohne Lizenzbindung. Quelloffene Systeme wie Paperless-ngx machen Dokumente per Texterkennung durchsuchbar, klassifizieren sie automatisch und legen neben dem Original eine PDF/A-Archivkopie ab. Stärken: Auffindbarkeit über Volltext und Schlagworte, Langzeitarchivierung, Versionierung, Audit-Log und volle Datenhoheit.

Ehrlich bleiben muss man bei den Grenzen: Direkt nach der Installation ist Paperless-ngx nicht GoBD-konform, weil normale Benutzer Dokumente löschen können und keine WORM-Funktion eingebaut ist. Es braucht zusätzliche technische und organisatorische Maßnahmen – eingeschränkte Löschrechte, dauerhaft aktiviertes Audit-Log, idealerweise unveränderlichen Speicher (etwa S3 Object Lock) und zwingend eine Verfahrensdokumentation. Eine offizielle Freigabeliste GoBD-konformer Software durch das Finanzministerium gibt es nicht – bei keinem Produkt.

Das Fazit ist damit dasselbe wie für jede proprietäre Lösung: Paperless-ngx ist als Baustein fachlich sinnvoll, als komfortables DMS und als technische Umsetzungsebene der Verfahrensdokumentation. Die Revisionssicherheit entsteht erst durch Konfiguration, Organisation und Dokumentation – egal ob das DMS quelloffen oder zugekauft ist. Genau an dieser Stelle setzen wir an: Wir richten Open-Source-Bausteine auf deutscher Infrastruktur ein und begleiten die organisatorische Seite – nüchtern, ohne Rechtsversprechen.

GoBD-Anforderungen im Überblick

Diese Checkliste fasst zusammen, welche Anforderung wodurch erfüllt wird – und macht sichtbar, dass die Verantwortung am Ende fast immer beim Unternehmen liegt, nicht beim Software-Anbieter.

In drei Schritten zur Revisionssicherheit

Schritt 1 – Bestandsaufnahme

Inventarisieren Sie alle Systeme, in denen steuerrelevante Daten entstehen – nicht nur die Finanzbuchhaltung, sondern ausdrücklich auch Vor- und Nebensysteme wie Fakturierung, Warenwirtschaft, Kasse, E-Mail und DMS. Prüfen Sie für jedes System, ob eine Verfahrensdokumentation existiert. Und klären Sie die entscheidende Frage: Verwechseln Sie aktuell Backup mit Archivierung? Wenn Ihre einzige „Archivierung" das tägliche Backup ist, besteht akuter Handlungsbedarf.

Schritt 2 – Technik absichern

Stellen Sie die Unveränderbarkeit aktiv her: eingeschränkte Lösch- und Änderungsrechte, Versionierung, aktivierte Audit-Logs, bei höherem Schutzbedarf unveränderlicher Speicher. Definieren Sie ein Berechtigungskonzept und ein Löschkonzept, das gesetzliche Aufbewahrungs- und DSGVO-Löschfristen zugleich abbildet. Beim ersetzenden Scannen geben die BSI-Vorgaben (TR-03138) Orientierung – Originale erst nach dokumentierter Qualitätskontrolle vernichten.

Schritt 3 – Organisation verankern

Erstellen Sie die Verfahrensdokumentation mit allen vier Bestandteilen, lassen Sie sie vom Steuerberater prüfen und halten Sie sie versioniert aktuell. Schulen Sie Ihr Team und etablieren Sie ein internes Kontrollsystem mit regelmäßigen Selbstkontrollen – etwa einem quartalsweisen Abgleich zwischen dokumentiertem und gelebtem Prozess. So wird aus einem einmaligen Projekt ein dauerhaft tragfähiger Zustand.

Häufige Fragen zur Revisionssicherheit

Einordnung: Was dieser Beitrag leistet – und was nicht

Die GoBD sind eine Verwaltungsanweisung, kein Gesetz: Sie binden die Finanzverwaltung, ihre Detailauslegung ist aber nicht in jedem Punkt gerichtlich abschließend geklärt. Dieser Beitrag schafft Orientierung und benennt die belastbaren Grundlagen – er ersetzt jedoch keine steuerliche oder rechtliche Beratung im Einzelfall. Insbesondere die Anwendung der verkürzten Acht-Jahres-Frist und der Umgang mit hybriden E-Rechnungen sollten mit dem Steuerberater abgestimmt werden. Aussagen zu einzelnen Produkten beruhen auf der fachlichen Einordnung als Baustein, nicht auf einer behördlichen Freigabe – die es in dieser Form nicht gibt. Wir pflegen den Beitrag bei wesentlichen Gesetzesänderungen nach.

Rechtsgrundlagen & Quellen

Die zentralen Rechtsquellen dieses Beitrags zum Nachlesen bei den amtlichen Stellen:

• § 146 AO – Ordnungsvorschriften für die Buchführung · gesetze-im-internet.de
• § 147 AO – Aufbewahrung von Unterlagen · gesetze-im-internet.de
• § 238 HGB – Buchführungspflicht · gesetze-im-internet.de
• § 239 HGB – Führung der Handelsbücher · gesetze-im-internet.de
• § 257 HGB – Aufbewahrung von Unterlagen · gesetze-im-internet.de
• GoBD – BMF-Schreiben (AO-Handbuch, Anhang 64) · bundesfinanzministerium.de
• BSI TR-03138 (RESISCAN) – ersetzendes Scannen · bsi.bund.de
• BSI TR-03125 (TR-ESOR) – Beweiswerterhalt · bsi.bund.de