Revisionssichere Software: Anforderungen und GoBD-Kriterien

Die Digitalisierung von Geschäftsprozessen nimmt im deutschen Mittelstand rasant zu. Ob bei der Einführung neuer Workflows, der Modernisierung bestehender Anwendungen oder der kompletten Neuentwicklung von Unternehmensanwendungen: Sobald steuerrelevante Daten verarbeitet werden, muss eine revisionssichere Software eingesetzt werden. Für Geschäftsführer und IT-Verantwortliche bedeutet dies, dass technische und rechtliche Anforderungen frühzeitig in Einklang gebracht werden müssen. Eine unzureichende Architektur kann bei späteren Betriebsprüfungen zu erheblichen Problemen führen.

Die rechtlichen Rahmenbedingungen und die exakte Auslegung der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) können im Einzelfall komplex sein. Daher sollte die individuelle Rechts- und Steuerlage immer mit den entsprechenden Fachbeauftragten geprüft werden. Dieser Ratgeber bietet Ihnen eine fundierte Übersicht über die wichtigsten funktionalen Prinzipien, die IT-Systeme erfüllen müssen.

Was Revisionssicherheit für IT-Systeme bedeutet

Der Begriff Revisionssicherheit bezieht sich im Kern darauf, dass elektronisch gespeicherte Dokumente und Daten vor nachträglichen, unprotokollierten Änderungen geschützt sind. Die Grundlage hierfür bilden in Deutschland die Vorgaben der Finanzverwaltung, primär die GoBD, sowie das Handelsgesetzbuch (HGB) und die Abgabenordnung (AO).

Die GoBD fassen zusammen, wie eine Software beschaffen sein muss, wenn sie aufbewahrungspflichtige Daten verarbeitet. Das Ziel dieser Regelungen ist es, Betriebsprüfern eine lückenlose, nachvollziehbare und unverfälschte Prüfung von Geschäftsvorfällen zu ermöglichen. Damit Revisionssicherheit für IT-Systeme gewährleistet ist, müssen laut Verwaltungsvorgaben mehrere Grundprinzipien in der Systemarchitektur verankert sein:

• Nachvollziehbarkeit und Prüfbarkeit: Externe Prüfer müssen sich in angemessener Zeit einen Überblick über die gebuchten Vorfälle verschaffen können.
• Vollständigkeit und Richtigkeit: Es darf kein Beleg verloren gehen, und die Daten müssen den tatsächlichen Verhältnissen entsprechen.
• Zeitgerechte Erfassung: Bargeldlose Transaktionen sollten in der Regel innerhalb von zehn Tagen, bare Kassenbewegungen sogar täglich erfasst werden.
• Unveränderbarkeit: Ein einmal gespeicherter Datensatz darf nicht ohne sichtbare Spur überschrieben werden.

Warum Standard-Dateisysteme und Excel oft nicht ausreichen

Viele Unternehmen nutzen historisch gewachsene Datei-Ablagen oder Office-Programme für ihre kaufmännischen Prozesse. Wenn Sie eine Software, die GoBD-konform arbeiten soll, evaluieren, fallen einfache Tabellenkalkulationen und Textverarbeitungsprogramme schnell durch das Raster. Der Grund dafür ist technischer Natur: Eine herkömmliche Word- oder Excel-Datei lässt sich jederzeit öffnen, verändern und unter demselben Namen wieder speichern.

Auch das bloße Abspeichern als PDF auf einer lokalen Festplatte oder einem Netzlaufwerk reicht in der Regel nicht aus, um die Vorgaben zur Unveränderbarkeit zu erfüllen. Wenn Unternehmen veraltete Access-Datenbanken ablösen und Systeme webbasiert neu aufsetzen, ist dies der ideale Zeitpunkt, um echte Versionierung und Protokollierung auf Datenbankebene zu etablieren. Eine einfache Netzlaufwerk-Ablage bietet diese tiefgreifenden Audit-Trails nicht.

Die zentralen technischen Kriterien für Compliance

Damit Individualsoftware oder angepasste Geschäftsanwendungen den kritischen Blicken standhalten, müssen bestimmte Kernfunktionen zwingend implementiert werden. Dies betrifft besonders Systeme, die direkt mit Rechnungen, Verträgen oder dem Rechnungswesen interagieren.

Lückenlose Versionierung und Audit-Trails

Wenn ein Nutzer einen steuerlich relevanten Datensatz ändert, darf das System den Ursprungswert nicht einfach überschreiben. Es muss stattdessen eine neue Version anlegen oder zumindest ein Audit-Protokoll führen. Dieses Protokoll speichert automatisch einen Zeitstempel, die Art der Änderung sowie die Benutzerkennung ab. Solche Aktivitätenprotokolle sind das Rückgrat der Unveränderbarkeit, da sie jede nachträgliche Manipulation für einen Prüfer transparent machen.

Aufbewahrungsfristen und automatisierte Löschung

Dokumente unterliegen unterschiedlichen gesetzlichen Fristen. Während Handels- und Geschäftsbriefe typischerweise sechs Jahre aufbewahrt werden müssen, gilt für Rechnungen, Jahresabschlüsse und Buchungsbelege eine Frist von zehn Jahren. Ein modernes System sollte in der Lage sein, diese Fristen zu verwalten.

Hier entsteht oft ein Spannungsfeld zum Datenschutz: Die GoBD fordern die Aufbewahrung steuerrelevanter Informationen, während der Datenschutz die Löschung personenbezogener Daten verlangt, sobald der Speicherzweck entfällt. Wie dieses Spannungsfeld im Detail aufgelöst wird, hängt stark vom Einzelfall ab und sollte mit dem Datenschutzbeauftragten besprochen werden. Technisch erfordert dies jedoch ein Berechtigungskonzept, das Daten nach Ablauf der GoBD-Fristen datenschutzkonform und automatisiert entfernen kann.

Strukturierte Daten und E-Rechnungen

Mit der Aktualisierung der Verwaltungsschreiben im Jahr 2025 wurden die Vorgaben an moderne Formate nochmals präzisiert. Wenn Unternehmen strukturierte Datensätze wie elektronische Rechnungen (z. B. XRechnung oder ZUGFeRD) empfangen, genügt es mittlerweile, nur diesen strukturierten Datensatz aufzubewahren. Eine zusätzliche bildliche Speicherung ist nicht mehr zwingend erforderlich, solange die maschinelle Auswertbarkeit erhalten bleibt. Softwarearchitekturen müssen also in der Lage sein, XML- oder ähnliche Datenstrukturen unverändert zu archivieren und bei Bedarf für die Finanzverwaltung in einem auswertbaren Format zu exportieren.

Wann digitale Prozesse besonders strengen Regeln unterliegen

Nicht jede App, die in einem Unternehmen entwickelt wird, unterliegt den Vorgaben der GoBD. Eine reine Mitarbeiter-App, die den Speiseplan der Kantine teilt oder für allgemeine interne Kommunikation genutzt wird, ist steuerlich nicht relevant. Anders sieht es aus, wenn diese App Funktionen zur Zeiterfassung, zur Spesenabrechnung oder zur digitalen Freigabe von Eingangsrechnungen enthält.

Sobald Freigabeprozesse digitalisiert werden und am Ende eines Workflows eine finanzielle Transaktion oder eine Buchung steht, muss der gesamte Workflow dokumentiert sein. Der Prüfer muss erkennen können, wer eine Zahlung wann und auf welcher Grundlage freigegeben hat. Solche Genehmigungs-Workflows tief in der Softwarearchitektur abzusichern, ist ein entscheidender Kostenfaktor. Wenn die Kosten für Individualsoftware kalkuliert werden, sollten Aufwände für Rollenkonzepte, Historisierung und Export-Schnittstellen (wie etwa zu DATEV) von Beginn an im Budget berücksichtigt werden.

Verfahrensdokumentation: Die organisatorische Pflicht

Selbst die sicherste Software ist nur ein Teil der Lösung. Ein technisches System gilt in der Praxis meist nur dann als ordnungsgemäß, wenn der Einsatzbereich und die Bedienung in einer Verfahrensdokumentation beschrieben sind. Diese Dokumentation erklärt sachverständigen Dritten, wie Daten im Unternehmen erfasst, verarbeitet, gespeichert und archiviert werden.

Zudem regelt sie die Zugriffsrechte: Nicht jeder Mitarbeiter darf Zugriff auf alle kaufmännischen Daten haben. Berechtigungskonzepte stellen sicher, dass nur autorisierte Personen Änderungen vornehmen können – welche dann wiederum vom System protokolliert werden. Wenn ein Unternehmen eine Lösung zur Validierung von Geschäftsideen (etwa im Rahmen einer MVP-Entwicklung) baut, kann die Verfahrensdokumentation anfangs schlank ausfallen, muss aber parallel zum Funktionsumfang der Software mitwachsen.

Vorausschauend planen und Risiken minimieren

Die Implementierung revisionssicherer Funktionen in IT-Systemen ist keine reine IT-Aufgabe, sondern erfordert das Zusammenspiel von Fachabteilung, Geschäftsführung und Entwicklung. Werden Kernfunktionen wie Unveränderbarkeit, Audit-Trails und strukturierte Datenexporte erst nachträglich in ein System eingebaut, verursacht dies oft hohe Architektur-Kosten und verzögert Prozesse.

Durch eine saubere technische Trennung von Arbeitsdaten und revisionssicher archivierten Daten lässt sich die Komplexität gut beherrschen. Klären Sie daher bei jedem neuen Digitalisierungsprojekt frühzeitig, ob und in welchem Umfang steuerrelevante Daten berührt werden, um die Weichen für einen reibungslosen, compliance-konformen Betrieb zu stellen.

Häufige Fragen (FAQ)

Gilt die Aufbewahrungspflicht auch für kleine Unternehmen?

Ja, die Vorgaben zur Aufbewahrung und Nachvollziehbarkeit von steuerrelevanten Daten gelten unabhängig von der Größe oder Rechtsform des Unternehmens. Auch Freiberufler und Kleinunternehmer, die ihren Gewinn über eine Einnahmen-Überschuss-Rechnung (EÜR) ermitteln, müssen die Grundsätze einhalten.

Müssen Papierbelege nach dem Scannen aufbewahrt werden?

Wenn ein Papierbeleg durch einen ordnungsgemäßen und dokumentierten Scanprozess digitalisiert wurde und das System ihn unveränderbar speichert, kann das physische Original in vielen Fällen vernichtet werden. Dies sollte jedoch in der Verfahrensdokumentation klar geregelt sein und es gibt Ausnahmen bei speziellen Urkunden oder Zolldokumenten, die im Original vorliegen müssen.

Sind Backups ein Ersatz für ein digitales Archiv?

Nein. Ein Backup dient der Wiederherstellung von Systemen bei Datenverlust (etwa nach Hardwaredefekten). Eine revisionssichere Archivierung hingegen stellt sicher, dass einzelne Dokumente über Jahre hinweg gezielt gefunden werden können und nachweislich nicht verändert wurden.

Was passiert bei einem Verstoß gegen die Archivierungspflichten?

Werden die Anforderungen bei einer Betriebsprüfung als nicht erfüllt angesehen, kann dies dazu führen, dass die Buchführung verworfen wird. Die Folgen können Hinzuschätzungen der Besteuerungsgrundlagen, Steuernachzahlungen und im schlimmsten Fall Bußgelder sein.

Müssen E-Mails zwingend archiviert werden?

E-Mails müssen dann archiviert werden, wenn sie steuerrelevante Inhalte haben oder die Funktion eines Handels- oder Geschäftsbriefs erfüllen (beispielsweise bei Angeboten oder Rechnungsversand). Reine Werbe-Mails oder Newsletter fallen nicht unter die Aufbewahrungspflicht.