10 Revisionssichere Speicherung bedeutet, dass aufbewahrungspflichtige Unterlagen vollständig, unveränderbar und nachvollziehbar bleiben, und dass sich das auch belegen lässt. Der Begriff steht in keinem Gesetz. Er fasst Pflichten zusammen, die aus Paragraf 239 und 257 HGB, Paragraf 147 AO und den GoBD folgen. Diese Herkunft hat eine praktische Folge, die in Ausschreibungen regelmäßig untergeht: es gibt keine GoBD-Zertifizierung. Kein Speichersystem kann revisionssicher zertifiziert sein. Was es gibt, sind Testate für Software (typischerweise nach IDW PS 880) und C5-Testate für Cloud-Dienste. Beide prüfen nicht Ihren Prozess. Die Fristen haben sich zweimal geändert, zuletzt im Dezember 2025 Mit dem Vierten Bürokratieentlastungsgesetz (in Kraft seit 1. Januar 2025) wurde die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt, in Paragraf 257 Abs. 4 HGB und Paragraf 147 Abs. 3 AO. Handelsbücher, Inventare und Jahresabschlüsse bleiben bei zehn Jahren, Handels- und Geschäftsbriefe bei sechs. Weniger bekannt ist die Rückausnahme. Das Gesetz zur Modernisierung und Digitalisierung der Schwarzarbeitsbekämpfung vom 22. Dezember 2025 (in Kraft seit 30. Dezember 2025) hat Paragraf 257 Abs. 4 Satz 2 HGB eingefügt: für Institute nach Paragraf 1 Abs. 1b KWG, Unternehmen unter VAG-Aufsicht und Wertpapierinstitute nach Paragraf 2 Abs. 1 WpIG gelten für Buchungsbelege weiterhin zehn Jahre. Das ist keine Verlängerung der Übergangsfrist, sondern eine dauerhafte Regelung. Viele Beiträge im Netz behaupten bis heute, ab 2026 gälten auch für Banken acht Jahre. Das ist falsch. Zwei Rechenregeln, die bei der Kapazitätsplanung gern vergessen werden. Die Frist beginnt nach Paragraf 257 Abs. 5 HGB mit dem Ende des Kalenderjahres, in dem der Beleg entstanden ist, nicht mit dem Belegdatum. Und Paragraf 147 Abs. 3 AO enthält eine Ablaufhemmung: solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch läuft, endet die Aufbewahrungsfrist nicht. Acht Jahre sind eine Untergrenze, keine feste Zahl. Die GoBD verlangen Unveränderbarkeit, aber kein WORM Hier weicht die deutsche Rechtslage deutlich von der US-amerikanischen ab, und übersetzte Inhalte bekommen es fast immer falsch. Die GoBD (BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024) sind ausdrücklich technologieneutral. Rz. 110 nennt drei gleichwertige Wege zur Unveränderbarkeit: hardwaremäßig (etwa unveränderbare Datenträger), softwaremäßig (Festschreibung, Löschmerker, Protokollierung, Historisierung, Versionierung) oder organisatorisch (Zugriffsberechtigungskonzepte). Ein WORM-Mandat wie in der US-Regel SEC 17a-4 existiert im deutschen Recht nicht. Wer argumentiert, die Regulierung verlange WORM, argumentiert an der Rechtslage vorbei. Was die GoBD tatsächlich verlangen, ist neben Vollständigkeit, Richtigkeit, Zeitgerechtheit und Ordnung vor allem die maschinelle Auswertbarkeit (Rz. 126 ff.) und eine Verfahrensdokumentation (Rz. 151 ff.). In der Betriebsprüfung ist die Verfahrensdokumentation das Erste, wonach gefragt wird. Ein Speichersystem allein erfüllt die GoBD nie. Die Sanktion ist auch keine Geldbuße, sondern die Verwerfung der Buchführung mit anschließender Schätzung nach Paragraf 162 AO. S3 Object Lock: Compliance-Modus und Governance-Modus Technisch setzt die S3-API Aufbewahrung über Object Lock um, mit zwei Modi und einem davon unabhängigen Legal Hold. Im Compliance-Modus kann keine Kennung eine geschützte Objektversion löschen, überschreiben oder die Aufbewahrung verkürzen, auch das Root-Konto nicht. Im Governance-Modus ist ein Override möglich, verlangt aber zwei Dinge gleichzeitig: die Berechtigung s3:BypassGovernanceRetention und einen expliziten Request-Header. Verlängern geht in beiden Modi, Verkürzen nur im Governance-Modus. Drei Details führen in der Praxis zu Findings. Object Lock setzt Versionierung voraus und lässt sich nach der Aktivierung nicht mehr abschalten. Ein Legal Hold gilt ohne Frist bis zum ausdrücklichen Aufheben und wird vom Governance-Bypass nicht überwunden. Und ein Löschbefehl ohne Version-ID ist erfolgreich: er setzt eine Delete-Markierung, die selbst nicht geschützt ist. Die Daten sind noch da, das Objekt erscheint aber gelöscht. Wer Unveränderbarkeit mit einem einfachen Löschbefehl testet und eine Erfolgsmeldung sieht, zieht den falschen Schluss. Wo harte Unveränderbarkeit mit der DSGVO kollidiert Das ist der Punkt, an dem sich deutsche Anforderungen von US-Inhalten am deutlichsten unterscheiden, und er ist durch die Fristverkürzung akut geworden. In den USA gilt Unveränderbarkeit als uneingeschränkt wünschenswert. In Deutschland ist Löschbarkeit eine gleichrangige Pflicht. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung. Art. 17 Abs. 3 lit. b DSGVO rechtfertigt weitere Aufbewahrung nur, soweit eine rechtliche Verpflichtung sie erfordert. Wenn Buchungsbelege nur noch acht Jahre aufbewahrt werden müssen, ist eine Aufbewahrung von zehn Jahren nicht mehr durch Art. 17 Abs. 3 lit. b gedeckt und wird selbst zum Risiko. Deutsche Kommentatoren haben nach dem BEG IV genau deshalb dazu geraten, Löschkonzepte zu überprüfen. Konkret auf Speicherarchitektur übersetzt: eine Object-Lock-Sperre im Compliance-Modus mit zehn Jahren Laufzeit auf Daten, die nach acht Jahren gelöscht werden müssen, ist ein echter Rechtskonflikt. Die Sperre kann niemand verkürzen, auch der Betreiber nicht. Wer Compliance-Modus als Standardeinstellung wählt, verlagert ein Datenschutzproblem in eine Schicht, in der es sich nicht mehr korrigieren lässt. Ein dokumentiertes Löschkonzept, konventionell nach DIN 66398 aufgebaut, gehört deshalb zur Speicherplanung und nicht erst danach. Paragraf 35 BDSG ergänzt das: wo Löschen unmöglich oder unverhältnismäßig aufwendig ist, tritt Einschränkung der Verarbeitung an seine Stelle. BaFin, DORA und NIS2: der Stand im Juli 2026 DORA gilt seit dem 17. Januar 2025 unmittelbar. KAIT, VAIT und ZAIT wurden mit Ablauf des 16. Januar 2025 aufgehoben. Die verbreitete Aussage, auch die BAIT seien damit weg, ist zu grob: die BAIT werden gestuft aufgehoben, Kapitel 11 ist entfallen, und für einen Restkreis von Instituten, die erst ab 1. Januar 2027 unter DORA fallen, gelten sie derzeit noch. Vollständig aufgehoben sind sie mit Ablauf des 31. Dezember 2026. Die MaRisk (Rundschreiben 06/2024 (BA) vom 29. Mai 2024) bleiben in Kraft. Bei NIS2 ist der Stand eindeutig, aber viele deutschsprachige Quellen sind veraltet. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Es setzt das BSIG neu. Paragraf 30 Abs. 2 BSIG nennt als Mindestmaßnahmen ausdrücklich Backup-Management und Wiederherstellung nach einem Notfall sowie Konzepte für Kryptografie und Verschlüsselung. Betroffen sind rund 29.500 Einrichtungen statt bisher etwa 4.500, erstmals einschließlich des verarbeitenden Gewerbes. Nachweise: C5, EUCC und warum FIPS 140 hier nicht zählt In deutschen Beschaffungsprozessen wird nach BSI-Zertifizierung, C5-Testat und Common Criteria gefragt, nicht nach FIPS 140. FIPS ist ein US-Programm zur Validierung kryptografischer Module und hat im deutschen Vergabekontext praktisch kein Gewicht. Das relevante deutsche Pendant für Algorithmen und Schlüssellängen ist die BSI TR-02102-1 (aktuelle Fassung 2026-01), ein Empfehlungskatalog, kein Validierungsprogramm. Auf Produktebene löst EUCC, das europäische Common-Criteria-Schema nach Durchführungsverordnung (EU) 2024/482, die nationalen Schemata ab; das BSI hat sein erstes EUCC-Zertifikat am 13. Januar 2026 erteilt. Für Cloud-Dienste gilt der C5-Kriterienkatalog, dessen Fassung C5:2026 im April 2026 veröffentlicht wurde und für Prüfungszeiträume ab 1. Juni 2027 verbindlich wird. Wichtig für die Erwartungshaltung: C5 richtet sich an Cloud-Anbieter. Für selbst betriebene Speicherinfrastruktur im eigenen Rechenzentrum gibt es kein C5-Testat des Herstellers, hier zählt der Prüfungsumfang Ihres eigenen ISMS. Checkliste: revisionssichere Speicherung bewerten Object Lock in beiden Modi, mit Legal Hold unabhängig von der Aufbewahrungsfrist und zentral durchsetzbaren Bucket-Vorgaben.Fristenlogik, die den Beginn zum Ende des Kalenderjahres abbildet und die Ablaufhemmung nach Paragraf 147 Abs. 3 AO berücksichtigt.Getrennte Fristprofile für Buchungsbelege (acht Jahre, im Finanzsektor zehn), Handelsbücher (zehn) und Geschäftsbriefe (sechs).Ein Löschkonzept, das tatsächlich löscht, und die Fähigkeit, Aufbewahrung enden zu lassen, ohne dass eine harte Sperre im Weg steht.Verfahrensdokumentation zum Speicherprozess, nicht nur zur Anwendung darüber.Maschinelle Auswertbarkeit und Datenträgerüberlassung (Z3) über die gesamte Frist, auch nach Formatmigrationen.Protokollierung auf API-Ebene mit Integritätssicherung, mindestens so lange aufbewahrt wie die belegten Daten.Funktionstrennung: Speicheradministration ohne inhaltlichen Zugriff, und Überwachung aller Kennungen mit Governance-Bypass.Nachweise, die zur Betriebsform passen: C5-Testat für Cloud-Bezug, Common Criteria oder EUCC auf Produktebene, TR-02102-1 für Schlüssellängen. Zusammengefasst Revisionssichere Speicherung ist in Deutschland weniger eine Produktfrage als eine Frage aus Fristenlogik, Dokumentation und Löschfähigkeit. Die Technik für Unveränderbarkeit ist seit Jahren verfügbar und über Plattformen hinweg vergleichbar. Was Prüfungen scheitern lässt, ist eine Sperre, die einmal gesetzt und nie gegen ein Szenario getestet wurde, und eine Frist, die niemand einer konkreten Rechtsgrundlage zuordnen kann. Nach den Änderungen von 2025 gilt das doppelt. Wer Aufbewahrung heute plant, plant zwei Dinge zugleich: dass Daten nicht verschwinden, und dass sie zum richtigen Zeitpunkt verschwinden können. Häufige Fragen Verlangen die GoBD WORM-Speicher? Nein. Rz. 110 der GoBD nennt hardwaremäßige, softwaremäßige und organisatorische Maßnahmen als gleichwertige Wege zur Unveränderbarkeit und stellt ausdrücklich klar, dass technische Standards für Archivmedien nicht vorgeschrieben werden. WORM ist eine zulässige Umsetzung, nicht eine Pflicht. Gilt für Buchungsbelege jetzt acht oder zehn Jahre? Grundsätzlich acht Jahre seit dem 1. Januar 2025. Für Kreditinstitute nach Paragraf 1 Abs. 1b KWG, Unternehmen unter VAG-Aufsicht und Wertpapierinstitute nach Paragraf 2 Abs. 1 WpIG gelten seit dem 30. Dezember 2025 dauerhaft zehn Jahre. Die Ablaufhemmung nach Paragraf 147 Abs. 3 AO kann beide Fristen verlängern. Kann ein Speichersystem GoBD-zertifiziert sein? Nein. Eine GoBD-Zertifizierung existiert nicht, und revisionssicher ist kein Rechtsbegriff. Für Software gibt es Testate, typischerweise nach IDW PS 880, für Cloud-Dienste C5-Testate. Beide bewerten das Produkt oder den Dienst, nicht Ihren Aufbewahrungsprozess. Anbieteraussagen wie GoBD-zertifiziert sollten Sie als Warnsignal lesen. Ist der Compliance-Modus die sicherere Wahl? Nicht automatisch. Er schützt zuverlässig vor Löschung, lässt sich aber von niemandem verkürzen. Bei einer Frist, die sich verkürzt, oder bei personenbezogenen Daten, die nach Art. 17 DSGVO zu löschen sind, wird daraus ein Problem ohne technische Lösung. Der Governance-Modus mit dokumentierter Kontrolle über die Bypass-Berechtigung ist in vielen Fällen die sauberere Wahl. Ist NIS2 in Deutschland schon anwendbar? Ja. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist, und hat das BSIG neu gefasst. Viele Übersichten im Netz stehen noch auf dem Stand einer ausstehenden Umsetzung. Registrierungspflichten und die Mindestmaßnahmen nach Paragraf 30 Abs. 2 BSIG gelten. Weiterführende Artikel Die englischsprachige Fassung dieses Themas findet sich unter S3 compliance, technische Details zu Object Lock unter S3 object lock: immutability and WORM, und zur Verschlüsselung unter data encryption for compliance.
