Wohl kaum ein Unternehmer hat gern Steuerprüfer im Haus. Das liegt auch an den verwirrenden Archivierungsvorschriften für elektronische Dokumente und E-Mails, die der Gesetzgeber über die Steuerpflichtigen ausgegossen hat. Das Linux-Magazin versucht zu klären, was “revisionssicher” bedeutet .

Wenn das Finanzamt eine “Betriebsprüfung” ankündigt, ist den meisten Unternehmen ein bisschen mulmig. Nur wer fortgesetzt Verluste schreibt und dessen Steuerpflicht darum nur von theoretischer Natur ist, braucht den tiefen Blick des Fiskus in seine Bücher nicht zu fürchten. Das heißt nicht, dass der Großteil der Unternehmer absichtliche Steuerhinterzieher wären – aber Fehler passieren immer.

Jede Menge Dokumente

Von der Angst um Schludrigkeit oder unwissentlich begangene Buchungsfehler getrieben, versuchen strukturell grundehrliche Geschäftsführer wenigstens sonst nichts falsch zu machen, um für die so genannte Außenprüfung gerüstet zu sein. Hier geht es um Aufbewahrungspflichten für betriebliche Dokumente und geschäftsrelevante Korrespondenz, angefangen von Arbeitsanweisungen, Angeboten mit Auftragsfolge über Fahrtkostenerstattungs-Unterlagen bis hin zu Essensmarken-Abrechnungen. Alle sind mindestens sechs oder zehn Jahre zu horten.

Was früher in erster Linie die Anschaffung von Leitzordnern und Aktenschränken bedeutete, gerät heute zum Computerdaten-Archivierungsproblem. Denn vieler dieser betrieblichen Dokumente liegen üblicherweise nur noch elektronisch vor – und das bei Weitem nicht nur als Office-Dateien, sondern auch als E-Mails in den Inboxen der Angestellten oder gar in den Datenbanken von ERP- und CRM-Systemen.

Der erste Impuls, regelmäßig ein Backup zu machen und die Bänder aufzuheben, greift für den Gesetzgeber zu kurz: Für ihn arbeitet ein Archivsystem nur dann revisionssicher, wenn technisch und organisatorisch vom Eingang aller Dokuments in das Archiv über den Transport bis zur endgültigen Speicherung und darüber hinaus sichergestellt ist, dass die Dokumente weder verloren gehen können, noch verändert werden.

Garantien gibt keiner

IT-technisch Bewanderte dürfen an dieser Stelle ruhig vernehmlich aufstöhnen: Wer bitte sollte so ein System bauen und seine Hand dafür ins Feuer legen, das kein Sysadmin mit Root-Rechten es manipulieren kann?! Und selbst wenn man alle Daten zügig auf ein Write-Only-Medium wie DVD wegschriebe, wer garantiert, dass keine DVD verloren geht oder niemand heimlich eine austauscht? Selbst mit einem cleveren Signatursystem ausgestattet, bleiben Fragen: Wer bestimmt, was ins Archiv gehört? Und wie kommt jede notwendig zu speichernde E-Mail, jedes Angebot, jeder relevante Datenbankinhalt hinein? Was, wenn der Archivrechner abstürzt oder einem Cracker in die Hände fällt?

Die drei folgenden Artikel versuchen die verworrene Lage zu klären, soweit das überhaupt möglich ist. Der erste ist der wichtigste, weil er die Rechtslage ausbreitet – und die hat es in sich. Allein beim Archivieren von E-Mails kommen sich die Gesetze gegenseitig ins Gehege, die, die Revisionssicherheit fordern, und jene, die Datenschutz verlangen. Was man vergebens sucht, sind Hinweise auf die technische Umsetzung. Wer bei den Finanzministerien nachfragt – das hat das Linux-Magazin getan – wird an andere Behörden verwiesen oder bekommt gar kein Antwort.

Der zweite Artikel fällt dagegen gewohnter, sprich technischer, aus. Er diskutiert Möglichkeiten, wo und wie Admins E-Mails abfangen können, um sie zu archivieren. Der dritte Beitrag fasst die Ergebnisse von Interviews mit IT-Beratern zusammen, die aus ihrer praktischen Umsetzerfahrung mit Archiven berichten. Die Quintessenz der Praktiker erstaunt.