Revisionssicheres Archivsystem

[sh17]

Also nachdem ich mich schon mehrmals ins Thema eingelesen hatte, viele Prinzipien können eigentlich nicht also revisionssicher angesehen werden. Ohne Hardware kommt man da nicht weit. Ein guter Einstieg wäre https://de.wikipedia.org/wiki/Elektr...e_Archivierung. Andererseits, welches Speichermedium hält mindestens 10 Jahre, um die geforderter Aufbewahrungsfrist zu erreichen?

Worauf ich eben immer noch eine praxistaugliche Antwort suche, was muss mindestens nach GoBD erforderlich sein, um gesetzlich bei der Aufbewahrung von Dokumenten auf der sicheren Seite zu sein? Eine einfache Datenbank kann es meiner Meinung nach nicht sein.

[eddie11]

Zitat von sh17:

Also nachdem ich mich schon mehrmals ins Thema eingelesen hatte, viele Prinzipien können eigentlich nicht also revisionssicher angesehen werden. Ohne Hardware kommt man da nicht weit. Ein guter Einstieg wäre https://de.wikipedia.org/wiki/Elektr...e_Archivierung. Andererseits, welches Speichermedium hält mindestens 10 Jahre, um die geforderter Aufbewahrungsfrist zu erreichen?

Ich denke nicht, dass das Medium, auf dem die erste Speicherung erfolgte, wirklich 10 Jahre halten muss. Es muss halt sichergestellt sein, dass alles nach 10 Jahren noch verfügbar ist. Also: Speicherung auf irgendeinem Medium (z.B. Festplatte), regelmäßige Datensicherung und Prüfung ob alles lesbar ist (das ist eh in jedem vernünftigen Rechenzentrum bzw. IT-Abteilung üblich). Wenn ein Medium nicht mehr eingesetzt wird, so wie früher die Disketten, oder wenn eine Festplatte kaputtgeht, dann umkopieren auf neues Medium.

Zitat von sh17:

Worauf ich eben immer noch eine praxistaugliche Antwort suche, was muss mindestens nach GoBD erforderlich sein, um gesetzlich bei der Aufbewahrung von Dokumenten auf der sicheren Seite zu sein? Eine einfache Datenbank kann es meiner Meinung nach nicht sein.

Also nur eine "einfache" Datenbank, ohne Versionskontrolle und Lösch-Schutz wirds wohl wirklich nicht tun. Aber wenn die z.B. auf einem Worm (Hard-/ oder Software) liegt, dann ist ja alles klar.
Darüber hinaus ist wichtig, den Vorgang und die Zugriffsrechte etc. der Archivierung zu dokumentieren und ggf. von einem Wirtschaftsprüfer checken zu lassen.

[Uwe Raabe]

Zitat von eddie11:

Ich denke nicht, dass das Medium, auf dem die erste Speicherung erfolgte, wirklich 10 Jahre halten muss. Es muss halt sichergestellt sein, dass alles nach 10 Jahren noch verfügbar ist. Also: Speicherung auf irgendeinem Medium (z.B. Festplatte), regelmäßige Datensicherung und Prüfung ob alles lesbar ist (das ist eh in jedem vernünftigen Rechenzentrum bzw. IT-Abteilung üblich). Wenn ein Medium nicht mehr eingesetzt wird, so wie früher die Disketten, oder wenn eine Festplatte kaputtgeht, dann umkopieren auf neues Medium.

...

Aber wenn die z.B. auf einem Worm (Hard-/ oder Software) liegt, dann ist ja alles klar.

Angenommen, ich speichere die Daten revisionssicher auf einem WORM. Das muss dann sagen wir mal nach 5 Jahren ersetzt werden, da die Lesemöglichkeit in weiteren 5 Jahren nicht sichergestellt werden kann. Wie garantiert man, daß beim Schreiben auf ein anderes WORM-Medium wirklich der originale Inhalt drauf steht? Ich könnte ja zwichen dem Lesen vom alten und Schreiben auf das neue noch manipulieren, oder?

[eddie11]

Zitat von Uwe Raabe:

Angenommen, ich speichere die Daten revisionssicher auf einem WORM. Das muss dann sagen wir mal nach 5 Jahren ersetzt werden, da die Lesemöglichkeit in weiteren 5 Jahren nicht sichergestellt werden kann. Wie garantiert man, daß beim Schreiben auf ein anderes WORM-Medium wirklich der originale Inhalt drauf steht? Ich könnte ja zwichen dem Lesen vom alten und Schreiben auf das neue noch manipulieren, oder?

Hmm, grundsätzlich hast Du da recht, da fällt mir auch keine Antwort ein. Ich denke, dass dieser Fall dann ordnungsgemäß dokumentiert werden müsste.

[sh17]

Zitat von eddie11:

Also nur eine "einfache" Datenbank, ohne Versionskontrolle und Lösch-Schutz wirds wohl wirklich nicht tun. Aber wenn die z.B. auf einem Worm (Hard-/ oder Software) liegt, dann ist ja alles klar.
Darüber hinaus ist wichtig, den Vorgang und die Zugriffsrechte etc. der Archivierung zu dokumentieren und ggf. von einem Wirtschaftsprüfer checken zu lassen.

Und wie könnte der aussehen? Abgesehen von irgend welchen Triggern oder Table-Restriktionen, die ein Löschen verhindern, kann man doch mit mit jedem beliebigen DB-Admin-Tool das ganze von Hand manipulieren. Und das soll ja nun gerade nicht möglich sein. Oder ist ein so hoher Schutz gar nicht erforderlich nach GoBD?

[eddie11]

Zitat von sh17:

Und wie könnte der aussehen? Abgesehen von irgend welchen Triggern oder Table-Restriktionen, die ein Löschen verhindern, kann man doch mit mit jedem beliebigen DB-Admin-Tool das ganze von Hand manipulieren. Und das soll ja nun gerade nicht möglich sein. Oder ist ein so hoher Schutz gar nicht erforderlich nach GoBD?

So einfach dann auch nicht. Es muss sichergestellt sein, dass auch mit Admin-Tools und Admin-Rechten keine Veränderung möglich ist.

[sh17]

Zitat von eddie11:

Zitat von sh17:

Und wie könnte der aussehen? Abgesehen von irgend welchen Triggern oder Table-Restriktionen, die ein Löschen verhindern, kann man doch mit mit jedem beliebigen DB-Admin-Tool das ganze von Hand manipulieren. Und das soll ja nun gerade nicht möglich sein. Oder ist ein so hoher Schutz gar nicht erforderlich nach GoBD?

So einfach dann auch nicht. Es muss sichergestellt sein, dass auch mit Admin-Tools und Admin-Rechten keine Veränderung möglich ist.

Genau, und hier jetzt bitte etwas konkreter werden. Wie ermöglichen das die verfügbaren DMS am Markt? Davon steht nirgends etwas. Ein Hardware-WORM oder Software-WORM scheint es nicht zu sein.

[Phoenix]

Einen 100%-igen Schutz kann es nicht geben.
Das ganze ist immer eine Kombination von technischen Schutzmaßnahmen, die von organisatorischen Maßnahmen begleitet werden.

Ob das ganze System am Ende passt, kann man zertifizieren lassen.
Die Kritierien, nach denen z.B. der TÜV Prüft sind einsehbar. Das sind die sog. "PK-DML" - Prüfkriterien für Dokumentenmanagement-Lösungen des VOI. Die Kriterien kann man für 60€ bestellen und dann seine Lösung so implementieren, dass sie diesen Kriterien entspricht. Danach kann man sich zertifizieren lassen.
Das Dokument gibts hier: http://www.voi.de/index.php/componen.../9/22?Itemid=0

[sh17]

Cool, Danke