Leitfaden zur GoBD-Archivierung im Mittelstand

Eine Rechnung wird per E-Mail empfangen, geprüft und anschließend ausgedruckt, weil sie „zur Sicherheit“ in den Ordner soll. Genau an dieser Stelle beginnt in vielen Unternehmen ein vermeidbares Risiko: Der Ausdruck ersetzt das originär digitale Dokument nicht. Dieser Leitfaden zur GoBD-Archivierung zeigt, worauf mittelständische Unternehmen bei der digitalen Aufbewahrung achten müssen und wie sich Anforderungen ohne unnötige Komplexität in den Arbeitsalltag integrieren lassen.

Was GoBD-konforme Archivierung tatsächlich bedeutet

Die GoBD beschreiben, unter welchen Bedingungen steuerlich relevante Unterlagen elektronisch geführt und aufbewahrt werden müssen. Im Mittelpunkt stehen dabei nicht allein ein bestimmtes Archivsystem oder ein PDF-Format. Entscheidend ist, ob ein Geschäftsvorfall vollständig, richtig, zeitgerecht, geordnet, nachvollziehbar und unveränderbar dokumentiert ist.

In der Praxis betrifft das deutlich mehr als Eingangs- und Ausgangsrechnungen. Relevante Informationen entstehen auch in Kassen-, Warenwirtschafts- und Finanzprozessen, in E-Mail-Postfächern, bei digitalen Belegen aus Portalen sowie in Buchungs- und Freigabeworkflows. Bei einer Betriebsprüfung muss der Weg vom Beleg zur Buchung und gegebenenfalls wieder zurück lückenlos nachvollziehbar sein.

Ein verbreiteter Irrtum lautet: Ein zentraler Dateiordner mit klaren Namen genüge als Archiv. Das kann für einzelne Unterlagen organisatorisch hilfreich sein, erfüllt aber nicht automatisch die Anforderungen. Fehlen Zugriffsrechte, ein Änderungsprotokoll, feste Ablageregeln oder eine nachvollziehbare Verfahrensdokumentation, bleibt die Beweiskraft der Ablage angreifbar.

Leitfaden zur GoBD-Archivierung: Die fünf Kernanforderungen

Eine tragfähige Archivierung beginnt mit den Grundsätzen, nicht mit der Produktauswahl. Vollständigkeit bedeutet beispielsweise, dass eine per E-Mail eingegangene elektronische Rechnung inklusive der relevanten Dateiinformationen im vorgesehenen Prozess erfasst wird. Es darf keinen parallelen Schattenprozess geben, in dem Mitarbeitende Belege nur lokal speichern oder ausdrucken.

Die Forderung nach Unveränderbarkeit wird oft missverstanden. Ein Dokument muss nicht technisch für immer unveränderlich sein. Änderungen, Korrekturen und Stornierungen dürfen stattfinden, müssen aber nachvollziehbar bleiben. Ein ersetztes Dokument ohne Historie ist problematisch. Ein dokumentierter Korrekturvorgang mit Zeitstempel, Bearbeiter und Bezug zum ursprünglichen Beleg dagegen ist prüfbar.

Ordnung und Nachvollziehbarkeit entstehen durch einheitliche Ablagelogik, eindeutige Belegzuordnung und definierte Zuständigkeiten. Zeitgerechte Erfassung heißt nicht, dass jede Rechnung innerhalb weniger Minuten gebucht werden muss. Sie darf jedoch nicht wochenlang in persönlichen Postfächern oder auf Schreibtischen liegen bleiben, bevor sie in den geregelten Prozess gelangt.

Besonders wichtig ist die Verfahrensdokumentation. Sie beschreibt verständlich, wie Belege in das Unternehmen kommen, wer sie prüft, wie die Erfassung erfolgt, welche Systeme beteiligt sind und wie die Aufbewahrung gesichert wird. Sie sollte so konkret sein, dass eine fachkundige Vertretung den Prozess nachvollziehen könnte. Allgemeine Formulierungen wie „Dokumente werden ordnungsgemäß archiviert“ helfen dabei nicht weiter.

Den Belegfluss vor der Technik prüfen

Vor einem Archivprojekt empfiehlt sich ein Blick auf den tatsächlichen Alltag. In einem typischen Handels- oder Dienstleistungsunternehmen erreichen Rechnungen die Buchhaltung über E-Mail, Lieferantenportale, Post und vereinzelt als Foto aus dem Außendienst. Werden diese Wege nicht zuerst vereinheitlicht, entsteht trotz neuer Software schnell eine lückenhafte Ablage.

Hilfreich ist eine Bestandsaufnahme entlang des Belegflusses: Wo entstehen steuerlich relevante Dokumente? Über welche Kanäle treffen sie ein? Wer darf sie bearbeiten? In welchem System werden sie gebucht? Und wo liegen sie nach Abschluss des Vorgangs? Gerade bei gewachsenen Strukturen zeigt sich häufig, dass Fachabteilungen eigene Listen, Netzlaufwerke oder Postfächer nutzen, die in der offiziellen Prozessbeschreibung nicht vorkommen.

Für Unternehmen mit einem integrierten ERP-System wie Microsoft Dynamics 365 Business Central lässt sich die Verknüpfung von Beleg, Freigabe und Buchung sinnvoll in den Prozess einbetten. Der Vorteil liegt nicht nur in weniger manuellen Suchvorgängen. Eine konsistente Belegreferenz verbessert auch die Auskunftsfähigkeit gegenüber Steuerberatung und Finanzverwaltung. Ob eine vollständige Archivlösung direkt angebunden oder ein separates System eingesetzt wird, hängt vom Belegvolumen, den bestehenden Anwendungen und internen Verantwortlichkeiten ab.

Technische Maßnahmen, die sich im Prüfungsfall auszahlen

Ein Archiv muss Zugriffe kontrollieren, Änderungen protokollieren und Unterlagen innerhalb angemessener Zeit auffindbar machen. Berechtigungskonzepte sollten sich an Aufgaben orientieren: Mitarbeitende dürfen Belege einsehen oder erfassen, aber nicht beliebig löschen oder historische Inhalte überschreiben. Administratorrechte gehören in einen geregelten, dokumentierten Prozess.

Ebenso wichtig ist die Datensicherung. Ein Archiv schützt nicht automatisch vor Hardwaredefekten, Fehlbedienung oder Schadsoftware. Regelmäßige, überwachte Backups und getestete Wiederherstellungen sind daher Teil eines belastbaren Gesamtkonzepts. Veeam wird in vielen mittelständischen Umgebungen eingesetzt, um Sicherungen von Servern und virtuellen Systemen kontrollierbar zu organisieren. Entscheidend ist dabei der Nachweis, dass Wiederherstellungen tatsächlich funktionieren, nicht nur dass ein Sicherungsauftrag als erfolgreich markiert wurde.

Cybersecurity und Archivierung sind ebenfalls eng verbunden. Gelangen Angreifer an Benutzerkonten mit weitreichenden Lösch- oder Änderungsrechten, kann die Nachvollziehbarkeit geschäftskritischer Unterlagen gefährdet sein. Mehrstufige Anmeldung, gepflegte Berechtigungen und ein wirksamer Endpunktschutz, etwa mit Sophos Endpoint sowie einer passend konfigurierten Sophos Firewall, reduzieren dieses Risiko. Technik ersetzt jedoch keine klaren Prozesse für Zugriffsfreigaben und Austritte von Mitarbeitenden.

Auch die Lesbarkeit über Jahre hinweg verdient Aufmerksamkeit. Proprietäre Formate, unklare Exportmöglichkeiten oder Abhängigkeiten von einzelnen Dienstleistern können später Aufwand verursachen. Ein Projekt sollte deshalb klären, wie Daten, Indizes, Protokolle und Verfahrensdokumentation bei einem Systemwechsel vollständig übergeben werden können.

Aufbewahrungsfristen richtig einordnen

Die Dauer der Aufbewahrung richtet sich nach Dokumentart und Rechtsgrundlage. Pauschale Aussagen wie „alles zehn Jahre speichern“ sind deshalb keine gute Arbeitsanweisung. Für Bücher, Aufzeichnungen, Inventare und Jahresabschlüsse gelten andere Vorgaben als für bestimmte Buchungsbelege. Zudem können handels-, steuer- und branchenspezifische Anforderungen zusammenwirken.

Unternehmen sollten ihre Dokumentklassen mit Steuerberatung und gegebenenfalls Rechtsberatung abstimmen. Das Archivsystem muss diese Vorgaben anschließend praktisch umsetzen können: mit nachvollziehbaren Aufbewahrungsregeln, Sperren gegen vorzeitige Löschung und einem kontrollierten Löschprozess nach Ablauf der Frist. Wer Speicherplatz durch spontane Bereinigungen schaffen will, schafft im schlechtesten Fall ein Compliance-Problem.

Typische Projektfallen im Mittelstand

Die häufigste Falle ist die Konzentration auf das Tool. Ein Archiv wird eingeführt, doch die Mitarbeitenden behalten ihre bisherigen Wege bei. E-Mail-Anhänge werden lokal abgelegt, Papierbelege ungeprüft gescannt und Freigaben bleiben in mündlichen Abstimmungen hängen. Das Resultat ist kein einheitlicher Prozess, sondern eine zusätzliche Anwendung.

Ein weiteres Risiko sind unklare Verantwortlichkeiten. Die Buchhaltung kennt die fachlichen Anforderungen, die IT betreibt Systeme und Geschäftsführung oder Datenschutzverantwortliche entscheiden über Regeln. Fehlt ein gemeinsames Zielbild, bleiben Lücken bei Berechtigungen, Schnittstellen oder der Dokumentation oft bis zur Prüfung unentdeckt.

Auch Migrationen werden häufig unterschätzt. Historische Dateien enthalten mitunter Dubletten, unvollständige Metadaten oder uneinheitliche Benennungen. Nicht jeder Altbestand muss mit derselben Tiefe aufbereitet werden. Aber es sollte vorab festgelegt werden, welche Daten übernommen, welche nur lesbar bereitgestellt und wie beide Bestände im Bedarfsfall recherchiert werden.

Umsetzung in überschaubaren Schritten

Ein praxistaugliches Vorgehen startet mit einer Prozessaufnahme und einer Risikobewertung. Danach werden Dokumentarten priorisiert, die besonders häufig vorkommen oder steuerlich relevant sind. Für einen klar abgegrenzten Bereich, etwa digitale Eingangsrechnungen, kann ein Pilotprozess eingeführt und mit den beteiligten Mitarbeitenden getestet werden.

Erst wenn Erfassung, Prüfung, Buchung, Ablage und Suche im Alltag funktionieren, sollte der Umfang erweitert werden. Schulungen gehören fest dazu. Sie müssen nicht lang sein, sollten aber konkrete Situationen behandeln: Was geschieht mit einer Rechnung im E-Mail-Postfach? Wie wird eine Korrektur dokumentiert? Was ist bei einer Rechnung aus einem Lieferantenportal zu tun?

Viele Unternehmen ziehen für Analyse, Systemauswahl, Schnittstellen und Verfahrensdokumentation externe Spezialisten hinzu. Erfahrene Berater erkennen häufig früh, ob ein bestehendes ERP, ein Scanprozess oder die Infrastruktur den späteren Nachweis erschwert. LTmemory begleitet solche Vorhaben mit Blick auf Geschäftsprozesse, Betrieb und IT-Sicherheit – insbesondere dort, wo Archivierung in bestehende Finanz- und Systemlandschaften eingebunden werden muss.

Fazit: Archivierung als kontrollierter Geschäftsprozess

GoBD-konforme Archivierung ist keine einmalige Ablageaufgabe. Sie ist ein kontrollierter Geschäftsprozess, der Fachabteilungen, Buchhaltung und IT verbindet. Wer Belegwege vereinheitlicht, Verantwortlichkeiten festlegt und die technische Umgebung absichert, senkt nicht nur Prüfungsrisiken. Auch Rückfragen, Suchzeiten und Abstimmungsaufwand im Tagesgeschäft gehen spürbar zurück.

Beratender nächster Schritt

Die größten Herausforderungen liegen meist nicht in der einzelnen Archivfunktion, sondern in verstreuten Dokumentenquellen, gewachsenen Berechtigungen und fehlender Prozessdokumentation. Eine Eigenimplementierung bindet Ressourcen aus Buchhaltung und IT und birgt das Risiko, dass Sonderfälle, Schnittstellen oder Wiederherstellungsszenarien zu spät berücksichtigt werden.

Ein erfahrener IT- und Digitalisierungsdienstleister kann den Ist-Zustand strukturiert bewerten, Anforderungen in umsetzbare Arbeitspakete übersetzen und die Verantwortlichen bei Tests sowie Dokumentation unterstützen. Der sinnvollste erste Schritt ist häufig kein Großprojekt, sondern eine ehrliche Bestandsaufnahme der Belegwege. Sie schafft die Grundlage für Entscheidungen, die auch im Prüfungsfall Bestand haben.