Altsystem abschalten und Aufbewahrungspflicht trotzdem erfüllen

Der Server im Keller läuft seit Jahren nur noch für einen einzigen Zweck: Falls der Betriebsprüfer oder ein OEM Auditor fragt. Das alte ERP hat keinen Support mehr, das Betriebssystem bekommt keine Sicherheitsupdates, und der einzige Kollege, der die Datenbank noch versteht, geht in zwei Jahren in Rente. Abschalten traut sich trotzdem niemand. Denn wer ein Altsystem abschalten will, ohne die Aufbewahrungspflicht zu erfüllen, riskiert Lücken in der Betriebsprüfung, im IATF Audit und im Produkthaftungsfall. Mit einem sauber archivierten Datenbestand lässt sich das Altsystem trotzdem stilllegen.

Was bedeutet es, ein Altsystem abzuschalten und die Aufbewahrungspflicht trotzdem zu erfüllen?

Ein Altsystem abschalten heißt, eine Anwendung samt Datenbank, Server und Lizenzen dauerhaft außer Betrieb zu nehmen. In der Fertigung betrifft das typischerweise abgelöste ERP Systeme, alte MES Installationen, Prüfstandsdatenbanken, Schraubdatenserver oder selbst entwickelte Qualitätsanwendungen. Die Aufbewahrungspflicht trotzdem zu erfüllen heißt, dass jede aufbewahrungspflichtige Information aus diesem System bis zum Ende ihrer gesetzlichen, normativen oder vertraglichen Frist verfügbar, unverändert und auswertbar bleibt.

Altsystemarchivierung ist die Überführung der aufbewahrungspflichtigen Daten eines Altsystems in ein revisionssicheres Archiv, das diese Daten ohne die ursprüngliche Software lesbar und auswertbar hält. Im englischsprachigen Raum heißt dieser Vorgang Application Retirement oder Decommissioning. Die rechtliche Messlatte setzt § 147 Abs. 2 Nr. 2 AO: Elektronisch aufbewahrte Unterlagen müssen während der gesamten Frist jederzeit verfügbar sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können.

Riskant wird ein Stilllegungsprojekt also erst, wenn der Server ausgeht, bevor jemand nachgewiesen hat, dass die Daten außerhalb des Systems vollständig und auswertbar vorliegen. Liegt dieser Nachweis vor, lässt sich das Altsystem planbar abschalten. Einen Überblick über die Ablösung selbst liefert der Beitrag Legacy Systeme ablösen.

Welche Aufbewahrungsfristen gelten für Daten aus Altsystemen?

Welche Frist gilt, hängt am Inhalt der Daten. Ein einziges ERP oder MES enthält oft Daten mit fünf verschiedenen Fristen: Buchungsbelege, Handelsbriefe, Fertigungsaufträge, Prüfergebnisse und Chargendaten. Im Stilllegungsplan zählt für jeden Datenbestand die längste Frist, die auf ihn zutrifft.

Zwei Regeln verschieben das Fristende nach hinten. Erstens beginnt jede Frist nach § 147 Abs. 4 AO erst mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Zweitens läuft die steuerliche Frist nach § 147 Abs. 3 AO nicht ab, solange die Festsetzungsfrist für die betroffenen Steuern noch offen ist. Diese Ablaufhemmung greift etwa bei laufenden Betriebsprüfungen oder Einspruchsverfahren.

In der Automobilindustrie können vertragliche Fristen deutlich über der Norm liegen. In veröffentlichten kundenspezifischen Anforderungen (CSR) fordert Mercedes Benz unter Verweis auf VDA Band 1, PPA Unterlagen nach Ende der Serienfertigung 15 Jahre zu archivieren. General Motors verlangt für PPAP Aufzeichnungen laut seinen CSR sogar die Laufzeit der Produktion plus 50 Jahre. Wer ein MES oder eine Prüfdatenbank stilllegt, muss diese Kundenvorgaben deshalb in den Fristenkatalog aufnehmen. Eine kompakte Übersicht über die kaufmännischen Fristen bietet der Beitrag Aufbewahrungsfristen nach HGB, DSGVO und GoBD.

Warum ein Backup die Aufbewahrungspflicht nicht erfüllt

Viele Teams planen beim Altsystem abschalten zuerst so: Datenbank sichern, Server ausschalten, Sicherung ins Regal. Damit sind drei Anforderungen nicht erfüllt. Ein Datenbankdump ist ohne die passende Datenbankversion, das Schema und die Anwendungslogik nicht lesbar. Er ist nicht maschinell auswertbar, weil Abfragen erst nach einer vollständigen Rücksicherung möglich sind. Und er ist nicht nachweisbar unveränderbar, weil niemand belegen kann, dass der Inhalt seit der Sicherung derselbe geblieben ist.

Die Finanzverwaltung legt die Messlatte in den GoBD fest (BMF Schreiben vom 28. November 2019, zuletzt geändert am 14. Juli 2025). Werden Daten bei einem Systemwechsel nicht mehr im Produktivsystem gehalten, müssen sie in ein System überführt werden, das gleichwertige Auswertungen erlaubt.

„Das neue System muss in quantitativer und qualitativer Hinsicht die gleichen Auswertungen der aufzeichnungs und aufbewahrungspflichtigen Daten ermöglichen, als wären die Daten noch im Produktivsystem.“

Sinngemäß nach GoBD, Randziffer 142

Gelingt diese Überführung nicht, verlangen die GoBD, die ursprüngliche Hard und Software des Produktivsystems für die Dauer der Aufbewahrungsfrist vorzuhalten. Deshalb laufen in vielen Werken Server weiter, die niemand mehr pflegt. Ausführlich behandelt den Unterschied der Beitrag Backup vs. Archivierung.

Was § 147 Abs. 6 AO beim Systemwechsel verlangt: Z1, Z2, Z3 und die Fünfjahresregel

Bei einer Außenprüfung kann die Finanzbehörde nach § 147 Abs. 6 AO auf drei Wegen auf elektronisch erstellte Unterlagen zugreifen. In der Praxis heißen diese Zugriffsarten Z1, Z2 und Z3. Alle drei müssen auch nach dem Abschalten des Altsystems funktionieren.

Die Fünfjahresregel nach einem Systemwechsel

§ 147 Abs. 6 AO enthält inzwischen ausdrücklich eine Erleichterung, die für jedes Stilllegungsprojekt relevant ist. Wechselt ein Unternehmen sein Datenverarbeitungssystem oder lagert es aufbewahrungspflichtige Daten aus dem Produktivsystem aus, genügt es nach Ablauf des fünften Kalenderjahres nach der Umstellung, die Daten ausschließlich auf einem maschinell lesbaren und auswertbaren Datenträger vorzuhalten. Voraussetzung ist, dass zu diesem Zeitpunkt noch keine Außenprüfung begonnen hat.

Ein Rechenbeispiel: Ein Werk stellt im Jahr 2026 vom alten auf ein neues ERP um. Die fünf folgenden Kalenderjahre sind 2027 bis 2031. Bis zum 31. Dezember 2031 muss der volle Datenzugriff Z1 und Z2 möglich sein, ab dem 1. Januar 2032 reicht der Datenträger. Ein Buchungsbeleg aus dem Jahr 2025 bleibt trotzdem bis Ende 2033 aufbewahrungspflichtig, ein im Jahr 2026 aufgestellter Jahresabschluss für 2025 sogar bis Ende 2036.

Vier Wege für Altdaten im Vergleich: Weiterbetrieb, Migration, Einfrieren, Archivierung

Für die Daten eines Altsystems gibt es vier Optionen. Jede erfüllt die Aufbewahrungspflicht unter bestimmten Bedingungen. Abschalten lässt sich das Altsystem nur nach einer Vollmigration oder einer Archivierung.

Die Vollmigration klingt am einfachsten, ist in der Fertigung aber selten wirtschaftlich. Historische Prüfwerte, Schraubkurven und Chargendaten passen oft nicht in das Datenmodell des Nachfolgesystems und vergrößern dessen Datenbank dauerhaft. Beim Einfrieren bleibt das Problem bestehen, denn auch eine virtuelle Maschine braucht ein lauffähiges Betriebssystem, Lizenzen und Personal, das die Anwendung bedienen kann. Die Altsystemarchivierung trennt die Daten von der Anwendung. Das Altsystem kann abgeschaltet werden, ohne das Nachfolgesystem mit historischen Daten zu belasten.

In sechs Schritten das Altsystem abschalten und die Aufbewahrungspflicht erfüllen

Die sechs Schritte gelten für ein ERP genauso wie für ein MES oder eine Prüfstandsdatenbank.

1. Systeminventur: Erfassen Sie alle Anwendungen, Datenbanken, Schnittstellen und Nutzergruppen des Altsystems. Klären Sie, welche Prozesse noch lesend oder schreibend auf die Daten zugreifen.
2. Datenklassifizierung und Fristenkatalog: Ordnen Sie jede Tabelle und jedes Dokument einer Datenart zu und hinterlegen Sie die längste geltende Frist aus AO, HGB, IATF 16949, MDR, Produkthaftung und Kundenvorgaben.
3. Archivformat und Kontext festlegen: Archivieren Sie nicht nur Rohdaten, sondern auch Schema, Beziehungen, Stammdaten und Berichtslogik in einem softwareunabhängigen Format wie XML oder CSV mit Strukturbeschreibung.
4. Vollständigkeit nachweisen: Dokumentieren Sie vor und nach der Übernahme Satzzahlen, Summenwerte und Prüfsummen. Dieser Abgleich ist der Beleg, dass nichts verloren ging und nichts verändert wurde.
5. Zugriff und Verfahrensdokumentation regeln: Legen Sie fest, wer im Fachbereich, in der Buchhaltung oder im Audit auf welche Daten zugreift. Beschreiben Sie das Verfahren in der Verfahrensdokumentation nach GoBD.
6. Abschalten und Löschen nach Fristablauf: Schalten Sie das Altsystem erst nach erfolgreichem Abgleich ab. Löschen Sie archivierte Datensätze, sobald ihre Frist abgelaufen ist und keine Ablaufhemmung besteht.

An Schritt vier hängt, ob das Archiv einer Prüfung standhält. Ein Auditor oder Betriebsprüfer will belegt sehen, dass alle Daten im Archiv angekommen sind. Eine Gegenüberstellung von Datensätzen je Tabelle vor und nach der Übernahme, ergänzt um Prüfsummen, beantwortet diese Frage in wenigen Minuten. Wie Nachweisketten im Audit aufgebaut werden, beschreibt der Beitrag zum Audit Trail in der Fertigung.

Schritt sechs betrifft auch den Datenschutz. Die Datenschutz Grundverordnung verlangt in Art. 5 Abs. 1 lit. e DSGVO, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist, und Art. 17 DSGVO regelt die Pflicht zur Löschung. Werkerkennungen, Anmeldedaten und Personalnummern in Produktionsdaten fallen darunter. Ein Archiv muss deshalb einzelne Datensätze nach Fristablauf löschen können. Wie ein solches Konzept aussieht, zeigt der Beitrag zum Löschkonzept nach DSGVO in Produktionsbetrieben.

Die fünf häufigsten Fehler, wenn Unternehmen Altsysteme stilllegen

• Nur die Buchhaltung wird gefragt. Die steuerlichen Fristen kennt jeder, die Fristen aus IATF 16949, MDR und OEM Vorgaben oft nur das Qualitätsmanagement. Holen Sie QM und Produktion deshalb von Beginn an ins Projekt.
• Rohdaten werden ohne Kontext gesichert. Eine Tabelle mit Spaltennamen wie FELD_17 versteht zehn Jahre später niemand mehr. Archivieren Sie Stammdaten, Schlüsselbeziehungen und die Bedeutung der Felder mit.
• Die Fünfjahresregel wird überdehnt. Der Datenträger nach § 147 Abs. 6 AO ersetzt nur den steuerlichen Zugriff. Für ein OEM Audit oder einen Rückruf brauchen Sie weiterhin schnelle, gezielte Abfragen.
• Es fehlt der Vollständigkeitsnachweis. Ohne Abgleich von Satzzahlen und Prüfsummen lässt sich nicht belegen, dass das Archiv dem Altsystem entspricht.
• Der Abschalttermin liegt vor dem Archivtest. Spielen Sie typische Prüferanfragen durch, etwa alle Prüfergebnisse zu einer Seriennummer, bevor Sie den Server ausschalten.

Die meisten dieser Fehler lassen sich vermeiden, wenn Qualitätsmanagement, Buchhaltung und IT das Projekt gemeinsam verantworten. Sichtbar werden sie oft erst Jahre nach der Abschaltung, im Audit oder im Haftungsfall. Welche finanziellen Folgen fehlende Archivierung haben kann, beleuchtet der Beitrag zu Kosten der Nicht Archivierung und Haftung.

Praxisbeispiel: Sieben Systeme, ein Archiv

Wie eine Altsystemarchivierung im großen Maßstab aussieht, zeigt ein Projekt, über das die Computerwoche berichtet hat. Bei der Restabwicklung der Drogeriekette Schlecker bereitete CSP sieben verschiedene Systeme auf ihre Abschaltung vor, darunter ein Navision ERP, ein stark individualisiertes AS/400 System, ein Intranet und ein Data Warehouse von Teradata. Nach der Aufnahme der Ist Situation entstand laut dem Bericht für jedes System ein eigenes Datenbankarchiv mit Formularen, Abfragen und Berichten für spätere Recherchen.

Danach ließen sich die Daten aller sieben Systeme über eine einheitliche Oberfläche recherchieren, ohne dass eines der Ursprungssysteme weiterlaufen musste. In der Fertigung funktioniert das für MES, Prüfstände und Qualitätsdatenbanken genauso. Wie ein Medizintechnikhersteller seine Applikationsdaten mit CHRONOS sichert, zeigt die Success Story der KLS Martin Group.

Wie CHRONOS die Altsystemarchivierung umsetzt

CHRONOS ist das Modul für Datenbankarchivierung im Manufacturing OS von CSP. Die Software entstand von 2004 bis 2006 in einer Forschungskooperation mit der Fakultät Informatik der Hochschule Landshut und überführt Daten aus relationalen Datenbanken in ein Archiv aus Text und XML Dateien. Dadurch bleiben die Daten unabhängig vom Hersteller der ursprünglichen Datenbank lesbar.

• CHRONOS archiviert die aufbewahrungspflichtigen Daten eines Altsystems, danach können Anwendung und Datenbank stillgelegt werden.
• Einzelne Datensätze lassen sich direkt aus dem Archiv abrufen und auswerten, ohne die komplette Datenbank wiederherzustellen.
• Die Langzeitarchivierung ist revisionssicher und auf die Anforderungen von GoBD, MDR und IATF 16949 ausgelegt.
• Qualitätsmanagement und Audit greifen ohne IT Ticket auf archivierte Daten zu. Wie das organisiert wird, beschreibt der Beitrag Archivzugriff ohne IT Ticket.

Im laufenden Betrieb setzt die BMW Group CHRONOS für eine monatliche Archivierung ein, um Speicherkosten zu senken. Bei einer Stilllegung übernimmt das Archiv die Aufbewahrung vollständig, und das Altsystem kann vom Netz. Mehr zum Modul finden Sie auf der Seite CHRONOS Datenarchivierung.

Häufig gestellte Fragen

Wie lange muss ein Altsystem nach einem Systemwechsel vorgehalten werden?

Das Altsystem selbst muss nicht vorgehalten werden, wenn seine aufbewahrungspflichtigen Daten vollständig und maschinell auswertbar in ein Archiv oder Nachfolgesystem überführt wurden (GoBD Rz. 142). Gelingt das nicht, sind Hard und Software bis zum Ende der längsten Aufbewahrungsfrist zu betreiben, also in der Regel zehn Jahre (§ 147 Abs. 3 AO).

Reicht nach fünf Jahren ein Datenträger für die Betriebsprüfung aus?

Ja, für den steuerlichen Datenzugriff. Nach § 147 Abs. 6 AO genügt nach Ablauf des fünften Kalenderjahres nach Umstellung oder Auslagerung ein maschinell lesbarer und auswertbarer Datenträger, sofern noch keine Außenprüfung begonnen hat. Die Aufbewahrungsfrist selbst verkürzt sich dadurch nicht.

Darf ich ein Altsystem abschalten, wenn die Aufbewahrungsfrist noch läuft?

Ja, wenn die Daten vorher revisionssicher archiviert wurden und dort während der gesamten Frist verfügbar, lesbar und maschinell auswertbar bleiben (§ 147 Abs. 2 Nr. 2 AO). Dokumentieren Sie die Vollständigkeit der Übernahme und beschreiben Sie das Verfahren in der Verfahrensdokumentation.

Was ist Altsystemarchivierung?

Altsystemarchivierung ist die Überführung aller aufbewahrungspflichtigen Daten eines Altsystems in ein revisionssicheres Archiv, das die Daten ohne die ursprüngliche Software lesbar und auswertbar hält. Sie ist die Voraussetzung dafür, ein Altsystem abzuschalten und die Aufbewahrungspflicht trotzdem zu erfüllen.

Was ist der Unterschied zwischen Application Retirement und Datenarchivierung?

Bei der laufenden Datenarchivierung lagert ein aktives System alte Daten aus und bleibt in Betrieb. Beim Application Retirement wird die Anwendung vollständig stillgelegt, nachdem ihre Daten archiviert wurden. Beide Verfahren nutzen dieselbe Archivtechnik, verfolgen aber unterschiedliche Ziele: Entlastung im ersten Fall, Abschaltung im zweiten.

Gilt die Fünfjahresregel auch für Produktions und Qualitätsdaten?

Nein. Die Regel in § 147 Abs. 6 AO betrifft nur den Datenzugriff der Finanzverwaltung. Für Produktionsdaten gelten eigene Fristen, zum Beispiel Produktlebensdauer plus ein Kalenderjahr nach IATF 16949 Abschnitt 7.5.3.2.1 oder mindestens zehn Jahre nach Art. 10 Abs. 8 MDR.

Wann müssen archivierte Altdaten gelöscht werden?

Personenbezogene Daten sind zu löschen, sobald keine Aufbewahrungsfrist mehr besteht (Art. 5 Abs. 1 lit. e und Art. 17 DSGVO). Steuerlich relevante Daten dürfen erst gelöscht werden, wenn auch die Festsetzungsfrist abgelaufen ist (§ 147 Abs. 3 AO). Ein Archiv sollte deshalb einzelne Datensätze fristgenau löschen können.

Quellen

1. § 147 Abgabenordnung, Ordnungsvorschriften für die Aufbewahrung von Unterlagen (Quelle)
2. § 257 Handelsgesetzbuch, Aufbewahrung von Unterlagen (Quelle)
3. BMF Schreiben GoBD vom 28.11.2019, zuletzt geändert am 14.07.2025, Rz. 142 bis 144 (Systemwechsel)
4. Verordnung (EU) 2017/745 (MDR), Artikel 10 Absatz 8 (Quelle)
5. IATF 16949:2016, Abschnitt 7.5.3.2.1 Aufbewahrung von Aufzeichnungen
6. Kundenspezifische Anforderungen Mercedes Benz (MBST 13/18) und General Motors (GMW15920), veröffentlicht von SMR Automotive (Quelle)
7. Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte, Zusammenfassung EUR Lex (Quelle)
8. Computerwoche: Wozu Anton Schlecker noch eine IT braucht (Quelle)
9. Wikipedia: Database preservation (CHRONOS, Hochschule Landshut) (Quelle)
10. Storage Newsletter: Chronos Archiving Solution for Application Retirement (Quelle)
11. DirectIndustry: Database archiving with Chronos at BMW Group (Quelle)

Hinweis: Dieser Beitrag ersetzt keine steuerliche oder rechtliche Beratung. Stimmen Sie Fristen und Abschalttermine mit Ihrer Steuerberatung ab.