Ein Betriebsprüfer fragt nach den Buchungsdaten aus dem Jahr 2019, vollständig und in maschinell auswertbarer Form. Die IT antwortet: Wir haben ein Backup. Genau hier beginnt das Problem. Ein Backup soll Daten nach einem Ausfall wiederherstellen, ein Archiv soll sie über Jahre unverändert und auswertbar nachweisen. Wer beides verwechselt, merkt es meist erst in der Prüfung.
- Ein Backup ist eine Kopie von Daten zu einem Zeitpunkt, die der Wiederherstellung nach Datenverlust dient. Ein Archiv bewahrt Daten über die gesetzliche Frist unverändert und auswertbar auf.
- Steuerlich relevante Daten müssen nach § 147 Abs. 2 Nr. 2 AO während der gesamten Aufbewahrungsfrist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein. Nach § 146 Abs. 4 AO darf der ursprüngliche Inhalt nicht unkenntlich verändert werden.
- Backups werden typischerweise zyklisch überschrieben, liegen in proprietären Formaten vor und sind oft nur mit dem Quellsystem lesbar. Damit erfüllen sie diese Anforderungen in der Regel nicht.
- Ein Unternehmen braucht beides: das Backup für die Wiederherstellung, wie sie auch Art. 32 DSGVO verlangt, und das Archiv für Aufbewahrung und Nachweis.
Backup
Daten nach einem Ausfall wiederherstellen.
Archiv
Daten über die gesetzliche Frist unverändert nachweisen.
Beides
Zwei Systeme für zwei Aufgaben, die sich ergänzen.
Backup und Archivierung werden oft in einem Atemzug genannt. Beide speichern Daten, beide laufen im Hintergrund, beide verantwortet meist die IT. Der Zweck ist aber ein anderer, und daraus folgen unterschiedliche technische und rechtliche Anforderungen.
Das Backup schützt vor Datenverlust durch Hardwarefehler, Ransomware oder versehentliches Löschen. Das Archiv muss belegen können, dass eine Rechnung, ein Prüfprotokoll oder ein Chargennachweis so vorliegt, wie er damals entstanden ist, auch zehn Jahre später und auch dann, wenn das Quellsystem längst abgeschaltet ist.
Dieser Beitrag erklärt beide Begriffe, vergleicht sie an acht Kriterien, zeigt die gesetzlichen Anforderungen aus AO, HGB, GoBD und DSGVO und spielt vier typische Prüfungsszenarien durch. Er richtet sich an IT Leitung, Compliance und Datenschutz.
01 · Backup
Was ist ein Backup und wofür ist es gedacht?
Ein Backup ist eine Kopie von Daten zu einem bestimmten Zeitpunkt. Es wird erstellt, um diese Daten nach einem Verlust wiederherstellen zu können, etwa nach einem Hardwareausfall, einem Ransomware Angriff oder einem versehentlichen Löschen. Gängige Verfahren sind Vollsicherung, inkrementelle und differenzielle Sicherung.
Backups sind auch rechtlich gefordert. Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Für diese Aufgabe ist das Backup das richtige Werkzeug.
Was ein typisches Backup nicht leistet
- Schutz vor Veränderung: Backup Daten lassen sich in vielen Systemen überschreiben oder löschen, oft ohne Protokoll.
- Fristenlogik: Backups werden nach festen Zyklen überschrieben, ältere Stände gehen planmäßig verloren.
- Herstellerunabhängigkeit: Proprietäre Backup Formate sind ohne die Backup Software meist nicht lesbar.
- Unabhängigkeit vom Quellsystem: Um die Daten fachlich auszuwerten, muss das ursprüngliche System häufig wiederhergestellt werden.
- Löschung einzelner Datensätze: Personenbezogene Daten lassen sich aus einem Backup in der Regel nicht gezielt entfernen.
02 · Archivierung
Was bedeutet revisionssichere Archivierung?
Revisionssichere Archivierung ist die Aufbewahrung von Daten über die gesetzliche Frist, so dass sie im Prüfungs oder Streitfall als Nachweis taugen. Der Begriff selbst ist gesetzlich nicht definiert. Die Anforderungen ergeben sich aus der Abgabenordnung, dem Handelsgesetzbuch und den GoBD des Bundesfinanzministeriums.
Vollständig, richtig, zeitgerecht und geordnet
So verlangt es § 146 Abs. 1 AO für Buchungen und Aufzeichnungen. Für das Archiv heißt das: Alle relevanten Daten und Metadaten werden übernommen, ohne Inhalte zu verändern.
Unveränderbar
Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO). Archivierte Daten brauchen deshalb einen technischen Schutz gegen nachträgliche Änderungen.
Lesbar und maschinell auswertbar
Daten müssen während der gesamten Aufbewahrungsfrist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein (§ 147 Abs. 2 Nr. 2 AO). Die Betriebsprüfung darf nach § 147 Abs. 6 AO direkt, mittelbar oder per Datenträger auf die Daten zugreifen.
Fristgerecht aufbewahrt und gelöscht
Je nach Unterlage gelten zehn, acht oder sechs Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Nach Fristablauf sind personenbezogene Daten nach Art. 17 DSGVO zu löschen.
Dokumentiert
Die GoBD verlangen eine Verfahrensdokumentation, die beschreibt, wie Daten erfasst, verarbeitet und aufbewahrt werden (GoBD Rn. 151 ff.).
03 · Vergleich
Worin unterscheiden sich Backup und Archivierung?
Die folgende Gegenüberstellung zeigt die Unterschiede an acht Kriterien, die im Prüfungsfall zählen.
| Kriterium | Typisches Backup | Revisionssichere Archivierung |
|---|---|---|
| Zweck | Wiederherstellung nach Datenverlust | Aufbewahrung und Nachweis über die gesetzliche Frist |
| Unveränderbarkeit | oft nicht technisch abgesichert, Daten können überschrieben werden | technischer Schutz gegen Änderungen, jede zulässige Aktion protokolliert |
| Nachvollziehbarkeit | kein Protokoll, wer wann auf welche Daten zugegriffen hat | vollständiger Audit Trail |
| Lesbarkeit über die Frist | abhängig von Backup Software und Quellsystem | offenes, herstellerunabhängiges Format |
| Fristen | zyklisches Überschreiben ohne Bezug zu gesetzlichen Fristen | Fristen je Datenkategorie, Löschung nach Fristablauf |
| Löschung nach DSGVO | gezielte Löschung einzelner Datensätze kaum möglich | Löschung einzelner Datensätze mit Nachweis |
| Zugriff für Fachbereiche | Wiederherstellung über die IT nötig | Suche und Export für berechtigte Rollen |
| Altsystem abschalten | Quellsystem wird für den Zugriff weiter gebraucht | Daten bleiben ohne Quellsystem nutzbar |
Kernaussage
Backup heißt: Daten wiederherstellen können. Archiv heißt: Daten nachweisen können. Die meisten Unternehmen brauchen beides, aber nicht in einem System.
04 · Recht
Welche gesetzlichen Anforderungen erfüllt ein Backup nicht?
Kein Gesetz verbietet Backups, im Gegenteil. Probleme entstehen, wenn ein Backup die Aufgabe eines Archivs übernehmen soll. Die folgende Tabelle zeigt, welche Anforderungen dabei typischerweise nicht erfüllt werden.
| Rechtsgrundlage | Was sie verlangt | Typische Lücke beim Backup |
|---|---|---|
| § 147 Abs. 2 Nr. 2 AO | Daten über die gesamte Frist verfügbar, lesbar und maschinell auswertbar | Format nur mit Backup Software oder Quellsystem lesbar |
| § 147 Abs. 3 AO, § 257 Abs. 4 HGB | Aufbewahrung zehn, acht oder sechs Jahre je nach Unterlage | Überschreiben nach festen Zyklen, ältere Stände fehlen |
| § 146 Abs. 4 AO | ursprünglicher Inhalt muss feststellbar bleiben | kein technischer Schutz gegen Änderungen |
| § 147 Abs. 6 AO | Datenzugriff der Betriebsprüfung direkt, mittelbar oder per Datenträger | Daten müssen erst aufwendig wiederhergestellt werden |
| GoBD Rn. 151 ff. | Verfahrensdokumentation | Backup Konzept beschreibt Wiederherstellung, nicht Aufbewahrung |
| Art. 5 Abs. 2 DSGVO | Nachweis, dass die Grundsätze der Verarbeitung eingehalten werden | kein Protokoll über Zugriffe und Löschungen |
| Art. 17 DSGVO | Löschung personenbezogener Daten nach Wegfall des Zwecks | einzelne Datensätze im Backup kaum löschbar |
Kann die Finanzbehörde die Besteuerungsgrundlagen nicht ermitteln, weil Bücher oder Aufzeichnungen fehlen oder nicht verwertbar sind, darf sie nach § 162 AO schätzen. Genau dieses Risiko entsteht, wenn ein Backup im Prüfungsfall nicht die nötige Qualität hat.
Welche Fristen für welche Unterlagen gelten, zeigt der Beitrag zu den Aufbewahrungsfristen 2026.
Warum ein Backup nicht reicht
Das Whitepaper „Darum reicht ein Backup schon lange nicht mehr“ zeigt den rechtlichen und technischen Rahmen der revisionssicheren Archivierung für IT Leitung und Compliance.
05 · Szenarien
Was passiert im Prüfungsfall? Vier Szenarien
Abstrakte Unterschiede überzeugen selten. Die folgenden vier Szenarien zeigen, wie sich Backup und Archiv in typischen Prüfungs und Streitfällen verhalten.
| Szenario | Anfrage | Nur Backup | Mit revisionssicherem Archiv |
|---|---|---|---|
| Betriebsprüfung | Buchungsdaten aus vergangenen Jahren in maschinell auswertbarer Form | Daten müssen erst wiederhergestellt und konvertiert werden, die Unveränderbarkeit ist schwer nachzuweisen | Export direkt aus dem Archiv, Zugriffe und Änderungsschutz dokumentiert |
| Löschanfrage nach DSGVO | Nachweis, dass personenbezogene Daten nach Fristablauf gelöscht wurden | Daten können in älteren Backups weiter vorhanden sein, ein Löschnachweis fehlt | Löschung des Datensatzes mit Protokoll |
| Produkthaftung | Nachweis der Prozessparameter einer Charge, das Produktionssystem ist abgeschaltet | Backup ohne die alte Software nicht lesbar | Daten beim Abschalten im offenen Format archiviert und abrufbar |
| Personalwechsel oder Insolvenz | Zugriff auf historische Daten, wenn das Wissen über die Altsysteme fehlt | Wiederherstellung hängt an Lizenzen und Personen, die nicht mehr verfügbar sind | Zugriff über eine dokumentierte Oberfläche mit Rollen und Rechten |
Wie Fachbereiche selbst auf archivierte Daten zugreifen, ohne jedes Mal ein IT Ticket zu stellen, beschreibt der Beitrag zum Archivzugriff ohne IT Ticket.
06 · Praxis
Wann braucht ein Unternehmen Backup, Archiv oder beides?
Die Antwort ist fast immer: beides. Backup und Archiv sind keine Alternativen, sondern zwei Systeme mit unterschiedlichen Aufgaben. Eine einfache Faustregel hilft bei der Zuordnung.
| Was passiert? | Backup | Archiv |
|---|---|---|
| Ein Server oder eine Festplatte fällt aus | notwendig | nicht zuständig |
| Ein Mitarbeiter löscht versehentlich Daten | notwendig | ergänzender Nachweis |
| Das Finanzamt prüft | nicht ausreichend | notwendig |
| Ein Altsystem soll abgeschaltet werden | nicht ausreichend | notwendig |
| Ein Kunde oder Lieferant fordert Nachweise | nicht ausreichend | notwendig |
| Personenbezogene Daten müssen gelöscht werden | kaum gezielt möglich | notwendig |
Backup System
Für die operative Datensicherheit: kurze Aufbewahrungszyklen, schnelle Wiederherstellung, ausgelegt auf Wiederherstellungszeit und tolerierbaren Datenverlust.
Archivsystem
Für Aufbewahrung und Nachweis: gesetzliche Fristen, Änderungsschutz, herstellerunabhängiges Format, Zugriff für berechtigte Rollen.
Kernaussage
Der häufigste Fehler ist ein Backup System, das behandelt wird, als wäre es beides. Das fällt meist erst in der ersten Prüfung auf.
Archivierung in der Praxis sehen
In einer Live Demo zeigen wir Ihnen, wie CHRONOS neben Ihrer bestehenden Backup Infrastruktur revisionssicher archiviert und Altsysteme ablöst.
07 · Lösung
Wie unterstützt CHRONOS die revisionssichere Archivierung?
CSP Intelligence ist ein Softwareunternehmen für die Fertigungsindustrie mit Sitz in Bayern. CHRONOS ist die Lösung für revisionssichere Datenarchivierung im Manufacturing OS. Sie ersetzt kein Backup, sondern ergänzt die bestehende Infrastruktur um die Aufgaben eines Archivs.
Archivieren und abschalten
Daten aus Oracle, SAP, MS SQL oder CSV werden herstellerunabhängig archiviert. Danach lassen sich die Altsysteme abschalten.
Fristen und Löschung
Aufbewahrungsfristen werden je Datenkategorie gesteuert. Löschungen werden revisionssicher dokumentiert.
Zugriff und Nachweis
Berechtigte Rollen suchen und exportieren Daten selbst. Jeder Zugriff wird protokolliert. Mehr zu CHRONOS
FAQ
Häufig gestellte Fragen
Ist ein Backup rechtlich gleichwertig mit einer Archivierung?+
Nein. Ein Backup dient der Wiederherstellung nach Datenverlust. Für die Aufbewahrung steuerlich relevanter Unterlagen verlangt § 147 Abs. 2 Nr. 2 AO, dass die Daten während der gesamten Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sind. Hinzu kommt nach § 146 Abs. 4 AO der Schutz gegen nachträgliche Änderungen. Ein Backup, das überschrieben werden kann oder nur mit dem Quellsystem lesbar ist, erfüllt diese Anforderungen in der Regel nicht.
Was bedeutet revisionssicher konkret?+
Der Begriff ist gesetzlich nicht definiert. In der Praxis beschreibt er eine Archivierung, die die gesetzlichen Anforderungen an Aufbewahrung erfüllt: vollständig, richtig, zeitgerecht und geordnet (§ 146 Abs. 1 AO), unveränderbar (§ 146 Abs. 4 AO), über die gesamte Frist lesbar und maschinell auswertbar (§ 147 Abs. 2 AO) und mit einer Verfahrensdokumentation nach GoBD.
Welche Daten müssen archiviert werden?+
Aufbewahrungspflichtig sind nach § 147 Abs. 1 AO und § 257 Abs. 1 HGB unter anderem Bücher und Aufzeichnungen, Jahresabschlüsse, Buchungsbelege sowie Handels und Geschäftsbriefe. Die Fristen betragen zehn, acht und sechs Jahre. Dazu kommen branchenspezifische Vorgaben, etwa nach IATF 16949 oder der Medizinprodukteverordnung.
Kann ein bestehendes Backup in ein Archiv überführt werden?+
Grundsätzlich ja, wenn sich die Daten vollständig wiederherstellen lassen und anschließend in ein unveränderbares, maschinell auswertbares Archiv übernommen werden. Ob die Daten dabei vollständig und richtig sind, muss geprüft und dokumentiert werden. Je älter das Backup und je weiter das Quellsystem zurückliegt, desto aufwendiger wird das.
Wie lange müssen geschäftliche E Mails aufbewahrt werden?+
Das hängt vom Inhalt ab. E Mails, die als Handels oder Geschäftsbrief dienen, sind sechs Jahre aufzubewahren. Ist eine E Mail oder ihr Anhang ein Buchungsbeleg, etwa eine Rechnung, gilt die Frist für Buchungsbelege von acht Jahren (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
Was passiert, wenn die Backup Software abgekündigt wird?+
Dann besteht die Aufbewahrungspflicht weiter, die Daten müssen also lesbar und auswertbar bleiben. Nach § 147 Abs. 6 AO reicht es nach einem Systemwechsel, die Daten nach Ablauf des fünften Kalenderjahres, das auf die Umstellung folgt, nur noch auf einem maschinell lesbaren und auswertbaren Datenträger vorzuhalten. Voraussetzung ist ein Format, das ohne die alte Software nutzbar ist.
Reicht ein Cloud Speicher als revisionssichere Archivierung?+
Ein Speicherort allein macht noch kein Archiv. Entscheidend ist, ob die Daten unveränderbar gespeichert, über die Frist lesbar und auswertbar, gegen vorzeitiges Löschen geschützt und nach Fristablauf nachweisbar löschbar sind und ob das Verfahren dokumentiert ist. Das gilt für Cloud und lokale Speicher gleichermaßen.
Braucht ein Unternehmen trotz Archiv weiter ein Backup?+
Ja. Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Dafür ist das Backup da. Backup und Archiv ergänzen sich, sie ersetzen sich nicht.
Dieser Beitrag gibt einen Überblick und ersetzt keine steuerliche oder rechtliche Beratung. Stand: November 2026.
Verantwortet Strategie und innovative Softwarelösungen für die produzierende Industrie.