Revisionssicher. Das Wort klingt nach Bürokratie, nach Ordner und Stempel. In der Fertigung bedeutet revisionssichere Archivierung etwas sehr Konkretes: In einem Audit, einem Haftungsprozess oder einem Rückruf belegen Sie innerhalb von Minuten lückenlos und manipulationssicher, wie ein Bauteil geprüft, freigegeben und gefertigt wurde. Auch dann, wenn der Vorgang zwölf Jahre zurückliegt.
Die meisten Fertigungsunternehmen archivieren. Aber sie archivieren nicht revisionssicher. Sie haben Daten, aber keine Nachweise. Sie haben Protokolle, aber keine Beweise. Der Unterschied wird erst sichtbar, wenn es darauf ankommt. Mit dem neuen Produkthaftungsgesetz, das am 9. Dezember 2026 in Kraft tritt, wird dieser Unterschied teurer: Wer im Prozess relevante Beweismittel nicht offenlegen kann, riskiert, dass die Fehlerhaftigkeit des Produkts vermutet wird.
Dieser Artikel erklärt, welche Regelwerke 2026 für die revisionssichere Archivierung von Produktionsdaten gelten, welche Daten betroffen sind, wie eine revisionssichere Datenbank aufgebaut ist und wo die fünf häufigsten Lücken entstehen.
- Revisionssichere Archivierung ist die vollständige, unveränderbare, auffindbare und dauerhaft lesbare Aufbewahrung von Daten, deren ursprünglicher Zustand jederzeit nachweisbar ist, auch ohne die Software, mit der sie erzeugt wurden.
- Für Produktionsdaten gelten vier Kernanforderungen: Unveränderbarkeit (jede Änderung protokolliert), Vollständigkeit (keine Lücken im Zeitverlauf), Auffindbarkeit (Abruf je Seriennummer ohne IT Hilfe) und Lesbarkeit (offene Formate über die gesamte Frist).
- IATF 16949 Abschnitt 7.5.3.2.1 verlangt die Aufbewahrung von Aufzeichnungen für die aktive Produktlaufzeit plus ein Kalenderjahr; längere Fristen wie 15 Jahre stammen aus Kundenanforderungen und Werknormen, die sich auf VDA Band 1 stützen.
- Steuerrechtlich gelten seit 1. Januar 2025 nach § 147 AO 10 Jahre für Bücher und Aufzeichnungen und 8 Jahre für Buchungsbelege. Die EU Produkthaftungsrichtlinie 2024/2853 setzt eine Haftungsdauer von 10 Jahren, bei latenten Personenschäden 25 Jahre.
Nachweisen
Archiviert heißt gespeichert. Revisionssicher heißt nachweisbar unverändert, vollständig, auffindbar und dauerhaft lesbar. Nur das zweite trägt im Audit und vor Gericht.
Einordnen
Es gibt keine einheitliche Frist. Maßgeblich ist je Datenkategorie die strengste Anforderung aus Norm, Kundenvertrag, Steuerrecht und Haftungsrisiko.
Umsetzen
Revisionssicherheit ist keine Softwarefunktion, sondern eine Architekturentscheidung: Audit Trail, synchronisierte Zeitstempel, rollenbasierte Rechte, Prüfsummen und offene Exportformate.
Revisionssichere Archivierung entscheidet darüber, ob Produktionsdaten im Ernstfall als Beweis tragen. Dieser Beitrag richtet sich an Verantwortliche für Qualität, IT und Compliance in Automobilindustrie, Maschinenbau und Medizintechnik.
01 · Grundlagen
Was bedeutet revisionssichere Archivierung in der Fertigung?
Revisionssichere Archivierung ist die dauerhaft manipulationssichere, vollständige und jederzeit gezielt abrufbare Aufbewahrung von Daten und Dokumenten, die für steuerliche, rechtliche oder normative Prüfungen relevant sind. Archivierte Daten geben ihren ursprünglichen Inhalt unverändert wieder, und jede spätere Änderung bleibt mit Zeitpunkt und Urheber nachvollziehbar.
Der Begriff stammt aus dem Steuerrecht. Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) verlangen, dass der ursprüngliche Zustand einer Aufzeichnung nachvollziehbar bleibt (BMF Schreiben vom 28.11.2019, Rz. 59). In der Fertigung hat sich „revisionssicher“ als Sammelbegriff für jede beweisfähige Langzeitaufbewahrung durchgesetzt: für Qualitätsnachweise nach IATF 16949, für Rückverfolgungsdaten und für den Entlastungsnachweis im Haftungsfall.
Kein Gesetz und keine Norm schreibt eine bestimmte Software vor. Gefordert sind nachweisbare Eigenschaften. Ob ein System sie erfüllt, entscheiden Architektur und Verfahrensdokumentation.
+1 Jahr
Aufbewahrung über die aktive Produktlaufzeit hinaus
Quelle: IATF 16949:2016, Abschnitt 7.5.3.2.1
8 Jahre
für Buchungsbelege seit 1.1.2025, zuvor 10 Jahre
Quelle: § 147 Abs. 3 AO i. d. F. BEG IV
25 Jahre
Haftungsdauer bei latenten Personenschäden
Quelle: Art. 17 Richtlinie (EU) 2024/2853
4 %
Bußgeldrahmen vom weltweiten Jahresumsatz
Quelle: Art. 83 Abs. 5 DSGVO
02 · Kernanforderungen
Welche vier Eigenschaften machen Produktionsdaten revisionssicher?
Revisionssicherheit lässt sich in vier prüfbare Eigenschaften zerlegen. Jede davon braucht einen technischen Mechanismus und einen dokumentierten Nachweis. Fehlt eine, ist das Archiv nicht revisionssicher.
Unveränderbarkeit
Einmal archivierte Daten lassen sich nicht ohne protokollierten Nachweis überschreiben, löschen oder verändern.
- Audit Trail mit Zeitstempel, Nutzerkennung, altem und neuem Wert
- WORM Speicher (write once, read many) oder Prüfsummen je Datensatz
- Korrekturen als neuer Eintrag, nie als Überschreibung
GoBD Rz. 59: ursprünglicher Zustand muss nachvollziehbar bleiben
Nachweis: Änderungsprotokoll, das selbst nicht editierbar ist
Vollständigkeit
Alle vorgeschriebenen Daten sind für den gesamten Zeitraum vorhanden, ohne Lücken und ohne fehlende Pflichtfelder.
- Pflichtfelder bei der Erfassung, nicht erst beim Export
- Lückenprüfung je Linie, Schicht und Zeitraum
- Archivierungsprotokoll mit Satzanzahl und Prüfsumme
IATF 16949 7.5.3.2.1: Aufbewahrungsrichtlinie muss Kundenanforderungen erfüllen
Nachweis: dokumentierte Vollständigkeitsprüfung je Archivierungslauf
Auffindbarkeit
Ein bestimmter Datensatz, etwa die Bauteilakte zu einer Seriennummer, lässt sich gezielt und ohne IT Spezialwissen abrufen.
- Index über Seriennummer, Charge, Auftrag und Datum
- Dokumentierte Abfragemethode für Auditoren
- Fachbereichszugriff mit Leserechten
GoBD Rz. 122: Zugriff über einen eindeutigen Index
Nachweis: Abruf einer beliebigen Bauteilakte in wenigen Minuten
Lesbarkeit
Der Inhalt bleibt über die gesamte Frist lesbar und interpretierbar, auch nachdem die erzeugende Software abgelöst wurde.
- Offene Formate: PDF/A, CSV, XML
- Formatbeschreibung und Schema im Archiv
- Regelmäßige Lesbarkeitsprüfung nach Migrationen
GoBD Rz. 6: maschinell auswertbar und langfristig zugänglich
Nachweis: Testabruf einer alten Akte mit Standardwerkzeugen
Fristen, Formate und Checkliste an einem Ort
Das Whitepaper fasst die Aufbewahrungsanforderungen je Datenkategorie zusammen und enthält eine Checkliste, mit der Sie Ihr Archiv vor dem nächsten Audit prüfen.
03 · Abgrenzung
Gespeichert, gesichert, archiviert, revisionssicher: Wo liegt der Unterschied?
In Gesprächen mit Qualitätsleitungen fallen vier Begriffe oft durcheinander: gespeichert, gesichert, archiviert und revisionssicher. Sie beschreiben vier aufeinander aufbauende Stufen. Erst die vierte trägt als Beweis.
1
Gespeichert
Daten liegen in der operativen Datenbank oder auf einem Laufwerk. Laufender Betrieb, aktuelle Auswertungen.
Im Audit: Nachweis hängt davon ab, dass nie jemand etwas geändert hat.
2
Gesichert
Regelmäßiges Backup der Systeme. Wiederherstellung nach Ausfall oder Angriff.
Im Audit: Zeigt einen Stand, aber nicht, ob dieser Stand verändert wurde.
3
Archiviert
Daten wurden bewusst für die Langzeitaufbewahrung abgelegt. Entlastung der operativen Systeme, langfristige Verfügbarkeit.
Im Audit: Abruf oft nur mit IT Hilfe, Unveränderbarkeit nicht belegt.
4
Revisionssicher
Archiv mit Audit Trail, Index, Prüfsummen und offenem Format. Beweisfähiger Nachweis über die gesamte Frist.
Im Audit: Auditor ruft die Bauteilakte selbst ab, Integrität ist belegt.
Ein Backup ist kein Archiv: Es stellt einen Systemzustand wieder her, ist aber weder nach Seriennummer durchsuchbar noch belegt es, dass die Daten vor der Sicherung unverändert waren. Die meisten Fertigungsunternehmen befinden sich auf Stufe 2 oder 3. Stufe 4 ist eine Architekturentscheidung, die sich am wirtschaftlichsten von Anfang an treffen lässt.
04 · Rechtsrahmen
Welche Normen und Gesetze gelten 2026 für die Archivierung von Produktionsdaten?
Fertigungsunternehmen in Deutschland unterliegen mehreren Regelwerken gleichzeitig. Sie überschneiden sich, aber sie fordern Unterschiedliches: Manche schreiben eine Aufbewahrungsfrist vor, andere verlangen eine selbst festgelegte Richtlinie, und das Produkthaftungsrecht regelt gar keine Aufbewahrung, sondern wie lange Sie haften. Die Fristen der folgenden Matrix sind deshalb nicht direkt vergleichbar. Maßgeblich ist je Datenkategorie die strengste Anforderung.
| Regelwerk | Was es regelt | Frist | Fristbeginn | Fundstelle |
|---|---|---|---|---|
| IATF 16949:2016 | Qualitätsaufzeichnungen, Freigaben, PPAP, Werkzeugaufzeichnungen | Laufzeit + 1 Jahr | Ende der aktiven Produktion und Ersatzteilversorgung | Abschnitt 7.5.3.2.1 |
| Kundenspezifische Anforderungen | Beispiel GM: PPAP Aufzeichnungen | Serie + 50 Jahre | Ende des Serienlaufs | GM CSR zu IATF 16949, 7.5.3.2.1 |
| Werknormen auf Basis VDA Band 1 | Beispiel: besondere und signifikante Merkmale | 15 Jahre | Ende der Ersatzteilfertigung | MAGURA Werknorm MWN 3550 |
| § 147 AO, § 257 HGB | Bücher, Aufzeichnungen, Jahresabschlüsse | 10 Jahre | Ende des Kalenderjahres | § 147 Abs. 3 AO |
| § 147 AO, § 257 HGB | Buchungsbelege, Rechnungen | 8 Jahre | Ende des Kalenderjahres | § 147 Abs. 3 AO i. d. F. BEG IV |
| ProdHaftG 2026, RL (EU) 2024/2853 | keine Aufbewahrungspflicht, sondern Haftungsdauer | 10 / 25 Jahre | Inverkehrbringen des Produkts | Art. 17 RL 2024/2853 |
| ISO 9001:2015 und 2026 | Dokumentierte Information zum QM System | selbst festlegen | gemäß eigener Richtlinie | ISO 9001:2015, 7.5.3 |
| DSGVO | Personenbezogene Daten, etwa Werkerkennungen | nur so lange nötig | Wegfall des Zwecks | Art. 5 Abs. 1 lit. e DSGVO |
IATF 16949: Aufbewahrungsrichtlinie statt fester Jahreszahl
IATF 16949 Abschnitt 7.5.3.2.1 verlangt eine definierte, dokumentierte und umgesetzte Aufbewahrungsrichtlinie, die gesetzliche, behördliche, organisatorische und Kundenanforderungen erfüllt. Für Produktionsteilfreigaben, Werkzeugaufzeichnungen, Konstruktionsunterlagen, Bestellungen und Verträge nennt die Norm als Untergrenze die Zeit, in der das Produkt für Produktion und Service aktiv ist, plus ein Kalenderjahr.
Die oft zitierten 15 Jahre stehen nicht in der IATF 16949. Sie stammen aus Kundenanforderungen und Werknormen, die sich auf VDA Band 1 „Dokumentierte Information und Aufbewahrung“ stützen. Der VDA hat diesen Band im August 2026 in fünfter, überarbeiteter Ausgabe veröffentlicht und dabei Datenschutz, Produkthaftung und softwarebezogene Aspekte neu berücksichtigt. Einzelne OEM gehen weit darüber hinaus: General Motors fordert in seinen kundenspezifischen Anforderungen für PPAP Aufzeichnungen die Aufbewahrung über den Serienlauf plus 50 Jahre.
GoBD und Abgabenordnung: 10 und 8 Jahre
Für steuerrelevante Daten gelten § 147 AO und § 257 HGB. Bücher, Aufzeichnungen und Jahresabschlüsse sind 10 Jahre aufzubewahren. Für Buchungsbelege hat das Vierte Bürokratieentlastungsgesetz die Frist zum 1. Januar 2025 von 10 auf 8 Jahre verkürzt. Die Frist beginnt jeweils mit dem Ende des Kalenderjahres. Wie elektronisch aufbewahrt wird, regeln die GoBD in der Fassung vom 28.11.2019, zuletzt geändert durch BMF Schreiben vom 11.03.2024 und vom 14.07.2025.
Produktionsdaten werden steuerrelevant, sobald sie in Bewertungen einfließen, etwa in Herstellungskosten oder Inventurbestände.
Neues Produkthaftungsgesetz ab 9. Dezember 2026
Der Bundestag hat am 8. Oktober 2026 das Gesetz zur Modernisierung des Produkthaftungsrechts beschlossen. Es setzt die Richtlinie (EU) 2024/2853 um, tritt am 9. Dezember 2026 in Kraft und gilt für Produkte, die ab diesem Tag in Verkehr gebracht werden. Software einschließlich KI Systemen gilt künftig als Produkt, die bisherige Haftungshöchstgrenze von 85 Millionen Euro entfällt.
Für die Archivierung entscheidend ist das Beweisrecht. Gerichte können anordnen, dass Hersteller relevante Beweismittel offenlegen, wenn ein Schadensersatzanspruch plausibel dargelegt ist (§ 19 ProdHaftG neu, Art. 9 der Richtlinie). Legt der Beklagte diese Beweismittel nicht offen, wird die Fehlerhaftigkeit des Produkts vermutet (Art. 10 Abs. 2 lit. a der Richtlinie). Ansprüche erlöschen 10 Jahre nach dem Inverkehrbringen, bei latenten Personenschäden nach 25 Jahren (Art. 17). Eine Aufbewahrungspflicht schreibt das Gesetz nicht vor. Wer aber nach acht Jahren keine Prozessdaten mehr hat, kann im Prozess nichts offenlegen.
ISO 9001:2026 und DSGVO
ISO 9001 schreibt keine Frist vor, sondern verlangt, dass Sie Aufbewahrung und Verfügung über dokumentierte Information selbst regeln (ISO 9001:2015, Abschnitt 7.5.3). Die neue Ausgabe ISO 9001:2026 wurde am 16. September 2026 veröffentlicht. Für bestehende Zertifikate gilt eine Übergangsfrist von 36 Monaten bis September 2029.
Die DSGVO wirkt in die Gegenrichtung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert (Art. 5 Abs. 1 lit. e DSGVO). Verstöße gegen die Grundsätze des Art. 5 können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
Spannungsfeld DSGVO und lange Aufbewahrung
IATF 16949, Kundenanforderungen und Haftungsrisiko sprechen für lange Aufbewahrung. Die DSGVO verlangt die Löschung personenbezogener Daten, sobald ihr Zweck entfallen ist.
Die Lösung ist eine technische Trennung: Bauteilbezogene Produktionsdaten bleiben erhalten. Werkerkennungen werden pseudonymisiert (Art. 4 Nr. 5 DSGVO), die Zuordnungstabelle liegt getrennt und wird nach Ablauf ihres Zwecks protokolliert gelöscht.
05 · Datenkategorien
Welche Produktionsdaten müssen revisionssicher archiviert werden?
Nicht alle Produktionsdaten brauchen dasselbe Archivierungsniveau. Die folgende Übersicht ordnet typische Datenkategorien einer Serienfertigung dem maßgeblichen Rahmen zu. Die konkrete Frist ergibt sich immer erst aus Ihrer Aufbewahrungsrichtlinie und den Verträgen mit Ihren Kunden.
| Datenkategorie | Beispiele | Maßgeblicher Rahmen | Revisionssicher nötig? |
|---|---|---|---|
| Prüfergebnisse und Qualitätsnachweise | Messprotokolle, SPC Daten, Freigabeentscheidungen | IATF 16949 7.5.3.2.1, Kundenanforderungen, ProdHaftG | Ja, zwingend |
| Chargen und Rückverfolgungsdaten | Seriennummern, Losnummern, Materialchargen, Lieferanten | IATF 16949 8.5.2.1, ProdHaftG | Ja, zwingend |
| Fertigungsparameter und Prozessdaten | Drehmomentkurven, Temperaturprofile, Maschinenkonfiguration | Kundenanforderungen zu besonderen Merkmalen, ProdHaftG | Ja, bei sicherheitsrelevanten Merkmalen |
| Kalibrierung und Prüfmittel | Kalibrierprotokolle, Messmittelkennungen, Gültigkeiten | IATF 16949 7.1.5.2.1 | Ja |
| Änderungsprotokolle | Audit Trail, Systemzugriffe, Freigabehistorie | GoBD Rz. 59, IATF 16949 | Ja, so lange wie die belegten Daten |
| Steuerrelevante Produktionsdaten | Herstellungskosten, Inventurdaten, Nachkalkulation | § 147 AO, GoBD | Ja, 10 Jahre bzw. 8 Jahre für Belege |
| Personenbezogene Werkerdaten | Werkerkennungen, Schichtprotokolle mit Namen | Art. 5 Abs. 1 lit. e DSGVO | Nein: Pseudonymisierung und Löschkonzept |
| Arbeitsanweisungen | aktuelle und historische Versionen | ISO 9001 7.5.3 | Versionsnachweis erforderlich |
Wie Bauteile über Seriennummer und Charge mit Prozess und Prüfung verknüpft werden, beschreibt der Beitrag Traceability in der Produktion.
06 · Architektur
Wie ist eine revisionssichere Datenbank in der Fertigung aufgebaut?
Revisionssicherheit lässt sich in einer bestehenden Datenbank nicht per Schalter aktivieren. Sie entsteht aus vier technischen Bausteinen, die aufeinander aufbauen. Die Reihenfolge ist bewusst gewählt: Ohne Audit Trail sind Zeitstempel wertlos, ohne Rechtekonzept ist der Audit Trail umgehbar, ohne Prüfsummen ist das Archiv nicht gegen schleichende Veränderung geschützt.
Audit Trail: lückenlose Änderungshistorie
Jede Schreiboperation wird protokolliert.
- Zeitstempel, Nutzerkennung, Änderungsart (Einfügen, Ändern, Löschen) und betroffenes Feld
- Alter und neuer Wert bleiben beide erhalten
- Keine Gruppenkonten, jede Änderung ist einer Person oder einem System zuordenbar
- Das Protokoll selbst ist nicht editierbar
Nachweis: Nachweis, dass ein Prüfergebnis seit der Erfassung nicht unbemerkt verändert wurde
Zeitstempel: synchronisiert und eingefroren
Ein Zeitstempel aus einer ungestellten Uhr beweist nichts.
- Alle erfassenden Systeme synchronisieren über NTP (RFC 5905) mit derselben Zeitquelle
- Speicherung in UTC, Umrechnung erst in der Anzeige
- Zeitstempel werden bei der Erfassung eingefroren
- Abweichungen zwischen Steuerung, MES und QMS werden regelmäßig geprüft und dokumentiert
Nachweis: Eindeutige zeitliche Zuordnung von Prozessdaten, Prüfung und Freigabe zu einem Fertigungsvorgang
Rollenbasierte Rechte mit Vier Augen Prinzip
Lesen, Schreiben und Löschen sind strikt getrennt.
- Leserechte für Fachbereiche und Auditoren, ohne IT Ticket
- Schreibrechte nur für erfassende Systeme und benannte Rollen
- Korrekturen archivierter Prüfergebnisse nur mit zweiter, unabhängiger Freigabe
- Jeder Zugriff wird protokolliert
Nachweis: Nachweis, dass niemand allein archivierte Qualitätsdaten verändern konnte
Prüfsummen und digitale Signaturen
Veränderung und Datenverfall werden sofort erkennbar.
- Beim Archivieren wird je Datei oder Datensatz ein Hashwert berechnet, etwa SHA 256 nach NIST FIPS 180
- Periodische Neuberechnung deckt Manipulation und Datenverfall auf dem Speichermedium auf
- Digitale Signaturen binden den Inhalt zusätzlich an Person oder System und Zeitpunkt
- Hashwerte werden getrennt vom Archiv gespeichert
Nachweis: Technischer Beweis, dass die heute abgerufene Akte bitgenau der archivierten entspricht
PostgreSQL, Microsoft SQL Server und Oracle bieten Mechanismen für Änderungsprotokolle. Eine nachträgliche Aktivierung schützt aber erst ab dem Aktivierungszeitpunkt; historische Daten ohne Audit Trail benennen Sie als Restrisiko in der Verfahrensdokumentation.
„In einem Audit wird nicht gefragt, ob Sie die Daten haben. Es wird gefragt, ob Sie sie in zwei Minuten zeigen können. Wer dafür seinen IT Administrator anrufen muss, hat das Konzept der revisionssicheren Archivierung nicht verstanden.“
Korbinian Hermann, CEO, CSP Intelligence GmbH
07 · Formate
Welche Formate eignen sich für die revisionssichere Archivierung?
Das Archivformat ist die am häufigsten unterschätzte Entscheidung. Es bestimmt, ob Daten in 15 oder 25 Jahren ohne die Originalsoftware noch lesbar sind. Die GoBD verlangen, dass aufbewahrte Daten maschinell auswertbar und langfristig zugänglich bleiben (Rz. 6).
| Format | Typischer Einsatz | Eignung | Begründung und Bedingung |
|---|---|---|---|
| PDF/A (ISO 19005) | Prüfberichte, Protokolle, Zertifikate | Sehr gut | Genormtes Langzeitformat, Schriften eingebettet, Signaturen möglich |
| XML mit XSD Schema | Bauteilakten, Konfigurationen | Sehr gut | Offen, gegen das Schema validierbar; Schema mitarchivieren |
| CSV mit Schemadokumentation | Messreihen, Prozessparameter, Chargenprotokolle | Gut | Reiner Text, immer lesbar; nur mit Prüfsummen und externem Audit Trail |
| JSON | API Exporte, strukturierte Daten | Bedingt | Kein verbindliches Schema im Format selbst; Schema extern dokumentieren |
| Relationale Datenbank | Operative Produktionsdaten | Bedingt | Mit Audit Trail beweisfähig, aber versionsabhängig; für das Langzeitarchiv exportieren |
| Excel und Office Formate | Ad hoc Auswertungen | Ungeeignet | Leicht veränderbar, kein Änderungsprotokoll, versionsabhängig |
| Proprietäre Formate, Access | Herstellerspezifische Ablagen | Ungeeignet | Ohne Originalsoftware nicht lesbar; Risiko durch Herstellerabkündigung |
Praxisempfehlung
Die operative Produktionsdatenbank läuft relational mit vollständigem Audit Trail. Für die Langzeitarchivierung exportieren Sie periodisch in offene Formate: Berichte und Protokolle als PDF/A, Rohdaten als CSV oder XML mit Schemadokumentation. Jede Exportdatei erhält eine Prüfsumme, und das Archiv ist nach dem Export nur noch lesend zugänglich.
08 · Praxis
Welche fünf Lücken verhindern Revisionssicherheit in der Praxis?
Die folgenden fünf Lücken sehen wir bei CSP regelmäßig in Fertigungsunternehmen, die als gut dokumentiert gelten. Jede einzelne stellt die Revisionssicherheit des gesamten Archivs in Frage.
Lücke 1
Datenbank ohne Audit Trail
Befund
Prüfergebnisse werden überschrieben, der Ursprungswert ist weg.
Im IATF Audit ein kritischer Befund. Im Haftungsprozess kann niemand ausschließen, dass Daten nachträglich angepasst wurden.
Lösung
Änderungsprotokoll mit altem und neuem Wert, Nutzer und Zeitstempel.
In PostgreSQL, SQL Server und Oracle meist eine Konfigurationsfrage, keine Neuentwicklung.
Maßnahme: Audit Trail aktivieren und den Aktivierungszeitpunkt dokumentieren
Lücke 2
Archiv in der operativen Datenbank
Befund
Daten bleiben einfach im Produktivsystem stehen.
Migrationen, Updates und Neuinstallationen können Bestände verändern oder unzugänglich machen.
Lösung
Eigenes Archivsystem, nach der Übernahme nur lesend zugänglich.
Operative Systeme sind für Performance optimiert, Archive für Stabilität über Jahrzehnte.
Maßnahme: Periodische Übernahme in ein getrenntes, schreibgeschütztes Archiv
Lücke 3
Prüfprotokolle ohne Bauteilbindung
Befund
PDF mit Datum, Charge und Messwerten, aber ohne Seriennummer.
Im Audit lässt sich nicht belegen, zu welchem Bauteil das Protokoll gehört.
Lösung
Seriennummer als Pflichtfeld bei der Erfassung und als Indexfeld im Archiv.
Ein Strukturproblem der Datenbank, kein Formatproblem.
Maßnahme: Bauteilschlüssel im Dokumentinhalt und im Index, nicht nur im Dateinamen
Lücke 4
Nicht synchronisierte Zeitstempel
Befund
Steuerung, MES und QMS laufen mit eigenen Systemuhren.
Abweichungen von Sekunden bis Minuten machen die kausale Zuordnung mehrdeutig.
Lösung
Gemeinsame NTP Zeitquelle für alle erfassenden Systeme.
Abweichungen werden regelmäßig geprüft und dokumentiert.
Maßnahme: Zeitsynchronisation als Bestandteil der Verfahrensdokumentation
Lücke 5
Pauschale Löschfrist für alle Daten
Befund
„Alle Daten werden 10 Jahre aufbewahrt.“
Für Bücher nach AO ausreichend, für Qualitätsdaten mit Kundenfristen von 15 Jahren und mehr nicht.
Lösung
Aufbewahrungsfrist je Datenkategorie mit Löschsperre.
Qualitätsdaten werden erst gelöscht, wenn die strengste anwendbare Frist abgelaufen ist.
Maßnahme: Aufbewahrungsrichtlinie nach IATF 16949 7.5.3.2.1 je Kategorie festlegen
Typischer Praxisfehler
Viele Unternehmen setzen die Löschfrist für alle Daten auf das Steuerrecht. Seit dem Vierten Bürokratieentlastungsgesetz gelten für Buchungsbelege nur noch 8 Jahre (§ 147 Abs. 3 AO).
Wer diese Verkürzung pauschal auf Produktionsdaten überträgt, löscht genau die Daten, die im Haftungsfall innerhalb der 10 Jahre nach Art. 17 der Richtlinie (EU) 2024/2853 noch gebraucht werden.
Praxistest: Hält Ihre Archivierung einem Audit oder Haftungsfall stand?
Beantworten Sie die Fragen für Ihre tatsächliche Archivierung. Jedes Nein ist ein Handlungspunkt.
| Szenario | Prüffrage | Wenn ja | Wenn nein |
|---|---|---|---|
| IATF Audit | Findet ein Auditor die Bauteilakte zu einer Seriennummer ohne IT Hilfe? | Abruf in wenigen Minuten | IT Eskalation, Auditbefund wahrscheinlich |
| IATF Audit | Liegen alle Dokumente der Akte als PDF/A oder als CSV und XML Export vor? | Lesbar über die gesamte Frist | Proprietär oder Excel, Lesbarkeit unsicher |
| IATF Audit | Hat jeder Archiveintrag Zeitstempel und Nutzerkennung? | Wer, was, wann ist belegt | Nachträgliche Erstellung nicht widerlegbar |
| Haftungsfall | Sind Prozessparameter bauteilgenau archiviert? | Entlastungsnachweis möglich | Keine Offenlegung möglich, Vermutung droht |
| Haftungsfall | Schließt ein unveränderlicher Audit Trail Manipulation aus? | Daten nachweislich original | Manipulationsvorwurf nicht entkräftbar |
| Datenschutz | Sind Werkerkennungen pseudonymisiert und mit Löschkonzept versehen? | DSGVO und Langzeitarchiv vereinbar | Bußgeldrisiko nach Art. 83 DSGVO |
Prüfen, ob Ihre Daten im Ernstfall tragen
In 30 Minuten gehen wir gemeinsam durch, ob Ihre Produktionsdaten im Audit und im Haftungsfall als Nachweis tragen und wo die größten Lücken liegen.
09 · Lösung
CHRONOS: Revisionssichere Archivierung für Produktionsdaten
Die vier Bausteine lassen sich selbst umsetzen. In der Praxis scheitert es selten an der Technik, sondern am Betrieb über Jahrzehnte und Systemwechsel hinweg.
CHRONOS: revisionssichere Langzeitarchivierung
CHRONOS archiviert Produktionsdaten und Qualitätsnachweise revisionssicher und hält sie für Fachbereiche direkt abrufbar. CSP entwickelt CHRONOS seit rund 25 Jahren für die Datenarchivierung in der Industrie.
- Aufbewahrung nach GoBD, IATF 16949 und MDR Anforderungen
- Fachbereichszugriff ohne IT Ticket, Abruf über Seriennummer, Charge oder Auftrag
- Unabhängig von abgelösten Quellsystemen lesbar
- Aufbewahrungsfristen je Datenkategorie statt pauschaler Löschung
FAQ
Häufig gestellte Fragen
Was bedeutet revisionssichere Archivierung in der Produktion?+
Revisionssichere Archivierung in der Produktion bedeutet, dass Prüfergebnisse, Prozessparameter und Rückverfolgungsdaten vollständig, unveränderbar, auffindbar und dauerhaft lesbar aufbewahrt werden. Jede Änderung ist mit Zeitpunkt und Urheber protokolliert, und der ursprüngliche Zustand bleibt nachvollziehbar. Der Begriff stammt aus den GoBD (BMF Schreiben vom 28.11.2019, Rz. 59) und steht in der Fertigung für jede beweisfähige Langzeitaufbewahrung.
Wie lange müssen Produktionsdaten aufbewahrt werden?+
Es gibt keine einheitliche Frist. IATF 16949 Abschnitt 7.5.3.2.1 verlangt für Aufzeichnungen wie Produktionsteilfreigaben und Werkzeugdaten mindestens die aktive Produktlaufzeit plus ein Kalenderjahr. Kundenanforderungen verlängern das häufig auf 15 Jahre nach Ende der Ersatzteilfertigung oder mehr. Steuerrelevante Daten unterliegen § 147 AO mit 10 Jahren, Buchungsbelege seit 2025 mit 8 Jahren. Aus Haftungssicht ist die Erlöschensfrist von 10 Jahren nach Inverkehrbringen relevant, bei latenten Personenschäden 25 Jahre (Art. 17 Richtlinie (EU) 2024/2853). Maßgeblich ist je Datenkategorie die strengste Anforderung.
Schreibt die IATF 16949 eine Aufbewahrung von 15 Jahren vor?+
Nein. IATF 16949 Abschnitt 7.5.3.2.1 fordert eine dokumentierte Aufbewahrungsrichtlinie, die gesetzliche, behördliche und Kundenanforderungen erfüllt, und nennt als Untergrenze für bestimmte Aufzeichnungen die aktive Produktlaufzeit plus ein Kalenderjahr. Die verbreiteten 15 Jahre stammen aus Kundenanforderungen und Werknormen, die sich auf VDA Band 1 „Dokumentierte Information und Aufbewahrung“ stützen. Einzelne OEM fordern deutlich mehr, General Motors etwa für PPAP Aufzeichnungen den Serienlauf plus 50 Jahre.
Was ändert das neue Produkthaftungsgesetz ab 9. Dezember 2026 für die Archivierung?+
Das neue Produkthaftungsgesetz setzt die Richtlinie (EU) 2024/2853 um und gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden. Es enthält keine eigene Aufbewahrungspflicht, verschärft aber das Beweisrecht: Gerichte können die Offenlegung relevanter Beweismittel anordnen (§ 19 ProdHaftG neu), und legt ein Hersteller diese nicht offen, wird die Fehlerhaftigkeit des Produkts vermutet (Art. 10 Abs. 2 lit. a der Richtlinie). Ansprüche erlöschen nach 10 Jahren, bei latenten Personenschäden nach 25 Jahren. Revisionssicher archivierte Prozessdaten werden damit zum zentralen Entlastungsnachweis.
Kann eine normale SQL Datenbank revisionssicher sein?+
Ja, wenn vier Voraussetzungen erfüllt sind: ein nicht editierbarer Audit Trail für jede Schreiboperation, synchronisierte und eingefrorene Zeitstempel, ein rollenbasiertes Rechtekonzept mit Vier Augen Prinzip für Korrekturen und Prüfsummen zur Integritätskontrolle. Für die Langzeitarchivierung über 15 Jahre und mehr ist zusätzlich ein Export in offene Formate wie PDF/A, CSV oder XML sinnvoll, weil das Datenbankformat selbst versionsabhängig ist.
Was ist der Unterschied zwischen Backup und revisionssicherer Archivierung?+
Ein Backup sichert einen Systemzustand, um ihn nach einem Ausfall oder Angriff wiederherzustellen. Es wird regelmäßig überschrieben, ist nicht nach Seriennummer durchsuchbar und belegt nicht, dass die gesicherten Daten vor der Sicherung unverändert waren. Revisionssichere Archivierung bewahrt dagegen einzelne Datensätze über die gesamte Frist unveränderbar, indiziert und lesbar auf und weist ihre Integrität über Audit Trail und Prüfsummen nach.
Wie lassen sich DSGVO Löschpflichten und lange Aufbewahrungsfristen vereinbaren?+
Durch technische Trennung. Bauteilbezogene Produktionsdaten wie Messwerte, Prozessparameter und Freigaben bleiben über die gesamte Frist erhalten. Personenbezogene Angaben wie Werkerkennungen werden pseudonymisiert (Art. 4 Nr. 5 DSGVO), und die Zuordnungstabelle wird getrennt gespeichert und nach Wegfall ihres Zwecks protokolliert gelöscht. So bleibt die Prüfung nachweisbar und die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO gewahrt.
Wie unterscheidet sich revisionssichere Archivierung von Traceability?+
Traceability (Rückverfolgbarkeit) beschreibt die Fähigkeit, ein Bauteil über Seriennummer oder Charge mit Material, Prozess und Prüfung zu verknüpfen. IATF 16949 fordert sie in Abschnitt 8.5.2.1. Revisionssichere Archivierung stellt sicher, dass diese Verknüpfungen über die gesamte Aufbewahrungsfrist unverändert, vollständig und abrufbar bleiben. Traceability erzeugt die Datenkette, revisionssichere Archivierung macht sie beweisfähig.
Verantwortet Strategie und innovative Softwarelösungen für die produzierende Industrie.