Archivierung

Um die originale Fassung der Daten zu bewahren, dürfen Daten während der gesamten Aufbewahrungsdauer nicht durch externe oder interne Einflüsse verändert werden und müssen vor Manipulation und Löschen geschützt werden. Hierfür werden Archivsysteme eingesetzt, die die Integrität der Daten sicherstellen.

Archivierung darf nicht mit Datensicherung (Backup) gleichgesetzt werden. Bei Archiven werden Daten, die im täglichen Betrieb nicht mehr gebraucht werden, verschoben. Bei der Datensicherung (Backup) werden Daten kopiert, um sie bei einem Datenverlust oder Kompromittierung, z. B. durch Cyber-Angriffe, wiederherzustellen.

Archivdaten werden gebraucht, wenn Unternehmen auf Basis dieser Daten geschäftliche Maßnahmen planen, rechtliche Vorgaben erfüllen müssen oder Daten im Streitfall als Beweismittel benötigt werden.

Archivierung hat das Ziel, diese Daten systematisch zu speichern und langfristig zugänglich zu machen.

Was oft für Verwirrung sorgt: Geschäftsanwendungen, wie beispielsweise Dokumentenmanagementsysteme (DMS), bringen oftmals eine Archivierungsfunktionalität mit.

Aus diesem Grund werden die Begriffe DMS/ECM, Dokumentenablage und Archiv häufig als Synonyme verwendet. Doch diese Systeme verfügen meist nicht über die Eigenschaften für eine langfristige und revisionssichere Aufbewahrung.

In einem Archiv werden Daten abgelegt, welche für eine bestimmte Frist aufbewahrt werden müssen – unveränderbar, revisionssicher und rechtskonform. Auch DMS/ECM Systeme dienen, neben weiteren Aufgaben, der Ablage. Diese ist jedoch auf die laufenden Geschäftstätigkeiten fokussiert.

Die Archivierung von Daten resultiert nicht in direkten Gewinnen oder Umsätzen für Organisationen. Hinzu kommen weitere Herausforderungen, die bei der Umsetzung Kosten und Aufwand bedeuten und zu den bestehenden Aufgaben für IT-Teams hinzukommen.

Deshalb wird Archivierung oftmals als verpflichtende Last wahrgenommen.

Aufwand und Kosten müssen geringgehalten werden, denn IT-Teams stehen bei der Datenarchivierung vor einer Vielzahl an Herausforderungen:

Aus diesem Grund werden die Begriffe DMS/ECM, Dokumentenablage und Archiv häufig als Synonyme verwendet. Doch diese Systeme verfügen meist nicht über die Eigenschaften für eine langfristige und revisionssichere Aufbewahrung.

In einem Archiv werden Daten abgelegt, welche für eine bestimmte Frist aufbewahrt werden müssen – unveränderbar, revisionssicher und rechtskonform. Auch DMS/ECM Systeme dienen, neben weiteren Aufgaben, der Ablage. Diese ist jedoch auf die laufenden Geschäftstätigkeiten fokussiert.

• Rechtliche Anforderungen: Jede Branche muss sehr spezifische Vorgaben erfüllen. Vorschriften zur Datenarchivierung werden strenger und die Liste der Anforderungen länger. Deshalb müssen Archivsysteme den Vorgang vereinfachen, um den Zeitaufwand für das Management von Compliance-Richtlinien zu minimieren.
• Komplexe Datenspeicherung: Daten werden aus verschiedenen Anwendungen (E-Mail, SAP, DMS, PACS ...) archiviert. Um Archivierung einfacher zu gestalten, sollten Daten über ein zentrales System archiviert werden können.
• Technologischer Fortschritt und die begrenzte Lebensdauer von Speichermedien: Die Aufbewahrungsfristen übertreffen in den meisten Fällen die Lebensdauer der IT-Infrastruktur. Oft können ohne aufwendige Migrationen neue Technologien nicht genutzt werden. Um eine effiziente Archivierung zu gewährleisten sollten Speicherhardware und Archivierungssoftware voneinander entkoppelt werden.
• Wachsende Datenmengen: Je mehr Daten vorhanden sind und je länger sie aufbewahrt werden müssen, desto mehr Speicherplatz wird benötigt. Speicherplatz muss leicht skalierbar sein, ohne dass die Kosten explodieren und der Administrationsaufwand zunimmt.
• Cyber-Angriffe: Unternehmen stehen zunehmend im Visier von Cyber-Angriffen. Archivierte Daten müssen vor Verlust, Beschädigung, Diebstahl und Kompromittierung geschützt sein.
• Datenintegrität: Archivdaten sind dann zuverlässig, wenn sie in unveränderter Form vorliegen. Deshalb müssen Daten durch technische Maßnahmen vor Veränderungen oder Löschung geschützt werden.

Archivierte Daten erweisen sich für Unternehmen zu einem späteren Zeitpunkt erneut als nützlich – zum Beispiel für das Qualitätsmanagement, Analysen und die strategische Geschäftsentwicklung.

Welchen Nutzen hat ein Archivspeichersystem (zum Beispiel “hinter” einem DMS/ECM)?

• Gesetzliche Vorgaben einhalten: Zur Archivierung von relevanten Geschäftsdaten nach gesetzlichen Vorschriften ist jedes Unternehmen verpflichtet. Daten müssen während der kompletten Aufbewahrungsdauer vor unerwünschten Ereignissen, welche die Integrität und Verfügbarkeit der Daten gefährden, geschützt sein.
• Rechtliche Absicherung: Bei Haftungsklagen müssen Unternehmen oftmals beweisen, dass für Sach- oder Personenschäden nicht die eigenen Produkte verantwortlich sind. Dafür sind Originaldokumente notwendig. Archivierung stellt sicher, dass kritische Daten auch zukünftig verfügbar sind – für Prüfungen, Audits oder vor Gericht. Archivierung stellt sicher, dass diese Daten nicht verändert, manipuliert oder gelöscht wurden und als Beweismittel und zuverlässige Datenquelle Gültigkeit besitzen.
• Schutz der Daten: Ein modernes Archivsystem übernimmt vielfältige Aufgaben zum Schutz der Datenintegrität z. B. automatische Integritäts-Checks, Verschlüsselung und WORM Speicherung.
• Kosten einsparen: Unternehmen schonen durch den Einsatz eines digitalen Langzeitarchivs Potenziale ihrer Systemanwendungen und der Primärspeicher. Daten werden auf kostengünstige Speicherlösungen mit hoher Kapazität gespeichert. Dadurch wird Speicherplatz auf schnellen und teuren Primärspeichern frei und die Kosten für die Anschaffung weiterer Speichersysteme gesenkt. Lizenzgebühren, Wartungskosten und -aufwand lassen sich auf diesem Weg senken.
• Sicherung von Wissen: Ein Ziel der Archivierung ist die Aufbewahrung von Wissen und Know-how in einem Unternehmen. Alle Dokumente und Informationen werden zentral gespeichert und sind jederzeit verfügbar.
   Archivdaten sind dann zuverlässig, wenn sie in unveränderter Form vorliegen. Deshalb müssen Daten durch technische Maßnahmen vor Veränderungen oder Löschung geschützt werden.

Einen Spezialfall der elektronischen Archivierung bildet die revisionssichere Archivierung.

Revisionssichere Archivierung bedeutet, dass aufbewahrungspflichtige Daten vor Manipulation und Veränderung geschützt sind.

Das betrifft Daten, die der Steuerbehörde oder anderen Regulierungsbehörden innerhalb ihrer Aufbewahrungsfrist (für viele Geschäftsunterlagen 6 bis 10 Jahre) vorgehalten werden müssen. Datenarchivierung ist entscheidend, um bei Prüfungen oder Audits nachzuweisen, dass die geforderten Regularien eingehalten wurden.

Die Richtlinien hierzu sind z. B. in der GoBD oder DSGVO festgelegt. Aber auch Anforderungen, die von Unternehmen selbst definiert werden, fallen hierunter.

Revisionssicherheit laut GoBD

Die Grundlagen für Revisionssicherheit bilden in Deutschland die Grundsätze zur ordnungsgemäßen Führung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD).

Die Richtlinien für eine revisionssichere Archivierung lassen sich zu drei Hauptkriterien zusammenfassen:

• Daten müssen unveränderbar, nicht löschbar und fälschungssicher gespeichert werden.
• Daten sind durch eine Suche wieder auffindbar.
• Alle Aktionen im Archiv sind durch Protokollierung nachvollziehbar.

Die 10 Grundsätze der revisionssicheren Archivierung

Die gesetzlichen Vorschriften und Compliance-Richtlinien (z. B. DSGVO, GoBD, Produkthaftung, HIPAA, SEC 17a-4, …) überschneiden sich und lassen sich in zehn Grundsätzen zusammenfassen. Sie bilden die Basis für eine revisionssichere Archivierung:

• Geschäftsrelevante Daten müssen gemäß gesetzlicher und betrieblicher Anforderungen aufbewahrt werden.
• Daten dürfen auf dem Weg in das Archiv oder im Archiv selbst nicht verloren gehen.
• Daten müssen innerhalb der Aufbewahrungsfristen unveränderbar archiviert werden.
• Alle Aktionen im Archivsystem müssen protokolliert werden.
• Jedes Dokument muss eindeutig gefunden und reproduziert werden können.
• Jedes Dokument muss zeitnah auffindbar sein.
• Daten dürfen nur von berechtigten Benutzern eingesehen werden.
• Jedes Dokument darf erst nach seiner Aufbewahrungsfrist gelöscht werden.
• Diese Grundsätze müssen über technische Änderungen und Migrationen hinweg ohne Datenverluste oder -beschädigungen sichergestellt werden.
• Das Archivsystem muss gesetzliche sowie betriebliche Anforderungen hinsichtlich Datensicherheit und Datenschutz über die gesamte Lebensdauer der Archivdaten erfüllen.

Wie lässt sich eine revisionssichere Archivierung in der Praxis umsetzen?

Eine Archivierungssoftware unterstützt Unternehmen dabei, die Anforderungen umzusetzen. Folgende Funktionalitäten sind dabei essenziell:

Unveränderlichkeit durch WORM-Speicherung

Um revisionssicher zu archivieren, muss die Integrität von Archivdaten geschützt werden. Ein revisionssicheres Archivsystem behandelt Daten als "schreibgeschützt", um sie vor Änderungen oder Manipulation zu schützen. Ein Verfahren, um das zu gewährleisten, ist das WORM-Prinzip (Write-Once-Read-Many).

WORM ist ein Datensicherungsverfahren, bei dem Daten unveränderlich auf ein Speichermedium geschrieben werden. Die Dateien lassen sich dadurch nicht mehr verändern oder löschen. Das Lesen ist jedoch beliebig oft möglich. Mit dem damit verbundenen Schutz vor Veränderung, schaffen Unternehmen eine Basis für rechtskonforme Archivierung.

Protokollierung mit Audit Trails

Um die Vertraulichkeit und die Integrität von Daten zu gewähren, muss jede vorgenommene Änderung genau protokolliert werden. Ein sogenannter Audit Trail kommt hier zum Zuge, in welchem alle Vorgänge dokumentiert werden: Erstellung, Aufbewahrung, Wartung, Nutzung und Entsorgung aller Datensätze.

Dadurch haben Unternehmen die Möglichkeit, Vorgänge genau nachzuvollziehen. Gleichzeitig wird erfasst, welchem Benutzer ein Ereignis zuzuordnen ist. Durch einen Zeitstempel wird ersichtlich, wann ein Ereignis stattgefunden hat. Benutzer dürfen keinen Zugriff auf das Audit Trail haben, da dieses ebenso vor Manipulationen und Veränderungen geschützt werden muss.

Zugriffsmanagement

Ein Rechtekonzept für den Archivzugriff erhöht den Datenschutz. Nur Anwender mit entsprechender Berechtigung dürfen auf die für sie vorgesehenen Daten zugreifen. Revisionssichere Archivlösungen vereinfachen die Zugriffsanforderungen mit rollenbasierten Berechtigungen und Mandantenfähigkeit.

Ein zukunftssicheres Archiv kann flexibel auf geänderte Compliance-Richtlinien reagieren und die Umsetzung gesetzlicher Anforderungen sicherstellen. Ebenso wichtig ist, dass diese Punkte auch bei technologischen Weiterentwicklungen gewährleistet sind.

Mit Hilfe folgender Fragen erkennen Unternehmen eine zukunftssichere Archivierungslösung:

• Werden Compliance-, Datenschutz- und gesetzliche Vorgaben erfüllt?
• Ist die Archivlösung skalierbar, um dem Datenwachstum der Zukunft standzuhalten?
• Besteht keine Abhängigkeit von bestimmten Herstellern oder Hardware?
• Kann die Archivlösung in die bestehende IT-Infrastruktur integriert werden?
• Können alle eingesetzten Geschäftsanwendungen an das Archivsystem angebunden werden?
• Kann die Speicher-Infrastruktur einfach erneuert oder erweitert werden?
• Lassen sich Daten einfach migrieren, z. B. bei Wechsel der Speicherinfrastruktur?

Was bedeutet Software-Defined Storage?

Software-Defined Storage (SDS) beschreibt eine Speicherarchitektur, in der die Storage-Software von der zugrundeliegenden Hardware getrennt ist. Durch die Entkopplung von Software und Hardware können Speicherkapazitäten flexibel erweitert und das Datenmanagement zentral gesteuert werden.

Unternehmen gewinnen durch einen Softwarelayer zwischen den Geschäftsanwendungen und der Infrastruktur Unabhängigkeit von spezieller Hardware. Aufgrund ihrer starren Auslegung ist bei proprietären Speichersystemen eine Erhöhung der Kapazität mit hohen Kosten und aufwändigen Migrationen verbunden.

Neue Chancen nutzen mithilfe von Software-Defined Archiving

Um die Kosten und Aufwände unter Kontrolle zu halten, sind Unternehmen gezwungen, die Effizienz ihrer IT in allen Bereichen zu steigern und ihre Infrastruktur zu optimieren. Die Möglichkeit, Speicherkapazitäten im Archivbereich zu vertretbaren Kosten zu skalieren, spielt dabei eine wichtige Rolle.

Software-Defined Archiving macht dies möglich. Eine Archivierungssoftware zentralisiert und automatisiert den Archivierungsprozess und entlastet damit die IT-Abteilung und das IT-Budget. Zudem ist die Entscheidung für einen software-basierten Ansatz bei der Archivierung eine wichtige strategische Entscheidung in jedem Unternehmen, um die Teilhabe an den technologischen Entwicklungen zu erleichtern.