German 
English 
French 
Dutch 
FAQ: Qualifizierte elektronische Archivierung und Aufbewahrung (QeArch / QPres)
„Qualified Electronic Archiving“ (QeArch) ist der in der eIDAS-Verordnung definierte Ansatz für Vertrauensdienste, der darauf abzielt, elektronische Unterlagen über lange Aufbewahrungsfristen hinweg rechtssicher zu bewahren – unter Einsatz überprüfbarer Kontrollmaßnahmen, Nachweisverfahren und klarer Governance-Regelungen.
Diese FAQ richtet sich an regulierte Organisationen (sowie deren Wirtschaftsprüfer, Inspektoren und Beschaffungsteams), die eine beweiskräftige Aufbewahrung von Unterlagen wie unterzeichneten Verträgen, eTMF-Dateien, Finanzunterlagen und regulierten Unternehmensarchiven benötigen. Die Antworten beziehen sich, soweit relevant, auf die Funktionen von Docbyte Vault.
Einen Überblick über die kommerziellen Lösungen finden Sie unter Docbyte – qualifizierte elektronische Archivierung. Zu unterzeichneten oder versiegelten Unterlagen siehe auch Aufbewahrung digitaler Signaturen und Siegel.
Grundlegende Fragen
Was versteht man unter „Qualifizierter elektronischer Archivierung“ (QeArch) im Rahmen von eIDAS?
QeArch ist ein Konzept für Vertrauensdienste gemäß der Verordnung (EU) Nr. 910/2014 (eIDAS), das insbesondere in Artikel 34 über qualifizierte Aufbewahrungsdienste für qualifizierte elektronische Signaturen behandelt wird. In der Praxis stellt QeArch einen standardbasierten Ansatz zur Aufbewahrung elektronischer Unterlagen dar, der deren nachprüfbare Integrität, Authentizität, Governance und langfristige Nutzbarkeit gewährleistet. Die Unterlagen bleiben über Jahrzehnte hinweg bei Prüfungen, Streitfällen und behördlichen Kontrollen rechtlich haltbar.
Worin besteht der Unterschied zwischen QeArch und der herkömmlichen elektronischen Archivierung?
Bei der regulären Archivierung stehen in der Regel die Speicherung und der Abruf im Vordergrund. QeArch ergänzt dies um kontrollierte Datenaufnahme und Provenienz, Nachweismechanismen (Integritätsprüfungen, Nachweisaufzeichnungen, Zeitstempel), Governance (Aufbewahrungsfristen, rechtliche Aufbewahrungspflicht, rechtlich vertretbare Löschung), Prüfpfade sowie eine Erhaltungsplanung zur Gewährleistung der langfristigen Nutzbarkeit. QeArch entspricht den Normen eIDAS, ETSI TS 119 511/512, CEN TS 18170 und OAIS (ISO 14721). Die herkömmliche Archivierung tut dies in der Regel nicht.
Was ist die Norm CEN TS 18170 und warum ist sie von Bedeutung?
CEN TS 18170 ist die europäische technische Spezifikation, die Anforderungen und Leitlinien für elektronische Archivierungssysteme festlegt. Sie behandelt die funktionalen, technischen und organisatorischen Anforderungen an Systeme, die zur Aufbewahrung elektronischer Unterlagen mit Beweis- und Compliance-Wert konzipiert sind. Für europäische Organisationen, die Archivierungslösungen beschaffen oder bewerten, bietet CEN TS 18170 neben dem eIDAS-Rahmenwerk für Vertrauensdienste eine gemeinsame Grundlage.
Welche ETSI-Normen gelten für die qualifizierte Archivierung?
Die zentralen ETSI-Normen sind: ETSI TS 119 511 (Richtlinien und Sicherheitsanforderungen für Diensteanbieter (TSPs), die die Langzeitarchivierung digitaler Signaturen oder allgemeiner Daten anbieten) und ETSI TS 119 512 (Protokolle für Dienste zur Langzeitarchivierung von Daten). ETSI definiert zudem Signaturformate für Langzeitarchive (CAdES-LTA (ETSI EN 319 122), XAdES-LTA (ETSI EN 319 132), PAdES-LTA und ASiC-LTA (ETSI EN 319 162)). Hierbei handelt es sich um Containerformate für elektronische Signaturen, die Validierungsdaten in die signierte Datei selbst einbetten können und neben dem „Evidence Record“-Ansatz von Docbyte Teil des umfassenderen Normenökosystems sind.
Was ist OAIS (ISO 14721) und in welchem Zusammenhang steht es mit QeArch?
OAIS (Open Archival Information System, ISO 14721) ist das Referenzmodell für digitale Langzeitarchivierungssysteme. Es definiert die SIP-/AIP-/DIP-Paketierung, die Langzeitarchivierungsplanung, das Konzept der „designated community“ sowie die funktionalen Zuständigkeiten eines Archivs. QeArch baut auf den OAIS-Konzepten auf. Ein QeArch-fähiges Archiv ist im Wesentlichen ein OAIS-konformes System mit zusätzlichen Kontrollmechanismen für Vertrauensdienste in Bezug auf Nachweise, Zeitstempel und Governance, wie sie von eIDAS vorgeschrieben sind.
Technische Fragen
Was ist „Qualified Preservation“ (QPres) und wann ist diese erforderlich?
QPres ist die für die Nachweissicherung und Verlängerung erforderliche Ebene, wenn Datensätze elektronische Signaturen oder elektronische Siegel enthalten und eine langfristige Überprüfbarkeit erforderlich ist. QeArch stellt das Archivierungs-Framework bereit; QPres befasst sich speziell mit der Frage, wie die Gültigkeit des Nachweises und des Validierungsberichts verlängert werden kann. Bei der Erfassung erfasst QPres den Validierungsstatus der Signatur oder des Siegels: die Zertifikatskette, den Widerrufsstatus (OCSP) und einen qualifizierten Zeitstempel. Dieser Nachweisdatensatz wird zusammen mit dem archivierten Datensatz gespeichert. Bevor Algorithmen oder Zertifikate ablaufen könnten, erneuert QPres die Nachweiskette proaktiv und verlängert so deren Gültigkeit, ohne das ursprünglich signierte Dokument zu verändern.
Was geschieht, wenn Zertifikate ablaufen?
Ohne Nachweisdokumente kann ein signierter Datensatz nach Ablauf seines Zertifikats möglicherweise nicht mehr überprüft werden. Ein QPres-Ansatz erfasst Validierungsnachweise (Zertifikatsketten, OCSP-Antworten, qualifizierte Zeitstempel) zu einem Zeitpunkt, zu dem noch alles gültig ist, speichert diese Nachweise zusammen mit dem archivierten Datensatz als Validierungsbericht und Nachweisdatensatz und erneuert die Nachweiskette, bevor die Gefahr eines Ablaufs besteht. Dadurch wird eine lückenlose Vertrauenskette über den gesamten Aufbewahrungszeitraum hinweg gewährleistet.
Sind elektronische Signaturen und Siegel "sicher", wenn ich lediglich die PDF-Datei speichere?
Die sichere Speicherung der PDF-Datei ist notwendig, reicht jedoch nicht aus. Im Laufe der Zeit laufen Zertifikate ab, kryptografische Algorithmen werden veraltet, und fehlende Zusammenhänge oder unvollständige Nachweise schwächen die Aussagekraft Ihrer Belege. QPres behebt all diese Probleme, indem es nicht nur die Dateibyte, sondern auch die für eine zukünftige Validierung erforderlichen Nachweise bewahrt. Dieser Unterschied ist für regulierte Unterlagen mit langen Aufbewahrungsfristen von entscheidender Bedeutung.
Was sind Beweisaufzeichnungen und warum sind sie wichtig?
Evidenzdatensätze sind strukturierte Pakete, die den Validierungsstatus eines signierten bzw. versiegelten Datensatzes zu einem bestimmten Zeitpunkt erfassen: die Zertifikatskette, den Sperrstatus (OCSP/CRL), qualifizierte Zeitstempel sowie das Ergebnis der Signaturvalidierung. Sie werden in Langzeitarchivformate eingebettet oder zusammen mit dem Datensatz gespeichert. Ohne Evidenzdatensätze hängt die zukünftige Validierung davon ab, ob die ursprüngliche Infrastruktur (Zertifizierungsstellen, OCSP-Dienste) noch zugänglich ist. Dies ist nach 10 bis 25 Jahren möglicherweise nicht mehr der Fall.
Was ist der Unterschied zwischen digitaler Langzeitarchivierung und QeArch?
Die digitale Langzeitarchivierung (OAIS) konzentriert sich auf die langfristige Nutzbarkeit und Integrität: Die Gewährleistung, dass Unterlagen über einen langen Zeitraum lesbar, authentisch und zugänglich bleiben, einschließlich Formatmigration und Überwachung der Unverfälschbarkeit. QeArch ergänzt dies um die Ebene der Vertrauensdienste: Nachweisunterlagen, qualifizierte Zeitstempel, eIDAS-konforme Kontrollen und eine CEN TS 18170-konforme Governance. Bei Dokumenten ohne elektronische Signaturen kann die digitale Langzeitarchivierung allein ausreichend sein. Bei Dokumenten mit Signaturen/Siegeln ergänzt QeArch/QPres die rechtlich haltbare Evidenzebene.
Fragen zur Unternehmensführung und zur Compliance
Inwiefern steht QeArch im Zusammenhang mit der DSGVO?
Die DSGVO und QeArch regeln sich gegenseitig ergänzende Verpflichtungen. Die DSGVO schreibt eine rechtmäßige Grundlage für die Aufbewahrung, die Datenminimierung, die Zweckbindung sowie das Recht auf Löschung vor. QeArch bietet die Kontrollmechanismen für eine nachweisbare Aufbewahrung und eine nachweisbare Löschung: Es wird nachgewiesen, dass Unterlagen über den richtigen Zeitraum, gemäß der richtigen Richtlinie und mit den richtigen Genehmigungen aufbewahrt und gelöscht wurden, sobald sie nicht mehr benötigt wurden. Ein qualifiziertes Archiv muss beide Verpflichtungen erfüllen.
Wie funktionieren Aufbewahrungsfristen und gesetzliche Aufbewahrungspflichten in einem zertifizierten Archiv?
Aufbewahrungsregeln basieren auf Richtlinien und werden einheitlich für alle Datensatztypen durchgesetzt. Rechtssicherungsmaßnahmen ermöglichen die Aussetzung der Löschung, wenn Datensätze Gegenstand von Ermittlungen, Streitigkeiten oder Rechtsstreitigkeiten sind, wobei die Entscheidungen zur Rechtssicherung, die verantwortlichen Personen sowie der Zeitpunkt der Aufhebung vollständig nachverfolgbar sind. Eine nachweisbare Löschung bedeutet, dass Sie belegen können, was wann, von wem, gemäß welcher Richtlinie und mit welchen Genehmigungen gelöscht wurde.
Welche branchenspezifischen Vorschriften schreiben die Nutzung von QeArch oder eines gleichwertigen Archivierungssystems vor?
Zu den wichtigsten Vorschriften zählen: MiFID II / MiFIR (Finanzunterlagen bis zu 7 Jahren), DORA (IKT-Aktenmanagement), ICH E6 R2/R3 und FDA 21 CFR Part 11 (klinische Unterlagen bis zu 25 Jahren, ALCOA+-Anforderungen), EU-Anhang 11 / GxP (elektronische Aufzeichnungen in der regulierten Herstellung), DSGVO (rechtmäßige Aufbewahrung und Löschung) sowie nationale Archivierungsgesetze (einschließlich des belgischen E-Archiv-Gesetzes). Die genau erforderlichen Kontrollmaßnahmen hängen von der jeweiligen Vorschrift, der Rechtsordnung und dem Anwendungsfall ab.
Inwiefern findet QeArch bei Dokumenten aus dem Bereich der Biowissenschaften (eTMF, GxP) Anwendung?
Aufzeichnungen im Bereich der Biowissenschaften (Trial Master Files, Chargenprotokolle, Validierungsunterlagen, Laborbücher) müssen den ALCOA+-Grundsätzen (zuordenbar, lesbar, zeitnah, original, genau) entsprechen und mindestens 25 Jahre lang abrufbar und überprüfbar bleiben. QeArch bietet den Rahmen für die Archivierung dieser Unterlagen mit vollständigem Kontext, Integritätsnachweisen und Prüfpfaden. QPres kommt zum Einsatz, wenn Unterlagen elektronische Signaturen oder Siegel gemäß FDA 21 CFR Part 11 oder EU-Anhang 11 enthalten.
Praktische Fragen
Garantiert QeArch die rechtliche Zulässigkeit vor Gericht?
QeArch unterstützt die bestmögliche rechtliche Verteidigungsposition durch die Bereitstellung überprüfbarer Kontrollmechanismen, Nachweisprotokolle, Nachweise zur Beweiskette sowie Prüfpfade, die mit eIDAS, ETSI, CEN TS 18170 und den geltenden Normen im Einklang stehen. Die genauen rechtlichen Auswirkungen hängen von der jeweiligen Rechtsordnung, dem Anwendungsfall und der Art und Weise ab, wie Beweismittel im jeweiligen rechtlichen Kontext bewertet werden. Docbyte ist auf Rechtsbeständigkeit ausgelegt, nicht auf absolute Garantien für die Zulässigkeit. Keine Anbieter kann diese garantieren.
Welche Datensatztypen profitieren am meisten von QeArch?
Unterlagen mit langen Aufbewahrungsfristen, Anforderungen an die Beweiskraft oder elektronischen Signaturen/Siegeln: Verträge und Nachträge, Rechnungen und Finanzunterlagen, Personal- und Beschäftigungsakten, Versicherungsansprüche und Risikoprüfungsunterlagen, Entscheidungen und Genehmigungen des öffentlichen Sektors, Unterlagen zu klinischen Studien (eTMF), Kulturgutsammlungen, Archive für auslaufende Anwendungen sowie alle Unterlagen, die zum Nachweis der Einhaltung gesetzlicher Vorschriften dienen.
Können wir Daten für Audits, Migrationen oder Anbieterwechsel exportieren?
Ja. Standardbasierte Archivierung (E-ARK SIP/AIP/DIP) und Exportfunktionen ermöglichen den kontrollierten Abruf von Datensätzen einschließlich ihres vollständigen Kontexts, ihrer Metadaten und ihrer Nachweispakete. Dies unterstützt die Reaktion auf Prüfungsanforderungen sowie eDiscovery und verringert das Risiko der Anbieterabhängigkeit. Ein qualifiziertes Archiv sollte keine Situationen schaffen, in denen Daten als Geiseln genommen werden.
Wie greifen Wirtschaftsprüfer und Aufsichtsbehörden auf archivierte Unterlagen zu?
Durch kontrollierten, schreibgeschützten Zugriff mit rollenbasierten Berechtigungen, Zweckbindung, zeitlich begrenzten Zugangsdaten, wo erforderlich, sowie umfassende Prüfprotokolle. Externe Zugriffsmodelle ermöglichen es Aufsichtsbehörden, Inspektoren und externen Prüfern, Datensätze einzusehen, ohne auf Betriebssysteme oder die interne Infrastruktur zugreifen zu müssen.
Ist QeArch auch außerhalb der EU von Bedeutung?
Der eIDAS-Rahmen ist EU-spezifisch, doch die zugrunde liegenden Kontrollmechanismen (Integrität, Authentizität, Nachvollziehbarkeit, Langzeitverfügbarkeit) sind weltweit anerkannt. OAIS (ISO 14721), ISO 14641, PREMIS und E-ARK sind international verwendete Standards. Für global tätige Organisationen bietet QeArch die EU-Konformitätsschicht, während die OAIS-basierte Architektur umfassendere internationale Anforderungen an die Langzeitarchivierung erfüllt.
Nächster Schritt
Wenn Sie die QeArch- und QPres-Steuerelemente auf Ihre spezifischen Datensatztypen, Aufbewahrungspflichten und rechtlichen Rahmenbedingungen abstimmen möchten, vereinbaren Sie bitte einen kurzen Termin mit einem Docbyte-Spezialisten. Docbyte Vault ist als OAIS-konformer, eIDAS-fähiger Aufbewahrungslebenszyklus konzipiert und nicht als reine Speicherschicht.