German 
English 
French 
Dutch 
Stellen Sie sich den Moment vor, in dem Ihr Archiv tatsächlich auf die Probe gestellt wird.
Es kommt nicht auf den Tag an, an dem Sie die Unterlagen archivieren. Es kommt erst Jahre später darauf an, wenn ein Wirtschaftsprüfer, eine Aufsichtsbehörde, ein Kunde oder ein Gericht eine auf den ersten Blick einfache Frage stellt: Beweisen Sie mir, dass dies immer noch das ist, was Sie behaupten.
Die meisten Organisationen können die einfache Hälfte beantworten: Sie können die Datei finden. Sie können zeigen, wo sie sich befindet. Sie können die Aufbewahrungsfrist bestätigen. Was sie jedoch oft nicht können, ist nachzuweisen, dass sich die Akte nicht unbemerkt verändert hat, dass sie tatsächlich von der angegebenen Quelle stammt und dass der Nachweis selbst alle zwischenzeitlichen Migrationen, Formatänderungen und abgelaufenen Zertifikate überstanden hat.
Diese Lücke hat einen Namen. Es handelt sich um den Unterschied zwischen der Aktenführung und der Beweissicherung. Und bei regulierten, hochwertigen Informationen mit langer Aufbewahrungsfrist reicht die Aktenführung nicht mehr aus.
Die Buchführung wurde für ein einfacheres Problem entwickelt
Jahrzehntelang ging es bei der Archivierung um die Kontrolle über Informationen: um die Strukturierung in Bezug auf Erstellung, Klassifizierung, Aufbewahrung, Zugriff und Entsorgung. In der Welt der Papierdokumente und in den Anfängen der Digitalisierung war dies bereits eine anspruchsvolle Aufgabe.
Die zugrunde liegende Annahme war jedoch beruhigend. Eine Akte war ein konkretes Objekt: ein Dokument, ein Ordner, ein unterschriebenes Formular, eine Zeile im Hauptbuch, eine gescannte Kopie, ein Datenbankauszug. Wenn man sie aufbewahren, finden und vorlegen konnte, hatte das Archiv den größten Teil seiner Arbeit bereits erledigt.
Diese Annahme trifft nicht mehr zu.
Die Aufzeichnung ist nicht mehr nur das Dokument. Sie ist zunehmend ein Gesamtpaket: Inhalt, Metadaten, Systemkontext, Signaturnachweise, Identitätsnachweise, Zeitstempel, Prüfereignisse, Validierungsdaten, Aufbewahrungslogik und – immer häufiger – auf Wallets basierende Bescheinigungen. Ein PDF-Dokument kann Teil der Nachweise sein. Es stellt jedoch selten die Gesamtheit dar. Ein Datenbankexport mag zwar die Daten enthalten, jedoch keinen Nachweis darüber, woher sie stammen oder dass sie nicht verändert wurden. Ein signierter Vertrag mag zwar sicher im Speicher liegen, doch die Möglichkeit, diese Signatur in fünfzehn Jahren noch zu erklären, schwindet still und leise.
Genau hier liegen die Schwachstellen vieler Programme zur digitalen Transformation. Sie haben Systeme geschaffen, die Informationen zwar hervorragend speichern. Sie haben jedoch keine Systeme geschaffen, die den damit verbundenen Beweiskontext bewahren.
Denken Sie nur einmal an all die Unternehmen, die ein Dokumentenmanagementsystem als Unternehmensarchiv nutzen.
Das Archiv wurde in die Beweiskette aufgenommen
In einem Umfeld mit geringem Risiko können Sie ein Archiv als Aufbewahrungsort betrachten. Es bewahrt Unterlagen nach ihrer operativen Nutzung auf, sorgt dafür, dass sie durchsuchbar bleiben, setzt Aufbewahrungsfristen durch und führt möglicherweise einen Prüfpfad. Das ist in Ordnung, solange die Unterlagen nicht angefochten werden.
In einem Umfeld mit hohem Vertrauensniveau ist dies nicht ausreichend, da bei einer Überprüfung nicht gefragt wird: “Wo befindet sich die Datei?”. Es wird gefragt, woher der Datensatz stammt, welche Quelle zum Zeitpunkt der Erfassung maßgeblich war, welche Metadaten mitgeliefert wurden, was belegt, dass sie nicht verändert wurde, welche Aufbewahrungsrichtlinie galt, wer darauf zugegriffen hat, ob sie migriert oder neu gerendert wurde und, falls sie signiert war oder aus einer digitalen Geldbörse stammte, wie der Validierungsstatus zum jeweiligen Zeitpunkt tatsächlich aussah.
Anschließend wird gefragt, ob einer autorisierten vertrauenden Partei auf Anfrage beim Abruf ein rechtlich haltbarer Bericht ausgehändigt werden kann.
Das ist keine Datenspeicherung. Das ist die Sicherung von Beweismitteln.
Am Ende des Lebenszyklus ist das Archiv nicht mehr nur eine passive Infrastruktur, sondern wird zu einer aktiven Vertrauensebene zwischen Betriebssystemen, gesetzlichen Aufbewahrungspflichten, Rechnungsprüfung, Aufsicht und etwaigen künftigen Rechtsstreitigkeiten.
Warum geschieht dies gerade jetzt?
Dies ist nicht die Folge einer einzigen Vorschrift. Es wirken hier mehrere Faktoren zusammen, von denen die meisten erst in den letzten Jahren zum Tragen gekommen sind.
Geschäftsprozesse sind mittlerweile kryptografisch geprägt. Elektronische Signaturen, elektronische Siegel, Zeitstempel, Identitäts-Wallets, Attributbescheinigungen und der Austausch zwischen Maschinen galten früher als Ausnahmen, die nur Fachleuten vorbehalten waren. Sie werden zunehmend zur Selbstverständlichkeit.
Gleichzeitig blieben die Aufbewahrungsfristen lang, während sich alles um sie herum verkürzte. Viele Unterlagen müssen fünf, zehn, dreißig Jahre oder länger aufbewahrt werden. Das ist länger als die Lebensdauer der meisten Anwendungen, Dateiformate, Zertifikate, kryptografischen Algorithmen, APIs und Identitätskonzepte. Das ERP-System wird ersetzt. Das DMS wird migriert. Die Fallmanagement-Plattform wird außer Betrieb genommen. Der SaaS-Anbieter wechselt den Eigentümer. Daten werden exportiert, transformiert und erneut importiert. Sehr oft ist das Archiv der einzige Ort, an dem ein Dokument das System überdauern kann, das es erstellt hat.
Und die Aufsichtsbehörden akzeptieren die Antwort “Wir haben die Akte aufbewahrt” nicht mehr. Sie verlangen Nachweise für Integrität, Herkunft, Governance und eine ordnungsgemäße Entsorgung – nicht nur das bloße Vorhandensein eines Dokuments. Diese Erwartung taucht in einem Rahmenwerk nach dem anderen auf.
Im Finanzdienstleistungssektor hat die MiFID II die Unternehmen bereits dazu verpflichtet, Aufzeichnungen in einer Form zu führen, die nicht manipuliert oder verändert werden kann, und zwar über Jahre hinweg nach dem jeweiligen Zeitpunkt. Die DORA, die ab Januar 2025 für den gesamten EU-Finanzsektor gilt, rückt die operative Widerstandsfähigkeit, die Rückverfolgbarkeit und die Rekonstruktion von Ereignissen in den Zuständigkeitsbereich der Unternehmensleitung. Bei beiden geht es nicht um die reine Speicherung. Es geht um die Fähigkeit, Geschehnisse zu rekonstruieren und zu rechtfertigen.
In den Biowissenschaften sind die Anforderungen seit langem klar definiert. ALCOA++, FDA 21 CFR Part 11 und EU-Anhang 11 fragen nicht danach, ob GxP-Daten vorliegen. Sie fragen vielmehr, ob diese Daten zuordenbar, lesbar, zeitnah, original, korrekt und unter Berücksichtigung des vollständigen Audit-Kontexts über einen Aufbewahrungszeitraum hinweg, der Jahrzehnte betragen kann, aufbewahrt werden. Das ist nichts anderes als die Sicherung von Beweismitteln.
In allen Branchen führt die DSGVO eine entsprechende Gegenverpflichtung ein. Der Grundsatz der Speicherbegrenzung bedeutet, dass Sie auch nachweisen müssen, dass Sie nach Erlöschen der Rechtsgrundlage die richtigen Daten gemäß der richtigen Vorschrift und mit der richtigen Genehmigung gelöscht haben. Das EU-Datenschutzgesetz geht weiterhin in dieselbe Richtung: Datenübertragbarkeit, Zugriff und Rechenschaftspflicht, die über die Lebensdauer eines einzelnen Systems hinausreichen. NIS2 wirft dieselben Fragen hinsichtlich der Nachweispflicht bei Vorfällen und der Rückverfolgbarkeit auf.
Führt man all dies zusammen, bricht die alte Grenze zwischen “dem Archiv” und “dem Beweismaterial” schlichtweg zusammen. Wenn das Archiv Beweismaterial nicht bewahren kann, bewahrt es lediglich Akten auf.
Mit eIDAS 2 wird diese Unterscheidung zu einer rechtlichen Regelung
Die Gesetzgebung hat nun mit dieser Realität gleichgezogen, und zwar auf eine Weise, die kaum zu übersehen ist.
Mit der Verordnung (EU) Nr. 910/2014, der eIDAS-Verordnung, wurde der europäische Rechtsrahmen für Vertrauensdienste geschaffen. Verordnung (EU) Nr. 2024/1183 hat sie geändert und die Begriffe „Elektronische Archivierungsdienste“ sowie „Qualifizierte elektronische Archivierungsdienste“ eingeführt. Die Archivierung ist nicht mehr nur eine interne IT- oder Aktenverwaltungsaufgabe. Sie wird nun als eigenständige Kategorie von Vertrauensdiensten anerkannt.
Artikel 45i ist der entscheidende Abschnitt. Daten und Dokumente, die bei einem elektronischen Archivierungsdienst aufbewahrt werden, dürfen nicht allein aufgrund ihrer elektronischen Form oder weil der Dienst nicht qualifiziert ist, als rechtlich unwirksam oder unzulässig angesehen werden. Und für einen qualifizierten elektronischen Archivierungsdienst geht die Verordnung noch weiter: Sie gewährt für die Dauer der Aufbewahrungsfrist eine Vermutung der Integrität und Herkunft. Das ist eine ganz andere Haltung als die Aussage: “Wir betreiben ein sicheres Archiv.”
In Artikel 45j wird anschließend festgelegt, welche Anforderungen ein qualifizierter Dienst erfüllen muss. Er muss Verfahren und Technologien einsetzen, die in der Lage sind, Daten über die technologische Gültigkeitsdauer hinaus und mindestens während der gesamten gesetzlichen oder vertraglichen Aufbewahrungsfrist dauerhaft und lesbar zu erhalten, wobei die Integrität und die ursprüngliche Richtigkeit gewahrt bleiben müssen. Er muss vor Verlust und Veränderung schützen und darf nur kontrollierte Änderungen des Datenträgers oder des Formats zulassen. Zudem muss er es einer autorisierten vertrauenden Partei ermöglichen, einen automatisierten Bericht zu erhalten, der vom Anbieter signiert oder versiegelt ist und die Integrität vom Beginn der Aufbewahrung bis zum Zeitpunkt des Abrufs bestätigt.
Lesen Sie diesen letzten Punkt noch einmal. Das Gesetz verlangt keine Speicherung. Es verlangt meldepflichtige Beweismittel.
Durchführungsverordnung (EU) Nr. 2025/2532 der Kommission setzt dieses Prinzip in ein Betriebsmodell um. Es verweist auf Referenznormen für qualifizierte elektronische Archivierungsdienste, wobei die Norm CEN/TS 18170:2025 im Mittelpunkt steht: funktionale Anforderungen, die den Empfang, die Speicherung, den Abruf und die Löschung sowie die Gewährleistung von Dauerhaftigkeit, Lesbarkeit, Integrität, Vertraulichkeit und Herkunftsnachweis während des gesamten Zeitraums abdecken.
Die praktischen Auswirkungen sind einfach. Die qualifizierte elektronische Archivierung ist kein bloßes Ziel mehr. Sie entwickelt sich zu einem bewertbaren europäischen Fachgebiet mit einer Rechtsgrundlage, einem Normenrahmen und einem Kontrollmodell.
Erhaltung ist nicht dasselbe wie Validierung
Dies ist der Unterschied, den die meisten Teams übersehen – und das kommt sie teuer zu stehen.
Zahlreiche Organisationen glauben, das Problem gelöst zu haben, weil sie eine Signatur bei Eingang eines Dokuments validieren und den Validierungsbericht daneben ablegen. Das ist zwar hilfreich, stellt jedoch keine langfristige Beweissicherung dar.
Ein Validierungsergebnis ist eine Momentaufnahme. Es gibt Auskunft über den Zustand einer Signatur, eines Zertifikats, eines Widerrufsstatus oder einer Vertrauenskette zu einem bestimmten Zeitpunkt. Ob Sie dieses Ergebnis später noch nachvollziehen können, hängt vollständig davon ab, ob der Validierungskontext weiterhin besteht. Zertifikate laufen ab. Algorithmen veralten. Widerrufsquellen werden nicht mehr erreichbar. Vertrauenslisten ändern sich. Root-Programme entwickeln sich weiter. Formate weichen voneinander ab. Systeme werden migriert. Die Datei lässt sich zwar noch öffnen, doch die Möglichkeit, nachzuweisen, was zu jenem Zeitpunkt von Bedeutung war, hat sich still und leise verschlechtert.
Genau darin liegt der Sinn von Standards wie ETSI TS 119 511, die sich mit der Langzeitarchivierung unter Verwendung von Techniken der digitalen Signatur befassen, darunter Zeitstempel und Nachweisdatensätze. Das Ziel besteht nicht darin, eine Datei in einer Speicherschicht einzufrieren. Vielmehr geht es darum, die Beweislage im Laufe der Zeit zu bewahren und bei Bedarf zu erweitern. Die Beweissicherung ist ein Lebenszyklus und keine einmalige Überprüfung bei der Erfassung.
Das eigentliche Archivobjekt ist größer als die Datei
Dies ist der Denkwandel, der die Architektur verändert.
In einem Repository-Modell besteht das Archivobjekt aus der Datei sowie einigen Metadaten. In einem Modell zur Beweissicherung ist der Umfang weitaus größer. Es kann den Originalinhalt, die technischen und geschäftlichen Metadaten, die Kennungen des Quellsystems, die Nachweise zur Erfassung und Integrität, den Herkunftsnachweis, die Zeitstempel, den Kontext zur Validierung von Signaturen oder Siegeln, den Status bezüglich Aufbewahrung und rechtlicher Aufbewahrungspflicht, den Zugriffs- und Prüfverlauf, die Aufbewahrungsereignisse, die Format- und Darstellungshistorie, die Entsorgungsnachweise sowie die Exportberichte umfassen. Ein Teil davon ist für den Geschäftsanwender nicht sichtbar. Das ist in Ordnung. Beweismittel sind es in der Regel nicht.
Das Ziel besteht nicht darin, das Archiv für den Nutzer komplexer zu gestalten. Vielmehr soll das Archiv für die dahinterstehende Organisation rechtlich absicherbar sein. Wenn ein Wirtschaftsprüfer, eine Aufsichtsbehörde, ein Ermittler oder ein Gericht Nachweise verlangt, sollte die Antwort nicht aus einer einzigen exportierten Datei und einem hoffnungsvollen “Das haben wir im System gefunden” bestehen. Es sollte sich vielmehr um ein ordnungsgemäß verwaltetes Archivpaket und einen Nachweispfad handeln, den Sie tatsächlich erläutern können.
Warum “ausreichende” Speicherkapazität versagt – und zwar erst spät
Die Falle liegt in der zeitlichen Dimension, denn fast jedes moderne Repository macht im ersten Jahr einen überzeugenden Eindruck. Dateien lassen sich öffnen. Die Suche funktioniert. Die Zugriffsrechte sind noch gültig. Das Prüfprotokoll ist aktuell. Die Mitarbeiter erinnern sich noch an die Migration. Das Quellsystem ist noch vorhanden. Die Zertifikate sind noch nicht abgelaufen. Das Team des Anbieters weiß noch, was geschehen ist.
Das Problem tritt im fünften Jahr zutage. Die Ursprungsanwendung existiert nicht mehr. Das Migrationsteam ist nicht mehr im Haus. Eine Aufbewahrungsregel hat sich geändert. Ein Signaturzertifikat ist abgelaufen. Ein Validierungsdienst liefert nun ein anderes Ergebnis. Eine Datei lässt sich zwar noch öffnen, jedoch nicht mehr ganz so wie zuvor. In einem Export fehlen die Metadaten, die Sie zum Verständnis des Datensatzes benötigt hätten, und niemand kann sagen, ob ein Dokument vor oder nach Beginn der Aufbewahrungsfrist umgewandelt wurde.
Die Datei ist nicht verschwunden. Der Kontext ist verschwunden. Bei der Beweissicherung geht es im Kern darum, diesen Verlust des Kontexts zu verhindern.
Auch das Löschen stellt ein Beweisproblem dar
Man könnte leicht annehmen, bei der Beweissicherung gehe es lediglich darum, Dinge aufzubewahren. Es geht jedoch ebenso sehr darum, sie ordnungsgemäß zu entsorgen.
Die moderne Regulierung verlangt zunehmend beides. Zu wenig aufzubewahren ist ein Risiko. Zu viel aufzubewahren ist ein Risiko. Daher muss das Archiv nicht nur nachweisen, dass ein Dokument aufbewahrt wurde, sondern auch, warum, gemäß welcher Vorschrift, bis zu welchem Datum, ob eine Aufbewahrungsfrist galt, wer die Löschung genehmigt hat und welche Nachweise danach noch vorhanden sind. In jedem Bereich, in dem sich personenbezogene Daten, Compliance-Nachweise und gesetzliche Aufbewahrungspflichten überschneiden, lautet die Frage nicht mehr: “Können wir dies zehn Jahre lang aufbewahren?”. Sie lautet vielmehr: “Können wir die Aufbewahrung für zehn Jahre rechtfertigen, und können wir nachweisen, dass wir die Daten gelöscht haben, als die Rechtsgrundlage erloschen ist?” Die Steuerung der Aufbewahrungspflichten ist Teil der Nachweiskette und keine separate Verwaltungsaufgabe.
Brieftaschen verleihen dem Archiv mehr Bedeutung, nicht weniger
Es besteht die beruhigende Annahme, dass digitale Identitäts-Wallets und Bescheinigungen die Archivierung vereinfachen werden, da sie die Erfassung und Überprüfung stärker digitalisieren. Sie werden die Benutzererfahrung verbessern. Das Problem der Nachweisfähigkeit werden sie jedoch nicht beseitigen.
Wenn eine Onboarding-Entscheidung auf der Vorlage einer Wallet, einer Attributbescheinigung, einem Zeitstempel, einer Entscheidung der vertrauenden Partei und dem Widerrufsstatus zum Zeitpunkt der Überprüfung beruht, muss das Archiv entscheiden, welche Daten aufzubewahren sind. Die Speicherung der resultierenden PDF-Datei oder eines kopierten Feldwerts reicht nicht aus. Der Nachweis kann die Vorlage, die Bescheinigung, das Überprüfungsergebnis, die angewandte Richtlinie, den Zeitnachweis, den Kontext der vertrauenden Partei sowie den Nachweis umfassen, dass sich seit Beginn der Aufbewahrung nichts davon geändert hat. Mit der europaweiten Einführung der EUDI-Wallet wird dies zu einer zentralen Designfrage und nicht mehr zu einem Randfall.
Die Version für die Unternehmensleitung: nachweisbare Verbindlichkeiten
Es gibt einen treffenden Begriff für das, was viele Organisationen still und leise anhäufen: „Evidenzschuld“.
Technische Schulden entstehen, wenn Sie Systeme so aufbauen, dass zukünftige Änderungen erschwert werden. Evidenzschulden entstehen, wenn Sie Aufzeichnungen so speichern, dass die zukünftige Nachvollziehbarkeit erschwert wird. Sie baut sich unsichtbar auf: Metadaten, die bei der Erfassung nicht erfasst werden; Migrationsnachweise, die nicht aufbewahrt werden; Validierungsberichte, die ohne ihren zugrunde liegenden Kontext aufbewahrt werden; manuell und inkonsistent angewandte Aufbewahrungsfristen; Audit-Protokolle, die ausschließlich im Quellsystem gespeichert sind; Exporte, bei denen die Herkunftsdaten entfernt werden; Entsorgungsentscheidungen, die selbst nicht nachprüfbar sind; ein Archiv, das als passiver Speicherort behandelt wird.
Die Rechnung kommt immer im ungünstigsten Moment. Eine Wirtschaftsprüfung. Eine Anfrage der Aufsichtsbehörde. Ein Rechtsstreit. Eine Due-Diligence-Prüfung im Vorfeld einer Transaktion. Ein Streitfall mit einem Kunden. Die Untersuchung eines Vorfalls. Die Stilllegung eines Systems. Zu diesem Zeitpunkt verfügen Sie vielleicht noch über die Akten. Die Beweismittel haben Sie jedoch möglicherweise bereits verloren.
Wo soll man anfangen?
Der erste Impuls ist, mit der Technik zu beginnen. Beginnen Sie stattdessen mit den Fragen, die sich auf die Beweislage beziehen.
Überlegen Sie für jede Klasse von Dokumenten mit hohem Wert, was Sie später tatsächlich nachweisen müssten, wer dies möglicherweise anfechten könnte und welcher Kontext erforderlich wäre, um dies zu verteidigen. Fragen Sie sich anschließend, in welchem System dieser Kontext derzeit gespeichert ist und was damit geschieht, wenn dieses System außer Betrieb genommen wird. Legen Sie die Aufbewahrungs- und Löschregeln fest, die Metadaten, die bei der Erfassung erfasst werden müssen, und klären Sie, ob Signaturen, Siegel, Zeitstempel, Wallet- oder Beglaubigungsnachweise eine Rolle spielen. Entscheiden Sie schließlich, ob das Archiv einen Integritäts- oder Archivbestätigungsbericht erstellen muss und welche Teile des Prozesses tatsächlich qualifizierte Vertrauensdienste erfordern.
Diese Fragen verändern die Konzeption. Das Archiv ist nicht mehr der Ort, an den Dokumente gelangen, sobald die eigentliche Arbeit abgeschlossen ist. Es wird zu einem Bestandteil der Vertrauensarchitektur.
Der neue Maßstab für professionelle Archivierung
Die Aktenführung wird nicht verschwinden. Sie ist nach wie vor notwendig. Doch bei regulierten, hochwertigen Unterlagen mit langer Aufbewahrungsfrist reicht sie allein nicht mehr aus.
Das Archiv des kommenden Jahrzehnts muss die Unterlagen, den Kontext, die Belege sowie die damit verbundenen Verwaltungsabläufe bewahren. Aus diesem Grund ist die qualifizierte elektronische Archivierung von Bedeutung. Nicht, weil jede Organisation für jedes Dokument den Weg mit der höchsten Sicherheitsstufe benötigt, sondern weil QeArch dem Markt endlich ein klares Modell dafür liefert, was vertrauenswürdige Archivierung heute bedeutet.
Dadurch verlagert sich der Fokus der Diskussion von der Frage “Wo bewahren wir die Unterlagen auf?” hin zur Frage “Wie sichern wir die Beweismittel?”.
Das ist die richtige Frage. Für viele Organisationen ist sie zudem längst überfällig.
Docbyte Vault ist die Plattform für die Langzeitarchivierung und Governance, die die Vertrauenswürdigkeit digitaler Unterlagen über deren Nutzungsdauer hinaus gewährleistet. Sie vereint die Stilllegung von Quellsystemen, die Metadatengestaltung, die Aufbewahrungsrichtlinien, die Beweissicherung, den kontrollierten Zugriff und die Unterstützung bei der Revision in einem einheitlichen Archivmodell. Sprechen Sie mit unserem Team über die beweiswahrende digitale Archivierung.
