Ein fehlendes Dokument ist im Audit selten das eigentliche Problem. Kritisch wird es, wenn niemand erklären kann, wer eine Information wann abgelegt, geändert, freigegeben oder gelöscht hat. Die Erfahrung mit revisionssicherer Archivierung zeigt deshalb: Entscheidend ist nicht allein der Speicherort. Entscheidend ist ein Prozess, der Informationen dauerhaft nachvollziehbar, vollständig und vor unbefugten Änderungen geschützt hält.

Für Geschäftsleitungen, IT-Verantwortliche und Compliance-Verantwortliche geht es dabei um mehr als eine formale Pflicht. Eine sauber geführte Archivierung schafft volle Kontrolle über Nachweise, Entscheidungen und Sicherheitsmassnahmen. Sie reduziert Suchaufwand, erleichtert interne Kontrollen und liefert Berichte, die auch das Management versteht.

Was revisionssichere Archivierung in der Praxis bedeutet

Revisionssicher bedeutet nicht, dass jede Datei niemals verändert werden darf. Organisationen müssen Dokumente laufend aktualisieren: Richtlinien werden angepasst, Risiken neu bewertet, Massnahmen abgeschlossen oder Verantwortlichkeiten wechseln. Revisionssicherheit bedeutet vielmehr, dass Änderungen kontrolliert erfolgen und im Nachhinein nachvollziehbar bleiben.

In der Praxis braucht es dafür vier Eigenschaften: Dokumente müssen vollständig erfasst werden, für Berechtigte auffindbar sein, vor unzulässigen Änderungen geschützt werden und ihre Historie muss nachvollziehbar bleiben. Dazu gehören Zeitstempel, Versionen, Rollen und Berechtigungen sowie ein nachvollziehbarer Umgang mit Aufbewahrungs- und Löschfristen.

Ein PDF in einem gemeinsamen Ordner erfüllt diese Anforderungen nicht automatisch. Auch eine Cloud-Ablage ist nicht per se revisionssicher, nur weil sie zentral betrieben wird. Wenn Mitarbeitende Dateien ohne Protokoll ersetzen, Berechtigungen zu weit gefasst sind oder alte Versionen verschwinden, fehlt der belastbare Nachweis.

Archivierung ist kein einmaliges IT-Projekt

Viele Organisationen starten mit der Frage nach dem passenden System. Diese Frage ist berechtigt, greift aber zu kurz. Zuerst muss klar sein, welche Informationen archiviert werden, welche rechtlichen oder vertraglichen Vorgaben gelten und wer für Qualität, Freigabe und Aufbewahrung verantwortlich ist.

Bei steuer- und handelsrelevanten Unterlagen in Deutschland können etwa die Grundsätze zur ordnungsmässigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, kurz GoBD, relevant sein. Für weitere Dokumente gelten je nach Branche, Vertrag und Datenschutzvorgaben andere Anforderungen. Ein Informationssicherheitsnachweis folgt zudem einer anderen Logik als eine Eingangsrechnung.

Deshalb gibt es keine Universallösung, die ohne Einordnung für alle Datenarten passt. Ein Dokumentenmanagement-System kann für Geschäftsdokumente sinnvoll sein. Für den Nachweis von Cyber- und Informationssicherheit braucht es zusätzlich eine strukturierte Dokumentation von Assessments, Befunden, Massnahmen und Risiken.

Erfahrung mit revisionssicherer Archivierung: Wo sie oft scheitert

Aus der operativen Praxis lassen sich wiederkehrende Schwachstellen erkennen. Sie entstehen selten durch fehlende Technik allein. Häufig fehlen klare Regeln, Verantwortlichkeiten oder eine durchgängige Arbeitsweise.

Ein typisches Beispiel sind Sicherheitsnachweise, die über E-Mail, lokale Laufwerke, Teams-Chats und Excel-Listen verteilt sind. Die Organisation hat vielleicht alle Informationen, aber sie kann den aktuellen Stand nicht zuverlässig belegen. Welche Version der Richtlinie war zum Zeitpunkt eines Assessments gültig? Welche Massnahme wurde aus welchem Befund abgeleitet? Wer hat das Restrisiko akzeptiert? Ohne zentrale Spur wird diese Recherche zeitaufwendig und fehleranfällig.

Ein zweites Problem sind unklare Zugriffsrechte. Nicht jede Person, die Informationen lesen darf, soll sie auch ändern oder löschen können. Revisionssichere Abläufe trennen deshalb mindestens Lesen, Bearbeiten, Freigeben und Administrieren. Diese Rollen müssen regelmässig überprüft werden, besonders bei Ein- und Austritten oder beim Wechsel von Funktionen.

Drittens wird das Löschen oft unterschätzt. Revisionssicherheit heisst nicht, Daten endlos aufzubewahren. Unnötig lange gespeicherte Informationen erhöhen Risiken und können datenschutzrechtlich problematisch sein. Ein belastbares Konzept legt daher fest, welche Unterlagen wie lange benötigt werden, wann eine Löschung zulässig ist und wie sie dokumentiert wird.

Vom Nachweis zur steuerbaren Sicherheitsarbeit

Für die Informationssicherheit genügt es nicht, Richtlinien und Protokolle abzulegen. Entscheidend ist der Zusammenhang zwischen Anforderung, Ist-Zustand, Massnahme und Risiko. Genau dort trennt sich eine Sammlung von Dateien von einer nachvollziehbaren Steuerung.

Ein sinnvoller Ablauf beginnt mit einem strukturierten Assessment. Sicherheitsanforderungen werden bewertet und Belege direkt den jeweiligen Fragen oder Kontrollen zugeordnet. Das schafft einen klaren Ausgangspunkt: Die Organisation sieht, welche Anforderungen erfüllt sind, wo Lücken bestehen und wie sich der Reifegrad entwickelt.

Aus den festgestellten Lücken sollten konkrete Massnahmen entstehen. Jede Massnahme braucht eine verantwortliche Person, einen Status, eine Priorität und idealerweise einen Termin. Bleibt ein Risiko nach der Umsetzung bestehen, gehört es in ein Risikoregister - inklusive Bewertung, Behandlung und dokumentierter Entscheidung. So lässt sich auch Monate später nachvollziehen, warum eine Massnahme beschlossen, verschoben oder bewusst nicht umgesetzt wurde.

Diese Kette ist besonders wertvoll bei internen Audits, Kundenanfragen oder einer Prüfung nach ISO 27001. Statt Nachweise unter Zeitdruck zusammenzutragen, kann die Organisation den aktuellen Status strukturiert auswerten. Die Dokumentation wird damit nicht zum Archiv am Ende eines Projekts, sondern zum Arbeitsinstrument während des gesamten Sicherheitsprozesses.

Versionierung allein reicht nicht aus

Versionshistorien sind ein wichtiger Baustein, aber kein vollständiger Nachweis. Sie zeigen häufig, dass sich ein Dokument geändert hat. Sie erklären jedoch nicht zwingend, warum die Änderung erfolgte, ob sie geprüft wurde und welche Auswirkung sie auf Risiken oder Sicherheitsziele hatte.

Die stärkere Form der Nachvollziehbarkeit verbindet Dokumente mit Kontext. Wird beispielsweise eine Zugriffskontrollrichtlinie angepasst, sollte erkennbar sein, welcher Befund oder welches Risiko Anlass war, wer die Anpassung freigegeben hat und ob daraus weitere Aufgaben entstanden sind. Diese Verknüpfung spart später erheblich Zeit und verhindert, dass wichtige Entscheidungen nur im Wissen einzelner Mitarbeitender bestehen.

Worauf Organisationen bei der Auswahl achten sollten

Die passende Lösung hängt von Dokumentenart, Regulierung, Organisationsgrösse und bestehenden Prozessen ab. Für viele KMU ist ein überdimensioniertes Enterprise-GRC-System ebenso wenig sinnvoll wie eine reine Dateiablage ohne Steuerungsmöglichkeiten. Gesucht ist eine Lösung, die Sicherheit und Compliance im Alltag abbildbar macht.

Bei der Beurteilung sollte geprüft werden, ob Änderungen und Bearbeitungsstände nachvollziehbar sind, ob Rollen sauber geregelt werden können und ob relevante Nachweise direkt mit Anforderungen, Massnahmen und Risiken verknüpft werden. Ebenso wichtig sind exportierbare, managementtaugliche Auswertungen. Ein Audit-Nachweis hilft wenig, wenn er nur von Spezialisten interpretiert werden kann.

Für Schweizer Organisationen und Unternehmen mit hohen Anforderungen an Vertrauen spielt auch die Datenhaltung eine wichtige Rolle. Transparenz über Speicherort, Zugriff, Betrieb und Datensicherung gehört zur Entscheidungsgrundlage. Schweizer Cloud-Datenhaltung kann hier ein relevantes Kriterium sein, ersetzt aber nicht die Prüfung von Berechtigungen, Protokollierung und organisatorischen Prozessen.

SCMC unterstützt diesen Prozess, indem Assessments, Ergebnisse, Massnahmen und Risiken in einer Plattform zusammengeführt werden. Dadurch wird sichtbar, wie ein Sicherheitsstatus zustande kommt und welche Schritte zur Verbesserung noch offen sind. Für die Archivierung geschäftlicher Primärdokumente kann je nach Anforderung weiterhin ein spezialisiertes System erforderlich sein. Die Stärke liegt in der revisionssicheren Nachvollziehbarkeit der Sicherheits- und Compliance-Arbeit.

So wird aus Dokumentation ein belastbarer Nachweis

Der sinnvollste Einstieg ist selten eine vollständige Bereinigung aller Altbestände. Besser ist es, mit den kritischsten Nachweisen zu beginnen: Sicherheitsrichtlinien, Assessment-Ergebnisse, Risikoentscheidungen, Massnahmenpläne und Freigaben. Für diese Unterlagen lassen sich Verantwortlichkeiten, Ablageorte, Versionierung und Aufbewahrungsregeln konkret festlegen.

Danach sollte der Ablauf im Team getestet werden. Kann eine Vertretung einen Nachweis finden? Ist erkennbar, welche Massnahme aktuell gilt? Lässt sich eine Entscheidung verständlich erklären, ohne die ursprüngliche E-Mail suchen zu müssen? Solche Fragen zeigen schnell, ob ein Prozess nur auf dem Papier funktioniert oder im Alltag trägt.

Revisionssichere Archivierung entsteht nicht durch möglichst viele gespeicherte Dateien. Sie entsteht, wenn die richtigen Informationen zum richtigen Zeitpunkt auffindbar, verständlich und vertrauenswürdig sind. Wer diesen Anspruch mit Assessment, Massnahmensteuerung und Risikoverfolgung verbindet, schafft eine Dokumentation, die nicht nur eine Prüfung besteht, sondern die eigene Sicherheitsarbeit spürbar verbessert.