S3 mit Object Lock: Der Speicher, der Rz. 110 der GoBD in Software erfüllt

Es gibt in den GoBD einen Satz, den jeder Steuerberater kennt und fast kein IT-Verantwortlicher: Randnummer 110, letzter Absatz. Die Ablage von Daten und elektronischen Dokumenten in einem Dateisystem erfüllt die Anforderungen der Unveränderbarkeit regelmäßig nicht, soweit nicht zusätzliche Maßnahmen ergriffen werden, die eine Unveränderbarkeit gewährleisten. Übersetzt: Der Ordner „Rechnungen 2026“ auf dem Dateiserver ist kein zulässiger Aufbewahrungsort für Belege. Jeder mit Schreibrecht kann eine Datei ersetzen, ohne dass es auffällt.

Derselbe Absatz nennt die Wege, auf denen Unveränderbarkeit erreicht wird: hardwaremäßig durch unveränderbare und fälschungssichere Datenträger, softwaremäßig durch Sicherungen, Sperren, Festschreibung, Löschmerker, Protokollierung, Historisierung und Versionierung, organisatorisch durch Zugriffsberechtigungskonzepte. Object Lock auf S3-Speicher ist der erste Weg, in Software gebaut – ein Datenträger, der für eine festgelegte Zeit nichts löschen und nichts ändern lässt. Dieser Beitrag beschreibt, was das heißt und wo es endet.

Was Object Lock tut

S3 ist die Schnittstelle für Objektspeicher, die Amazon einführte und die heute jeder Speicheranbieter spricht. Objekte liegen in Buckets, und Object Lock ist eine Eigenschaft des Buckets: Jedes Objekt bekommt beim Schreiben eine Sperrfrist, und bis zu deren Ablauf verweigert der Speicher jede Löschung und jede Überschreibung – unabhängig davon, wer sie verlangt. Nicht der Nutzer, nicht der Administrator, nicht der Betreiber. Zusammen mit Versionierung erzeugt jede Änderung eine neue Version statt die alte zu ersetzen; die alte bleibt gesperrt.

Der S3-Speicher unseres Partners TERRA CLOUD bietet nach Herstellerangabe genau das: Object Lock, Versionierung und Lebenszyklusregeln für die Buckets, die für Anwendungen gedacht sind, Standort Rechenzentrum Hüllhorst, revisionssichere Aufbewahrung laut Katalog, abgerechnet je Terabyte ohne Traffickosten und ohne Mindestdauer. Daneben einfache Buckets für große Datenarchive ohne diese Funktionen – der Katalog nennt als Beispiel Röntgenbilder. Für GoBD-Belege und für Sicherungen zählt die erste Art.

Was das für § 146 Abs. 4 AO bedeutet

Die Abgabenordnung verlangt in § 146 Abs. 4, dass eine Buchung oder Aufzeichnung nicht so verändert werden darf, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. Rz. 107 und 108 der GoBD übertragen das auf das System: Es muss die Gewähr bieten, dass einmal eingeführte Informationen nicht mehr unterdrückt oder ohne Kenntlichmachung überschrieben, gelöscht, geändert oder verfälscht werden können. Ein Bucket mit Object Lock und Versionierung leistet technisch genau das: Der ursprüngliche Inhalt bleibt feststellbar, weil er nicht verschwinden kann.

Die Sperrfrist muss zur Aufbewahrungspflicht passen. § 147 Abs. 3 AO nennt für Bücher, Belege und Buchungsunterlagen die Fristen – für Buchungsbelege zehn Jahre, für Handels- und Geschäftsbriefe sechs, mit den Verkürzungen aus den jüngeren Änderungen, die der Steuerberater kennt. Die Sperrfrist je Bucket wird deshalb nach Belegtyp gesetzt, und die Lebenszyklusregel löscht nach Ablauf – automatisch, dokumentiert. Das ist zugleich die Antwort auf die Datenschutzfrage, wie lange etwas aufbewahrt wird: so lange, wie die Sperre läuft, und keinen Tag länger.

Wo die Grenze zum Archiv liegt

Hier ist Vorsicht geboten, und wir schreiben es auf die Produktseite wie in diesen Beitrag: Object Lock macht einen Speicher unveränderbar. Es macht ihn nicht zu einem revisionssicheren Archiv. Ein Archiv im Sinne der GoBD braucht mehr: die vollständige und zeitnahe Erfassung des Belegs, einen Index, über den er gefunden wird, die Verknüpfung zur Buchung, die maschinelle Auswertbarkeit nach § 147 Abs. 6 AO, die Verfahrensdokumentation nach Rz. 151 bis 155. Das leistet ein Dokumentenmanagementsystem oder ein Archivsystem – und das legt seine Daten dann auf einem Speicher ab, der unveränderbar ist.

Die Arbeitsteilung ist also: Das Archivsystem erfüllt das Verfahren, der Speicher mit Object Lock erfüllt die Unveränderbarkeit der Technik darunter. Beides zusammen beschreibt die technische Systemdokumentation in der Verfahrensdokumentation, und beides zusammen bewertet der Steuerberater. Was wir belegen, ist der Speicher: dass er sperrt, wie lange, und dass niemand daran vorbeikommt. Ob das Archiv im Ganzen den GoBD genügt, ist eine Frage an das Verfahren, nicht an die Technik.

Derselbe Speicher, zweite Verwendung: Sicherungen

Die Eigenschaft, die Belege vor Manipulation schützt, schützt Sicherungen vor Angreifern. Ein Verschlüsselungsangriff beginnt mit der Suche nach der Sicherung, und ein Angreifer mit Administratorrechten kann jede Sicherung löschen, die ein Administrator löschen kann. Eine Sicherung auf einem Bucket mit Object Lock kann er nicht löschen – die Sperre gilt für ihn wie für alle. Veeam und andere Sicherungsprogramme schreiben direkt auf S3-Speicher mit Object Lock; der Katalog nennt für die Microsoft-365-Sicherung 30 Tage Unveränderbarkeit auf dem S3-Speicher in Hüllhorst.

Die Sperrfrist ist hier anders zu wählen als beim Archiv: lang genug, dass ein Angriff, der Wochen unbemerkt bleibt, keine gesperrte Sicherung erreicht, aber nicht so lang, dass der Speicher mit alten Sicherungen vollläuft. 30 Tage sind ein üblicher Wert, bei Häusern mit langsamer Angriffserkennung mehr. Und für Häuser, die heute nur auf ein NAS sichern, ist die Replikation des NAS in einen solchen Bucket nach Herstellerangabe über die eingebaute S3-Schnittstelle von QNAP und Synology möglich – der einfachste erste Schritt zu einer Kopie außer Haus, die auch ein Angreifer nicht löscht.

Was das im Betrieb heißt

Verwandte Themen: Wer hier weiterdenkt, liest bei revisionssichere Archivierung, Immutable Backup und Sicherung, die einen Angriff überlebt weiter.