Praxis & Dokumente

Audit-Trail & Revisionssicherheit

Änderungen und Nachweise nachvollziehbar protokollieren: Anforderungen, Grenzen und Abgrenzung zu Dokumentversionen.

Redaktionell verantwortlich: · Inhalt aktualisiert: · Redaktionsstatus

Ein Audit-Trail ist eine nachvollziehbare Chronik definierter Änderungen und Ereignisse: Wer hat wann welchen Zustand angelegt, geändert oder freigegeben? Welche Anforderungen gelten, hängt vom Zweck, vom verwendeten System und von den einschlägigen Aufbewahrungsregeln ab.

Was Revisionssicherheit rechtlich bedeutet

Revisionssicherheit stützt sich auf mehrere Rechtsgebiete:

  • § 6 ArbSchG – Dokumentationspflicht der GBU
  • § 12 ArbSchG – Nachweis der Unterweisung inkl. Unterweisungsnachweis
  • §§ 239, 257 HGB und GoBD – unveränderbare Aufbewahrung geschäftsrelevanter Daten
  • Art. 5 & 32 DSGVO – Integrität und Vertraulichkeit personenbezogener Daten

Kernanforderungen: Vollständigkeit, Nachvollziehbarkeit, Unveränderbarkeit, Verfügbarkeit über die gesamte Aufbewahrungsfrist.

Was ein guter Audit-Trail protokolliert

Ein belastbarer Trail hält je Vorgang mindestens fest:

  • Wer (User, Rolle) – auch bei Pflichtenübertragung
  • Wann (Zeitstempel, idealerweise Serverzeit)
  • Was (welche GBU-Zeile, welche Unterweisung, welche Maßnahme)
  • Vorher-/Nachher-Zustand (bei Änderungen)
  • IP / Gerät (Kontextinformation)
  • Ergebnis (bestanden, unterschrieben, freigegeben)

Unveränderbar bedeutet: kein Overwrite, sondern Append-Only. Änderungen erzeugen neue Datensätze, alte bleiben erhalten.

Warum Excel und E-Mail nicht ausreichen

Klassische KMU-Werkzeuge scheitern hier reihenweise:

  • Excel: Wer hat die Zelle geändert? Nicht nachvollziehbar. Datei kann rückdatiert werden.
  • E-Mail-Anhänge: Verschiedene Stände in verschiedenen Postfächern, keine Versionshoheit.
  • Papierordner: Änderungen mit Tipp-Ex, verlorene Blätter, keine Suchbarkeit.

Spätestens beim Unfall bittet Staatsanwaltschaft und BG um die Nachweise – und stellt in Sekunden fest, ob das Dokumentensystem manipulierbar war.

Welche Integritätsmerkmale sekurio derzeit bereitstellt

sekurio versieht abgeschlossene Unterweisungsnachweise mit Dokument-ID, Versionsnummer, Erzeugungszeitpunkt und SHA-256-Inhaltshash. Der verwendete Inhalts-, Quellen- und Durchführungsstand wird als Snapshot festgeschrieben. Das ist kein vollständiger, append-only Audit-Trail über jede Benutzeraktion, keine digitale Signatur und kein Enterprise-Rollenmodell.

Aufbewahrungsfristen im Überblick

  • GBU-Dokumentation: Solange Tätigkeit besteht + 6 Jahre nach Ende (analog Steuer-/GoBD)
  • Unterweisungsnachweise: mind. 2 Jahre, empfohlen 5–10 Jahre nach Ausscheiden
  • [Verbandbuch](/lexikon/verbandbuch): 5 Jahre je Eintrag
  • [DGUV V3-Prüfprotokolle](/lexikon/dguv-v3-pruefung): bis zur nächsten Prüfung + 4 Jahre
  • [Arbeitsmedizinische Vorsorge](/lexikon/arbeitsmedizinische-vorsorge): je nach Art bis 40 Jahre

Häufige Fragen

Was ist der Unterschied zwischen Audit-Trail und normalem Log?

Ein Audit-Trail soll definierte Ereignisse und Zustandsänderungen nachvollziehbar und gegen unbemerkte Manipulation geschützt festhalten. Ob ein konkretes Verfahren ausreicht, hängt vom Zweck, Schutzkonzept und Regelwerk ab.

Reicht ein PDF mit Unterschrift?

Ein unterschriebener Nachweis kann Durchführung und Teilnahme dokumentieren. Inhaltliche Eignung, betriebliche Durchführung, Aufbewahrung und Integrität des Gesamtsystems müssen zusätzlich betrachtet werden.

Wie lange muss ich die Trail-Daten aufbewahren?

Mindestens so lange wie das zugrunde liegende Dokument (GBU, Unterweisung, Prüfprotokoll). Bei arbeitsmedizinischen Nachweisen bis zu 40 Jahre.

Ist ein Audit-Trail datenschutzkonform?

Das lässt sich nicht pauschal zusagen. Zweck, Rechtsgrundlage, Datenminimierung, Berechtigungen, Lösch- und Aufbewahrungsregeln müssen für das konkrete Verfahren festgelegt werden.

Grundlagen und Primärquellen

Diese Quellen wurden diesem Beitrag konkret zugeordnet. Maßgeblich bleibt die aktuelle Fassung beim jeweiligen Herausgeber.

  • Arbeitsschutzgesetz (ArbSchG)

    Bundesministerium der Justiz / Bundesamt für Justiz · Grundpflichten, Gefährdungsbeurteilung, Dokumentation, Unterweisung und Verantwortliche · Quelle geprüft am