Warum deutsches Recht ein guter Maßstab für Datenschutz und Datensicherung ist

Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am 2026-10-16

Keine Rechts- oder Steuerberatung. Regeln ändern sich; jede Aussage unten verlinkt ihre Quelle, abgerufen am 16. Oktober 2026. Lassen Sie sich von Ihrer Beratung bestätigen, was für Sie gilt.

Kurz gesagt: Deutsches Recht ist ein guter Maßstab, weil seine Regeln zu Datenschutz, Aufbewahrung und IT-Sicherheit konkret genug zum Prüfen sind, öffentlich und aktuell vorliegen und von unabhängigen Behörden durchgesetzt werden, die ihre Positionen veröffentlichen. Datenschutz ist ein Grundrecht. Die Aufbewahrungsregeln sagen nicht nur, wie lange, sondern auch, wie Unterlagen zu führen sind: unverändert, nachvollziehbar, maschinell auswertbar und schriftlich beschrieben. Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht einen Baustein zur Datensicherung und einen Kriterienkatalog für Cloud-Dienste. Backup- und Archivsoftware, die diese Regeln erfüllt, zeigt Eigenschaften, die Sie überall prüfen können: wo die Daten liegen, wer die Schlüssel hat, ob Manipulation auffällt, ob eine Wiederherstellung belegt ist. Das ist ein Maßstab, kein Zertifikat, und dieser Beitrag behauptet nicht, deutsches Recht sei das strengste der Welt.

Was macht ein Regelwerk zu einem guten Maßstab?

Vier Prüffragen, angewandt auf die folgenden Regeln:

• Konkret. Ein Käufer kann aus einer Anforderung eine Ja-Nein-Frage an ein Produkt machen.
• Öffentlich und aktuell. Jeder kann den Text lesen, und die herausgebende Stelle hält ihn aktuell.
• Durchgesetzt. Unabhängige Stellen beaufsichtigen es und veröffentlichen ihre Begründungen.
• Technisch. Es reicht bis zu Speicher, Schlüsseln, Integrität und Wiederherstellung, nicht nur bis zu Grundsätzen.

Die deutschen Regeln erfüllen diese Prüffragen in den folgenden Bereichen. Andere Länder erfüllen einen Teil davon: Die DSGVO gilt in allen EU-Staaten, ein großer Teil des deutschen Datenschutzrechts ist also gemeinsames Recht, und die Schweiz hat eine Geschäftsbücherverordnung, die den GoBD im Geist nahesteht. Deshalb geht es hier um einen brauchbaren Maßstab, nicht um Nationalstolz.

Woher kommt das deutsche Datenschutzrecht?

Der Hessische Datenschutzbeauftragte beschreibt das Hessische Datenschutzgesetz von 1970 als das erste Datenschutzgesetz in Deutschland und weltweit (HBDI). Das Gesetz reagierte auf die zunehmende Automatisierung der Datenverarbeitung und schuf das Amt des Hessischen Datenschutzbeauftragten. Wir geben das so wieder, wie die Behörde es formuliert.

Der zweite Schritt ist das Volkszählungsurteil des Bundesverfassungsgerichts vom 15. Dezember 1983 (1 BvR 209/83 und fünf weitere Verfahren, BVerfG). Das Gericht leitete aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz) das Recht auf informationelle Selbstbestimmung ab: Grundsätzlich entscheidet jeder selbst über die Preisgabe und Verwendung seiner persönlichen Daten. Einschränkungen brauchen ein überwiegendes Allgemeininteresse, eine klare gesetzliche Grundlage und Verhältnismäßigkeit, und der Gesetzgeber muss organisatorische und verfahrensrechtliche Vorkehrungen treffen. Diese letzte Forderung zieht sich seitdem durch die deutschen Regeln: Sie beschreiben Verfahren und Organisation, nicht nur Grundsätze.

Wie wird der Datenschutz in Deutschland durchgesetzt?

• DSGVO und BDSG. Die DSGVO gilt in jedem EU-Staat unmittelbar. Das Bundesdatenschutzgesetz (BDSG) ergänzt nationale Regeln, wo die DSGVO Spielraum lässt. Ein konkretes Beispiel: Nach § 38 BDSG muss ein Unternehmen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, sobald es in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, zusätzlich zu den Fällen des Art. 37 Abs. 1 DSGVO; Art. 37 Abs. 4 DSGVO erlaubt den Mitgliedstaaten, Fälle hinzuzufügen.
• Viele Behörden. Die Aufsicht folgt dem föderalen Aufbau. Die oder der Bundesbeauftragte (BfDI) beaufsichtigt öffentliche Stellen des Bundes und Telekommunikationsanbieter (§ 9 BDSG); die Landesbehörden beaufsichtigen Unternehmen (§ 40 BDSG). Die Liste der DSK nennt eine Bundesbehörde und 17 Landesbehörden: 16 Länder, wobei Bayern zwei hat, eine für den öffentlichen Bereich und eine für private Unternehmen. Aufsichten der Kirchen und der Rundfunkanstalten werden gesondert aufgeführt.
• Die DSK als gemeinsame Konferenz. Die Datenschutzkonferenz (DSK) will durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen und Stellungnahmen eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts erreichen. Zu ihren Entschließungen sagt die DSK, sie enthielten unter allen Behörden abgestimmte Empfehlungen und seien rechtlich nicht bindend (DSK). Ein technisches Beispiel ist das Standard-Datenschutzmodell, Version 3.1 vom 14. Mai 2024: eine Methode, die rechtliche Anforderungen in sieben Gewährleistungsziele übersetzt (Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Nichtverkettung, Transparenz, Intervenierbarkeit) und sich an den IT-Grundschutz anlehnt.

Was das in der Praxis heißt: Viele Behörden, die Hinweise und Positionen veröffentlichen, legen einen großen Teil der praktischen Auslegung von „angemessener Sicherheit“ offen, etwa zu Verschlüsselung und Backups (siehe DSGVO und Backups). Es heißt auch, dass Behörden unterschiedlich urteilen können, wie der Abschnitt zur Cloud unten zeigt, und dass bei großen Anbietern von außerhalb Deutschlands die federführende Behörde woanders sitzen kann: Der Bericht der DSK zu Microsoft vermerkt, dass die irische Behörde für Microsoft Ireland federführend ist, während die deutschen Behörden ihre deutschen Kunden beaufsichtigen (Zusammenfassung der DSK).

Was verlangen die deutschen Regeln zur Aufbewahrung von Geschäftsunterlagen?

Die GoBD sind die Verwaltungsanweisung der Finanzverwaltung zur elektronischen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen (BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und 14. Juli 2025; gelesen im konsolidierten Text). Die GoBD gelten für Unternehmen, die Bücher und Aufzeichnungen für deutsche Steuerzwecke führen, und bauen auf § 147 AO und § 257 HGB auf. Eine Technik schreiben sie nicht vor (Rz. 10); sie beschreiben Eigenschaften, die ein System und sein Verfahren haben müssen:

• Nachvollziehbarkeit. Ein sachverständiger Dritter muss einen Datensatz in angemessener Zeit nachverfolgen können. Für jedes Datenverarbeitungssystem muss eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse ersichtlich sind (Rz. 151 bis 153); die Beschreibung der Vorgehensweise bei der Datensicherung gehört dazu (Rz. 106).
• Vollständigkeit. Buchungen und Aufzeichnungen sind einzeln, vollständig, richtig, zeitgerecht und geordnet vorzunehmen (§ 146 Abs. 1 AO).
• Unveränderbarkeit. Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO); Informationen, die in den Verarbeitungsprozess eingeführt wurden, dürfen nicht ohne Kenntlichmachung unterdrückt oder überschrieben werden (Rz. 108). Gewährleisten lässt sie sich hardwaremäßig, softwaremäßig oder organisatorisch; die Ablage in einem Dateisystem erfüllt diese Anforderung in der Regel nicht ohne zusätzliche Maßnahmen (Rz. 110).
• Maschinelle Auswertbarkeit. Während der ganzen Frist müssen die Daten jederzeit verfügbar sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können (§ 147 Abs. 2 AO), und in einer Außenprüfung kann die Finanzbehörde Einsicht, eine Auswertung nach ihren Vorgaben oder die Übertragung in einem maschinell auswertbaren Format verlangen (§ 147 Abs. 6 AO).

Die Aufbewahrungsfristen, wie sie heute gelten:

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Eintragung gemacht oder die Unterlage empfangen, abgesandt oder erstellt wurde (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Sie läuft nicht ab, solange die Unterlage für eine Steuer von Bedeutung ist, deren Festsetzungsfrist noch läuft (§ 147 Abs. 3 AO). Die Verkürzung für Belege von zehn auf acht Jahre kam mit dem Vierten Bürokratieentlastungsgesetz (BGBl. 2024 I Nr. 323) und gilt seit dem 1. Januar 2025 für Unterlagen, deren alte Frist noch nicht abgelaufen war. Banken, Versicherungen und Wertpapierinstitute bewahren Belege nach Satz 2 des § 257 Abs. 4 HGB zehn Jahre auf, was das Bundesfinanzministerium am 6. August 2025 angekündigt hat (Pressemitteilung).

Ein amtliches GoBD-Zertifikat gibt es nicht. Die GoBD sagen, dass die Finanzbehörde keine allgemein gültigen Aussagen zur Konformität von Hard- und Software treffen kann (Rz. 179), dass Positivtestate weder in einer Außenprüfung noch in einer verbindlichen Auskunft erteilt werden (Rz. 180) und dass das Zertifikat eines Dritten einem Unternehmen bei der Softwareauswahl helfen kann, die Finanzbehörde aber nicht bindet (Rz. 181). Die Verantwortung bleibt beim Steuerpflichtigen. Die Folgen sind konkret: Kann der Steuerpflichtige Bücher oder Aufzeichnungen nicht vorlegen oder werden sie der Besteuerung nicht zugrunde gelegt, darf die Finanzbehörde die Besteuerungsgrundlagen schätzen (§ 162 Abs. 2 AO).

Mehr dazu, wie das für E-Mails gilt: E-Mail-Archivierung nach GoBD und GoBD und E-Mail-Archivierung, erklärt; das Konzept beschreibt die Dokumentationsseite GoBD und Nachweise.

So vergleichen sich andere Länder

Die Tabelle führt den Vergleich des früheren Beitrags „GoBD im internationalen Vergleich“ dieser Seite fort, am 16. Oktober 2026 erneut geprüft. Wenn Sie außerhalb Deutschlands sitzen, gelten die GoBD für Sie nur, wenn deutsches Steuerrecht auf Sie anwendbar ist, etwa über eine deutsche Gesellschaft oder Betriebsstätte.

So lesen Sie es: Jedes dieser Länder setzt Aufbewahrungsfristen, und die Fristen unterscheiden sich weniger als die Regeln zur Form. Deutschland (GoBD) und die Schweiz (GeBüV) legen für jedes Unternehmen fest, wie elektronische Unterlagen geführt werden müssen: unverändert, dokumentiert, verfügbar. Das Vereinigte Königreich verlangt digitale Unterlagen für die Umsatzsteuer, die USA haben Anforderungen an elektronische Speichersysteme und eine strenge Regel für Broker-Dealer, und Österreich nennt Bedingungen für die Aufbewahrung auf Datenträgern. Die deutschen Regeln sind nicht die einzigen detaillierten, und die Tabelle ist keine Rangliste.

Was ergänzt die deutsche Sicherheitsgrundlage für Backups?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht das IT-Grundschutz-Kompendium in der Edition 2023, die das BSI als aktuell führt; laut BSI bleibt der aktuelle IT-Grundschutz in einer mehrjährigen Übergangszeit zum neuen digitalen Regelwerk anwendbar (BSI). Der Baustein CON.3 Datensicherungskonzept ist eine kurze, prüfbare Liste für Datensicherungen. Zu den Basis-Anforderungen, die laut Baustein erfüllt werden müssen, gehören:

• die Rahmenbedingungen je System erheben, einschließlich rechtlicher Anforderungen und Löschregeln (CON.3.A1);
• Datensicherungen auf separaten Speichermedien ablegen und die Medien räumlich getrennt von den gesicherten Systemen aufbewahren (CON.3.A2, CON.3.A12);
• je System einen Datensicherungsplan erstellen: was gesichert wird, die Reihenfolge der Wiederherstellung, wie lange Sicherungen aufbewahrt werden und wie sie vor unbefugtem Zugriff und Überschreiben geschützt sind (CON.3.A4);
• Datensicherungen so schützen, dass sie nicht absichtlich oder unbeabsichtigt überschrieben werden können (CON.3.A14);
• regelmäßig testen, ob Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (CON.3.A15).

Die Standard-Anforderungen ergänzen für Online-Speicher einen Vertrag, der Ort der Datenspeicherung, Dienstgüte, Authentisierung sowie Verschlüsselung im Speicher und auf dem Transportweg regelt (CON.3.A9). Bei erhöhtem Schutzbedarf schlägt der Baustein vor, alle Datensicherungen zu verschlüsseln, sicherzustellen, dass sich verschlüsselte Daten auch nach langer Zeit wieder einspielen lassen, und die Schlüssel mit einer getrennten Datensicherung zu schützen (CON.3.A13). Die Langzeitspeicherung elektronischer Dokumente überlässt der Baustein einem anderen Baustein (OPS.1.2.2 Archivierung), dieselbe Linie, die diese Seite in Backup und Archivierung zieht.

C5 für Cloud-Dienste. Der Kriterienkatalog Cloud Computing (C5) des BSI beschreibt Mindestanforderungen an sicheres Cloud Computing und erschien erstmals 2016. Cloud-Anbieter lassen die Kriterien von Prüfern testieren, die sie selbst beauftragen; das BSI ist an der Prüfung nicht beteiligt, und Kunden sollten den Bericht jährlich anfordern und auswerten. C5:2026 ist seit Ende März 2026 final; für Prüfzeiträume, die am oder nach dem 1. Juni 2027 enden, empfiehlt das BSI diese Fassung, bis dahin C5:2020. C5 betrifft den Cloud-Speicher, den Sie wählen, nicht Software, die Sie selbst betreiben.

NIS2 in Deutschland. Das Gesetz zur Umsetzung der NIS-2-Richtlinie (BGBl. 2025 I Nr. 301, ausgefertigt am 2. Dezember und verkündet am 5. Dezember 2025) gilt seit dem 6. Dezember 2025 (BSI). Das BSI schätzt, dass nun etwa 29.500 Einrichtungen unter seiner Aufsicht stehen, zuvor etwa 4.500. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen ergreifen; § 30 Abs. 2 BSIG nennt unter den Mindestmaßnahmen die Aufrechterhaltung des Betriebs, „wie Backup-Management und Wiederherstellung nach einem Notfall“, sowie Konzepte für den Einsatz kryptographischer Verfahren. Die Registrierung hat zwei Schritte, „Mein Unternehmenskonto“ und dann das BSI-Portal, das am 6. Januar 2026 freigeschaltet wurde (BSI). Ob Ihr Unternehmen betroffen ist, müssen Sie selbst prüfen; das BSI sagt, dass Unternehmen das eigenständig tun müssen. Dieser Beitrag sagt nicht, wer betroffen ist, und kein Backup-Werkzeug macht allein jemanden NIS-2-konform.

Und was ist mit Cloud-Diensten und Drittländern?

Hier ist das Bild gemischt und noch in Bewegung, deshalb die datierte Abfolge ohne Urteil.

• 24. November 2022. Die DSK stellte fest, dass Verantwortliche den Nachweis, Microsoft 365 datenschutzkonform zu betreiben, auf Grundlage des Microsoft-Datenschutznachtrags vom 15. September 2022 nicht führen können, solange die Transparenz über Verarbeitungen für Microsofts eigene Zwecke und der Beleg ihrer Rechtmäßigkeit fehlen (Festlegung der DSK). Die zugehörige Zusammenfassung sagt, die Prüfung sei begrenzt gewesen: Sie betraf die Vertragsbedingungen nach Art. 28 DSGVO, nicht die tatsächlichen Datenflüsse oder einzelne Funktionen (Zusammenfassung). Microsoft hielt die Feststellungen für unzutreffend, wie der hessische Bericht unten festhält.
• 10. Juli 2023. Die Europäische Kommission erließ den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Seitdem können Übermittlungen an US-Organisationen auf der Data Privacy Framework List darauf gestützt werden, ohne weitere Übermittlungsinstrumente (Information Note des EDSA); die DSK veröffentlichte am 4. September 2023 Anwendungshinweise. Dieselben Hinweise erinnern daran, dass eine Übermittlung auch das Einräumen einer faktischen Zugriffsmöglichkeit aus dem Drittland sein kann, etwa für Administration oder Support: Es kommt darauf an, wer die Daten erreichen kann, nicht nur, wo die Bytes liegen.
• 2024 und 2025. Die Kommission veröffentlichte ihren ersten Überprüfungsbericht am 9. Oktober 2024, und der EDSA berichtete am 4. November 2024 (Bericht des EDSA). Am 3. September 2025 wies das Gericht der EU eine Nichtigkeitsklage ab (T-553/23, Latombe/Kommission) und bestätigte, dass die USA am Tag des Beschlusses ein angemessenes Schutzniveau gewährleisteten (Pressemitteilung). Ein Rechtsmittel zum Gerichtshof (C-703/25 P) wurde am 31. Oktober 2025 eingelegt; den Stand finden Sie auf der Verfahrensseite des Gerichts.
• 15. November 2025. Nach Gesprächen mit Microsoft veröffentlichte der Hessische Datenschutzbeauftragte einen Bericht von 137 Seiten. Gemessen an den sieben Punkten der DSK stellt er fest, dass ein datenschutzkonformer Betrieb von Microsoft 365 möglich ist: Die Vertragsbedingungen wurden fortentwickelt, der Angemessenheitsbeschluss deckt nun Übermittlungen an US-Organisationen auf der Data Privacy Framework List, und Microsoft hat den größeren Teil der Verarbeitung in den Europäischen Wirtschaftsraum verlagert. Er fügt hinzu, dass das nur gilt, wenn die Kunden ihre eigenen Pflichten erfüllen. Der Bericht enthält Empfehlungen für Stellen mit Sitz in Hessen. Die Beschlussliste der DSK zeigt keinen späteren DSK-Beschluss zu Microsoft (geprüft am 16. Oktober 2026); die Feststellung von 2022 ist also formal nicht ersetzt.

Die ehrliche Zusammenfassung: Niemand sagt, Cloud-Dienste seien als solche rechtswidrig. Die Feststellung von 2022 besteht formal fort, eine Behörde hat nach Vertragsänderungen neu bewertet, das Data Privacy Framework gilt, ist aber angefochten, und ob ein US-Cloud-Dienst zu Ihrem Fall passt, bleibt Ihre eigene Bewertung mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

Was ein selbst betriebenes Backup und Archiv auf Speicher Ihrer Wahl ändert und was nicht:

• Es ändert, wer Ihre Daten erhält. Bei Software, die Sie selbst betreiben, erhält der Softwarehersteller sie nicht, und keine Cloud eines Backup-Anbieters liegt im Weg.
• Es lässt Sie Standort und Anbieter wählen, etwa einen deutschen oder finnischen Standort eines Objektspeicher-Anbieters oder Ihre eigene Platte, und damit entscheiden, welche Rechtsordnung für die gespeicherten Bytes gilt.
• Es lässt Sie vor dem Hochladen mit Schlüsseln verschlüsseln, die Sie halten, sodass der Speicheranbieter nur Chiffrat hält.
• Es nimmt keine Pflichten ab. Sie brauchen weiterhin einen Auftragsverarbeitungsvertrag mit dem Speicheranbieter, falls Sie einen nutzen (Art. 28 DSGVO), einen Blick darauf, wem dieser Anbieter gehört (eine EU-Region eines Unternehmens in US-Besitz ist eine andere Frage als ein Anbieter in EU-Besitz), und eine Bewertung des Quellsystems: Ein Backup von Microsoft 365 liest Daten aus genau dem Dienst, um den es oben ging. Die Kopie kann woanders liegen, die Quelle zieht nicht um.

Siehe auch Eigener Speicher, Backup-Speicher wählen und DSGVO und Backups.

Was das bei der Wahl einer Backup-Software bedeutet

Eine kurze Checkliste, die Käufer überall nutzen können, aus den obigen Regeln abgeleitet. Sie steht als reiner Text auf dieser Seite: kein Download und kein Formular.

• Wo liegen die Daten? Sie sollten Land, Anbieter und die Zugriffsberechtigten nennen und auswählen können. CON.3 verlangt, den Ort der Datenspeicherung vertraglich zu regeln, wenn Datensicherungen online liegen (CON.3.A9), und die Übermittlungsregeln der DSGVO hängen an derselben Frage.
• Wer hat die Schlüssel? Daten sollten verschlüsselt sein, bevor sie Ihre Systeme verlassen, mit Schlüsseln, die der Speicheranbieter nicht hat und die in einer getrennten Datensicherung geschützt sind (CON.3.A13). Fragen Sie, was ein Anbieter entschlüsseln kann, der die Software für Sie betreibt.
• Lässt sich Manipulation erkennen oder verhindern? Unveränderbarer Speicher, eine Hash-Kette oder beides. Die GoBD lassen für die Unveränderbarkeit Hardware, Software oder organisatorische Maßnahmen zu, aber nicht eine einfache Dateiablage allein (Rz. 110). CON.3.A14 verlangt, dass Datensicherungen nicht absichtlich oder unbeabsichtigt überschrieben werden können.
• Lässt sich die Aufbewahrung belegen? Fristen, die Sie nach Ihrem eigenen Recht einstellen können (in Deutschland 6, 8 und 10 Jahre, in Österreich 7), Löschen erst nach Fristende und eine Möglichkeit, das Löschen aus rechtlichen Gründen auszusetzen.
• Lässt sich eine Wiederherstellung belegen? Regelmäßige Restore-Tests mit dokumentiertem Ergebnis (CON.3.A15, Art. 32 Abs. 1 Buchst. c und d DSGVO, und die regelmäßigen Prüfungen, die IRS Rev. Proc. 97-22 verlangt). Ein grüner Job-Status zeigt nur, dass Daten geschrieben wurden.
• Gibt es Dokumentation, auf die Sie aufbauen können? Prüfer erwarten eine Verfahrensdokumentation, die Ihre eigene ist. Ein Hersteller kann sie nicht für Sie schreiben, sollte aber die Fakten nennen, die hineingehören: Speicherort, Verschlüsselung, Zugriff, Aufbewahrung, Löschung.
• Können Sie wechseln? Ein offenes, dokumentiertes Format und ein Weg, ohne die Server des Herstellers wiederherzustellen. Unterlagen müssen bis zum Fristende verfügbar und maschinell auswertbar bleiben, was auch mit einem Hersteller geschieht (§ 147 Abs. 2 AO).
• Sagt der Hersteller, was er nicht tut? Seien Sie vorsichtig bei Zertifikaten, die es nicht geben kann (nach den GoBD bindet keines die Finanzbehörde), und bei dem Versprechen, ein Werkzeug „mache Sie konform“. Gute Hersteller nennen ihre Maßnahmen und ihre Grenzen.

So macht es Restow

Restow wird von der IT Systeme Flores UG in Bergisch Gladbach entwickelt und an den deutschen Regeln oben ausgerichtet. So sieht aus, was die veröffentlichte Version tut und nicht tut, geprüft an Quellcode und Dokumentation des Produkts beim Tag v0.4.1 (die Pfade liegen im öffentlichen Repository). Restow ist eine Beta: Betreiben Sie es neben Ihrem bisherigen Backup, bis Sie Wiederherstellungen an Ihren eigenen Daten geprüft haben.

Was es tut

• Selbst betrieben. Sie betreiben es auf Ihrer eigenen Infrastruktur. Es gibt keine von Restow betriebene Cloud, keine Telemetrie, und es verbindet sich nur mit dem, was Sie konfigurieren (Verschlüsselung und Schlüsselverwaltung, Ihre Daten).
• Speicher Ihrer Wahl. Backups gehen auf einen lokalen Pfad, S3-kompatiblen Objektspeicher oder NFS (Speicher). Für S3 gibt es eine Voreinstellung für Hetzner Object Storage mit Standortwahl: Falkenstein und Nürnberg in Deutschland, Helsinki in Finnland (apps/web/src/features/storage/forms.ts; Standorte laut Hetzner). Die Voreinstellung wurde noch nicht gegen einen echten Hetzner-Bucket getestet. Kopie-Repositories können eine zweite Kopie an einem anderen Ort halten. Ein S3-Endpunkt muss HTTPS nutzen: Ein neuer oder geänderter Endpunkt über unverschlüsseltes http:// wird abgelehnt, außer zu localhost (docs/STORAGE.md).
• Unveränderbare Backups, je Repository. Aus, bis ein Administrator sie für ein Repository einschaltet. Auf S3 mit Object Lock (Compliance- oder Governance-Modus, 1 bis 3650 Tage; ein Bucket ohne Object Lock wird abgelehnt) sind die Packs, Manifeste und Schlüssel des Chunk-Speichers sowie die Backups von Servern und Clients, Dateifreigaben und Proxmox-VE-Containern gesperrt, bis die Frist plus 7 Tage verstrichen ist, und eine tägliche Erneuerung hält Daten gesperrt, die neue Sicherungsstände wiederverwenden (docs/STORAGE.md). Ein Sicherungsstand zeigt „Unveränderbar bis <Datum>“ nur dann in Grün, wenn der Speicher selbst eine Compliance-Aufbewahrung gemeldet hat. Das ist die Art Maßnahme, die CON.3.A14 verlangt; ob sie für Ihre Systeme genügt, beurteilen Sie. Die Datensätze der Archivelemente behalten wie bisher ihre eigene Aufbewahrung (Unveränderbare Backups).
• Ransomware-Erkennung, ein Stolperdraht. Jeder neue Sicherungsstand wird aus Daten, die das Backup ohnehin hat, auf Anzeichen von Ransomware beurteilt: wie viel sich gegenüber der eigenen Historie des Objekts geändert hat, Massenlöschungen, umbenannte Endungen, bekannte Ransomware-Endungen und Erpressernotizen sowie Entropie und Komprimierbarkeit neuer Daten. Ein Befund markiert den Sicherungsstand als „Verdächtig“, löst eine Benachrichtigung aus und verhindert, solange er offen ist und die Aufbewahrungssperre eingeschaltet ist (Standard), dass die Aufbewahrung einen Sicherungsstand dieses Objekts löscht, saubere ältere werden also nicht entfernt (Ransomware-Erkennung, docs/RANSOMWARE.md). Sie ist kein Virenscanner, ein Sicherungsstand ohne Befund beweist nichts, und sie wurde mit simulierten Angriffen getestet, nicht mit echter Ransomware.
• Verschlüsselung mit eigenen Schlüsseln. Jeder Chunk wird mit AES-256-GCM verschlüsselt, mit einem Schlüssel je Mandant, der vom Master-Key der Installation umhüllt wird (docs/ARCHITECTURE.md, auf Deutsch). Bei einer selbst betriebenen Installation hat niemand außerhalb Ihrer Organisation den Master-Key; betreibt ein Dienstleister die Installation für Sie, hat er ihn, und Ihr Auftragsverarbeitungsvertrag sollte das regeln.
• Ein Archiv mit Hash-Kette und Ankern. Das Archiv ist nur anhängend: Jedes Element ist per SHA-256 mit dem vorherigen verkettet (packages/core/src/archive/chain.ts), und tägliche Anker erfassen Elemente, die am Ende der Kette abgeschnitten wurden. Die Kettenprüfung berechnet jedes Glied neu. Kette und Anker liegen innerhalb von Restow, wer Schreibzugriff auf die Datenbank hat, könnte sie also neu berechnen; die Dokumentation sagt das. Suche und Export (EML in einer ZIP-Datei, MBOX) gibt es in jeder Edition (Mail-Import, -Export und Archiv).
• Für den GoBD-konformen Einsatz ausgelegt, mit Grenzen je Edition. Die Erfassung aus den Postfächern (Microsoft Graph, IMAP-Abgleich, zeitnah und nicht vollständig), der Empfang von Exchange-Online-Journalberichten und von Kopien, die ein Mailanbieter weiterleitet, durchgesetzte Aufbewahrung und Legal Hold gehören zu Business und Service Provider, das Archiv selbst steckt in jeder Edition (was abgedeckt ist und was Ihre Aufgabe bleibt, Editionen). Kein Zertifikat, weil es keines gibt.
• Belege für die Wiederherstellung. Eine wöchentliche Restore-Prüfung liest eine zufällige Stichprobe jedes Backups zurück, und jedes Lesen und Wiederherstellen landet in einem Hash-verketteten Audit-Log. Dateifreigaben werden nach jedem neuen Sicherungsstand geprüft, Proxmox-VE-Gäste (Preview) binnen Minuten nach jedem neuen Sicherungsstand, und Proxmox VE kann Sicherungsstände auch per Startprüfung testen (wie Wiederherstellbarkeit belegt wird, wie man eine Wiederherstellung nachweist).

Wie sich die Archivfrist zu den gesetzlichen Fristen verhält

Das Archiv bewahrt jedes Element fest 8 Jahre auf, bis zum 31. Dezember des Eingangsjahres plus 8 (apps/api/src/features/archive/retention-policy.ts); weder Oberfläche noch API setzen bisher eine andere Frist (docs/ARCHIVE.md). Gemessen an den deutschen Fristen deckt das die 6 Jahre für Handelsbriefe und die 8 Jahre für Buchungsbelege ab. Es deckt nicht die 10-Jahres-Klasse ab (Bücher, Aufzeichnungen, Jahresabschlüsse), berücksichtigt nicht die Regel, dass eine Frist nicht abläuft, solange die Festsetzungsfrist läuft, und Banken, Versicherungen und Wertpapierinstitute bewahren Belege 10 Jahre auf. Der Code kennt die Auswahl 6, 8 und 10 Jahre oder unbegrenzt bereits (packages/core/src/archive/retention.ts), aber nichts erlaubt es bisher, eine zu wählen. Bis dahin setzt ein Legal Hold, in Business und Service Provider, das Löschen für die erfassten Elemente aus; er ist für dokumentierte Gründe gedacht, nicht als Aufbewahrungseinstellung. Welche Ihrer E-Mails in welche Klasse fällt, klärt Ihre Steuerberatung; siehe Backup und Archivierung.

Was es nicht tut

• Es trägt kein GoBD-Zertifikat, weil es keines gibt, und gibt keine Rechts- oder Steuerberatung.
• Es schreibt Ihre Verfahrensdokumentation nicht. Es liefert Fakten, die hineingehören (Speicherort, Verschlüsselung, Aufbewahrung, Zugriff); das Dokument bleibt Ihres.
• Unveränderbarkeit ist optional und hat Grenzen. Sie ist aus, bis ein Administrator sie je Repository einschaltet, und das Standard-Repository der Installation lässt sich nicht unveränderbar machen (geben Sie dem Mandanten ein eigenes Repository). Nur S3 mit Object Lock kann Daten sperren. Ein Verzeichnis (das Docker-Volume, eine NFS-Freigabe) bekommt eine Löschverzögerung, die Restow mit eigenem Code einhält: Sie schützt vor Missbrauch von Restow, nicht vor jedem, der Zugriff auf den Server oder die Freigabe hat, und die Oberfläche sagt, dass es keine Unveränderbarkeit ist. Nicht gesperrt sind Checkpoints, Staging, Exporte, Downloads sowie die Lock- und Index-Dateien von restic. Wer Restow kontrolliert, kann neue Sperren und die Erneuerung abstellen, und eine Governance-Sperre hebt jedes Konto mit der Bypass-Berechtigung am Bucket auf; nutzen Sie daher den Compliance-Modus oder einen Zugriffsschlüssel ohne diese Berechtigung. Die Sperre wurde nur gegen einen simulierten S3-Dienst getestet, nicht gegen einen echten, und das Verhalten bei einer bucketweiten Standard-Aufbewahrung ist ungetestet (docs/STORAGE.md, Wissen: unveränderliche Backups).
• Was ins Archiv gelangt, bestimmen Sie je Mail-Job durch die Erfassungswege, die Sie wählen (Graph oder Exchange-Journaling für Microsoft 365, IMAP-Abgleich oder weitergeleitete Kopien für IMAP und Google Workspace), und durch das, was Sie importieren. Die zeitnahen Wege können eine Mail verpassen, die gleich nach der Zustellung verschoben oder gelöscht wird, und sie wurden nur gegen simulierte Dienste getestet. Ein Prüferexport und ein signierter Nachweisbericht sind geplant; beides ist nicht gebaut.
• Es macht keine Aussage zu den Regeln anderer Länder, etwa SEC 17a-4 oder HMRC-Regeln. C5 ist ein Katalog für Cloud-Anbieter: Ein C5-Bericht betrifft den Cloud-Speicher, den Sie wählen, nicht Software, die Sie selbst betreiben.

Häufig gefragt

Quellen (abgerufen am 16. Oktober 2026)

• Hessischer Datenschutzbeauftragter: Geschichte des Datenschutzes
• Hessischer Datenschutzbeauftragter: 50 Jahre Datenschutz in Hessen
• Bundesverfassungsgericht: Volkszählungsurteil vom 15. Dezember 1983, 1 BvR 209/83 u. a.
• Verordnung (EU) 2016/679 (DSGVO), EUR-Lex: Art. 3, 32 und 37
• § 38 BDSG (Datenschutzbeauftragte nichtöffentlicher Stellen), § 9 und § 40 BDSG (Aufsicht), gesetze-im-internet.de
• DSK: Die Datenschutzaufsichtsbehörden des Bundes und der Länder
• DSK: Entschließungen, mit dem Hinweis, dass sie rechtlich nicht bindend sind
• DSK: Das Standard-Datenschutzmodell, Version 3.1 vom 14. Mai 2024
• § 147 AO (Aufbewahrung, Datenzugriff), § 146 AO (Unveränderbarkeit) und § 162 AO (Schätzung), gesetze-im-internet.de
• § 257 HGB, gesetze-im-internet.de
• Viertes Bürokratieentlastungsgesetz, BGBl. 2024 I Nr. 323
• Bundesfinanzministerium, Pressemitteilung vom 6. August 2025: Aufbewahrung von Buchungsbelegen bei Banken, Versicherungen und Wertpapierinstituten
• GoBD (BMF-Schreiben vom 28. November 2019), konsolidiert im Amtlichen AO-Handbuch 2026, Anhang 33
• BMF-Schreiben vom 11. März 2024 zur Änderung der GoBD
• BMF-Schreiben vom 14. Juli 2025 (2. Änderung der GoBD)
• IRS: How long should I keep records? (englisch)
• IRS: Rev. Proc. 97-22, elektronische Speichersysteme für Bücher und Aufzeichnungen (englisch)
• 17 CFR § 240.17a-4, eCFR (Unterlagen von Broker-Dealern, englisch)
• GOV.UK: Company and accounting records (englisch)
• GOV.UK: Record keeping for VAT, VAT Notice 700/21 (englisch)
• Companies Act 2006, section 388, legislation.gov.uk (englisch)
• Schweizerisches Obligationenrecht, Art. 958f, Fedlex
• Geschäftsbücherverordnung (GeBüV, SR 221.431), Fedlex
• KMU-Portal des Bundes: Elektronische Aufbewahrung der Geschäftsbücher
• § 132 BAO, RIS
• BSI: IT-Grundschutz-Baustein CON.3 Datensicherungskonzept, Edition 2023
• BSI: IT-Grundschutz-Kompendium, Edition 2023, und der Hinweis zum Übergang zum neuen IT-Grundschutz
• BSI: Kriterienkatalog Cloud Computing C5, mit C5:2026 und C5:2020
• Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301
• BSI-Pressemitteilungen vom 5. Dezember 2025 und 6. Januar 2026 (BSI-Portal) und BSI-Seite zu den NIS-2-Pflichten
• § 30 BSIG (Risikomanagementmaßnahmen), gesetze-im-internet.de
• DSK: Festlegung vom 24. November 2022 zur Arbeitsgruppe Microsoft-Onlinedienste und Zusammenfassung des Berichts
• Hessischer Beauftragter für Datenschutz und Informationsfreiheit: Bericht zum Einsatz von Microsoft 365, 15. November 2025
• DSK: Liste der Beschlüsse, abgerufen am 16. Oktober 2026
• Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework), EUR-Lex
• EDSA: Information note on data transfers to the United States after the adequacy decision of 10 July 2023 (englisch)
• DSK: Anwendungshinweise zum EU-US Data Privacy Framework vom 4. September 2023
• Gerichtshof der EU: Pressemitteilung 106/25 zum Urteil vom 3. September 2025, T-553/23 Latombe/Kommission
• EDSA: Report on the first review of the EU-U.S. Data Privacy Framework, 4. November 2024 (englisch)
• Hetzner-Dokumentation: Standorte und Endpunkte von Object Storage (englisch)

Mehr: Wissen: Backup und Archivierung · Wissen: DSGVO und Backups · Wissen: unveränderliche Backups · Verschlüsselung und Schlüsselverwaltung · Speicher · Ransomware-Erkennung · Verifizierung · Doku: GoBD und Nachweise · Doku: Backup und Archiv