Audit-Trail, lückenloses Prüfprotokoll

Ein Protokoll, das nur festhält, dass jemand etwas geändert hat, beantwortet die wichtigste Frage nicht. Brauchbar wird es erst mit Vorher- und Nachher-Wert: wer hat das Zahlungsziel von 14 auf 30 Tage gesetzt, und wann.

Der Begriff kommt aus der Compliance, und im deutschen Steuerrecht hat er einen harten Kern. Paragraf 146 Absatz 4 AO verbietet, eine Buchung so zu verändern, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. Die GoBD des Bundesfinanzministeriums führen das aus: Eine spätere Änderung muss so passieren, dass der alte Inhalt und die Tatsache der Änderung erkennbar bleiben. Die Protokollierung ist dort eine der Maßnahmen, mit denen eine Software das leistet, neben Historisierung, Versionierung und Schreibschutz. Ein Kassenbuch mit Radiergummi wäre keins. Ein Protokoll, das sich bearbeiten lässt, auch nicht.

In Octibiz protokolliert das Audit-Log jede schreibende Aktion, lückenlos und nicht stichprobenhaft. Vier Aktionen werden festgehalten: Erstellt, Aktualisiert, Gelöscht, Wiederhergestellt. Jeder Eintrag führt Zeitpunkt, Handelnden und Objekt mit, dazu die Liste der geänderten Felder und den Zustand vorher und nachher. Gelesen wird das mit dem Recht platform.audit.read. Bearbeiten oder löschen lässt sich nichts, und das ist der Sinn der Sache.

Die Besonderheit ist der Akteur-Typ. Vier Werte sind möglich: Mensch, KI, Automation und Unbekannt, wenn sich eine Handlung keinem Konto zuordnen ließ. Damit lässt sich die Frage „wer hat das geändert?“ auch dann beantworten, wenn niemand am Bildschirm saß. Eine KI-Aktion ist nicht unsichtbarer als ein Klick, und genau das ist die Voraussetzung dafür, einer KI überhaupt Schreibrechte zu geben. Über welchen Weg gehandelt wurde, ist egal: Oberfläche, Schnittstelle, Automation und KI landen im selben Protokoll.

Dazu trägt jeder Eintrag eine Vorgangskennung. Über sie führt sich zusammen, was aus einer einzigen Handlung entstanden ist. Das ist der Unterschied zwischen einer Liste von Einzelzeilen und einer Kette, die man zurückverfolgen kann, wenn ein Klick im Hintergrund fünf Datensätze berührt hat.

Was das Protokoll nicht leistet: Es erfasst nur schreibende Aktionen. Lesen, Suchen und Exportieren erzeugen keinen Eintrag. Und es stellt nichts wieder her, sondern zeigt den früheren Zustand nur an. Für gelöschte Datensätze ist der Papierkorb der Weg, mit einer Frist von 30 Tagen. Die Aufbewahrungsfristen selbst sind eine andere Frage als die Protokollierung; sie ergeben sich aus Paragraf 257 HGB und Paragraf 147 AO. Und eine Einschränkung sagen wir offen: Die Faktura ist nach den GoBD gebaut, das externe Testat durch einen Prüfer steht vor dem ersten Kunden-Go-live noch aus.