Ersetzendes Scannen nach TR-RESISCAN und GoBD: Wann das Papier weg darf

Kurz gesagt: Ersetzendes Scannen heißt, Papierbelege zu digitalisieren und das Original danach zu vernichten. Steuerlich ist das erlaubt, wenn der Scan bildlich mit dem Original übereinstimmt, das Verfahren dokumentiert ist und kein Gesetz das Papier verlangt; Jahresabschlüsse, Eröffnungsbilanzen und bestimmte Zollurkunden bleiben im Original. Die BSI-Richtlinie TR-03138 (TR-RESISCAN) ist keine Pflicht, liefert aber den anerkannten Maßstab, wie ein sicherer Scanprozess aussieht.

Stand: Oktober 2026. Viele Unternehmen scannen ihre Eingangspost seit Jahren, heben die Ordner aber trotzdem auf, weil niemand sicher sagen kann, ob das Papier weg darf. Dieser Ratgeber klärt, was die Abgabenordnung, das Handelsgesetzbuch und die GoBD verlangen, was die Technische Richtlinie des BSI zusätzlich regelt und wie ein Ablauf aussieht, nach dem Sie Originale guten Gewissens in den Schredder geben.

Was ersetzendes Scannen ist und was nicht

Das BSI versteht unter ersetzendem Scannen das elektronische Erfassen von Papierdokumenten mit dem Ziel, das entstehende elektronische Abbild (das „Scanprodukt“) weiterzuverarbeiten und aufzubewahren und das Papieroriginal später zu vernichten. So steht es in der Technischen Richtlinie 03138. Bleibt das Original nach dem Scannen erhalten, ist es kein ersetzendes Scannen; in der Praxis spricht man dann vom ergänzenden Scannen.

Der Unterschied ist mehr als Wortklauberei. Beim ergänzenden Scannen ist der Scan eine Arbeitskopie, und im Zweifel zählt das Papier. Beim ersetzenden Scannen übernimmt das Scanprodukt die Rolle des Belegs, und zwar für die gesamte Aufbewahrungsfrist. Mit der Vernichtung verlieren Sie Eigenschaften, die nur das Papier hat: Oberfläche, Wasserzeichen, Zustand der Tinte. Die Muster-Verfahrensdokumentation der Steuerberaterkammern weist ausdrücklich darauf hin, dass solche Merkmale nachträglich nicht mehr feststellbar sind und das Original aufbewahrt werden muss, wenn ihnen Beweiskraft zukommt.

Kein ersetzendes Scannen im Sinne der Richtlinie ist es übrigens, Papierkopien zu scannen und zu vernichten. Es geht um Originale, also um eingehende Rechnungen, Lieferscheine, Verträge, Bescheide und Belege, die Sie aufbewahren müssen. Wie das Scannen in die gesamte Archivierung passt, also Speicherung, Unveränderbarkeit und Fristen, erklärt der Überblick zur revisionssicheren Archivierung nach GoBD.

Die Rechtsgrundlage: AO, HGB und GoBD

Drei Regelwerke greifen ineinander. Das erste ist § 147 Abs. 2 AO. Danach dürfen aufbewahrungspflichtige Unterlagen grundsätzlich als Wiedergabe auf einem Bildträger oder auf anderen Datenträgern aufbewahrt werden. Ausgenommen sind Jahresabschlüsse, Eröffnungsbilanzen sowie Unterlagen nach dem Zollkodex, soweit es sich um amtliche Urkunden oder handschriftlich zu unterschreibende nicht förmliche Präferenznachweise handelt. Die Wiedergabe muss mit empfangenen Handels- oder Geschäftsbriefen und mit Buchungsbelegen bildlich übereinstimmen, mit anderen Unterlagen inhaltlich. Sie muss während der gesamten Frist verfügbar sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können.

Das zweite ist § 257 Abs. 3 HGB. Es erlaubt dasselbe handelsrechtlich und nimmt Eröffnungsbilanzen, Jahres- und Konzernabschlüsse ebenfalls aus. „Bildlich übereinstimmen“ heißt für die Praxis: Der Scan zeigt den Beleg so, wie er eingegangen ist, mit Stempeln, Vermerken und Rückseite, soweit dort etwas steht.

Das dritte sind die GoBD, die Verwaltungsauffassung der Finanzverwaltung. Sie stehen im BMF-Schreiben vom 28.11.2019, zuletzt geändert am 14.07.2025. Für das Scannen sind die Randziffern 130 und 136 bis 141 maßgeblich:

• Rz. 130: Gescannte oder fotografierte Briefe und Buchungsbelege müssen bildlich mit dem Original übereinstimmen. Die Erfassung ist mit den verschiedensten Geräten zulässig, vom Smartphone über das Multifunktionsgerät bis zur Scanstraße. Wird der Scan per Texterkennung (OCR) um Volltext angereichert, ist dieser Volltext nach Verifikation und Korrektur ebenfalls aufzubewahren.
• Rz. 136: Das Verfahren muss dokumentiert werden. Die GoBD empfehlen eine Organisationsanweisung, die unter anderem regelt, wer erfassen darf, wann erfasst wird, welches Schriftgut erfasst wird, ob bildliche oder inhaltliche Übereinstimmung nötig ist, wie die Qualitätskontrolle auf Lesbarkeit und Vollständigkeit läuft und wie Fehler protokolliert werden.
• Rz. 137: Eine vollständige Farbwiedergabe ist erforderlich, wenn die Farbe Beweisfunktion hat, etwa bei Minusbeträgen in Rot oder farbigen Sicht- und Zeichnungsvermerken.
• Rz. 138: Für Besteuerungszwecke sind eine elektronische Signatur oder ein Zeitstempel nicht erforderlich.
• Rz. 139: Nach dem Scannen wird nur noch mit dem elektronischen Dokument gearbeitet. Wird der Papierbeleg trotzdem weiterbearbeitet, muss er danach erneut erfasst und mit der ersten Fassung verknüpft werden.
• Rz. 140: Papierdokumente dürfen nach dem Scannen vernichtet werden, soweit sie nicht nach außersteuerlichen oder steuerlichen Vorschriften im Original aufzubewahren sind. Ob Dokumente, deren Beweiskraft elektronisch nicht erhalten bleibt, zusätzlich im Original aufbewahrt werden, entscheiden Sie selbst.
• Rz. 141: Der Verzicht auf den Papierbeleg darf die Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigen.

Was die TR-RESISCAN regelt

Die TR-03138 trägt den Kurztitel RESISCAN und liegt in Version 1.5 vom 21.11.2024 vor. Auf seiner Übersichtsseite beschreibt das BSI sie als Brücke zwischen abstrakten, uneinheitlichen rechtlichen Anforderungen und der zuverlässigen technischen Umsetzung. Sie richtet sich an Justiz, Verwaltung, Wirtschaft und Gesundheitswesen.

Wichtig für die Einordnung: Die Richtlinie ist ein Handlungsleitfaden ohne Pflicht zur Zertifizierung. Ohne besondere rechtliche Bestimmung hat sie empfehlenden Charakter. Ihr Gegenstand ist der Scanprozess in technischer und organisatorischer Hinsicht. Bestimmte Scanner oder Programme werden nicht geprüft, und die anschließende Langzeitspeicherung im Archiv oder DMS gehört ausdrücklich nicht dazu.

Die Richtlinie legt einen „generischen Scanprozess“ mit vier Phasen zugrunde:

1. Dokumentenvorbereitung: Belege sichten, entklammern, sortieren, Trennblätter einlegen.
2. Scannen: das eigentliche Erfassen mit festgelegten Einstellungen.
3. Nachbearbeitung: Qualitätskontrolle, Zusammenführen, Indexieren.
4. Integritätssicherung: das Scanprodukt gegen unbemerkte Veränderung schützen, etwa durch Zeitstempel oder Signatur.

Für die Anwendung sieht die TR drei Schritte vor: eine Strukturanalyse (welche IT-Systeme, Netze, Anwendungen und Datenobjekte sind beteiligt), eine Schutzbedarfsanalyse und die Auswahl der passenden Sicherheitsmaßnahmen. Als Ergebnis entstehen ein technisches Scankonzept und eine Verfahrensdokumentation mit Verfahrensanweisung für die Beschäftigten.

Basismodul, Aufbaumodule und Schutzbedarf

Den Schutzbedarf bestimmen Sie für die Papieroriginale, getrennt nach den drei Schutzzielen Integrität, Vertraulichkeit und Verfügbarkeit, jeweils in den Stufen „normal“, „hoch“ und „sehr hoch“. Laut TR reicht es, die Originale zu betrachten, weil sich der Schutzbedarf aller anderen Datenobjekte daraus ableitet. Gleichartige Dokumente fassen Sie zu Klassen zusammen; einzelne Klassen dürfen Sie dabei auch ganz vom ersetzenden Scannen ausnehmen.

Aus dem Ergebnis folgt, welche Module Sie umsetzen:

Modul	Gilt, wenn	Inhalt (Auswahl)
Basismodul	immer	Verfahrensdokumentation, Schutzbedarfsanalyse, Zuständigkeiten, Schulung, Wartungsregeln, Maßnahmen in allen vier Phasen, Qualitätssicherung
Generelle Maßnahmen bei erhöhtem Schutzbedarf	mindestens ein Schutzziel „hoch“ oder „sehr hoch“	zusätzliche Grundmaßnahmen für alle erhöhten Fälle
Aufbaumodul Integrität	Integrität „hoch“ / „sehr hoch“	kryptographischer Integritätsschutz, Schlüsselmanagement, erweiterte Sichtkontrolle; bei „sehr hoch“ Vier-Augen-Prinzip, qualifizierte Signaturen oder Siegel mit Zeitstempel, vollständige Sichtkontrolle
Aufbaumodul Vertraulichkeit	Vertraulichkeit „hoch“ / „sehr hoch“	Verpflichtung der Beschäftigten, gesicherte Netzzugänge, Löschen von Zwischenergebnissen; bei „sehr hoch“ Kennzeichnung, geregelte Entsorgung, verschlüsselte Übertragung
Aufbaumodul Verfügbarkeit	Verfügbarkeit „hoch“ / „sehr hoch“	fehlertolerante Übertragung und redundante Datenhaltung; bei „sehr hoch“ vorherige Tests mit ähnlichen Dokumenten

Quelle: TR-03138 Version 1.5, Kapitel 3 und 4.

Für typische Eingangsrechnungen eines Mittelständlers wird oft „normal“ herauskommen. Für Personalunterlagen, Gesundheitsdaten oder Kreditakten liegt die Vertraulichkeit schnell höher. Das ist eine Einschätzung, die Sie selbst treffen und begründen müssen; die TR bietet dafür in ihren Anwendungshinweisen beispielhafte Schutzbedarfsanalysen zur Orientierung.

Eine Zertifizierung ist freiwillig. Zertifiziert wird laut Kapitel 6 der TR die Implementierung eines Scanprozesses einer Organisation an einem oder mehreren Standorten, keine Hard- oder Software. Alternativ nennt die Richtlinie Eigenerklärungen, gestützt auf die ausgefüllte Prüfspezifikation (Anlage P). Das BSI führt eine öffentliche Liste der zertifizierten Scanprozesse.

GoBD und TR-RESISCAN: Wie beides zusammenpasst

Die GoBD sagen, was steuerlich erreicht sein muss: ein dokumentiertes Verfahren, ein bildlich übereinstimmender Scan, Unveränderbarkeit, Lesbarkeit über die gesamte Frist. Die TR sagt, mit welchen technischen und organisatorischen Maßnahmen Sie das erreichen und wie Sie es nachweisen. Die Muster-Verfahrensdokumentation von Bundessteuerberaterkammer und Steuerberaterverband erklärt sich ausdrücklich als im Einklang mit Sinn und Zweck der TR, soweit die beschriebenen Verfahren Teil der Richtlinie sind.

Ein Unterschied bleibt: Das Steuermuster beschränkt sich auf die Beweiskraft der Buchführung. Die zivilrechtliche Beweiskraft, also ob ein Scan vor Gericht so viel wiegt wie das Papier, ist dort ausdrücklich nicht einbezogen. Genau hier setzt die TR an. Ihr erklärtes Ziel ist, den Beweiswertverlust durch die Vernichtung des Originals mit einem Scanprodukt aus einem nachweisbar ordnungsgemäßen Prozess auszugleichen, zu verringern oder zumindest sichtbar zu machen.

Für die Praxis heißt das: Wer nur Buchungsbelege scannt, kommt mit GoBD und einer sauberen Verfahrensdokumentation aus. Wer auch Verträge, Vollmachten oder andere Dokumente mit Beweisfunktion ersetzend scannen will, sollte sich an der TR orientieren. Dasselbe gilt, wenn Sie einen Scandienstleister auswählen und einen belastbaren Maßstab für den Vergleich brauchen.

Eines nimmt Ihnen die TR allerdings nicht ab: Sie regelt ausdrücklich nicht, ob ersetzendes Scannen im Einzelfall zulässig ist. Das muss jedes Unternehmen anhand der für seinen Bereich geltenden Vorschriften selbst prüfen. Für Buchungsbelege geben AO, HGB und GoBD die Antwort, für Personalakten, Patientenunterlagen oder Kreditakten kommen eigene Vorschriften hinzu.

Darf das Original weg? Die Ausnahmen

Die Grundregel ist großzügig: Nach dem Scannen darf vernichtet werden, was nicht nach anderen Vorschriften im Original bleiben muss. Die Ausnahmen sind überschaubar, aber sie haben es in sich.

1. Ist es ein Jahresabschluss, eine Eröffnungsbilanz oder ein Konzernabschluss?Wenn ja: Original aufbewahren (§ 147 Abs. 2 AO, § 257 Abs. 3 HGB).Wenn nein: weiter zur nächsten Frage.
2. Ist es eine Zollunterlage, die amtliche Urkunde oder handschriftlich zu unterschreibender Präferenznachweis ist?Wenn ja: Original aufbewahren (§ 147 Abs. 2 AO).Wenn nein: weiter.
3. Hängt die Beweiskraft am Papier, etwa notarielle Urkunde, gesiegeltes Testat, Wertpapier?Wenn ja: Original aufbewahren.Wenn nein: weiter.
4. Wird der Beleg noch für ein Vorsteuervergütungsverfahren oder nach ausländischem Recht gebraucht?Wenn ja: gesondert aufbewahren, erst nach Abschluss entscheiden.Wenn nein: weiter.
5. Sind Qualitätskontrolle, Archivierung und mindestens ein Backup abgeschlossen?Wenn ja: Vernichtung nach Plan, mit Protokoll.Wenn nein: Original noch nicht vernichten.

Die Muster-Verfahrensdokumentation nennt als Beispiele für Dokumente, deren Beweiskraft oder öffentlicher Glaube am Original hängt, notarielle Urkunden, Testate unter Siegelverwendung und Wertpapiere. Sie werden spätestens bei einer Durchsicht vor der Vernichtung ausgesondert und auf Papier aufbewahrt. In Zweifelsfällen fragt die zuständige Person bei der Führungskraft nach. Die TR verlangt ebenfalls, ein Verfahren für solche „Zweifelsfragen“ festzulegen.

Zwei weitere Fälle übersehen viele. Erstens: Belege, die Sie für ein Vorsteuervergütungsverfahren im Ausland brauchen, werden laut Muster frühestens nach Abschluss des Verfahrens vernichtet; dabei gelten die Anforderungen des jeweiligen Landes. Zweitens: Belege, die nach ausländischen Vorschriften aufzubewahren sind, laufen gesondert.

Bei Eingangsrechnungen aus Papier ist die Lage dagegen klar. Sie zählen zu den Buchungsbelegen und dürfen nach ordnungsgemäßem Scannen vernichtet werden. Die Frist läuft für den Scan weiter: § 14b UStG verlangt acht Jahre für Rechnungen, § 147 Abs. 3 AO ebenfalls acht Jahre für Buchungsbelege. Für Kreditinstitute, Versicherer und Wertpapierinstitute bleibt es bei Buchungsbelegen bei zehn Jahren (§ 257 Abs. 4 Satz 2 HGB, Art. 97 § 19a Abs. 3 EGAO); maßgeblich ist dann die längere Frist. Welche Fristen für welche Unterlagen gelten und wann sie beginnen, zeigt der Ratgeber Aufbewahrungsfristen.

Die Verfahrensdokumentation: ohne sie keine Vernichtung

Rz. 136 der GoBD verlangt, das Scanverfahren zu dokumentieren. Die TR macht die Verfahrensdokumentation zur ersten Anforderung des Basismoduls (A.G.1) und nennt Mindestinhalte: Art der verarbeiteten Dokumente und Regeln für nicht verarbeitbare Dokumente, Verantwortlichkeiten und Abläufe, Schulung der Beschäftigten, Anforderungen an Räume, IT-Systeme und Sicherungsmittel, Administration und Wartung sowie eine Verfahrensanweisung für alle, die am Scannen beteiligt sind. Die Dokumentation muss für einen sachverständigen Dritten in angemessener Zeit nachprüfbar sein.

Am schnellsten kommen Sie mit der Muster-Verfahrensdokumentation zum ersetzenden Scannen von Bundessteuerberaterkammer und Deutschem Steuerberaterverband voran. Die aktuelle Version 2.1 trägt den Stand 27.02.2026 und deckt zentrales und mobiles Scannen ab. Sie enthält Platzhalter für Ihr Unternehmen, Ihre Einsatzorte, Scan-Einstellungen, Namenskonventionen, Kontrollen und den Vernichtungsturnus.

Drei Hinweise aus dem Muster selbst sind für die Praxis wichtig:

• Die Dokumentation muss allen Beteiligten bekannt und jederzeit zugänglich sein.
• Das tatsächlich gelebte Verfahren muss der Dokumentation entsprechen und regelmäßig angewendet werden. Änderungen werden dokumentiert.
• Die Geschäftsleitung gibt die Dokumentation frei; sie trägt eine Versionsbezeichnung und ein Gültigkeitsdatum.

Eine Verfahrensdokumentation fürs Scannen ist nur ein Teil der Verfahrensdokumentation, die die GoBD für das gesamte DV-gestützte Buchführungssystem verlangen. Wie Sie die Gesamtdokumentation aufbauen, beschreibt der Ratgeber Verfahrensdokumentation nach GoBD.

Der Ablauf in der Praxis: vom Posteingang bis zum Schredder

Die Muster-Verfahrensdokumentation und die TR beschreiben denselben Weg in unterschiedlicher Tiefe. Zusammengeführt ergibt sich ein Ablauf in acht Schritten.

1. Posteingang und EchtheitsprüfungPost vollständig öffnen, sichten, auf Echtheit und Unversehrtheit prüfen, Zweifelsfälle aussteuern.
2. Belege identifizierenFestlegen, welche Dokumente Belegfunktion haben und ersetzend gescannt werden; Ausnahmen sofort aussortieren.
3. VorbereitenKlammern lösen, Reihenfolge sichern, Trennblätter einlegen, Notizzettel auf Belegfunktion prüfen.
4. ScannenMit festgelegten Einstellungen zu Format, Auflösung, Farbe, Vorder- und Rückseite.
5. QualitätskontrolleJeder Beleg genau einmal, vollständig, lesbar, inhaltlich korrekt; Fehler neu scannen und protokollieren.
6. Indexieren und verknüpfenAblage in einem festen Ordnungssystem, Verknüpfung mit dem Buchungssatz.
7. Archivieren und sichernZeitstempel, Festschreibung gegen Änderung und Löschung, Backup, Lesbarkeitstests.
8. Vernichten mit ProtokollIm festen Turnus, nach allen Schritten und mindestens einem Backup-Lauf; Ausnahmen bleiben auf Papier.

Posteingang. Die Post wird vollständig geöffnet, nichts geht verloren, nichts wird ungeprüft vernichtet. Fehlt ein Stempel, eine Unterschrift oder eine Seite (erkennbar an einer unterbrochenen Nummerierung), wird der Beleg aus dem Verfahren genommen und geklärt.

Vorbereitung. Klebezettel sind ein klassischer Stolperstein. Das Muster verlangt zu prüfen, ob ein Notizzettel selbst Belegfunktion hat; dann wird er mitgescannt und mit dem Beleg verbunden. Werden Belege nach dem Scannen auf Papier weiterbearbeitet und dabei mit neuen Vermerken versehen, scannen Sie sie erneut als weitere Version.

Scannen. Legen Sie Zielformat, Auflösung, Farb- oder Graustufenmodus und den Umgang mit Rückseiten fest und schreiben Sie es in die Dokumentation. Werte nennt das Muster bewusst nicht; sie hängen von Ihren Belegen ab. Farbig markierte Freigabevermerke gehen in Schwarz-Weiß zum Beispiel leicht verloren.

Qualitätskontrolle. Nach der TR muss eine geeignete Kontrolle stattfinden. Bei Schutzbedarf „normal“ und hohem Durchsatz darf sie auf regelmäßige Stichproben reduziert werden; als Beispiel nennt die Richtlinie etwa 3 % der Dokumente oder jeden dritten Scanstapel. Die Größe der Stichprobe muss in der Verfahrensdokumentation stehen. Und eindeutig: Das Original darf nicht vor Abschluss der Qualitätskontrolle vernichtet werden.

Indexieren und Archivieren. Der Scan wird in einem nachvollziehbaren Ordnungssystem abgelegt und mit der Buchung verknüpft, sodass Sie vom Beleg zur Buchung und von der Buchung zum Beleg kommen. Das Muster nennt Zeitstempel, Festschreibung, Virenschutz der Datenpfade, Backups mit Wiederherstellungstests und stichprobenartige Lesbarkeitstests.

Vernichtung. Sie erfolgt in einem festen Turnus, ist autorisiert und wird protokolliert. Bei personenbezogenen Daten berücksichtigen Sie den Datenschutz, etwa durch vollständiges Schreddern.

Mobile Erfassung per App: was zulässig ist

Reisekostenbelege, Tankquittungen, Bewirtungsbelege: Viele Belege entstehen unterwegs. Die GoBD lassen die bildliche Erfassung mit Smartphones ausdrücklich zu (Rz. 130). Nach Rz. 130 und 136 steht § 146 Abs. 2 AO auch einer Erfassung im Ausland nicht entgegen, wenn die Belege dort entstanden sind oder empfangen wurden und direkt erfasst werden, etwa auf einer Dienstreise. Die IHK Region Stuttgart hat diese Vereinfachung bei Erscheinen der GoBD-Neufassung als eine der praktischen Neuerungen hervorgehoben.

Die TR-RESISCAN hat das mobile Scannen mit Version 1.5 in ein eigenes Kapitel aufgenommen. Gemeint ist die ersetzende Digitalisierung mit Smartphone oder Tablet über eine Scan-App, die Scanprodukt, Metadaten und Transfervermerk an eine zentrale Infrastruktur überträgt. Eine harte Grenze steht gleich in der Einführung: Der Schutzbedarf der Papieroriginale darf für kein Schutzziel über „hoch“ liegen. Dokumente mit sehr hohem Schutzbedarf gehören also an einen stationären Scanplatz.

Die Muster-Verfahrensdokumentation regelt den mobilen Fall in Kapitel 5. Wer den Beleg empfängt, prüft ihn auf Echtheit, Lesbarkeit und die umsatzsteuerlichen Pflichtangaben, fotografiert so lange, bis Vorder- und gegebenenfalls Rückseite vollständig und lesbar sind, und bewahrt das Papier bis zum Abschluss des Prüfprozesses auf, zum Beispiel bis die Reisekosten ausgezahlt sind. Weil die erfassende Person oft auch die begünstigte ist, empfiehlt das Muster das Vier-Augen-Prinzip mit getrennter Prüfung und Freigabe.

Für die Auswahl einer App heißt das: Achten Sie auf geschützten Zugang, eine Bestätigung der Qualität in der App, eine gesicherte Übertragung und eine Ablage, die die Belege unveränderbar mit der Buchung verknüpft.

Scan-Dienstleister oder selbst scannen?

Beides ist zulässig. Die Verantwortung bleibt in jedem Fall bei Ihnen: Laut Muster ändert die Beteiligung Dritter nichts an der Verantwortung des Buchführungspflichtigen gegenüber der Finanzverwaltung. Sie müssen den Dienstleister sorgfältig auswählen, den Auftrag klar abgrenzen und die Übergänge zwischen Ihnen, Kanzlei und Dienstleister in der Verfahrensdokumentation abdecken. Die TR enthält dafür eine eigene Anforderung an das Outsourcing des Scanprozesses (A.O.5).

Selbst scannen

• Belege verlassen das Haus nicht
• Volle Kontrolle über Zeitpunkt und Reihenfolge
• Geräte, Schulung, Vertretung und Kontrolle liegen bei Ihnen
• Passt zu laufendem Posteingang mit überschaubarem Volumen

Scan-Dienstleister

• Eingespielte Abläufe, hoher Durchsatz
• Transport, Zwischenlagerung und Vertraulichkeit vertraglich regeln
• Nachweis über TR-Zertifikat oder Eigenerklärung möglich
• Passt zu Altbeständen und Spitzen

Für die Auswahl eines Dienstleisters helfen diese Fragen:

• Ist der Scanprozess nach TR-03138 zertifiziert, und für welche Schutzbedarfe bei Integrität, Vertraulichkeit und Verfügbarkeit gilt das Zertifikat?
• Liefert der Dienstleister eine eigene Verfahrensdokumentation, die an Ihre anschließt?
• Wie werden Transport, Zwischenlagerung und Vernichtung dokumentiert?
• Wer prüft die Belegfunktion und sortiert Ausnahmen aus?
• In welchem Format und mit welchen Metadaten kommen die Scans zurück, und wie gelangen sie in Ihr Archiv?

Für einen Altbestand kann eine Mischung sinnvoll sein: Der Dienstleister digitalisiert die Ordner der vergangenen Jahre, der laufende Posteingang wird im Haus gescannt.

Was Ihr DMS beim ersetzenden Scannen leisten muss

Die TR endet beim Scanprodukt. Ab dann greift die Archivierung, und die übernimmt in der Regel ein Dokumentenmanagementsystem. Es muss die Scans unveränderbar ablegen, Änderungen protokollieren, Löschungen vor Fristablauf verhindern, die Verknüpfung zur Buchung halten und die Daten über acht oder zehn Jahre lesbar halten.

Die Muster-Verfahrensdokumentation empfiehlt, nur testierte Software zur Digitalisierung und Archivierung einzusetzen. Aus dem Testat sollte hervorgehen, dass die Software bei sachgerechter Anwendung eine ordnungsmäßige Belegaufbewahrung ermöglicht. Welche Hersteller eine solche Prüfung nennen, zeigt der folgende Datenbaustein aus unseren geprüften Datenblättern. Von 51 geprüften Herstellern nennen 10 eine Archivprüfung samt Prüfer, 6 weitere eine Prüfung ohne Angabe, wer sie durchgeführt hat. Was ein solches Testat aussagt und was nicht, erklärt der Ratgeber IDW PS 880.

Hersteller	Prüfung	Prüfer laut Hersteller
agorum	IDW PS 880	nicht genannt
Amagno	Softwarebescheinigung (IDW PS 880, IDW RS FAIT 1, IDW RS FAIT 3, IDW PS 330)	KRP Audit GmbH Wirtschaftsprüfungsgesellschaft
Caya	IDW PS 880 (GoBD)	Hamburger Treuhand Gesellschaft Schomerus & Partner mbB Wirtschaftsprüfungsgesellschaft
Comarch	IDW PS 880	KPMG
CompuDMS (CompuKöln)	IDW PS 880	nicht genannt
d.velop	IDW PS 880 GoBD-Prüfung d.velop cloud migration	nicht genannt comdatis
DATEV DMS	Prüfbericht zur ordnungsmäßigen Archivierung	Ernst & Young
docuvita	PK-DML ready (VOI)	VOI und TÜV IT (TÜV Nord)
DocuWare	GoBD-Zertifizierung nach IDW ERS FAIT 3 / IDW PS 880	nicht genannt
Doxis	IDW PS 880	Deloitte
easy software	IDW PS 880 (mit IDW RS FAIT 5) IDW PS 880 und ISAE 3000	PKF Fasselt Partnerschaft mbB nicht genannt
ELO Digital Office	IDW PS 880	EY
Fabasoft	IDW PS 880	KPMG Advisory GmbH
forcont	VOI Compliance Certificate „PK-DML ready“	VOI Service GmbH, Zertifizierungsstelle VOI-CERT
JobRouter	IDW PS 880 (GoBD)	nicht genannt
Kendox	IDW PS 880 / ISAE 3000 VOI Compliance Certificate „PK-DML ready“	BDO Austria GmbH VOI
M-Files	VOI „PK-DML ready“	VOI-CERT (VOI – Verband Organisations- und Informationssysteme e. V.)
nscale (Ceyoniq Technology)	IDW PS 880	nicht genannt
PROXESS	TÜV-Zertifikat „Geprüfte Archivierung“ TÜV-Gütesiegel „Geprüfte Archivierung“	TÜV Saarland TÜV Saarland
Scopevisio	IDW PS 880	nicht genannt
Starke-DMS	IDW PS 880	Revidata

Hersteller ohne Eintrag nennen auf ihren Seiten keine solche Prüfung.

Eine Zertifizierung nach TR-RESISCAN nennt keiner der geprüften Hersteller. Das ist folgerichtig, denn die TR zertifiziert Prozesse einer Organisation, keine Software. Häufiger begegnet Ihnen eine andere BSI-Richtlinie: die TR-03125 (TR-ESOR). Sie beschreibt, wie elektronisch signierte Daten und Dokumente bis zum Ende der Aufbewahrungsfristen beweiswerterhaltend gespeichert werden. Die TR-RESISCAN verweist für diesen Teil selbst auf die TR-03125; sie schließt also dort an, wo das Scannen aufhört.

Hersteller	ISO/IEC 27001	weitere Nachweise
aconso	ja	–
Amagno	ja	–
ARXivar (Able Tech)	ja	ISO/IEC 27001, ISO/IEC 27017 und ISO/IEC 27018
Basware	ja	ISO/IEC 27001 (inkl. ISO/IEC 27017 und 27018)
Box	ja	ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018
Caya	ja	–
Comarch	ja	–
d.velop	ja	TISAX (Assessment-Level 2)
DATEV DMS	ja	–
DocuWare	ja	SOC 2 Type 2
Doxis	ja	SOC 1 Typ 2, SOC 2 Typ 1 und 2, SOC 3
easy software	ja	–
ELO Digital Office	ja	–
enaio (Optimal Systems)	ja	–
Esker	ja	–
Fabasoft	ja	ISO/IEC 27018
forcont	ja	–
Hyland	ja	SOC 2
Insiders Technologies	ja	–
JobRouter	ja	–
Kendox	ja	–
Laserfiche	ja	–
M-Files	ja	ISAE 3000 (SOC 2)
Medius	ja	–
Microsoft SharePoint	ja	BSI C5 (Typ 2)
nscale (Ceyoniq Technology)	ja	BSI TR-ESOR
Open Bee	ja	–
OpenText	ja	ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1 Type II, SOC 2 Type II
Scopevisio	ja	–
Siav (Archiflow)	ja	ISO/IEC 27001, ISO/IEC 27017 und ISO/IEC 27018
Therefore	ja	–
xSuite	ja	–
Yooz	ja	–
Zeendoc (Sages Informatique)	ja	–
Zucchetti	ja	ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018

Zertifikate gelten für den genannten Geltungsbereich, nicht automatisch für jedes Produkt oder jeden Partnerbetrieb.

Wenn Sie bereits Angebote für ein DMS oder für Scanleistungen vorliegen haben, prüfen Sie im Angebots-Check, ob Archivmodul, Scan-Anbindung, Einrichtung und Wartung vollständig enthalten sind; die PDF bleibt dabei in Ihrem Browser. Einen Überblick über alle Systeme mit Testaten, Rechenzentren und Schnittstellen bietet das Herstellerverzeichnis. Steht die Systemwahl noch am Anfang, grenzt die Bedarfsanalyse in neun Fragen ein, welche Hersteller zu Ihrem Belegaufkommen und Ihrer Buchhaltung passen.

Typische Fehler beim ersetzenden Scannen

Die meisten Probleme entstehen nicht beim Scannen selbst, sondern davor und danach.

• Keine Verfahrensdokumentation, aber schon vernichtet. Dann fehlt der Nachweis, dass der Scan ordnungsgemäß entstanden ist. Die GoBD verlangen die Dokumentation, die TR macht sie zur ersten Anforderung.
• Vernichtung vor der Kontrolle. Die TR verbietet die Vernichtung vor Abschluss der Qualitätskontrolle; das Muster verlangt zusätzlich mindestens einen Backup-Lauf.
• Ausnahmen nicht ausgesondert. Ein Jahresabschluss oder eine Zollurkunde im Stapel der Eingangspost landet im Schredder, weil niemand vorher sortiert hat.
• Rückseiten vergessen. Vermerke, Stempel oder Zahlungsbedingungen stehen oft hinten. Das Muster verlangt eine klare Regel für Vorder- und Rückseiten.
• Scan liegt in einem normalen Netzlaufwerk. Dort kann jede Person mit Schreibrechten Dateien ändern oder löschen. Für die Integritätssicherung braucht es Festschreibung, Protokoll und Löschsperre.
• OCR-Text wird nicht aufbewahrt. Nach Rz. 130 und 131 der GoBD sind durch OCR gewonnene Volltexte nach Verifikation und Korrektur ebenfalls aufzubewahren.
• Farbe geht verloren. Wer Freigabevermerke in Grün oder Minusbeträge in Rot nur in Graustufen scannt, verliert Information, der nach Rz. 137 Beweisfunktion zukommen kann.
• Gelebter Ablauf weicht von der Dokumentation ab. Eine Dokumentation, die zwei Jahre alt ist und einen inzwischen ersetzten Scanner beschreibt, hilft bei einer Prüfung wenig.
• Digitale Bestände zu früh gelöscht. Die Löschung erfolgt erst nach Ablauf der Aufbewahrungsfrist und nur durch autorisierte Personen. Nach § 147 Abs. 3 AO endet die Frist nicht, solange die Festsetzungsfrist für die Steuern noch läuft, für die die Unterlagen von Bedeutung sind.

Aufwand und Kosten realistisch einschätzen

Feste Preise für ersetzendes Scannen gibt es nicht; die Kosten hängen von Ihrem Bestand und Ihrem Ablauf ab. Diese Treiber sollten Sie kennen, bevor Sie Angebote einholen:

• Volumen und Zustand der Belege. Geheftete, gefaltete oder beidseitig bedruckte Belege kosten mehr Vorbereitungszeit als lose Einzelblätter.
• Schutzbedarf. Jede Stufe über „normal“ bringt Aufbaumodule mit zusätzlichen Maßnahmen. Bei hohem Schutzbedarf in der Integrität soll die Sichtkontrolle grundsätzlich vollständig erfolgen statt per Stichprobe, bei sehr hohem muss sie es.
• Qualitätskontrolle. Stichprobe oder Vollkontrolle macht bei großen Mengen einen deutlichen Unterschied im Personalaufwand.
• Indexierung. Werden nur Belegart und Datum erfasst oder auch Lieferant, Rechnungsnummer und Kostenstelle? Je mehr manuell erfasst wird, desto teurer.
• Archiv und Software. Archivmodul, Scan-Client, Schnittstelle zur Buchhaltung, Wartung. Was ein DMS insgesamt kostet, zeigt die Seite Was kostet ein DMS?.
• Dokumentation und Prüfung. Verfahrensdokumentation, gegebenenfalls Abstimmung mit der Steuerkanzlei, optional Eigenerklärung oder Zertifizierung nach TR.

Ein Beispiel zur Einordnung: Ein Großhändler mit 40 Beschäftigten will den laufenden Posteingang ersetzend scannen und den Altbestand der letzten Jahre digitalisieren lassen. Für den laufenden Betrieb reichen ein Dokumentenscanner, eine angepasste Muster-Verfahrensdokumentation und ein Archiv mit Festschreibung. Für den Altbestand vergleicht er zwei Dienstleister anhand ihrer TR-Zertifikate, der Vernichtungsprotokolle und des Rückgabeformats. Der größte Posten ist am Ende oft nicht das Scannen, sondern das Sortieren und Indexieren.

Checkliste vor der ersten Vernichtung

• Schutzbedarf der Dokumentklassen bestimmt und begründet
• Ausnahmen festgelegt: Abschlüsse, Eröffnungsbilanzen, Zollurkunden, notarielle Urkunden, Wertpapiere
• Verfahrensdokumentation angepasst, von der Geschäftsleitung freigegeben, allen Beteiligten bekannt
• Scan-Einstellungen und Regel für Rückseiten festgelegt
• Qualitätskontrolle mit Stichprobengröße beschrieben
• Archiv mit Festschreibung, Protokoll und Löschsperre bis Fristende
• Backup und Wiederherstellung getestet
• Vernichtungsturnus, Verantwortliche und Protokoll geregelt
• Steuerkanzlei eingebunden, Schnittstellen dokumentiert

Wenn alle Punkte erledigt sind, ist das ersetzende Scannen kein Risiko mehr, sondern ein geordneter Ablauf, der Platz und Suchzeit spart. Dieser Beitrag gibt den Rechtsstand Oktober 2026 wieder und ersetzt keine Steuer- oder Rechtsberatung; stimmen Sie die Verfahrensdokumentation mit Ihrer Steuerkanzlei ab.

Wer neben Papier vor allem elektronische Rechnungen empfängt, findet die Regeln für XRechnung und ZUGFeRD im Ratgeber E-Rechnung empfangen und archivieren.