Belege digital ablegen: Ordnerstruktur, Cloud und was die GoBD wirklich verlangen

Die Frage, die uns am häufigsten erreicht, lautet: „Welche Cloud ist GoBD-konform?" Sie hat keine Antwort, weil sie falsch gestellt ist. Es gibt keine amtliche Liste zugelassener Speicherdienste und kein Produkt, das eine Buchführung ordnungsgemäß macht. Ordnungsgemäß wird eine Ablage durch das Verfahren um sie herum.

Das ist keine Ausrede, sondern eine gute Nachricht: Sie müssen nichts kaufen, was Sie nicht schon haben. Sie müssen nur wissen — und aufschreiben können —, wie bei Ihnen abgelegt wird. Dieser Artikel liefert drei Dinge: eine Struktur zum Übernehmen, die vier Anforderungen, an denen eine Ablage tatsächlich gemessen wird, und einen Beleg, den wir einmal komplett durchgehen.

Eine Ordnerstruktur, die in der Praxis funktioniert

Es gibt keine vorgeschriebene Struktur. Die folgende hat sich eingebürgert, weil sie zwei Dinge richtig macht, die man erst Jahre später merkt.

Buchhaltung/
├── 2026/
│   ├── 01_Ausgangsrechnungen/
│   ├── 02_Eingangsrechnungen/
│   ├── 03_Kasse/
│   ├── 04_Bank/
│   ├── 05_Lohn/
│   └── 06_Steuer_Bescheide/
├── 2025/
│   └── ... (gleiche Unterordner)
├── Dauerbelege/
│   ├── Vertraege/
│   ├── Anlagevermoegen/
│   └── Versicherungen/
└── Verfahrensdokumentation/
    ├── Verfahrensdokumentation_2026-09_v3.pdf
    └── Scan-Protokolle/
        └── 2026_Scan-Protokoll.pdf

Das Jahr steht ganz oben. Aufbewahrungsfristen laufen jahrweise ab. Wenn Sie 2035 den Jahrgang 2026 aussondern wollen, löschen oder archivieren Sie einen Ordner — nicht 400 einzelne Dateien aus zwölf verstreuten Verzeichnissen. Wer nach Belegart gliedert und das Jahr erst darunter, dreht sich diesen Vorteil weg.

Dauerbelege liegen außerhalb der Jahresordner. Ein Mietvertrag von 2019 gilt heute noch, eine Maschine wird über zehn Jahre abgeschrieben, eine Police läuft weiter. Solche Unterlagen im Jahresordner ihres Abschlusses zu vergraben heißt, sie beim Aussondern zu verlieren — und sie werden gebraucht, solange sie wirken.

Der Ordner Verfahrensdokumentation gehört dazu, nicht in eine andere Ecke der Festplatte. Bei einer Prüfung wird sie zuerst angefragt; sie sollte dort liegen, wo auch alles andere liegt.

Dateinamen: ein Schema, das man durchhält

Ein Ordner mit 4.000 Dateien namens scan0001.pdf ist formal auffindbar und praktisch nicht. Bewährt hat sich:

JJJJ-MM-TT_Belegart_Partner_Belegnummer.pdf

2026-03-14_ER_Elektro-Meier_ER-2026-0117.pdf
2026-03-14_AR_Kunde-Schmitz_RE-2026-0042.pdf
2026-03-31_KB_Kassenbericht_Maerz.pdf

Drei Gründe für genau diese Form. Das ISO-Datum (Jahr, Monat, Tag) sortiert sich in jedem System von allein chronologisch — bei 14.03.2026 tut es das nicht. Die Belegnummer im Dateinamen ist die Brücke zwischen Ablage und Buchführung: Sie ist der Weg, auf dem ein Prüfer von der Buchung zum Beleg und zurück kommt. Und keine Umlaute, Leerzeichen oder Sonderzeichen, weil solche Namen bei jedem Export, jedem Anbieterwechsel und jedem Zip-Archiv die Stelle sind, an der etwas kaputtgeht.

Wichtiger als das konkrete Schema ist, dass es eines gibt: Ein durchgehaltenes mittelmäßiges Schema schlägt ein perfektes, das nach sechs Wochen aufgegeben wurde.

Und wo kommt der Scan hin?

Die häufigste Fehlanlage an dieser Stelle ist ein Ordner namens Scans. Er klingt aufgeräumt und zerreißt die Ordnung: Ab da sucht man an zwei Stellen und weiß bei keinem Beleg vorher, in welcher er liegt.

Gebraucht wird er nicht, denn nach dem ersetzenden Scannen ist der Scan der Beleg. Er wandert dorthin, wo dieser Beleg hingehört — ins Jahr, in die Belegart. Ob er aus Papier stammt oder digital angekommen ist, spielt für die Ablage keine Rolle mehr. Die Rechnung des Elektrikers von oben liegt also in 2026/02_Eingangsrechnungen/, neben der Rechnung, die als PDF per Mail kam.

Drei Dinge brauchen dagegen sehr wohl einen eigenen Platz:

• Das Scan-Protokoll. Es belegt nicht den Inhalt eines Belegs, sondern den Vorgang: wer wann mit welchem Gerät gescannt und die Lesbarkeit geprüft hat. Es gehört zur Verfahrensdokumentation, wird jahrweise abgelegt und ist so lange aufzubewahren wie die Belege, die es abdeckt.
• Das Papier zwischen Scan und Vernichtung. Geschreddert wird nicht am Scanner, sondern erst nach der Lesbarkeitsprüfung und nachdem der Scan mindestens einmal in einer Datensicherung gelandet ist. Dafür braucht es einen physischen Zwischenplatz — ein beschrifteter Korb genügt. Wer sofort vernichtet, steht bei einem misslungenen Scan mit leeren Händen da.
• Das Papier, das bleiben muss. § 147 Abs. 2 AO nimmt Jahresabschlüsse und die Eröffnungsbilanz von der bildlichen Wiedergabe aus. Dafür bleibt ein dünner Ordner, der über die Jahre kaum wächst.

Auf der Papierseite reichen deshalb drei Fächer:

Aktenschrank
├── Korb "gescannt, Prüfung offen"   → nach Freigabe in den Schredder
├── Ordner "Original aufbewahren"    → Jahresabschlüsse, Eröffnungsbilanz
└── Ordner "Papier 2026"             → falls Sie nicht ersetzend scannen

Wann Sie überhaupt vernichten dürfen, welche Auflösung und Farbeinstellung nötig sind und was in das Protokoll gehört, steht in Ersetzendes Scannen — dort finden Sie auch die Protokollvorlage als kostenloses PDF.

Woran eine Ablage tatsächlich gemessen wird

1. Unveränderbarkeit — die Zeile, die jeden Ordner betrifft

Die GoBD sagen es unmissverständlich: „Die Ablage von Daten und elektronischen Dokumenten in einem Dateisystem erfüllt die Anforderungen der Unveränderbarkeit regelmäßig nicht, soweit nicht zusätzliche Maßnahmen ergriffen werden, die eine Unveränderbarkeit gewährleisten." Wer Belege schlicht in Ordner legt, hat damit noch nichts erfüllt.

Entscheidend ist aber der zweite Teil des Satzes. Die GoBD nennen an derselben Stelle drei gleichwertige Wege: hardwaremäßig (unveränderbare Datenträger), softwaremäßig (Sicherungen, Sperren, Festschreibungen, Protokollierung, Versionierung) oder organisatorisch, etwa über ein Zugriffsberechtigungskonzept.

Für einen Kleinbetrieb ist der organisatorische Weg meist der realistische: Wer darf schreiben, wer nur lesen, wo liegt der schreibgeschützte Bestand, wie wird gesichert. Verlangt wird damit keine Anschaffung, sondern eine Entscheidung: Welcher der drei Wege greift bei Ihnen?

Und wenn ich allein arbeite?

Dann greift „wer darf schreiben, wer nur lesen" nicht — es gibt niemanden, dem man etwas entziehen könnte. Das ist kein Mangel, den Sie verstecken müssen, sondern eine Tatsache, die beschrieben gehört. Drei Wege, die auch allein funktionieren:

• Versionierung und Papierkorb im Cloud-Dienst einschalten und nicht wieder ausschalten. Damit ist jede Änderung nachvollziehbar und versehentliches Löschen rückholbar — das ist der softwaremäßige Weg, den die GoBD ausdrücklich nennen.
• Einen zweiten, schreibgeschützten Stand führen: Die monatliche Sicherung liegt so, dass sie im Alltag nicht überschrieben werden kann.
• Die Festschreibefunktion der Buchhaltungssoftware nutzen, wenn es eine gibt. Nach dem Festschreiben sind Buchungen nur noch über nachvollziehbare Korrekturen änderbar.

Der ehrliche Rahmen dazu: Verlangt wird nicht die perfekte Lösung, sondern eine benannte. Wer schreibt „Ablage beim Cloud-Anbieter, Versionierung aktiviert, Schreibrechte nur bei der Inhaberin, monatliche Sicherung schreibgeschützt", hat die Anforderung beantwortet — auch als Ein-Personen-Betrieb.

2. Auffindbarkeit und maschinelle Auswertbarkeit

§ 147 Abs. 2 und Abs. 6 AO verlangen, dass aufbewahrte Unterlagen jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sind. Praktisch heißt das: Ein Beleg, nach dem eine Stunde gesucht werden muss, erfüllt die Anforderung nicht — und ein Ausdruck ersetzt die Datei nicht. Was digital entstanden ist, bleibt digital aufzubewahren, in einem auswertbaren Format.

3. Nachvollziehbarkeit für einen sachverständigen Dritten

§ 145 Abs. 1 AO verlangt, dass sich ein sachverständiger Dritter in angemessener Zeit zurechtfindet. Der Prüfer muss den Weg in beide Richtungen gehen können: von der Buchung zum Beleg und vom Beleg zur Buchung. Maßstab ist dabei ausdrücklich kein Kenner Ihrer Software: Die GoBD erwarten von diesem Dritten allgemeinen EDV-Sachverstand, aber keine produktabhängigen System- oder Programmierkenntnisse. Ihre Ablage muss sich also ohne Ihre mündliche Erklärung erschließen.

4. Der Speicherort — und der ist Gesetz, nicht Auslegung

Das ist der Punkt, den fast niemand auf dem Schirm hat, und er steht nicht in den GoBD, sondern in der Abgabenordnung selbst:

• § 146 Abs. 2 AO: Bücher und die sonst erforderlichen Aufzeichnungen sind im Geltungsbereich des Gesetzes zu führen und aufzubewahren — also im Inland.
• § 146 Abs. 2a AO: Elektronische Bücher und Aufzeichnungen dürfen in einem oder mehreren EU-Mitgliedstaaten geführt und aufbewahrt werden. Dafür ist keine Bewilligung nötig, aber der Datenzugriff der Finanzbehörde muss in vollem Umfang möglich bleiben.
• § 146 Abs. 2b AO: Für einen Drittstaat — dazu zählen die USA — ist ein Antrag und die Bewilligung des Finanzamts erforderlich. Voraussetzung ist unter anderem, dass Sie den Standort des Systems mitteilen und den vollständigen Datenzugriff sicherstellen.
• § 146 Abs. 2c AO: Wer sich nicht daran hält, riskiert ein Verzögerungsgeld von 2.500 bis 250.000 Euro.

Für die Praxis heißt das nicht, dass ein bestimmter Anbieter verboten wäre — wir empfehlen keinen und raten von keinem ab. Es heißt: Sie müssen wissen, wo Ihre Daten liegen. Viele Dienste lassen den Speicherort wählen oder nennen ihn in den Vertragsunterlagen; manche tun beides nicht. Wer es nicht weiß, fragt beim Anbieter nach — und stellt im Zweifel auf eine EU-Region um. Das ist bei den meisten Diensten eine Einstellung und damit deutlich einfacher als ein Antrag beim Finanzamt.

Ein Beleg von vorne bis hinten

Abstrakt klingt das nach viel. Konkret sind es sechs Handgriffe. Nehmen wir die Rechnung, die der Elektriker am 14. März in den Briefkasten wirft: 248,50 Euro, Rechnungsnummer ER-2026-0117.

Und so sieht der Teil aus, der davon in die Verfahrensdokumentation wandert — ein Absatz, nicht ein Kapitel:

„Eingangsrechnungen in Papier werden von der Inhaberin im Eingangskorb gesammelt, wöchentlich mit dem Multifunktionsgerät in 300 dpi Graustufe gescannt, nach dem Schema JJJJ-MM-TT_Belegart_Partner_Belegnummer benannt und im Jahresordner unter 02_Eingangsrechnungen abgelegt. Die Ablage liegt bei [Dienst], Speicherort Deutschland. Schreibrechte hat ausschließlich die Inhaberin; die Sicherung erfolgt täglich automatisch, die Wiederherstellung wurde zuletzt am [Datum] geprüft."

Fünf Sätze für einen Belegweg. Wer drei oder vier solcher Wege hat — Papier, E-Mail, Kasse, Bank —, beschreibt jeden einmal auf diese Art. Damit ist der Belegweg beschrieben — nicht die ganze Dokumentation: Aufbewahrung, Zugriffsrechte, Vertretung und Kontrollen kommen dazu. Die stehen weiter unten.

Die vier Fehler, die uns am häufigsten begegnen

Belege bleiben im E-Mail-Postfach. Ein Postfach ist kein Archiv: Es wird geleert, migriert, und der Zugriff hängt am Vertrag. Bei E-Rechnungen kommt hinzu, dass die empfangene Datei im Originalformat aufzubewahren ist — bei einer XRechnung also die XML-Datei, nicht das PDF, das Ihr Programm daraus zur Ansicht erzeugt.

Nur das Buchhaltungsprogramm hat die Belege. Bei Kündigung oder Anbieterwechsel endet der Zugriff, die Aufbewahrungsfrist läuft aber weiter. Klären Sie den Exportweg, bevor Sie ihn brauchen, und probieren Sie ihn einmal aus.

Am Jahresende wird „aufgeräumt". Umbenennen und Verschieben großer Bestände ist genau die Art von nachträglicher Änderung, die Sie später erklären müssen — und die in einem gewöhnlichen Dateisystem nicht protokolliert wird.

Der Ordner „Sonstiges". Er wächst zuverlässig und ist am Ende der Grund, warum niemand etwas findet. Wenn ein Beleg nirgends passt, fehlt eine Kategorie — dann gehört sie angelegt und in der Dokumentation ergänzt.

Wie lange das alles liegen bleiben muss

Die Frist richtet sich nach der Art der Unterlage. Für Buchungsbelege gilt seit dem 01.01.2025 eine Frist von acht Jahren; für Handelsbücher, Inventare, Jahresabschlüsse und Lageberichte bleibt es bei zehn Jahren (§ 147 Abs. 3 AO, § 257 HGB). Wer nicht nach Unterlagenart sortieren will, kann pauschal alles zehn Jahre aufbewahren — damit macht man bei der Frist nichts falsch.

Eine Einschränkung gehört dazu: Für personenbezogene Daten ohne Aufbewahrungspflicht gilt das nicht. Sie dürfen nach Art. 5 Abs. 1 lit. e DSGVO nicht länger gespeichert werden als nötig. Die pauschale Verlängerung ist also ein Weg für Buchhaltungsunterlagen, nicht für alles im Betrieb.

Was davon in die Verfahrensdokumentation gehört

Der Prüfer will nicht Ihre Ordner sehen, sondern die Beschreibung, nach der sie entstanden sind. Acht Angaben genügen in aller Regel:

• Auf welchen Wegen Belege eingehen — Post, E-Mail, Portal, Kasse — und wer sie entgegennimmt
• Nach welchem Schema Dateien benannt und in welche Struktur sie abgelegt werden
• Welcher Dienst oder welches Gerät genutzt wird und in welchem Land die Daten liegen
• Welche Maßnahme die Unveränderbarkeit sicherstellt: Hardware, Software oder Organisation
• Wer Lesezugriff hat, wer ändern darf und wie das technisch durchgesetzt wird
• Wie gesichert wird, wie oft, und wann die Wiederherstellung zuletzt getestet wurde
• Ob und wann Papieroriginale vernichtet werden — und nach welchem Verfahren
• Welche Unterlagenart wie lange aufbewahrt wird und wie ausgesondert wird

Wenn Sie Papierbelege scannen und die Originale danach vernichten, kommt ein eigenes Verfahren dazu, das strenger dokumentiert werden muss. Das steht in Ersetzendes Scannen — mit einem kostenlosen Protokoll zum Ausdrucken. Und wer bar einnimmt, braucht zusätzlich eine tägliche Aufzeichnung: Kassenbuch führen.

Häufige Fragen

Fazit

Die Ablage ist der Teil der GoBD, den man ohne Berater und ohne Anschaffung in Ordnung bringen kann. Eine Struktur nach Jahren, ein Dateinamen-Schema, eine benannte Maßnahme für die Unveränderbarkeit, ein geklärter Speicherort — das sind vier Entscheidungen, keine Investition. Aufwendig wird es nur für den, der sie nie trifft und Jahre später rekonstruieren soll, wie es gewesen ist.