Hash-Chain-Viewer

Jeder Eintrag im Audit-Log wird kryptografisch mit seinem Vorgänger verkettet: Über einen SHA-Hash entsteht eine lückenlose Kette, in der jede nachträgliche Änderung einer Vergangenheit-Zeile alle nachfolgenden Hashes ungültig macht. Der Hash-Chain-Viewer macht diese Verkettung sichtbar und prüfbar und verankert sie regelmäßig per RFC-3161-Zeitstempel bei einer externen Trusted Service Authority (TSA).

Wofür brauche ich das?

Sie brauchen den Hash-Chain-Viewer immer dann, wenn Sie die Integrität Ihrer Audit-Daten gegenüber Dritten belegen müssen, typischerweise bei einer Betriebsprüfung, einer GoBD-Verfahrensdokumentation oder einem internen Compliance-Review. Die Verifikation zeigt nicht nur, dass die Kette intakt ist, sondern auch wo sie gegebenenfalls gebrochen wäre, sodass sich Manipulationsversuche eindeutig lokalisieren lassen.

So nutzen Sie den Hash-Chain-Viewer

1. Öffnen Sie Verwaltung → Audit-Chain-Viewer. Der Bereich ist nur für Verwaltung und System Manager zugänglich.
2. Wählen Sie oben die Firma, deren Audit-Chain Sie prüfen möchten. Ohne Firma-Auswahl wird kein Eintrag angezeigt.
3. Geben Sie den DocType ein (z. B. Ausgangsrechnung, Banktransaktion). Die Hash-Chain wird pro Firma und DocType geführt.
4. Optional: Verfeinern Sie über Aktion (create, update, delete, …), User und Datumsbereich.
5. Klicken Sie auf Hash-Kette verifizieren. Das System rechnet die komplette Kette nach und zeigt das Ergebnis als Pipeline an: grüne Punkte für valide Einträge, rote Punkte ab der Bruchstelle. Bei einem Bruch erhalten Sie den Index und den Namen des betroffenen Eintrags.
6. Über CSV-Export sichern Sie die aktuell gefilterten Einträge inklusive Hash-Werte für Archiv oder Steuerberater.
7. Die regelmäßigen TSA-Anchors laufen automatisch per Cron. Bei Bedarf kann ein System Manager über die Anchor-API einen Ad-hoc-Anchor erzeugen oder einen bestehenden Anchor neu verifizieren (PKCS#7-Signaturprüfung gegen das TSA-Zertifikat).

Wichtige Hinweise

• Die Hash-Chain wird pro Firma und pro DocType separat geführt; jede Kette beginnt mit einem Initial-Hash.
• Die Verifikation lädt die komplette Kette für den gewählten DocType. Bei sehr vielen Einträgen kann der Vorgang einige Sekunden dauern.
• Die Pagination zeigt jeweils 50 Einträge pro Seite. Die Verifikation prüft unabhängig davon den vollen Datenbestand.
• Ein Bruch der Kette bedeutet nicht automatisch böswillige Manipulation; auch fehlerhafte Migrationen oder Datenbank-Inkonsistenzen können die Ursache sein. Eskalieren Sie jeden Bruch sofort an den Support.
• TSA-Anchors werden über einen externen Zeitstempel-Dienst nach RFC 3161 signiert. Damit ist nicht nur die Reihenfolge, sondern auch der Zeitpunkt der Einträge fälschungssicher dokumentiert.
• Anchor-erstellen dürfen nur System Manager. Verwaltung kann Anchors lesen und verifizieren, aber nicht neu setzen.

Rechtsgrundlagen

• § 146 Abs. 4 AO: Unveränderbarkeit der Buchführung; Änderungen müssen so protokolliert sein, dass der ursprüngliche Inhalt feststellbar bleibt.
• GoBD 2019, Rz. 107 ff.: Anforderungen an die Unveränderbarkeit elektronischer Aufzeichnungen, insbesondere kryptografische Sicherung.
• RFC 3161: Internet X.509 Public Key Infrastructure Time-Stamp Protocol; Grundlage der TSA-Anchors.
• Art. 32 DSGVO: Integrität als Schutzziel der Verarbeitung.

Verwandte Themen

• Audit-Log: Der Datenbestand, dessen Integrität die Hash-Chain absichert.
• DSGVO-Konformität: Datenschutz und technische Maßnahmen.
• Zwei-Faktor-Authentifizierung: Schutz der Zugänge mit Admin-Rechten.
• Benutzer & Rollen: Wer darf Anchors erstellen und verifizieren.
• DATEV-Export: Ergänzender Daten-Export für externe Prüfer.