Papierkeller leeren 2026: Was darf endlich in den Schredder?

Kurz gesagt: Seit Anfang 2025 müssen Buchungsbelege nur noch acht statt zehn Jahre aufbewahrt werden. In diesem Jahr darf damit der Jahrgang 2017 in den Reißwolf. Nur: „eingescannt" heißt nicht „rechtssicher digitalisiert" — und genau diesen Unterschied übersehen die meisten, bevor sie das Original wegwerfen.

Vor zwei Wochen stand ich im Keller einer Steuerkanzlei in Augsburg. Dreißig Quadratmeter Ordnerwände, bis unter die Decke, dazwischen ein Luftentfeuchter, der vor sich hin brummte. Der Kanzleichef sagte nur einen Satz: „Das muss raus, ich brauche den Raum."

Verständlich. Aktenvernichtungs-Container sind bestellt, der Termin steht. Bevor der erste Ordner kippt, habe ich ihn trotzdem gebremst — denn ein Teil davon hätte er hinterher teuer nachgekauft.

Was sich 2025 geändert hat — und 2026 wirkt

Das vierte Bürokratieentlastungsgesetz hat die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre gesenkt. Geregelt ist das in § 257 HGB↗ und steuerlich in § 147 AO↗. Die Neuregelung gilt seit dem 1. Januar 2025↗ und wirkt rückwirkend für alle Belege, deren alte Frist noch nicht abgelaufen war.

Übersetzt in den Kelleralltag: Was Sie 2026 vernichten dürfen, sind Buchungsbelege aus 2017 und früher. Eingangs- und Ausgangsrechnungen, Kontoauszüge, Kassenbelege, Lieferscheine mit Buchungsbezug, Zahlungsbelege.

Vorsicht bei der pauschalen Container-Aktion. Die acht Jahre gelten für Belege — nicht für alles im Regal.

Jahresabschlüsse, Eröffnungsbilanzen, Handelsbücher und Inventare bleiben bei zehn Jahren. Wer den Ordner „Bilanz 2018" voreilig schreddert, hat ein Problem mit der nächsten Betriebsprüfung.

„Gescannt" ist nicht „ersetzend gescannt"

Hier liegt der teure Denkfehler. Viele glauben: Ich ziehe den Beleg durch den Scanner, lege das PDF auf den Server, fertig — Papier kann weg. So einfach ist es nicht.

Die GoBD erlauben seit Jahren ausdrücklich, Belege rein digital aufzubewahren. Aber nur, wenn der Scanprozess ordnungsgemäß abläuft und dokumentiert ist. Was das im Detail bedeutet, haben wir in unserem Beitrag GoBD — was bedeutet das wirklich auseinandergenommen. Ein PDF auf einem Netzlaufwerk ohne Verfahrensdokumentation ist im Zweifel wertlos.

Den Goldstandard dafür liefert das BSI mit der Technischen Richtlinie TR-03138, kurz TR-RESISCAN↗. Sie beschreibt das „ersetzende Scannen": den Vorgang, nach dem das digitale Abbild den Beweiswert des Originals übernimmt und das Papier vernichtet werden darf.

Die Schritte, bevor das Original in den Container darf

Bevor ein Beleg wirklich weg darf, müssen ein paar Dinge passiert sein — und zwar nachweisbar:

• Schutzbedarf festgestellt. Eine normale Rechnung braucht weniger Aufwand als eine Patientenakte. Diese Einordnung steht am Anfang, nicht am Ende.
• Sichtkontrolle. Jemand vergleicht das digitale Abbild mit dem Papier: vollständig, lesbar, nichts abgeschnitten.
• Transfervermerk. Wer hat wann mit welchem Gerät gescannt? Ohne diesen Vermerk fehlt die Spur.
• Integrität gesichert. Hash-Wert oder digitale Signatur, damit später niemand am PDF gedreht haben kann.
• PDF/A als Format. Langzeitarchivfähig, nicht das Office-PDF von nebenan.
• Verfahrensdokumentation. Das eine Dokument, das beschreibt, wie der ganze Prozess läuft. Genau das fehlt in 90 Prozent der Betriebe, die ich sehe.

Fehlt einer dieser Schritte, ist die Vernichtung des Originals nicht gedeckt. Das ist der Punkt, an dem aus „Platz schaffen" ein Haftungsrisiko wird.

Was gar nicht in den Schredder darf

Es gibt eine kleine Gruppe von Dokumenten, bei denen das Original immer Original bleibt — egal wie sauber Sie scannen:

• Notarielle Urkunden, Testamente und Erbverträge
• Bürgschaften, Wechsel und Schecks mit Originalunterschrift
• Eröffnungsbilanzen und Jahresabschlüsse mit eigenhändiger Unterschrift
• Urkunden mit Siegel sowie bestimmte Zolldokumente

Im Zweifel gilt: Alles, was seinen Beweiswert aus der körperlichen Urkunde zieht, gehört nicht in den Reißwolf. Vor Gericht ist ein Scan zunächst nur ein Augenscheinsobjekt, das der Richter frei würdigt. Für gescannte öffentliche Urkunden regelt § 371b ZPO↗ die Beweiskraft ausdrücklich — aber nur, wenn nach dem Stand der Technik gescannt wurde. Genau dafür ist RESISCAN da.

Warum die meisten weniger brauchen, als ihnen verkauft wird

Jetzt eine Meinung, die mir in mancher Vertriebspräsentation Widerspruch einbringt: Die Panikmache rund um die teure RESISCAN-Zertifizierung ist für den typischen Mittelständler überzogen.

Ich habe schon Beratungen erlebt, in denen einem 15-Personen-Handwerksbetrieb ein fünfstelliges Zertifizierungsprojekt aufgeschwatzt werden sollte — für die Archivierung ganz normaler Eingangsrechnungen. Das ist mit Kanonen auf Spatzen geschossen.

Die TR-RESISCAN selbst unterscheidet nach Schutzbedarf. Für normalen Schutzbedarf — und dort liegt die große Mehrheit der Belege im Mittelstand — reichen eine saubere Strukturanalyse und eine ordentliche Verfahrensdokumentation. Die volle Zertifizierung eines Dienstleisters wird erst bei hohem Schutzbedarf zum Thema, etwa bei Gesundheitsdaten oder hochsensiblen Personalakten.

Heißt für die Praxis: Sie brauchen kein Zertifikat an der Wand. Sie brauchen ein System, das den Prozess sauber abbildet und protokolliert — Versionierung, Zugriffsrechte, revisionssichere Ablage. Das leistet ein anständiges DMS mit GoBD-konformer Archivierung im Hintergrund, ohne dass Ihre Mitarbeiter an Checklisten denken müssen.

Was ich Betrieben rate, die den Keller leeren wollen

Die Reihenfolge, die sich bei mir bewährt hat:

1. Trennen Sie zuerst nach Frist. Buchungsbelege bis 2017 dürfen weg, Bilanzen und Abschlüsse nicht. Diese Sortierung kostet eine Stunde und spart später Ärger.
2. Verfahrensdokumentation schreiben, bevor der erste Beleg gescannt wird. Nicht danach. Sie ist der Nachweis, nicht das Beiwerk.
3. Schutzbedarf realistisch einordnen. Die meisten Belege sind „normal". Übertreiben Sie nicht — und untertreiben Sie bei Gesundheits- und Personaldaten nicht.
4. Originale mit Urkundencharakter aussortieren und gesondert aufbewahren. Lieber ein kleiner Restbestand als ein vernichtetes Testament.
5. Erst archivieren, dann vernichten. Die Vernichtung ist der letzte Schritt nach Sichtkontrolle und Integritätssicherung, nicht der erste.
6. Auf das System achten, nicht auf das Zertifikat. Revisionssichere Ablage und Protokollierung schlagen ein Stück Papier an der Wand.

Für Steuerkanzleien, die das auch für ihre Mandanten ordnen, lohnt der Blick auf unsere Seite zum DMS für Steuerberater — dort hängt am ersetzenden Scannen oft gleich die ganze Belegkette des Mandanten.

Fazit

Der leere Keller ist ein gutes Ziel. Die zwei gewonnenen Jahre Aufbewahrungsfrist machen 2026 echten Platz, und das papierlose Archiv ist kein Hexenwerk — wie nah das an der Realität ist, haben wir an anderer Stelle beschrieben.

Nur eben nicht mit dem Reißwolf voraus. Erst der saubere, dokumentierte Scanprozess, dann der Container. Wer diese Reihenfolge einhält, gewinnt Platz, ohne sich bei der nächsten Prüfung zu blamieren.

Wenn Sie wissen wollen, welche Ihrer Belege 2026 wirklich weg dürfen und wie ein GoBD-konformer Scanprozess in Ihrem Betrieb aussieht, schauen wir uns das in einem Erstgespräch ohne Verkaufsdruck gemeinsam an — sprechen Sie uns an.