Kurzantwort
Der Audit-Trail ist keine einzelne Funktion. In SAP entsteht er aus mehreren Protokollen, die je eine andere Frage beantworten: Änderungsbelege (CDHDR, CDPOS) halten fest, wer welches Feld wann geändert hat, die Tabellenprotokollierung (DBTABLOG) zeichnet Änderungen an Tabelleneinträgen auf, das Security Audit Log (SM19, SM20) sicherheitsrelevante Ereignisse, das Anwendungslog (SLG1) die Meldungen von Läufen. Steuer- und Handelsrecht verlangen, dass Aufzeichnungen nicht so verändert werden, dass der ursprüngliche Inhalt unkenntlich wird, und dass sie bis zu zehn Jahre lesbar und auswertbar bleiben. Das Datenschutzrecht begrenzt, was protokolliert wird. Zugriffsregeln, die das Ganze absichern, stehen in Berechtigungskonzepte.
Vier Protokolle, vier Fragen
Änderungsbeleg. Er besteht laut SAP-Dokumentation aus einem Kopf (CDHDR: Kopfdaten des Änderungsvorgangs zu einer Objekt-ID innerhalb einer Objektklasse, mit automatisch vergebener Belegnummer) und Positionen (CDPOS: alter und neuer Wert zu einem Feld samt Änderungskennzeichen). Protokolliert werden Felder, die im Dictionary als änderungsbelegrelevant gekennzeichnet sind. Der Beleg entsteht in einem von der Datenbankänderung unabhängigen Schritt (SAP, Änderungsbelege). Das ist der Kern des fachlichen Nachweises „wer hat was geändert“.
Tabellenprotokollierung. Sie erfasst Änderungen an Tabelleneinträgen in der Tabelle DBTABLOG. Sie wird als technische Eigenschaft je Tabelle eingeschaltet und über den Profilparameter rec/client gesteuert (ALL, bestimmte Mandanten oder OFF). Auswerten läuft über SCU3 (Tabellenhistorie) laut ABAP-Dokumentation (SCU3 steht nicht im Transaktionskatalog des Atlas). Grenzen laut Dokumentation: Tabellenschlüssel höchstens 250 Zeichen, Zeile höchstens 16.000 Bytes (ABAP-Dokumentation).
Security Audit Log. Es zeichnet sicherheitsrelevante Aktivitäten auf, etwa Anmeldungen, Transaktionsstarts und Änderungen am Benutzerstamm. Pro Anwendungsserver entsteht täglich eine Audit-Datei; Filter bestimmen, was geschrieben wird (SAP-Hilfe). Konfiguration in SM19, Auswertung in SM20. Was dort nicht eingeschaltet ist, fehlt später in jeder Auswertung. Neuere Releases führen die Konfiguration unter dem Namen RSAU_CONFIG; die Zuordnung zu SM19 beruht auf Community-Beiträgen, nicht auf SAP-Hilfe.
Anwendungslog. Läufe und Schnittstellen schreiben Meldungen mit Objekt, Unterobjekt und Schweregrad; SLG1 zeigt sie an. Das ist kein Nachweis über Änderungen, aber die erste Stelle, wenn ein Lauf unvollständig blieb. Die Klärungsfälle des BPEM entstehen aus diesem Log, siehe Worklists und Wiedervorlagen.
Nicht belegt sind hier Read Access Logging (Protokollierung lesender Zugriffe) und die Zuordnung der Objektklassen für IS-U-Stammdaten zu Änderungsbelegobjekten. Beides gehört vor dem ersten Prüffall in Ihrem System geklärt.
Was in IS-U schon am Satz steht
Der Kopf eines Vertragskontos (FKKVK) trägt Angelegt am und von sowie Geändert am und von (ERDAT, ERNAM, AEDAT, AENAM). Das ist nur der letzte Stand ohne Verlauf; wer die Änderung vorher sehen will, braucht Änderungsbeleg oder Tabellenprotokoll.
Was Recht und Aufsicht verlangen
- Unveränderbarkeit: Nach § 146 Abs. 4 AO darf eine Aufzeichnung nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. Korrekturen laufen als Storno und Berichtigung, nicht als Überschreiben.
- Aufbewahrung: § 147 Abs. 3 AO: zehn Jahre für Bücher und Aufzeichnungen, acht Jahre für Buchungsbelege, sechs Jahre für sonstige Unterlagen. § 257 Abs. 4 HGB: acht Jahre für Buchungsbelege, zehn Jahre für Handelsbücher und Abschlüsse. Die Frist beginnt nach § 147 Abs. 4 AO mit dem Schluss des Kalenderjahres der letzten Eintragung oder des Belegs.
- Auswertbarkeit: Nach § 147 Abs. 2 Nr. 2 AO müssen die Daten während der Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein. Beim Systemwechsel müssen Daten und Auswertung mitwandern. Zur Konkretisierung gibt das BMF die GoBD heraus, zuletzt geändert am 14. Juli 2025. Einzelne Randziffern wurden für diese Fassung nicht ausgewertet.
- Rechenschaft und Maß: Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung der Grundsätze, Art. 5 Abs. 1 lit. c Datenminimierung. Protokolle enthalten personenbezogene Daten, weil Handlungen einer Person zuordenbar sind. Zweck, Umfang und Aufbewahrungsdauer sollten vor dem Produktivstart schriftlich festgelegt sein.
- Schutz der Protokolle selbst: Der BSI-Baustein OPS.1.1.5 verlangt, dass Protokollierungsdaten nach festgelegtem Prozess gelöscht werden und technisch nicht unkontrolliert gelöscht oder verändert werden können (A5, Basis). Protokolle sollen archiviert werden (A8), und Administratoren sollen sie nicht verändern oder löschen dürfen (A10).
Eine Aufbewahrungsfrist ist keine Pflicht zur Vollprotokollierung. Die Frist gilt für die Unterlagen, die entstanden sind. Wie lange Sie Sicherheitsprotokolle wie das Security Audit Log halten, ist eine eigene Festlegung in der Protokollierungsrichtlinie.
Beispiel: rückwirkende Ablesewertkorrektur
Vereinfachtes Beispiel. Am 04.03.2026 wird der Zählerstand für den 28.02.2026 von 12.480 auf 12.500 kWh korrigiert; die Abrechnung lief am 02.03.2026. Der Nachweis besteht aus mehreren Stücken: dem Änderungsbeleg (Objekt, Benutzer, Zeitpunkt, alter und neuer Wert, soweit das Feld belegrelevant ist), dem Grund am Vorgang (Ablesebeleg fehlerhaft erfasst) und der Abrechnungskette: Storno der Rechnung mit Verweis auf die ursprüngliche Belegnummer und Neuberechnung (Storno und Korrektur). Der alte Wert wird nicht gelöscht. Ob der Zählerstand im jeweiligen System änderungsbelegrelevant ist, ist vorab zu prüfen.
Fehlerfälle
- Preisänderung ohne Historie: Der Kunde bestreitet den Preis; ohne alten Wert bleibt nur der aktuelle Stand.
- Storno ohne Bezug: Die ursprüngliche Belegnummer fehlt, die Berichtigung lässt sich nicht zuordnen.
- Korrektur ohne Grund: Der Wert ist geändert, der Anlass fehlt.
- Security Audit Log nicht aktiviert: Für den Prüffall fehlt, wer sich wann angemeldet hat.
- Trail im Altsystem: Daten liegen vor, die Auswertung fehlt.
Typische Missverständnisse
Der Audit-Trail ist das technische Monitoring. Monitoring fragt, ob ein System läuft. Der Trail fragt, wie ein Wert entstanden ist.
Das Prozessprotokoll ist der Audit-Trail. Das Prozessprotokoll hält den Ablauf einer Marktnachricht fest. Spätere manuelle Korrekturen sieht man dort nicht.
Datenzugriff genügt als Nachweis. § 147 Abs. 6 AO regelt den Zugriff des Prüfers; er ersetzt nicht die Qualität der Aufzeichnung.
Nach der Frist endet die Pflicht sofort. Die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO).
Pflegehinweis
Rechtsstand 05.10.2026 für AO, HGB und DSGVO; GoBD-Randziffern nicht neu geprüft. Offen: Read Access Logging, Änderungsbelegobjekte der IS-U-Stammdaten, Rolle von SM19 gegenüber RSAU_CONFIG je Release, IT-Sicherheitskatalog nach § 11 EnWG.