Die Kollegen haben hier ja schon sehr umfassend geantwortet. Mich stört hier eher die Frage des Prüfers, die für mich keinen Sinn ergibt und mir eher so vorkommt, daß der Prüfer sich selbst ganz gern reden hört und sich dabei total super findet.
Jeder Unternehmer hat die Pflicht, die seine Geschäftspartner und Dienstleister mit der größtmöglichen Sorgfalt auszusuchen.
Das Spielchen, welches der Prüfer hier spielt, ist eben genau das: Ein Spielchen und daruf sollte man sich nicht einlassen.
Jedes Schadensszenario kann man nur versuchen, soweit möglich und so gut wie möglich abzusichern und abzuschwächen. Das sollte selbst einem Prüfer klar sein und gehört auch zu den Arbeitsprinizpien eines Wirtschaftsprüfer und Steuerberaters. Es geht um hinreichende Sicherheit, nicht um 100 %ige Sicherheit, denn diese ist nicht zu erreichen.
Mit der DATEV wurde bereits der größte und renommierteste Anbieter gewählt. Wo sollen die Sicherheitsmaßnahmen enden, bevor sie betriebswirtschaftlich komplett sinnlos werden? Die Aufgabe des Unternehmens ist in der Regel, seinen Unternehmenszweck wahrzunehmen und nicht, seine kompletten Ressourcen auf Datensicherung zu ver(sch)wenden.
Dem Prüfer sollte unbedingt die Gegenfrage gestellt werden: Welche Maßnahmen erachtet er als ausreichend?
- Zusätzliche, eigene Serverstruktur, die die Daten der DATEV spiegelt? Unsinn, weil anfälliger als das RZ.
- Verteilung der Daten über die ganze Welt? Unsinn, weil nicht mit der DSGVO vereinbar.
Die Frage des Prüfers führt sich quasi selbst ad absurdum, denn was ist der größte Schaden, der durch einen Untergang der Daten entstehen würde? Ein Verwurf der Buchführung bis zum Zeitpunkt der letzten Betriebsprüfung mit dementsprechen Hinzuschätzungspotential von X Euro. Dieser Schaden läst sich grob berechnen und aufgrund dieser Basis ein Schutzszenario kalkulieren, daß angemessen und sinnvoll ist.
Selbst Richtlinien für WPs sagen, daß ein Weltuntergangsszenario nicht zu berücksichtigen ist - vermutlich auch, weil es schwierig ist, eine Datensicherung auf dem Mond zu lagern.
Kooperation in Prüfungssituationen ist das A und O, aber irgendwann ist auch der Punkt erreicht, an dem man dem Prüfer die Sinnlosigkeit seiner Fragen aufzeigen muß... und eventuell den Hinweis geben, daß er bei einer Behörde tätig ist, die immer noch mit abgekündigten und nun ungeschützten Betriebssystemen arbeitet und für die die DSGVO keine Gültigkeit besitzt.
Oh mann, watt regen mich solche Prüferfragen auf!
Kurzen Prozess machen - dem Prüfer die Zertifikate und Leistungskataloge der DATEV vorlegen und ihm sagen, daß er sich auf die Aufdeckung prüfungsrelevanter Tatsachen konzentrieren soll, anstatt irgendwelche albernen Fantasieszenarien zu konstruieren.
Was pasiert, wenn die Stadwerke schließen und das FA keinen Strom mehr für seine Computer bekommt? Was passiert, wenn die Landwirtschaft schließt und alle Betriebsprüfer verhungern? Anarchie in den Unternehmen!!!
@vogtsburger schrieb:
... das Szenario eines Großbrandes eines Rechenzentrums inkl. Datenverlust in Teilbereichen oder kompletter Accounts, ist gar nicht mal so unrealistisch wie es klingt.
... vor ein paar Monaten gab es einen solchen Großbrand eines Rechenzentrums, inkl. Datenverlusten, da eine redundante Datenhaltung ja auch Geld kostet, das nicht immer freiwillig 'in die Hand genommen' wird
... habe mir diesen Fall irgendwo archiviert, aber die Katastrophen-Szenarien verblassen in der Erinnerung ziemlich schnell, wenn man selbst nicht davon betroffen ist
Das war übrigens bei OVH:
https://www.faz.net/aktuell/feuilleton/medien/groesstes-rechenzentrum-europas-brennt-komplett-nieder-17241629.html
Aus dem Text:
„...aber offenbar hatten etliche Kunden aus Kostengründen auf derartige Sicherheitsnetze verzichtet, da sie bei OVHcloud kostenpflichtig dazugebucht werden müssen.“
Und das ist genau der Punkt: Kein Backup, kein Mitleid. (Zitat Daniel Bohle Ende)
Wer die paar hundert Euro für ein redundantes Backup nicht ausgibt, ist selbst schuld. Da sind wir dann wieder beim Thema Kalkulation.
Live long and prosper!
