Aufbewahrungsrichtlinien für Tools zur Dateiübertragung

Eine Aufbewahrungsrichtlinie für Dateiübertragungstools legt fest, wie lange hochgeladene Dateien auf Servern verbleiben, wann sie automatisch gelöscht werden, wie rechtliche Haltefristen (Legal Holds) die Löschung aussetzen und wer die Befugnis hat, Standardeinstellungen zu überschreiben. Für die meisten Unternehmen im Jahr 2026 bedeutet das: ein 7-Tage-Standardablauf für Ad-hoc-Übertragungen, ein separater Archivierungspfad für Dokumente, die SOX (sieben Jahre), HIPAA (sechs Jahre) oder der DSGVO (Speicherbegrenzung nach Artikel 5) unterliegen, und ein unveränderliches Legal-Hold-Flag. Die Richtlinie muss schriftlich vorliegen, von der Rechtsabteilung abgezeichnet und technisch durchgesetzt sein – nicht nur beschrieben.

Warum Übertragungstools eine andere Richtlinie brauchen als Speichertools

Eine für SharePoint oder Google Drive entwickelte Aufbewahrungsrichtlinie lässt sich nicht einfach auf WeTransfer, SwissTransfer oder Dropbox Transfer übertragen. Übertragungstools sind von Natur aus flüchtig – sie halten eine Datei einige Tage bereit, damit ein Empfänger sie herunterladen kann. Speicherplattformen sind langfristig ausgelegt. Diese Vermischung führt zu zwei häufigen Fehlern: Man verlässt sich auf einen Übertragungslink zur „Archivierung" eines Dokuments (das wird verschwinden), oder man bewahrt Übertragungsdaten zu lange auf und gerät in die Haftung für Aktenmanagement bei Dateien, die ins DMS gehören. Die Richtlinie muss klar formulieren: Übertragungstools sind Kuriere, keine Lager. Alles, was aufbewahrt werden muss, wird in ein designiertes Repository kopiert, bevor das Übertragungsfenster schließt.

Praktikable Standard-Ablauffristen

Ein 7-Tage-Standard deckt die meisten geschäftlichen Übertragungen ab. Empfänger erhalten nach 3 Tagen eine Erinnerung, am Tag 6 eine Letzte-Chance-Benachrichtigung, und die Datei wird am Tag 7 gelöscht. Für sensible Kategorien wie PHI oder Karteninhaberdaten ist ein 24-Stunden-Ablauf oder „Ablauf beim ersten Download" strenger und entspricht besser dem Minimalerforderlichkeitsprinzip. Am anderen Ende benötigen Langzeitprojekte wie Ausschreibungen oder Due-Diligence-Räume 30 bis 90 Tage. Legen Sie Standards nach Anwendungsfall fest, nicht nach einer einzigen Zahl. WeTransfer setzt standardmäßig auf 7 Tage, Smash auf 14, Dropbox Transfer auf 7 oder 30 je nach Tarif. Passen Sie Ihre Richtlinie an die Möglichkeiten des Tools an.

Automatisierte Löschung und kryptografische Löschung

Der Löschmechanismus ist für den Compliance-Nachweis entscheidend. Zwei Ansätze dominieren: Dateilöschung auf Dateiebene entfernt das Objekt aus dem primären Speicher und allen Replikaten und verlässt sich darauf, dass Backup-Zyklen innerhalb von Wochen ablaufen. Kryptografische Löschung, bei der die Datei mit einem dateispezifischen Schlüssel verschlüsselt und der Schlüssel beim Ablauf vernichtet wird, macht den Chiffretext sofort unlesbar, auch wenn Backups weiter existieren. DSGVO Artikel 17 – Recht auf Löschung – wird durch beide erfüllt, aber kryptografische Löschung liefert eine sauberere Audit-Geschichte: Die NIST SP 800-88 Rev. 1-Leitlinien akzeptieren Schlüsselvernichtung als gültige Bereinigungsmethode für verschlüsselte Medien.

Legal-Hold-Prozesse

Wenn Rechtsstreitigkeiten hinreichend wahrscheinlich sind, muss die automatische Löschung für relevante Dateien ausgesetzt werden. Das ist der Legal Hold. Der Prozess: Die Rechtsabteilung identifiziert Verwahrer und Dateitypen, IT oder der Transferadministrator markiert entsprechende Übertragungen, das System blockiert die Löschung bis zur Aufhebung des Holds, und ein Audit-Trail dokumentiert Umfang und Dauer des Holds. Tools ohne ein Legal-Hold-Flag zwingen Sie, alles in ein Sicherungssystem zu exportieren – aufwändig und fehleranfällig. Microsoft Purview und Relativity integrieren sich mit großen Plattformen. Für kleinere Organisationen funktioniert ein dokumentierter manueller Export in ein WORM-Archiv vor dem Hold-Trigger, aber die Richtlinie muss wöchentliche Überprüfungen während Rechtsstreitigkeiten vorschreiben.

Aufbewahrung im Einklang mit spezifischen Vorschriften

Verschiedene Vorschriften setzen unterschiedliche Mindestfristen. SOX Section 802 verlangt sieben Jahre für Prüfungsarbeitspapiere. HIPAAs Sechs-Jahres-Regel gilt für Richtlinien und Audit-Protokolle, nicht unbedingt für die PHI-Dateien selbst. FINRA 4511 und SEC 17a-4 verlangen drei bis sechs Jahre für Broker-Dealer-Aufzeichnungen, mit strengeren WORM-Speicheranforderungen für bestimmte Kategorien. DSGVO Artikel 5(1)(e) ist offen gestaltet, verlangt aber eine gerechtfertigte Dauer. ITAR-Aufzeichnungen laufen fünf Jahre. Die Erstellung eines Aufbewahrungsplans bedeutet, jede Dokumentkategorie ihrer längsten anwendbaren Anforderung zuzuordnen und dann das Übertragungstool so einzustellen, dass es entweder dieser Dauer entspricht oder vor dem Lösch-Trigger an den Archivspeicher übergibt.

Den Nachweis der Wirksamkeit erbringen

Eine Aufbewahrungsrichtlinie ohne Nachweise ist ein frommer Wunsch. Vierteljährliche Stichprobenprüfungen sollten eine Auswahl von Übertragungen überprüfen: Wurde die Datei planmäßig gelöscht? Ist die Löschung protokolliert? War ein Legal Hold in Kraft, wurde die Löschung ausgesetzt? Ein jährlicher Review durch die interne Revision deckt die Vollständigkeit der Richtlinie ab. Externe Prüfer von Firmen wie Deloitte oder KPMG werden den Aufbewahrungsplan, den Konfigurationsnachweis des Tools und eine Stichprobe von Löschprotokollen verlangen. SOC-2-Typ-II-Prüfungen nach TSC CC6.5 kontrollieren Aufbewahrungs- und Entsorgungskontrollen explizit.

Umgang mit Nutzerüberschreibungen

Richtlinien scheitern, wenn Nutzer sie umgehen. Ein Vertriebsmitarbeiter, der jede übertragene Datei in ein persönliches Dropbox-Konto herunterlädt, macht den Zweck zunichte. Technische Kontrollen helfen: lokale Downloads wo möglich deaktivieren, sensible Dateien mit Tools wie Seclore oder Azure Information Protection mit Wasserzeichen versehen und Downloads statt nur Uploads prüfen. Menschliche Kontrollen sind noch wichtiger: Schulungen bei der Einführung und jährliche Auffrischungen, klare Formulierungen in der Acceptable-Use-Policy und vertragliche Konsequenzen bei Verstößen. Eine Aufbewahrungsrichtlinie ist nur so stark wie die schwächste Nutzerentscheidung, die sie berührt.

Grenzüberschreitende Überlegungen

Eine Datei, die von Paris nach Singapur übertragen wird, muss möglicherweise gleichzeitig DSGVO-Speicherbegrenzung und die Aufbewahrungsregel des Singapur PDPA erfüllen. Wenn beide kollidieren, gewinnt in der Regel die strengere – aber dokumentieren Sie die Analyse. EU-gespeicherte Übertragungstools vereinfachen dies für europäische Parteien. Bei gemischten Regionen sollte die Richtlinie spezifizieren, welche Jurisdiktion für jede Dateikategorie gilt. Multinationale Organisationen übernehmen häufig eine Highest-Common-Denominator-Richtlinie: Wenn eine regulierte Kategorie sieben Jahre verlangt, gilt das für alles in diesem Workflow, auch wenn einige Dokumente früher hätten gelöscht werden können.

HexaTransfer setzt standardmäßig auf einen 7-Tage-Ablauf mit kryptografischer Löschung (dateispezifische Schlüssel werden bei der Löschung vernichtet), betreibt EU-Infrastruktur und zeigt Download-Protokolle pro Datei. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.

Der Sinn einer Aufbewahrungsrichtlinie liegt nicht darin, alles ewig zu speichern oder alles sofort zu löschen. Es geht darum, Ihrer Organisation eine vertretbare, konsistente Antwort auf die Frage zu geben: „Warum ist diese Datei noch hier?" oder „Warum haben Sie sie gelöscht?" Ordnen Sie Dokumenttypen Aufbewahrungsfristen zu, wählen Sie Übertragungstools, die diese Fristen technisch durchsetzen, und protokollieren Sie die Übergänge. Das ist der gesamte Auftrag.