Compliance-Software Audit-Trails: Pflicht-Inhalte 2026

Hauptartikel: Rechenschaftspflicht (Glossar) — die Nachweispflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO, auf die ein Audit-Trail einzahlt.

1. Pflicht-Inhalte pro Log-Eintrag

Zeitstempel (UTC), User-ID, Aktion (Read/Write/Delete), betroffener Datensatz (Hash), Ergebnis (success/fail), IP-Adresse.

Jedes dieser Felder beantwortet eine Frage, die in einem Aufsichts-, Melde- oder Betroffenenverfahren tatsächlich gestellt wird: wann, wer, was, welcher Datensatz, mit welchem Ausgang, von wo. Das größte Gewicht trägt der Zeitstempel, denn er ist der Ankerpunkt der gesetzlichen Fristen. Die Meldepflichten laufen ab Kenntnis — Art. 33 Abs. 1 DSGVO bei einer Verletzung des Schutzes personenbezogener Daten, in Deutschland § 32 Abs. 1 BSIG bei einem erheblichen Sicherheitsvorfall. Die Reaktionspflichten laufen ab Eingang: Art. 12 Abs. 3 DSGVO ab Eingang eines Antrags betroffener Personen, § 17 Abs. 1 Nr. 1 HinSchG ab Eingang einer Meldung. Hinzu kommt die Begründungspflicht bei Fristüberschreitung nach Art. 33 Abs. 1 DSGVO (siehe Fristen-Tabelle) — auch sie stützt sich auf Protokolle.

Für schreibende Aktionen kommen die Vorher-Nachher-Werte des geänderten Feldes hinzu; ohne sie lässt sich eine Änderung im Nachhinein nicht rekonstruieren. Der betroffene Datensatz wird als Hash statt im Klartext protokolliert — das Protokoll bleibt so zuordnungsfähig, ohne den Dateninhalt zu verdoppeln. Das Ergebnisfeld (success/fail) trennt erfolgreiche von abgewehrten Zugriffen und ist die Grundlage der Failed-Login-Auswertung aus Abschnitt 3.

2. DSGVO-spezifisch

Zugriff auf personenbezogene Daten loggen. Bei Sondersensibel: zusätzliche Zwecks-Notiz.

„Sondersensibel" meint die besonderen Kategorien des Art. 9 Abs. 1 DSGVO: Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt und nur über eine Ausnahme des Art. 9 Abs. 2 DSGVO zulässig — etwa die ausdrückliche Einwilligung. Die Zwecks-Notiz sollte deshalb festhalten, auf welchen Ausnahmetatbestand der Zugriff gestützt wird.

Zwei weitere Nachweise gehören in denselben Datenbestand. Erstens die Rechtsgrundlage: Eine Verarbeitung ist nur rechtmäßig, wenn mindestens einer der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO erfüllt ist (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse). Zweitens die Einwilligung: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1 DSGVO); der Widerruf ist jederzeit möglich und muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Erteilung und Widerruf brauchen daher je einen eigenen, zeitgestempelten Eintrag.

Anträge betroffener Personen nach den Art. 15 bis 22 DSGVO sind unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang zu beantworten; die Frist ist um zwei Monate verlängerbar, wenn Komplexität und Anzahl der Anträge es erfordern, und über die Verlängerung ist innerhalb eines Monats unter Angabe der Gründe zu unterrichten (Art. 12 Abs. 3 DSGVO). Ohne protokolliertes Eingangsdatum ist keine dieser Fristen belegbar.

3. NIS2-spezifisch

Privileged-Access-Logs, Configuration-Changes, Failed-Login-Attempts. Aufbewahrung 90 Tage operativ + 12 Monate Archiv: Praxiswert, keine gesetzliche Frist. Weder die NIS-2-Richtlinie noch das BSIG schreiben Log-Aufbewahrungsfristen vor. Gesetzlich verlangt ist, dass die Einhaltung der Risikomanagement-Pflicht dokumentiert wird (§ 30 Abs. 1 Satz 3 BSIG; Maßnahmenkatalog § 30 Abs. 2 Nr. 1–10 BSIG, Art. 21 Abs. 1 und 2 der Richtlinie (EU) 2022/2555 — beide ohne Aufbewahrungsfrist). Einen festen Zyklus gibt es nur für Betreiber kritischer Anlagen: Nachweis der Umsetzung durch Sicherheitsaudits, Prüfungen oder Zertifizierungen frühestens drei Jahre nach erstmaliger Einstufung und anschließend alle drei Jahre (§ 39 Abs. 1 BSIG).

Inhaltlich verlangt § 30 Abs. 1 BSIG von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten. Der Mindestkatalog des § 30 Abs. 2 Nr. 1 bis 10 BSIG nennt unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. In der Praxis belegen die drei oben genannten Log-Arten genau diese Bereiche: Privileged-Access-Logs und Failed-Login-Attempts die Zugriffskontrolle und Authentifizierung, Configuration-Changes die Nachvollziehbarkeit von Änderungen an den Maßnahmen selbst. Was ein erheblicher Sicherheitsvorfall ist, definiert § 2 Nr. 11 BSIG — die Meldepflicht selbst folgt aus § 32 Abs. 1 BSIG: erheblich ist ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.

DE/AT-Hinweis: Der NIS2-Teil dieses Artikels bildet die deutsche Rechtslage (BSIG 2025) ab. In Österreich tritt an die Stelle des BSIG das NISG 2026 (BGBl. I Nr. 94/2025); es gilt ab seinem Anwendungsbeginn am 01.10.2026: Risikomanagement-Maßnahmen nach § 32 Abs. 1 und 4 NISG, Registrierung bei der Cybersicherheitsbehörde nach § 29 NISG, Meldung erheblicher Vorfälle nach § 34 NISG (24 h / 72 h / 1 Monat) an das zuständige CSIRT. Für den Nachweis gilt in Österreich kein 3-Jahres-Zyklus, sondern § 33 NISG: strukturierte Selbstdeklaration der umgesetzten Maßnahmen binnen zwölf Monaten nach Eintritt der Registrierungspflicht und — auf Aufforderung — Nachweis durch eine unabhängige Stelle; dieser Nachweis ist binnen zwei Jahren zu erbringen, wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 1 und 2 NISG). Erheblich ist ein Cybersicherheitsvorfall in Österreich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1 NISG). Log-Aufbewahrungsfristen schreibt auch das NISG 2026 nicht vor.

4. HinSchG-spezifisch

Jede Aktion in Meldestellen-Software. Immutable. Aufbewahrung 3 Jahre nach Verfahrensabschluss (§ 11 Abs. 5 HinSchG).

Der Grund für die lückenlose Protokollierung ist das Vertraulichkeitsgebot: Die Meldestellen haben die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen zu wahren; die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). Ein Zugriffsprotokoll ist der Weg, diese Beschränkung im Streitfall zu belegen. Dazu kommen zwei Fristen, die ohne Zeitstempel nicht nachweisbar sind: die Eingangsbestätigung spätestens sieben Tage nach Eingang (§ 17 Abs. 1 Nr. 1 HinSchG) und die Rückmeldung über geplante sowie bereits ergriffene Folgemaßnahmen binnen drei Monaten nach der Eingangsbestätigung — wurde der Eingang nicht bestätigt, spätestens drei Monate und sieben Tage nach Eingang (§ 17 Abs. 2 HinSchG). Die Pflicht zur internen Meldestelle trifft in Deutschland Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 1 Satz 1 und Abs. 2 HinSchG). Wer eine Meldung behindert, eine Repressalie ergreift oder die Vertraulichkeit nicht wahrt, handelt ordnungswidrig — Geldbuße bis zu 50.000 Euro; das Fehlen einer internen Meldestelle ist mit bis zu 20.000 Euro bedroht (§ 40 Abs. 2 bis 6 HinSchG).

DE/AT-Hinweis: In Österreich gilt statt des HinSchG das HSchG: personenbezogene Daten sind ab der letztmaligen Verarbeitung oder Übermittlung fünf Jahre aufzubewahren (§ 8 Abs. 11 HSchG); Protokolldaten über Änderungen, Abfragen und Übermittlungen sind bis drei Jahre nach Entfall dieser Aufbewahrungspflicht aufzubewahren (§ 8 Abs. 12 HSchG). Das interne Hinweisgebersystem ist ab 50 Arbeitnehmern oder Bediensteten einzurichten (§ 3 Abs. 1 und § 11 Abs. 1 HSchG), der Eingang schriftlicher Hinweise ist unverzüglich, spätestens nach sieben Kalendertagen schriftlich zu bestätigen (§ 9 Abs. 1 HSchG), und spätestens drei Monate nach Entgegennahme ist bekanntzugeben, welche Folgemaßnahmen ergriffen wurden oder beabsichtigt sind (§ 13 Abs. 9 HSchG). Den Identitätsschutz regelt § 7 Abs. 1 und 2 HSchG; Verstöße ahndet die Bezirksverwaltungsbehörde mit Geldstrafe bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro (§ 24 HSchG).

5. Tool-Optionen

Beispiele aus der Erstfassung dieses Artikels (Stand der Erstfassung: 02.05.2026), keine Auswahlempfehlung: Microsoft Sentinel, ELK-Stack (Open-Source), Splunk (Enterprise), Datadog (Mid-Market).

Preise, Marktanteile oder Produktempfehlungen enthält diese Liste bewusst nicht. Für die Auswahl entscheidend sind vier Fähigkeiten, die sich aus den Abschnitten 1, 3 und 6 ergeben: Erfasst das Werkzeug alle Pflicht-Felder inklusive Vorher-Nachher-Werten? Schreibt es append-only beziehungsweise auf WORM-Speicher? Lässt sich der Bestand ohne Zutun des Anbieters exportieren? Und liegen die Daten in einer Konstellation, die eine Auftragsverarbeitung nach Art. 28 DSGVO auslöst? Rechtlich entscheidend ist nicht das Produkt, sondern die Konstellation. Verarbeitet ein Anbieter dabei personenbezogene Daten in Ihrem Auftrag, dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; die Zusammenarbeit ist über einen Vertrag zu regeln, der Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 1 und 3 DSGVO). Für Einrichtungen im NIS2-Anwendungsbereich kommt die Lieferkettensicherheit aus dem Mindestkatalog hinzu (§ 30 Abs. 2 BSIG; in Österreich ab 01.10.2026 § 32 Abs. 4 NISG 2026) — das Log-Werkzeug ist selbst Teil dieser Lieferkette.

6. Beweis-Wert: was manipulationssichere Logs im Aufsichtsverfahren tragen

Immutable Logs (z.B. Append-Only) haben höheren Beweis-Wert — hier betrachtet im Aufsichtsverfahren. Hash-Chains + Time-Stamping sichern die Integrität zusätzlich ab.

Zum gerichtlichen Beweisrecht trifft dieser Artikel keine Aussage; aufsichtsrechtlich lässt sich der Nutzen dagegen genau benennen. Technisch führen dorthin hashbasierte Verfahren (HMAC), append-only geschriebene Logs und WORM-Storage. Append-only heißt, dass die Anwendung ausschließlich Schreibrechte auf den Log-Speicher hat und kein Konto — auch kein administratives — Einträge ändern oder löschen kann; WORM-Storage erzwingt dieselbe Beschränkung auf Speicherebene für die festgelegte Aufbewahrungsdauer. Bei hashbasierten Verfahren wird jeder Eintrag zusammen mit dem Hash seines Vorgängers gesichert, wobei der HMAC-Schlüssel getrennt vom Log-System verwahrt wird; die Kette in einem festen Rhythmus zu prüfen und das Prüfergebnis selbst zu protokollieren, ist eine Praxisempfehlung. Im Datenschutz ist der Bezugspunkt Art. 32 DSGVO — Verfügbarkeit, Integrität und Vertraulichkeit sind zu gewährleisten. Für den Dokumentationsauftrag des § 30 Abs. 1 BSIG (Abschnitt 3) ist ein nachträglich unveränderbares Protokoll aus unserer Praxissicht der belastbarere Nachweis — eine Praxiseinschätzung, keine gesetzliche Vorgabe. Daneben wirkt die Integritätssicherung auf zwei weitere datenschutzrechtliche Pflichten: Die Begründungspflicht bei Fristüberschreitung nach Art. 33 Abs. 1 DSGVO (siehe Fristen-Tabelle) steht und fällt mit belastbaren Zeitstempeln. Und die Benachrichtigung der betroffenen Person nach Art. 34 Abs. 1 DSGVO ist unter anderem dann nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden (Art. 34 Abs. 3 DSGVO); ob und ab wann sie angewandt waren, belegen Konfigurations- und Änderungsprotokolle.

Zeitstempel als Fristanker: welche Uhr wann läuft

Die Melde- und Reaktionsfristen dieses Themenfelds laufen ab einem von zwei Ereignissen: ab Kenntnis bei den Meldepflichten, ab Eingang bei den Reaktionspflichten. Genau dafür wird der Audit-Trail gebraucht. Alle Zeilen der folgenden Tabelle sind gesetzliche Fristen; die erste Spalte nennt das Ereignis, ab dem die jeweilige Frist läuft. Die Zeile zum NISG 2026 gilt erst ab dessen Anwendungsbeginn am 01.10.2026; die HSchG-Fristen gelten bereits.

Aufbewahrung: welche Frist aus welcher Norm folgt

Die Aufbewahrungsdauer folgt dem Dokumententyp und der Norm, die ihn verlangt — deshalb laufen in einem System mehrere Fristen nebeneinander. Die Spalte „Art" sagt für jede Zeile, ob es sich um eine gesetzliche Frist, einen Praxiswert oder eine unverändert aus der Erstfassung übernommene Angabe handelt.

Der 3-Jahres-Zyklus des § 39 Abs. 1 BSIG ist ein Nachweis-, kein Aufbewahrungstermin (Abschnitt 3).

Wen die Nachweispflichten treffen: Schwellen in Deutschland und Österreich

Ob die NIS2-Pflichten dieses Artikels und die Pflicht zur internen Meldestelle greifen, entscheidet die Kombination aus Einrichtungsart und Größe — und die Schwellen sind in beiden Ländern unterschiedlich formuliert. In Deutschland gelten sonstige Einrichtungen einer in Anlage 1 BSIG bestimmten Art als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Mio. Euro und zudem eine Jahresbilanzsumme von über 43 Mio. Euro aufweisen. Als wichtige Einrichtung gelten Einrichtungen einer in Anlage 1 oder Anlage 2 bestimmten Art, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweisen (§ 28 Abs. 1 und 2 BSIG). Unabhängig von diesen Größen zählen Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Telekommunikationsanbieter zu den besonders wichtigen Einrichtungen (§ 28 Abs. 1 BSIG).

In Österreich gilt ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 eine Einrichtung als großes Unternehmen, wenn sie zumindest 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. Euro erzielt und die Jahresbilanzsumme über 43 Mio. Euro liegt; als mittleres Unternehmen, wenn sie zumindest 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 10 Mio. Euro erzielt und die Jahresbilanzsumme über 10 Mio. Euro liegt (§ 25 Abs. 2 und 3 NISG 2026). Ob daraus eine wesentliche oder eine wichtige Einrichtung wird, hängt zusätzlich an der Zuordnung zu einer Anlage-1- oder Anlage-2-Art (§ 24 NISG 2026). Für die Protokolle der internen Meldestelle gilt eine eigene Schwelle von 50 Beschäftigten beziehungsweise Arbeitnehmern (Abschnitt 4). Einen Datenschutzbeauftragten benennen deutsche Verantwortliche und Auftragsverarbeiter ergänzend zu Art. 37 Abs. 1 DSGVO, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 Abs. 1 BDSG); Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor (§ 5 DSG).

Aufsicht und Sanktionen: wer die Nachweise anfordert

Angefordert werden die Nachweise von den nationalen Aufsichtsbehörden — in Deutschland und Österreich sind das unterschiedliche Stellen. Für die IT-Sicherheit ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik die zentrale Stelle (§ 1 BSIG); ein amtliches Datum für den Beginn der Aufsichts- und Bußgeldpraxis liegt nicht vor. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist; wer die Registrierung versäumt hat, sollte sie nachholen. Unabhängig davon gilt: Neue Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals als besonders wichtige oder wichtige Einrichtung gelten, und melden Änderungen unverzüglich, spätestens binnen zwei Wochen (§ 33 Abs. 1 und 5 BSIG; in Österreich ab 01.10.2026 Registrierung binnen drei Monaten bei der Cybersicherheitsbehörde, Änderungen der Kerndaten binnen zwei Wochen, § 29 Abs. 2 bis 4 NISG 2026). Zuständige Behörde in Österreich ist ab 01.10.2026 das Bundesamt für Cybersicherheit (§ 3a NISG 2026). Im Datenschutz überwachen in Deutschland die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG) und der oder die BfDI die öffentlichen Stellen des Bundes (§ 9 Abs. 1 BDSG); in Österreich ist die Datenschutzbehörde die nationale Aufsichtsbehörde (§ 18 Abs. 1 DSG).

Der Sanktionsrahmen ist in beiden Ländern nach Einrichtungsklasse gestaffelt. In Deutschland können Verstöße unter anderem gegen die Risikomanagement- und Meldepflichten gegen besonders wichtige Einrichtungen mit Geldbuße bis zu 10 Mio. Euro und gegen wichtige Einrichtungen bis zu 7 Mio. Euro geahndet werden; bei einem Gesamtumsatz von mehr als 500 Mio. Euro treten abweichend bis zu 2 % bzw. bis zu 1,4 % des weltweiten Gesamtumsatzes an diese Stelle (§ 65 Abs. 5 Nr. 1 sowie Abs. 6 und 7 BSIG). In Österreich sind ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis zu 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen vorgesehen, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026). Im Datenschutz liegt der Rahmen für Verstöße unter anderem gegen die Art. 25 bis 39 DSGVO bei bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für Verstöße gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen (Art. 5, 6, 7, 9) und die Betroffenenrechte (Art. 12 bis 22) bei bis zu 20 Mio. Euro oder 4 % — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 und 5 DSGVO).

Praxisempfehlungen für den laufenden Betrieb

Vier Routinen halten die oben belegten Pflichten im Alltag nachweisbar: Log-Konzept mit Pflichtenbezug, begrenzter Zugriff auf die Log-Systeme, fester Quartals-Rhythmus und ein vorab getesteter Export. Sie sind Praxisempfehlungen, soweit unten nicht ausdrücklich auf eine gesetzliche Pflicht verwiesen wird.

• Log-Konzept mit Pflichtenbezug: Für jedes protokollierte Feld notieren, welcher Nachweis damit geführt wird — Zeitstempel für die Fristen aus der Tabelle oben, Zugriffsdaten für Zugriffskontrolle und Vertraulichkeit.
• Zugriff auf die Log-Systeme selbst begrenzen und dokumentieren. Für die interne Meldestelle folgt diese Begrenzung unmittelbar aus dem Gesetz (§ 8 Abs. 1 HinSchG, in Österreich § 7 Abs. 1 und 2 HSchG); für die übrigen Systeme ist sie eine Empfehlung.
• Drei Stationen aus unserem Compliance-Jahresplan, die unmittelbar auf Audit-Trails zugreifen: Q1 Audit-Vorbereitung mit VVT-Update, AVV-Reconciliation und Quartals-Risiko-Review, Q3 Auswertung der Lieferanten-Selbstauskunft mit Vor-Ort-Audit kritischer Lieferanten, Q4 Management-Review mit der Geschäftsführung. Als Dauer-Aufgaben führen wir dort das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) jährlich und bei Änderungen sowie den TOM-Review (Art. 32 DSGVO) jährlich und nach Vorfällen.
• Exportierbarkeit vorab prüfen: Vor der nächsten Aufsichts-Anfrage testen, ob die Nachweise aus Abschnitt 3 ohne Zutun des Anbieters ausgeleitet werden können.