Revisionssichere E-Mail-Archivierung nach GoBD
E-Mail-Archivierung nach GoBD: Welche Mails Sie wie lange aufbewahren müssen (6/8/10 Jahre), warum ein Backup nicht reicht und wie revisionssichere Archivierung in M365 gelingt.
- § 147 Abs. 3 der Abgabenordnung nennt drei Fristen: zehn Jahre für Bücher und Jahresabschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für alle übrigen Unterlagen einschließlich empfangener und abgesandter Geschäftsbriefe.
- Die Frist für Buchungsbelege wurde mit dem Vierten Bürokratieentlastungsgesetz von zehn auf acht Jahre verkürzt – dieselbe Staffelung steht in § 257 Abs. 4 HGB.
- Revisionssicher heißt: unveränderbar, vollständig, protokolliert und über die gesamte Frist maschinell auswertbar. Ein Postfach mit Archivordner erfüllt keine dieser vier Eigenschaften.
- Ein Backup ist keine Archivierung: Es wird laufend überschrieben, hält Tage bis Wochen und wird im Ganzen zurückgespielt – ein Archiv bewahrt einzelne Nachrichten unveränderbar über sechs bis zehn Jahre auf.
- In Microsoft 365 setzen Aufbewahrungsrichtlinien in Microsoft Purview die Fristen um; erst die Erhaltungssperre macht eine Richtlinie so unveränderbar, dass auch ein globaler Administrator sie nicht mehr abschwächen kann.
Die Archivierung von E-Mails ist für Unternehmen Pflicht: Jede geschäftliche E-Mail ist ein Geschäftsbrief – und unterliegt damit denselben Aufbewahrungspflichten wie ein Brief auf Papier. Wer geschäftliche E-Mails archivieren muss, kommt an einer revisionssicheren Lösung nicht vorbei. Was viele Unternehmen überrascht: Der normale Posteingang erfüllt diese Pflicht nicht, und auch ein Backup reicht nicht aus. Dieser Beitrag erklärt, welche E-Mails Sie wie lange aufbewahren müssen, was „revisionssicher” bedeutet, warum Archivierung und Backup zwei verschiedene Dinge sind und wie Sie die Archivierung in Microsoft 365 gesetzeskonform umsetzen.
Die Archivierungspflicht: GoBD, HGB und AO
Die Pflicht ergibt sich aus dem Zusammenspiel dreier Regelwerke. Die GoBD – die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form – konkretisieren als Verwaltungsanweisung des Bundesfinanzministeriums, wie digitale Unterlagen aufzubewahren sind; maßgeblich ist die Fassung vom 14. Juli 2025. Die Fristen selbst stehen im Gesetz: in § 147 der Abgabenordnung und, wortgleich gestaffelt, in § 257 des Handelsgesetzbuchs.
Diese Staffelung steht so in § 147 Abs. 3 AO. Bemerkenswert ist die mittlere Zahl: Buchungsbelege mussten früher zehn Jahre vorgehalten werden. Das Vierte Bürokratieentlastungsgesetz hat die Frist auf acht Jahre verkürzt – für Kreditinstitute, Versicherer und Wertpapierinstitute bleibt es nach § 257 Abs. 4 HGB allerdings bei zehn Jahren.
| Art der Unterlage | Frist | Rechtsgrundlage |
|---|---|---|
| Handels- und Geschäftsbriefe (Angebote, Bestätigungen, Korrespondenz) | 6 Jahre | § 147 Abs. 1 Nr. 2, 3 AO |
| Buchungsbelege (Rechnungen, Quittungen, Kontoauszüge) | 8 Jahre | § 147 Abs. 1 Nr. 4 AO |
| Bücher, Inventare, Jahresabschlüsse, Lageberichte | 10 Jahre | § 147 Abs. 1 Nr. 1 AO |
Entscheidend ist der Startpunkt, den viele übersehen: Nach § 147 Abs. 4 AO beginnt die Frist erst mit dem Schluss des Kalenderjahres, in dem der Geschäftsbrief empfangen oder abgesandt wurde. Aus sechs Jahren werden dadurch praktisch bis zu sieben, aus zehn bis zu elf. Und die Frist läuft nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch offen ist.
Weil die Zuordnung im Alltag schwerfällt und im Zweifel die längere Frist gilt, fahren die meisten Betriebe am sichersten, wenn sie den gesamten geschäftlichen Mailverkehr automatisch und einheitlich über zehn Jahre archivieren. Eine differenzierte Frist je Mail-Typ klingt sauberer, scheitert aber an der täglichen Zuordnung.
Eine Untergrenze nach Größe gibt es nicht. Der häufigste Einwand im Erstgespräch lautet „Dafür sind wir zu klein” – er trägt nicht: Die Pflichten knüpfen an die Buchführungs- und Aufzeichnungspflicht an, nicht an Umsatz oder Mitarbeiterzahl. Ein Betrieb mit acht Personen unterliegt denselben Fristen wie einer mit 250. Besonders streng wird es dort, wo fremde Unterlagen verwaltet werden – etwa in der IT für Steuerkanzleien.
Was „revisionssicher” bedeutet
Revisionssicher ist mehr als „gespeichert”. Der Begriff umfasst vier Eigenschaften:
- Unveränderbarkeit: Eine archivierte Mail kann nachträglich nicht verändert oder gelöscht werden – auch nicht durch die Administration.
- Vollständigkeit: Alle aufbewahrungspflichtigen Mails werden lückenlos erfasst, ein- und ausgehend, samt Anhängen.
- Nachvollziehbarkeit: Jeder Zugriff und jede Aufbewahrungsentscheidung ist protokolliert.
- Verfügbarkeit: Jede Mail ist über die gesamte Frist schnell auffindbar, lesbar und maschinell auswertbar.
Der vierte Punkt ist keine Auslegung, sondern Gesetzestext: § 147 Abs. 2 Nr. 2 AO verlangt, dass die Daten „während der Dauer der Aufbewahrungsfrist jederzeit verfügbar sind, unverzüglich lesbar gemacht und maschinell ausgewertet werden können”. Für empfangene Handels- und Geschäftsbriefe fordert Nr. 1 zusätzlich bildliche Übereinstimmung – die Mail muss also so aussehen wie beim Empfang, nicht nur inhaltlich stimmen.
Ein normaler Posteingang erfüllt keine dieser Eigenschaften zuverlässig. Mails lassen sich löschen, verschieben und verändern; ein selbst angelegter Ordner namens „Archiv” ändert daran nichts. Genau deshalb braucht es eine echte Archivierung, die außerhalb der Reichweite des Nutzers liegt.
Der Grundsatz: E-Mail ist wie Papier
Der Grundsatz ist einfach: Was auf Papier aufbewahrungspflichtig wäre, ist es als E-Mail genauso. In der Praxis wird es dadurch kompliziert, dass geschäftliche Kommunikation heute über E-Mails samt Anhängen läuft – die Rechnung als PDF-Anhang, die Auftragsbestätigung im Fließtext. Beides zählt und muss archiviert werden.
Auch der Grundsatz der Unveränderbarkeit betrifft die gesamte Nachricht: Sowohl der Text als auch die Anhänge müssen unverändert erhalten bleiben. Wer geschäftliche Dokumente per E-Mail versendet oder empfängt, muss sie deshalb vollständig – inklusive aller Anhänge – aufbewahren. Ein reines Weiterleiten in einen „Archiv”-Ordner erfüllt das nicht, weil sich solche Ordner jederzeit verändern lassen.
Die Kehrseite: Was privat ist, darf nicht mit archiviert werden. Erlaubt ein Arbeitgeber die private Nutzung des dienstlichen Postfachs, wird eine pauschale Vollarchivierung datenschutzrechtlich heikel. Die saubere Lösung ist selten die Technik, sondern eine klare betriebliche Regelung: private Nutzung untersagen oder auf einen getrennten Weg verweisen.
Wer die Privatnutzung dienstlicher Postfächer erlaubt und trotzdem alles archiviert, sammelt personenbezogene Daten ohne Rechtsgrundlage. Regeln Sie die Privatnutzung schriftlich, bevor Sie die Archivierung scharf schalten – nicht danach.
Archivierung ist nicht Backup
Die wichtigste Abgrenzung, die im Alltag ständig verwechselt wird:
| Merkmal | Backup | Archiv |
|---|---|---|
| Zweck | Wiederherstellung nach Datenverlust | gesetzeskonforme Aufbewahrung |
| Veränderbarkeit | wird laufend überschrieben | unveränderbar |
| Aufbewahrung | Tage bis Wochen | 6 bis 10 Jahre |
| Auffindbarkeit | Wiederherstellung im Ganzen | gezielte Einzelsuche |
| Prüfer-Tauglichkeit | nein, kein Nachweis der Unveränderbarkeit | ja, mit Protokoll und Export |
Wer beides verwechselt, merkt es typischerweise zum schlechtesten Zeitpunkt: Der Prüfer fragt nach einer einzelnen Mail von 2019, und die einzige Kopie liegt in einer Sicherung, die längst überschrieben ist.
Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.
Jens HagelGründer & Geschäftsführer
Beides gehört trotzdem zusammen. Wie ein echtes Backup für Microsoft 365 aussieht, zeigt unser Ratgeber zum Microsoft-365-Backup – eine wichtige Ergänzung, aber kein Ersatz für die Archivierung. Umgekehrt ersetzt ein Archiv kein Backup als betreuten Dienst: Es schützt nicht davor, dass eine Ransomware das Produktivsystem lahmlegt.
Was im Prüffall wirklich verlangt wird
Die Archivierungspflicht wird selten abstrakt geprüft, sondern konkret bei einer Außenprüfung. § 147 Abs. 6 AO gibt der Finanzbehörde dabei drei Zugriffswege: unmittelbare Einsicht in die gespeicherten Daten am System, eine maschinelle Auswertung nach ihren Vorgaben oder die Übertragung der Daten in einem maschinell auswertbaren Format. In der Prüferpraxis heißen diese drei Wege Z1, Z2 und Z3.
Zwei Konsequenzen daraus werden regelmäßig unterschätzt. Erstens trägt nach § 147 Abs. 5 AO das Unternehmen die Kosten dafür, die Unterlagen lesbar zu machen – wer ein exotisches Archivformat wählt, zahlt später selbst für die Aufbereitung. Zweitens regelt Abs. 6 ausdrücklich den Fall, dass die Daten bei einem Dritten liegen: Dann muss dieser Dritte Einsicht gewähren oder die Daten übertragen, und die Kosten trägt wiederum das geprüfte Unternehmen. Wer in die Cloud archiviert, sollte den Prüfer-Export deshalb vorher einmal durchgespielt haben statt im Prüfungstermin.
Ein weiterer Baustein ist die Verfahrensdokumentation: eine Beschreibung, welche Mails wie erfasst, wo sie abgelegt und nach welchen Regeln sie gelöscht werden. Sie ist der Nachweis, dass das Archiv nicht zufällig funktioniert – und sie ist der Teil, den Betriebe am häufigsten schuldig bleiben. Gut ergänzt wird sie durch eine saubere IT-Dokumentation.
Umsetzung in Microsoft 365
In Microsoft 365 läuft die Archivierung über Aufbewahrungsrichtlinien in Microsoft Purview. Sie werden laut Microsoft Learn auf Containerebene zugewiesen – etwa auf alle E-Mail-Nachrichten in den Exchange-Postfächern – und von den Inhalten automatisch geerbt. Damit ist der erste Teil erledigt: Nichts wird gelöscht, bevor die Frist abgelaufen ist, auch nicht durch den Nutzer.
Der zweite Teil, die Unveränderbarkeit der Regel selbst, braucht einen weiteren Schritt. Die Erhaltungssperre (Preservation Lock) sperrt eine Aufbewahrungsrichtlinie so, dass sie niemand mehr deaktivieren oder löschen kann – ausdrücklich auch kein globaler Administrator. Speicherorte lassen sich danach hinzufügen, aber nicht entfernen; der Aufbewahrungszeitraum lässt sich verlängern, aber nicht verkürzen. Genau das ist die technische Entsprechung zur GoBD-Anforderung „unveränderbar”, und genau dieser Schritt fehlt in den meisten Umgebungen, die wir übernehmen.
Für sehr strenge Anforderungen ergänzen Unternehmen zusätzlich eine dedizierte Archivlösung, die den Mailverkehr bereits am Transportweg unveränderbar wegschreibt. Sinnvoll ist das vor allem dort, wo noch ein eigener Exchange Server im Haus steht oder wo mehrere Mailsysteme parallel laufen. Wer dagegen sauber in Microsoft 365 betrieben wird, kommt in aller Regel mit Purview aus.
Wichtig bleibt in beiden Fällen, dass die Konfiguration sitzt – falsch gesetzte Richtlinien erzeugen trügerische Sicherheit. Wie eine Microsoft-365-Umgebung rechtssicher aufgesetzt wird, ist Teil einer guten Betreuung. Dazu gehört auch der Sonderfall Austritt: Ein Postfach darf beim Offboarding nicht einfach gelöscht werden, solange Fristen laufen.
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Genau das ist das Muster, das wir bei der Archivierung am häufigsten finden: ein PST-Export hier, ein Aufbewahrungs-Tag dort, dazwischen ein Postfach, das nie erfasst wurde. Wo Sie im Moment stehen, zeigt in fünf Minuten der IT-Sicherheits-Check.
In fünf Schritten zur konformen Archivierung
- Bestand aufnehmen. Welche Postfächer, Verteiler und Funktionsadressen gibt es, welche sind geschäftlich relevant, welche laufen noch über einen alten Server?
- Fristen festlegen. Einheitlich über die längste relevante Frist, gerechnet ab dem Ende des Kalenderjahres – das vereinfacht die Zuordnung und ist im Zweifel die sichere Seite.
- Privatnutzung regeln. Schriftlich, vor dem Scharfschalten. Ohne diese Regelung ist die Vollarchivierung datenschutzrechtlich angreifbar.
- Richtlinien konfigurieren und sperren. Aufbewahrungsrichtlinie auf alle Exchange-Postfächer, danach die Erhaltungssperre setzen – erst damit ist die Regel selbst unveränderbar.
- Dokumentieren und testen. Verfahrensdokumentation schreiben und einmal im Jahr einen Prüfer-Export üben: eine konkrete Mail von vor sechs Jahren suchen und maschinell auswertbar ausgeben.
Was das kostet
Die ehrliche Antwort: Die Archivierung selbst kostet in Microsoft 365 meist keine zusätzliche Lizenz, sondern Einrichtungsaufwand und Disziplin. Teuer wird sie erst, wenn sie fehlt – durch Schätzungen bei der Betriebsprüfung, durch hektische Nachforschungen oder durch einen externen Berater, der im Prüfungstermin aufräumt.
Bei kjello ist die Betreuung von Microsoft 365 Teil des Core-Pakets für 29 € pro Nutzer und Monat (netto), Antivirus und EDR optional für 10 € pro Nutzer und Monat; M365-Lizenzen werden als Durchleitung zusätzlich abgerechnet. Der Zuschnitt passt für Unternehmen mit 20 bis 250 Mitarbeitenden – Konzerne mit eigener IT-Abteilung sind bei uns bewusst nicht die Zielgruppe.
30 Minuten, kostenlos, ohne Vertriebsdruck: Wir sehen uns Ihre Aufbewahrungsrichtlinien an und sagen Ihnen, was im Prüffall fehlt.
Gespräch vereinbarenFazit: Pflicht mit klarer Lösung
E-Mail-Archivierung ist keine Kür, sondern eine gesetzliche Pflicht mit ernsten Konsequenzen im Prüffall. Die gute Nachricht: Sie ist gut lösbar. Wer die drei Fristen aus § 147 AO kennt, den Unterschied zwischen Backup und Archiv verstanden hat und die Aufbewahrungsrichtlinien in Microsoft 365 samt Erhaltungssperre sauber setzt, ist auf der sicheren Seite – und muss bei der nächsten Betriebsprüfung nicht hektisch nach einer Mail von vor sieben Jahren suchen. Wie kjello das als Teil einer betreuten, compliance-sicheren IT umsetzt, klären wir gern im Gespräch.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Muss ich wirklich jede E-Mail archivieren?
Reicht ein Backup als E-Mail-Archivierung?
Wie lange müssen E-Mails aufbewahrt werden?
Ab welcher Unternehmensgröße gilt die Archivierungspflicht?
Darf die E-Mail-Archivierung in der Cloud liegen?
Was droht ohne gesetzeskonforme Archivierung?
E-Mail-Archivierung sauber aufsetzen
kjello richtet Ihre revisionssichere E-Mail-Archivierung in Microsoft 365 ein – gesetzeskonform, automatisiert und geprüft. Damit im Prüffall nichts fehlt.
