E-Mail-Archivierung: Was Firmen aufbewahren müssen und wie es gelingt

E-Mail-Archivierung ist für Firmen in Deutschland Pflicht, nicht Kür. Geschäftliche Mails wie Angebote, Auftragsbestätigungen oder Rechnungen müssen je nach Inhalt sechs oder acht Jahre aufbewahrt werden, und zwar vollständig, unverändert und so, dass das Finanzamt sie bei einer Prüfung durchsuchen kann. Ein normales Postfach leistet das nicht, weil jeder Nutzer Mails löschen oder verschieben kann. Die Lösung ist eine E-Mail-Archivierung, die jede Mail beim Senden und Empfangen automatisch kopiert. Diese Seite erklärt Regeln und Technik. Eine Beratung durch Steuerberater oder Anwalt ersetzt sie nicht.

Welche Regeln für die E-Mail-Archivierung gelten

Eine eigene Vorschrift nur für E-Mails gibt es nicht. Die Pflicht ergibt sich aus der Abgabenordnung (§ 147 AO) und dem Handelsgesetzbuch (§ 257 HGB). Wie elektronische Unterlagen aufzubewahren sind, beschreiben die GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff. Das ist ein Schreiben des Bundesfinanzministeriums, nach dem sich die Betriebsprüfer richten.

Betroffen sind alle, die Bücher führen müssen, also Kaufleute und viele Gewerbetreibende. Auch Freiberufler und Selbstständige mit Einnahmen-Überschuss-Rechnung müssen ihre steuerlich wichtigen Unterlagen aufbewahren, und dazu gehören Rechnungen, die per Mail kommen. Den Wortlaut der Pflicht finden Sie in § 147 der Abgabenordnung.

Wie lange E-Mails aufbewahrt werden müssen

Maßgeblich ist nicht, dass es eine Mail ist, sondern was in ihr steht. Die Mail wird so behandelt, als wäre sie ein Brief oder ein Beleg auf Papier:

Die Frist für Buchungsbelege hat das Vierte Bürokratieentlastungsgesetz ab 2025 von zehn auf acht Jahre verkürzt. Für Banken, Versicherungen und Wertpapierinstitute gelten Übergangsregeln. Die Frist beginnt jeweils am Ende des Kalenderjahres, in dem die Mail empfangen oder versendet wurde. Eine Rechnung vom März 2026 dürfen Sie also frühestens Anfang 2035 löschen. Solange die Festsetzungsfrist für die betreffende Steuer noch läuft, etwa wegen einer offenen Prüfung, endet auch die Aufbewahrungsfrist nicht.

Dient eine Mail nur als Umschlag für eine angehängte Rechnung und enthält sonst nichts Wichtiges, muss nach den GoBD nur der Anhang aufbewahrt werden. In der Praxis ist es trotzdem einfacher, die ganze Mail zu archivieren. Dann muss niemand im Einzelfall entscheiden, was wichtig ist.

Was eine E-Mail-Archivierung nach GoBD leisten muss

• Vollständig: Alle aufbewahrungspflichtigen Mails landen im Archiv, ohne dass jemand daran denken muss.
• Unveränderbar: Archivierte Mails lassen sich während der Frist weder ändern noch löschen. Wo die Technik Änderungen zulässt, werden sie protokolliert.
• Im Originalformat: Elektronisch eingegangene Unterlagen bewahren Sie in der Form auf, in der sie angekommen sind. Ein Ausdruck auf Papier genügt nicht, eine PDF-Kopie der Mail allein ebenfalls nicht.
• Auffindbar und lesbar: Sie finden jede Mail in angemessener Zeit und können sie während der gesamten Frist lesbar machen, auch nach einem Wechsel des Mailprogramms.
• Auswertbar: Bei einer Prüfung darf das Finanzamt die Daten einsehen oder sich auf einem Datenträger übergeben lassen. Das Archiv braucht deshalb eine Funktion für den Export.

Dazu kommt die Verfahrensdokumentation. Sie beschreibt in einfachen Worten, welche Mails wie archiviert werden, wer Zugriff hat, wie gesucht und exportiert wird und wann gelöscht wird. Fehlt sie, wird es bei einer Prüfung deutlich schwerer, die Ordnungsmäßigkeit zu belegen, auch wenn die Technik stimmt.

Warum das Postfach kein Archiv ist

Viele Firmen bewahren Mails einfach im Postfach auf, beim Hoster oder in einer Outlook-Datei auf dem Rechner. Das ist bequem, aber keine E-Mail-Archivierung im Sinne der GoBD. Jeder Nutzer kann Mails löschen, verschieben oder in Ordnern vergraben. Postfächer haben Grenzen beim Speicher, die irgendwann zum Aufräumen zwingen. Und eine PST-Datei auf einem einzelnen Laptop ist weg, wenn der Laptop ausfällt.

Auch ein Backup des Mailservers löst das Problem nicht. Es hält den Stand eines Zeitpunkts fest. Eine Mail, die morgens ankam und mittags gelöscht wurde, ist in der nächtlichen Sicherung nicht mehr enthalten. Wie Postfächer beim Hoster grundsätzlich organisiert sind, erklären die Grundlagen zum E-Mail Hosting.

Drei Wege zur E-Mail-Archivierung

Archivierung per Journal am Mailserver

Die sauberste Form der E-Mail-Archivierung kopiert jede Mail in dem Moment, in dem der Mailserver sie annimmt oder verschickt. Der Nutzer hat darauf keinen Einfluss, selbst eine sofort gelöschte Mail steht im Archiv. Viele Hoster bieten ein solches Archiv als Zusatzpaket zu ihren Postfächern an. Wer einen eigenen Mailserver betreibt, leitet mit einer Einstellung wie always_bcc in Postfix eine Kopie jeder Mail an die Archivsoftware weiter. Verbreitete Programme sind MailStore Server, Benno MailArchiv und das quelloffene piler.

Archivierung per IMAP-Abruf

Hier ruft eine Archivsoftware die Postfächer in festen Abständen ab und kopiert neue Mails. Das funktioniert mit jedem Hoster, hat aber eine Lücke: Löscht jemand eine Mail vor dem nächsten Abruf, fehlt sie. Diese Variante eignet sich deshalb vor allem für den Altbestand, also alle Mails, die schon vor dem Start des Archivs in den Postfächern liegen. Für den laufenden Betrieb ist sie nur zweite Wahl.

Microsoft 365 und Google Workspace

Bei Microsoft 365 legen Sie in Microsoft Purview Richtlinien für die Aufbewahrung fest, die Mails für eine bestimmte Zeit vor dem endgültigen Löschen schützen. Google Workspace bietet dafür Vault, das nicht in jedem Tarif enthalten ist. Welche Funktionen Sie bekommen, hängt bei beiden von der Lizenz ab. Ob die Einstellungen zusammen mit Ihrer Verfahrensdokumentation den GoBD genügen, klären Sie am besten mit Ihrem Steuerberater. Viele Firmen binden deshalb zusätzlich ein eigenes Archiv per Journal an.

Kein offizielles GoBD-Zertifikat

Viele Anbieter werben mit Begriffen wie „GoBD-zertifiziert“. Eine amtliche Zertifizierung gibt es nicht, die Finanzverwaltung stellt keine solchen Bescheinigungen aus. Was es gibt, sind Prüfungen durch Wirtschaftsprüfer, meist nach dem Standard IDW PS 880. Sie bestätigen, dass eine Software die Anforderungen erfüllen kann, wenn sie richtig eingerichtet ist. Ob Ihr Archiv ordnungsgemäß ist, hängt von Ihrer Einrichtung, Ihren Abläufen und der Verfahrensdokumentation ab. Das Testat ist ein gutes Kriterium bei der Auswahl, aber keine Garantie.

Fragen an den Anbieter

Für ein bis zehn Postfächer ist das Archiv als Zusatzpaket des Hosters oft der einfachste Weg, weil Sie keine eigene Software betreiben. Klären Sie vor der Buchung diese Punkte schriftlich:

• Arbeitet die E-Mail-Archivierung per Journal, also schon beim Eingang auf dem Server, oder per Abruf aus dem Postfach?
• Können Nutzer oder Admins archivierte Mails vor Ablauf der Frist löschen?
• In welchem Format lassen sich Mails exportieren, einzeln und als Ganzes?
• Wo stehen die Server, und gibt es einen Vertrag zur Auftragsverarbeitung?
• Was passiert mit dem Archiv, wenn Sie den Tarif kündigen oder den Anbieter wechseln?
• Löscht das System Mails nach Ablauf der Frist automatisch, und lässt sich das für einzelne Mails aussetzen?

Die Frage nach der Kündigung ist die wichtigste. Ein Archiv, das mit dem Vertrag verschwindet, hilft in einer Prüfung drei Jahre später nicht. Lassen Sie sich zusichern, dass Sie vorher alles in einem gängigen Format wie EML erhalten.

E-Mail-Archivierung einführen: der Ablauf

1. Bestand aufnehmen: Welche Postfächer gibt es, auch Sammeladressen wie info@ und rechnung@? Wo liegen alte Mails, etwa in PST-Dateien auf einzelnen Rechnern?
2. Lösung wählen: Archivierung per Journal für alle neuen Mails, dazu ein Import des Altbestands. Prüfen Sie bei Archiven in der Cloud den Standort der Server und schließen Sie einen Vertrag zur Auftragsverarbeitung.
3. Altbestand importieren: Ältere Mails aus Postfächern und Outlook-Dateien übernehmen. Was noch innerhalb der Fristen liegt, gehört dazu.
4. Regeln festlegen: Wer darf im Archiv suchen? Wann werden Mails nach Ablauf der Frist gelöscht? Wie gehen Sie mit privaten Mails um?
5. Dokumentieren und testen: Verfahrensdokumentation schreiben und eine Suche samt Export für eine gedachte Prüfung einmal durchspielen.

Wechseln Sie später den Mailanbieter, bleibt die E-Mail-Archivierung davon unberührt. Das ist ein weiterer Vorteil gegenüber dem Aufbewahren im Postfach, das bei einer E-Mail-Migration vollständig umziehen müsste.

Datenschutz: Archiv und DSGVO

Jede E-Mail-Archivierung enthält zwangsläufig personenbezogene Daten von Kunden, Lieferanten und Mitarbeitern. Die Pflicht zur Aufbewahrung aus dem Steuerrecht ist eine Rechtsgrundlage, sie zu speichern, aber nur, solange die Frist läuft. Danach müssen die Mails gelöscht werden. Ein gutes Archiv löscht nach Ablauf der Frist automatisch und protokolliert das.

Schwierig wird es mit privaten Mails. Erlaubt eine Firma, die dienstliche Adresse privat zu nutzen, landen auch private Nachrichten im Archiv, und der Zugriff darauf ist rechtlich heikel. Viele Firmen verbieten die private Nutzung deshalb ausdrücklich. Gibt es einen Betriebsrat, redet er bei der Einführung eines Archivs mit, weil sich damit grundsätzlich auch Mitarbeiter kontrollieren lassen. Wo das Archiv liegen darf und welche Verträge Sie mit dem Anbieter brauchen, beschreibt der Ratgeber zum DSGVO-konformen Hosting.

Was bei Verstößen droht

Kann eine Firma bei einer Betriebsprüfung Unterlagen nicht vorlegen, darf das Finanzamt die Grundlagen der Besteuerung schätzen (§ 162 AO). Das fällt selten zugunsten des Unternehmens aus. Werden angeforderte Daten nicht rechtzeitig bereitgestellt, kann das Finanzamt zusätzlich Zwangs- oder Verzögerungsgelder festsetzen. Für die meisten kleinen Firmen ist das größere Risiko aber ganz praktisch: Ein Kunde bestreitet eine Absprache, und die entscheidende Mail ist nicht mehr da.