Über kaum ein IT-Thema kursieren in Unternehmen so viele Faustregeln wie über die E-Mail-Archivierung. Die meisten klingen plausibel, stammen aus der Zeit vor der E-Rechnung und werden seit Jahren von Kollege zu Kollege weitergegeben. Dabei ist die Menge, um die es geht, deutlich gewachsen: Laut einer Befragung des Digitalverbands Bitkom vom Januar 2026 erhalten Berufstätige im Schnitt 53 berufliche E-Mails pro Tag. Zwei Jahre zuvor waren es 40, im Jahr 2021 noch 26. In diesen Nachrichten stecken Angebote, Bestellungen, Rechnungen und Absprachen, also genau die Unterlagen, die der Gesetzgeber über Jahre verfügbar haben will.
Warum die E-Mail-Archivierung grundsätzlich Pflicht ist und wie sich ein Archiv von einem Backup unterscheidet, haben wir im Beitrag E-Mail-Archivierung ist für Unternehmen Pflicht ausführlich erklärt. Hier geht es um die sieben Annahmen, die uns in Gesprächen mit Unternehmen am häufigsten begegnen, und darum, was nach dem Stand von 2026 tatsächlich gilt.
Vorab ein Hinweis in eigener Sache: Wir sind ein IT-Systemhaus und keine Rechtsanwälte oder Steuerberater. Wir erklären, was die Vorschriften technisch verlangen, und setzen es um. Welche Unterlagen in Ihrem Unternehmen im Einzelnen unter welche Frist fallen, klären Sie am besten mit Ihrem Steuerberater.
Irrtum 1: „Aufbewahren müssen wir nur Rechnungen“
Rechnungen sind der bekannteste Fall, aber bei Weitem nicht der einzige. Die Abgabenordnung (§ 147 AO) und das Handelsgesetzbuch (§ 257 HGB) verlangen die Aufbewahrung von Büchern, Jahresabschlüssen, Buchungsbelegen, empfangenen und abgesandten Handels- und Geschäftsbriefen sowie allen sonstigen Unterlagen, die für die Besteuerung von Bedeutung sind. Als Geschäftsbrief zählt jede Korrespondenz, die ein Geschäft vorbereitet, abschließt, abwickelt oder rückgängig macht. Ob sie auf Papier oder per E-Mail eintrifft, spielt keine Rolle.
In der Praxis gehören damit die Anfrage eines Interessenten, Ihr Angebot, die Auftragsbestätigung, die Reklamation und die Gutschrift dazu. Für diese Unterlagen gelten drei Fristen: Handels- und Geschäftsbriefe sind sechs Jahre aufzubewahren, Buchungsbelege wie Rechnungen seit Januar 2025 acht Jahre, Bücher und Jahresabschlüsse weiterhin zehn Jahre. Die Verkürzung von zehn auf acht Jahre für Buchungsbelege stammt aus dem Bürokratieentlastungsgesetz IV, für Banken und Versicherungen bleibt es bei zehn Jahren. Jede Frist beginnt mit dem Ende des Kalenderjahres, in dem die Nachricht empfangen oder versendet wurde, und sie verlängert sich, solange für das betreffende Jahr noch Steuern festgesetzt werden können. Eine Übersicht über alle Fristen finden Sie in unserem Beitrag zu den Aufbewahrungsfristen für Geschäftsdokumente.
Eine Einschränkung sehen die GoBD selbst vor, also die Verwaltungsvorschrift der Finanzverwaltung zur elektronischen Buchführung: Eine E-Mail, die lediglich als Transportmittel für eine angehängte Rechnung dient und sonst nichts Relevantes enthält, muss nicht aufbewahrt werden. Sie ist dann so etwas wie der Briefumschlag, aufbewahrungspflichtig bleibt der Anhang. Weil sich im Alltag kaum zuverlässig entscheiden lässt, welche Mail nur Umschlag ist und welche eine Absprache enthält, archivieren die meisten Unternehmen grundsätzlich alle geschäftlichen E-Mails.
Irrtum 2: „Ausgedruckt im Ordner ist auch archiviert“
Der Aktenordner hat in vielen Büros noch seinen festen Platz, und für Briefe, die auf Papier eingegangen sind, darf er ihn auch behalten. Für E-Mails gilt eine klare Regel: Was elektronisch eingegangen ist, wird auch elektronisch aufbewahrt. Die GoBD sagen ausdrücklich, dass solche Unterlagen nicht ausschließlich in ausgedruckter Form aufbewahrt werden dürfen. Ein Ausdruck kann als Arbeitskopie im Ordner bleiben, das Original gehört ins Archiv.
Der Grund liegt in der maschinellen Auswertbarkeit. Ein Betriebsprüfer darf elektronische Unterlagen durchsuchen, filtern und auswerten. Ein Ausdruck verliert genau diese Eigenschaften und mit ihnen die technischen Kopfdaten der Nachricht. Dasselbe gilt für die Umwandlung in andere Formate: Eine E-Mail als PDF abzuspeichern ist nur zulässig, wenn dabei weder Inhalte noch Anhänge noch die Auswertbarkeit verloren gehen und der Vorgang dokumentiert ist.
Mit der E-Rechnung hat dieser Punkt zusätzliches Gewicht bekommen. Seit dem 1. Januar 2025 muss jedes Unternehmen in Deutschland E-Rechnungen empfangen können, ein normales E-Mail-Postfach genügt dafür. Beim Versand laufen die Übergangsfristen Ende 2026 aus, für Unternehmen mit einem Vorjahresumsatz bis 800.000 Euro Ende 2027. Eine E-Rechnung im Format XRechnung oder ZUGFeRD besteht im Kern aus strukturierten XML-Daten, und genau dieser Teil ist aufzubewahren, unverändert und maschinell auswertbar. Wer eine solche Rechnung ausdruckt, als Bild speichert oder nur eine PDF-Ansicht ohne die eingebetteten Daten ablegt, behält die Ansicht und verliert die eigentliche Rechnung.
Irrtum 3: „Für kleine Betriebe gilt das nicht“
Die Aufbewahrungspflicht folgt aus der Buchführungs- und Aufzeichnungspflicht, die Zahl der Mitarbeitenden entscheidet darüber nicht. Kaufleute sind über das Handelsgesetzbuch verpflichtet. Selbstständige und Freiberufler, die ihren Gewinn per Einnahmen-Überschuss-Rechnung ermitteln, müssen ihre Aufzeichnungen und die dazugehörigen Unterlagen nach der Abgabenordnung ebenfalls aufbewahren. Rechnungen muss nach dem Umsatzsteuergesetz ohnehin jeder Unternehmer acht Jahre lang vorhalten, auch Kleinunternehmer.
Richtig ist, dass die GoBD bei sehr kleinen Unternehmen die Unternehmensgröße in die Bewertung einbeziehen. Das betrifft das Wie, also etwa den Aufwand für Dokumentation und Systeme. Am Ob ändert es nichts. Ein Handwerksbetrieb mit fünf Mitarbeitenden bekommt seine Eingangsrechnungen genauso per E-Mail wie ein Konzern, und das Finanzamt erwartet sie bei einer Prüfung genauso vollständig.
Irrtum 4: „Unser Backup deckt das ab“
Diesen Satz hören wir am häufigsten, und er ist nachvollziehbar: Ein Backup sichert Daten, ein Archiv auch. Die beiden verfolgen aber verschiedene Ziele. Ein Backup bringt nach einem Ausfall, einem Bedienfehler oder einem Angriff den letzten guten Stand zurück. Wie wichtig das ist, zeigt die Wirtschaftsschutz-Studie des Bitkom vom August 2026: Bei einem Viertel der befragten Unternehmen haben Angreifer Daten per Ransomware verschlüsselt. Ein Backup ist also unverzichtbar. Seine Sicherungen hält es allerdings meist nur Wochen oder Monate vor, und es kennt nur die Stände, die zum Zeitpunkt der Sicherung vorhanden waren.
Ein Archiv belegt, welche Kommunikation es gegeben hat, vollständig und unverändert, über sechs, acht oder zehn Jahre. Dafür erfasst es jede ein- und ausgehende Nachricht in dem Moment, in dem sie den Mailserver passiert. Eine Mail, die morgens eintrifft und mittags gelöscht wird, fehlt im nächtlichen Backup, im Archiv ist sie vorhanden. Hinzu kommt die Unveränderbarkeit: Nach den GoBD reicht die bloße Ablage im Postfach oder in einem Dateisystem regelmäßig nicht aus, weil dort jede Nachricht nachträglich geändert oder gelöscht werden kann. Beide Systeme ergänzen sich also. Was ein Backup leisten muss, beschreiben wir im Beitrag zur Backup-Pflicht in Deutschland.
Irrtum 5: „Microsoft 365 archiviert doch schon“
Viele Unternehmen arbeiten mit Exchange Online und sehen in Outlook einen Ordner namens „Online-Archiv“. Der Name weckt falsche Erwartungen. Microsoft beschreibt das Archivpostfach selbst als zusätzlichen Speicherplatz: Nutzer können dort Nachrichten ablegen, verschieben und auch wieder löschen. Gelöschte Elemente lassen sich in Exchange Online standardmäßig 14 Tage lang wiederherstellen, höchstens 30 Tage. Auch der kostenpflichtige Dienst Microsoft 365 Backup ist auf Wiederherstellung ausgelegt und hält Sicherungen höchstens zwei Jahre vor. Zum Vergleich: Die kürzeste gesetzliche Frist für Geschäftsbriefe beträgt sechs Jahre.
Richtig ist, dass Microsoft 365 mit Aufbewahrungsrichtlinien in Microsoft Purview, einer Sperre gegen deren nachträgliche Deaktivierung und dem sogenannten Litigation Hold Werkzeuge mitbringt, mit denen sich Nachrichten technisch unveränderbar aufbewahren lassen. Diese Funktionen müssen allerdings bewusst eingerichtet und dokumentiert werden. Eine Bewertung nach den GoBD hat Microsoft dafür nicht veröffentlicht, und nach dem Modell der geteilten Verantwortung liegt die Verantwortung für die Daten und ihre Aufbewahrung beim Kunden. Ob Ihre Umgebung die Anforderungen erfüllt, hängt also von der Konfiguration ab und davon, ob Sie im Prüfungsfall Daten in einem auswertbaren Format herausgeben können. Worauf es bei einer sauber eingerichteten Umgebung ankommt, beschreiben wir auf unserer Seite zu Microsoft 365.
Irrtum 6: „Datenschutz und Archivierung schließen sich aus“
Die DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für ihren Zweck nötig ist. Auf den ersten Blick passt das schlecht zu einem Archiv, das Nachrichten jahrelang aufbewahrt. Die DSGVO löst diesen Konflikt selbst: Eine Verarbeitung ist rechtmäßig, wenn sie zur Erfüllung einer gesetzlichen Pflicht erforderlich ist (Art. 6 Abs. 1 lit. c), und das Recht auf Löschung tritt zurück, solange eine gesetzliche Aufbewahrungspflicht besteht (Art. 17 Abs. 3 lit. b). Die Fristen aus HGB und AO sind genau eine solche Pflicht.
Zur Wahrheit gehört auch die Kehrseite: Ist die Frist abgelaufen, müssen die Daten wieder gelöscht werden. Ein Archiv, das alles unbegrenzt behält, ist datenschutzrechtlich genauso problematisch wie eines, das zu früh löscht. Ein gutes Archivsystem vergibt Aufbewahrungsfristen deshalb nach festen Regeln und löscht nach deren Ablauf nachvollziehbar. Als Grundlage für ein solches Löschkonzept hat sich die Norm DIN 66398 etabliert.
Besondere Aufmerksamkeit verdienen private E-Mails im dienstlichen Postfach. Ob ein Arbeitgeber, der die private Nutzung erlaubt, damit an das Fernmeldegeheimnis gebunden ist, beurteilen die Datenschutzkonferenz und die Bundesnetzagentur derzeit unterschiedlich. Klarheit schaffen Sie am einfachsten mit einer schriftlichen Regelung: Entweder bleibt das dienstliche Postfach dienstlich, oder eine Nutzungsrichtlinie legt fest, dass auch private Nachrichten archiviert werden können und wie Mitarbeitende damit umgehen.
Irrtum 7: „Mit einer GoBD-zertifizierten Software ist das Thema erledigt“
Viele Hersteller werben mit Siegeln wie „GoBD-zertifiziert“ oder „revisionssicher“. Solche Prüfungen durch Wirtschaftsprüfer helfen bei der Auswahl einer Lösung. Ein amtliches Zertifikat gibt es allerdings nicht: Die Finanzverwaltung stellt nach den GoBD selbst keine Positivtestate aus, und Zertifikate Dritter binden das Finanzamt nicht. Ordnungsmäßig wird die Archivierung erst durch das Zusammenspiel aus Software, Einrichtung und den Abläufen in Ihrem Unternehmen.
Dieses Zusammenspiel hält die Verfahrensdokumentation fest. Die GoBD verlangen sie für jedes System, das steuerlich relevante Daten verarbeitet. Sie beschreibt, wie E-Mails erfasst, gespeichert, geschützt, wiedergefunden und nach Ablauf der Frist gelöscht werden, und zwar so, dass ein sachverständiger Dritter das in angemessener Zeit nachvollziehen kann. Wer sie sauber aufsetzt, geht entspannt in eine Betriebsprüfung und beantwortet Anfragen des Prüfers in Minuten.
Was eine lückenhafte Archivierung kosten kann
Das eigentliche Risiko liegt weniger in einem einzelnen Bußgeld als in der Kette, die eine Lücke auslöst. Können Unterlagen bei einer Außenprüfung nicht vorgelegt werden, darf das Finanzamt die Besteuerungsgrundlagen schätzen (§ 162 AO), und Schätzungen fallen selten zugunsten des Unternehmens aus. Seit 2025 gibt es zusätzlich das Mitwirkungsverzögerungsgeld: Kommt ein Unternehmen einer qualifizierten Aufforderung des Prüfers nicht rechtzeitig nach, werden 75 Euro pro Tag fällig, für bis zu 150 Tage. Wer Unterlagen nicht oder nicht lange genug aufbewahrt und dadurch eine Steuerverkürzung ermöglicht, riskiert außerdem ein Bußgeld von bis zu 25.000 Euro (§ 379 AO).
Mindestens genauso teuer sind die Fälle außerhalb des Steuerrechts: ein Streit mit einem Kunden über eine Zusage, die nur per Mail getroffen wurde, oder ein Mitarbeiter, der vor seinem Ausscheiden sein Postfach aufgeräumt hat. Was in solchen Fällen mit dem Postfach geschehen sollte, beschreiben wir im Beitrag Was passiert mit dem E-Mail-Postfach, wenn ein Mitarbeiter das Unternehmen verlässt?
So prüfen Sie Ihren eigenen Stand
Ob in Ihrem Unternehmen einer dieser Irrtümer mitschwingt, lässt sich mit vier Fragen klären. Wird jede ein- und ausgehende E-Mail erfasst, bevor jemand sie löschen kann? Bleiben E-Rechnungen mit ihren XML-Daten unverändert erhalten? Werden Nachrichten nach Ablauf ihrer Frist automatisch gelöscht? Und gibt es eine Verfahrensdokumentation, die beschreibt, wie das alles zusammenspielt? Wenn Sie alle vier Fragen mit Ja beantworten, sind Sie gut aufgestellt.
Fehlt an einer Stelle das Ja, ist der Weg dorthin meist kürzer als gedacht. Ein Archiv wird an den Mailserver angebunden, erfasst ab diesem Moment jede Nachricht automatisch und läuft für Ihre Mitarbeitenden unsichtbar im Hintergrund. Bestehende Postfächer und alte PST-Dateien lassen sich in der Regel übernehmen. Wie das bei uns aussieht, erklären wir auf der Seite zum Mail-Archiv. Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, sprechen Sie uns über unsere Beratung an oder nehmen Sie direkt Kontakt auf. Wir schauen uns Ihre Umgebung an und sagen Ihnen offen, was bereits passt und wo es noch Handlungsbedarf gibt.