Viele Unternehmen halten ihre E-Mails für ausreichend gesichert, weil nachts ein Backup läuft. Genau hier entsteht ein Missverständnis mit Folgen: Ein Backup Ihrer Postfächer ist keine E-Mail-Archivierung. Beides sichert Daten, beides fühlt sich sicher an, und beides steht in vielen IT-Konzepten unter derselben Überschrift. Rechtlich und technisch erfüllen die zwei Verfahren aber völlig unterschiedliche Aufgaben. Wer das verwechselt, merkt es im schlechtesten Moment: wenn der Betriebsprüfer eine bestimmte Korrespondenz sehen will oder wenn ein ausgeschiedener Mitarbeiter sein Postfach vor dem letzten Arbeitstag aufgeräumt hat.
Wie groß der Datenberg ist, um den es geht, zeigt eine Befragung des Digitalverbands Bitkom: Etwa jeder Siebte erhält täglich 100 oder mehr berufliche Mails, 22 Prozent bekommen zwischen 50 und 100, 46 Prozent zwischen zehn und 50, und nur ein Prozent kommt auf weniger als zehn Nachrichten pro Tag. Bitkom-Hauptgeschäftsführer Bernhard Rohleder ordnet das so ein: "Die E-Mail ist für viele nach wie vor die wichtigste Form der beruflichen Kommunikation." Genau deshalb steckt in Ihren Postfächern ein erheblicher Teil Ihrer Geschäftsunterlagen: Angebote, Auftragsbestätigungen, Reklamationen, Rechnungen, Absprachen mit Lieferanten.
Ist die E-Mail-Archivierung Pflicht, und woraus ergibt sich das?
Die kurze Antwort lautet: Ja, für geschäftlich relevante Nachrichten. Die etwas längere Antwort ist interessanter, denn ein einzelnes "E-Mail-Archivierungsgesetz" existiert in Deutschland nicht. Die Pflicht zur Aufbewahrung ergibt sich aus dem Zusammenspiel verschiedener Vorschriften, vor allem aus dem Handelsgesetzbuch, der Abgabenordnung und den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, kurz GoBD. Diese verlangen, dass steuerlich relevante E-Mails unveränderbar, nachvollziehbar, vollständig, richtig und jederzeit verfügbar gespeichert werden.
Entscheidend ist dabei nicht die Technik, sondern der Inhalt: Es kommt auf den Inhalt an, nicht auf das Medium. Eine geschäftlich relevante E-Mail unterliegt denselben Aufbewahrungspflichten wie ein Brief oder eine Rechnung auf Papier. Für die Praxis heißt das: Sobald Ihr Vertrieb Angebote per Mail verschickt und Ihre Buchhaltung Eingangsrechnungen per Mail erhält, ist die Frage nach der Archivierungspflicht für Ihr Unternehmen bereits beantwortet.
Wir sind ein IT-Systemhaus und keine Rechtsanwälte oder Steuerberater. Wir liefern die technische Umsetzung und erklären, was ein System leisten muss. Welche Ihrer Unterlagen im Detail unter welche Vorschrift fallen, klären Sie am besten mit Ihrem Steuerberater. Was wir aus vielen Projekten sagen können: Die technische Seite ist meist deutlich einfacher zu lösen, als die meisten befürchten.
Fristen: sechs, acht oder zehn Jahre
Die Aufbewahrungsfristen kennen im Kern drei Stufen. Maßgeblich sind das Handelsgesetzbuch (§ 257 HGB) und die Abgabenordnung (§ 147 AO): Eine E-Mail mit einer angehängten Rechnung ist ein Buchungsbeleg und damit ein Fall für acht Jahre. Ein Angebot, eine Bestellung oder eine Auftragsbestätigung ohne Belegcharakter ist ein Geschäftsbrief und damit ein Fall für sechs Jahre. Eine zehnjährige Frist gilt unverändert für Kernunterlagen der Buchführung, dazu zählen Bücher, Jahresabschlüsse, Bilanzen, Inventare und Lageberichte.
Die Verkürzung auf acht Jahre ist relativ neu: Das Bürokratieentlastungsgesetz IV hat die Aufbewahrungsfristen für sogenannte Buchungsbelege von zehn auf acht Jahre verkürzt. Viele Berater empfehlen dennoch, im Zweifel länger aufzubewahren, weil sich Prüfungszeiträume bei Betriebsprüfungen überschneiden und weiter zurückreichen können. Wichtig ist außerdem der Startpunkt der Frist, der in der Praxis oft falsch gerechnet wird: Die Frist startet nicht am Tag des E-Mail-Eingangs, sondern mit dem Schluss des Kalenderjahres, in dem die Nachricht entstanden ist. Eine Rechnung vom März 2025 mit achtjähriger Frist muss also bis Ende 2033 aufbewahrt werden und nicht nur bis März 2033. Wer die Frist ab dem Eingangsdatum rechnet, löscht potenziell zu früh.
Wer sich einen Überblick über die Fristen jenseits der E-Mail verschaffen will, findet in unserem Beitrag zu den Aufbewahrungsfristen für Geschäftsdokumente eine praxisnahe Zusammenstellung.
Warum ein Backup den Job nicht erledigt
Ein Backup ist eine Momentaufnahme zur Wiederherstellung. Es beantwortet die Frage: Wie sah der Stand von gestern Abend aus? Ein Archiv beantwortet eine andere Frage: Welche geschäftliche Kommunikation hat es gegeben, unveränderbar und vollständig, auch wenn im Postfach längst nichts mehr davon zu finden ist. Drei Punkte machen den Unterschied deutlich.
Der erste Punkt ist die Vollständigkeit. Ein Backup sichert das, was zum Zeitpunkt der Sicherung im Postfach lag. Eine Mail, die morgens eintrifft und mittags gelöscht wird, ist im nächtlichen Backup nicht enthalten. Ein Archiv arbeitet anders: Über die Journaling-Funktion des Mailservers werden alle ein- und ausgehenden E-Mails automatisch als Kopien an das Archivsystem übertragen, und zwar in Echtzeit, ohne Lücken. Microsoft selbst zieht diese Trennlinie in der Dokumentation: Journalerstellung bezieht sich auf die Aufzeichnung der E-Mail-Kommunikation im Rahmen der Aufbewahrungsstrategie, Archivierung dagegen auf das Entfernen von Nachrichten von ihrem systemeigenen Speicherort, etwa einem Benutzerpostfach, und das Speichern an einem anderen Ort.
Der zweite Punkt ist die Unveränderbarkeit. Hier wird der Bitkom in seinen Merksätzen zur Archivierung von E-Mails sehr deutlich: Die Aufbewahrung von geschäftlicher E-Mail-Korrespondenz innerhalb des Mailsystems oder des Dateisystems ohne zusätzliche Sicherungsmaßnahmen reicht nicht aus, um die Anforderungen an die Unveränderbarkeit zu erfüllen. Der Grund ist banal: Ein einfaches Dateisystem ist veränderbar und damit nicht revisionssicher. Ein Archivsystem dreht dieses Prinzip um. Eine nachträgliche Änderung archivierter E-Mails ist technisch ausgeschlossen, das System erstellt unveränderbare Kopien mit Zeitstempel, jeder Zugriff wird protokolliert und jede Aktion ist nachvollziehbar.
Der dritte Punkt ist das Löschen, und er wird gerne übersehen. Ein Archiv muss nicht nur aufbewahren, sondern auch wieder loslassen können. Personenbezogene Daten dürfen nach der DSGVO nicht unbegrenzt vorgehalten werden, eine unbefristete "Sicherheitskopie aller Mails" ist datenschutzwidrig. Ein sauberes Archiv setzt die passende Frist je Nachricht automatisch und löscht nach Ablauf nachvollziehbar. Genau das kann ein Backup nicht leisten, und genau das ist der Grund, warum die beiden Themen getrennt gedacht werden müssen. Dass Backups trotzdem unverzichtbar bleiben, haben wir in unseren Beiträgen zur Backup-Pflicht in Deutschland und dazu, warum ein Backup ohne Test wertlos ist, ausführlich beschrieben. Beide Themen ergänzen sich, sie ersetzen sich nicht.
Der Moment, in dem es teuer wird
Stellen Sie sich einen typischen Ablauf vor. Ein Vertriebsmitarbeiter verhandelt über Monate mit einem Kunden, alles per Mail. Rabatte, Lieferzusagen, eine Kulanzregelung. Dann verlässt er das Unternehmen. Zwei Wochen vor dem letzten Arbeitstag räumt er sein Postfach auf, weil es voll ist. Ein Jahr später steht eine Auseinandersetzung über eine dieser Zusagen im Raum, und niemand kann belegen, was genau vereinbart wurde. Das Backup vom vergangenen Monat hilft nicht, weil die Mails da längst gelöscht waren. Der Kollege ist nicht mehr erreichbar. Die einzige Version der Geschichte, die noch existiert, ist die des Kunden.
Der zweite typische Fall ist die Betriebsprüfung. Betriebsprüfer dürfen laut GoBD E-Mails mit einer Volltextsuche durchsuchen und maschinell auswerten, weshalb E-Mails mit steuerlicher Relevanz getrennt von anderer Korrespondenz aufbewahrt werden sollten. Wenn die Antwort auf eine konkrete Anfrage lautet, dass man das in den Sicherungsbändern der letzten Jahre suchen müsste, ist das keine gute Ausgangsposition. Ein Archiv liefert die Antwort in Sekunden, sortiert und nachvollziehbar. Ganz nebenbei löst es auch die alltäglichen Fragen, die entstehen, wenn ein Mitarbeiter das Unternehmen verlässt und sein Postfach zurückbleibt.
Wie eine revisionssichere Lösung im Alltag aussieht, welche Daten wo liegen und wie der Zugriff geregelt wird, erklären wir auf unserer Seite zum Mail-Archiv. Der wichtigste Punkt dabei: Ein Archiv arbeitet unsichtbar im Hintergrund. Ihre Mitarbeitenden merken davon nichts, außer wenn sie etwas suchen.
Warum die Infrastruktur mitentscheidet
Es gibt einen Aspekt, der in Diskussionen über die Archivierung selten vorkommt, in der Praxis aber häufig zum Stolperstein wird: Wo liegen eigentlich die E-Mails Ihrer Mitarbeitenden? In gewachsenen Umgebungen mit lokalen Notebooks und einzelnen Arbeitsplatzrechnern lautet die Antwort oft: überall ein bisschen. Outlook-Datendateien auf dem Laptop, ein privat angelegtes PST-Archiv auf dem Desktop im Büro, eine Kopie auf einer externen Festplatte, weil das Postfach zu groß wurde. Jede dieser lokalen Kopien ist ein Nebenarchiv, das Sie nicht kontrollieren, nicht sichern und im Zweifel nicht durchsuchen können. Und jeder verlorene oder verschlüsselte Rechner nimmt ein Stück Ihrer Geschäftskorrespondenz mit.
Hier setzt der Remote-Arbeitsplatz an. Der Remote-Arbeitsplatz ist ein vollständiger Windows-Desktop in der Cloud, auf den Ihre Mitarbeiter von jedem Gerät aus zugreifen können, die Server stehen nicht mehr in Ihrem Büro, sondern in hochsicheren Microsoft-Rechenzentren in Deutschland. Das Prinzip kennen viele noch unter dem Begriff Terminal-Server: mehrere Benutzer arbeiten auf einem zentralen System und jeder sieht seinen eigenen Desktop. Der Unterschied zum klassischen Terminal-Server liegt nicht im Bedienkonzept, sondern im Betrieb, weil Lebenszyklus, Wartung und Aktualisierung nicht mehr Ihre Aufgabe sind. Wie das genau funktioniert, beschreiben wir unter Remote-Arbeitsplatz: was ist das und im Vergleich der Betriebsmodelle.
Für die Archivierung hat das einen sehr praktischen Effekt: Es gibt einen Ort, an dem gearbeitet wird. Outlook läuft dort, Ihre Warenwirtschaft läuft dort, die Ablage liegt dort. Damit ist nicht nur das Archiv sauber angebunden, sondern auch die Frage geklärt, was passiert, wenn ein Notebook verloren geht, denn auf dem Endgerät liegen keine Geschäftsdaten. Zusammen mit einer klar aufgesetzten Microsoft 365 Umgebung entsteht so eine Struktur, in der Aufbewahrung, Zugriff und Datenschutz zusammenpassen und nicht drei getrennte Baustellen sind. Dass diese Zentralisierung auch im Alltag hilft, etwa bei Software, die über eine VPN-Verbindung nur zäh läuft, ist ein willkommener Nebeneffekt.
Was wir Ihnen empfehlen
Prüfen Sie zuerst nüchtern, was Sie heute wirklich haben. Drei Fragen genügen für den Anfang: Wird jede ein- und ausgehende Mail erfasst, bevor jemand sie löschen kann? Ist eine erfasste Nachricht nachträglich veränderbar? Und können Sie eine bestimmte Korrespondenz aus dem Jahr 2021 innerhalb von Minuten vorlegen? Wenn eine dieser Fragen unbeantwortet bleibt, haben Sie kein Archiv, sondern ein Backup mit gutem Ruf.
Der Weg dahin ist selten kompliziert. In der Regel klären wir in einem Gespräch, wie Ihre Mailumgebung aufgebaut ist, welche Fristen für Ihre Branche relevant sind und wie die Erfassung angebunden wird, ohne dass Ihre Mitarbeitenden ihre Arbeitsweise ändern müssen. Häufig ergibt sich dabei die zweite, größere Frage von selbst, nämlich wie zentral Ihre IT eigentlich aufgestellt ist. Wir bringen beide Themen gern in eine Reihenfolge, die zu Ihrem Betrieb passt. Sprechen Sie uns über unsere Beratung an oder nehmen Sie direkt Kontakt auf. Was Sie von uns bekommen, ist eine Einschätzung ohne Verkaufsdruck und eine Empfehlung, die zu Ihrem Unternehmen passt und nicht zu unserem Produktkatalog.