E-Mail-Archivierung: Was die GoBD verlangen und warum das Postfach nicht reicht
Geschäftliche E-Mails müssen sechs oder acht Jahre vollständig und unveränderbar aufbewahrt werden. Warum das Archivpostfach in Microsoft 365 dafür nicht reicht, wie eine Journalregel jede Mail erfasst und was Hornetsecurity und MailStore leisten.
Geschäftliche E-Mails müssen in Deutschland jahrelang aufbewahrt werden, vollständig und unveränderbar. Viele Unternehmen verlassen sich bei der E-Mail-Archivierung auf das Postfach oder das Archivpostfach in Microsoft 365. Beides ist kein Archiv: Mitarbeitende können Mails löschen, und was gelöscht ist, fehlt bei der nächsten Betriebsprüfung. Ein Mailarchiv erfasst jede Mail beim Versand und Empfang und bewahrt sie auf, bis die Frist abgelaufen ist.
Quellen: § 147 Abgabenordnung, § 257 Handelsgesetzbuch, Stand Oktober 2026.
Welche E-Mails Sie aufbewahren müssen
Aufbewahrungspflichtig ist eine E-Mail, wenn sie die Aufgabe eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs erfüllt: ein Angebot, eine Auftragsbestätigung, eine Reklamation, eine Rechnung im Text der Mail. Für Geschäftsbriefe gelten sechs Jahre, für Buchungsbelege seit 2025 acht Jahre. Die Frist beginnt am Ende des Kalenderjahres, in dem die Mail ein- oder ausging. Sie läuft nicht ab, solange die Steuern für dieses Jahr noch festgesetzt werden können. Für Banken und Versicherungen gelten bei Buchungsbelegen weiterhin zehn Jahre.
Dient die Mail nur als Umschlag, etwa für eine Rechnung im Anhang, muss nach den GoBD nur der Anhang aufbewahrt werden, nicht die Mail selbst. In der Praxis lässt sich das im Alltag kaum sauber trennen. Deshalb archiviere ich alle geschäftlichen Mails vollständig, ein- wie ausgehend.
Was die GoBD von der E-Mail-Archivierung verlangen
Die GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern in elektronischer Form, legt das Bundesfinanzministerium fest. Gültig ist die Fassung von 2019 mit Änderungen von 2024 und 2025. Für E-Mails heißt das:
Jede aufbewahrungspflichtige Mail muss im Archiv landen, auch wenn sie später im Postfach gelöscht wird.
Archivierte Mails dürfen nicht unbemerkt geändert oder gelöscht werden. Eine Ablage in Ordnern auf dem Server reicht dafür laut GoBD in der Regel nicht.
Mails werden so aufbewahrt, wie sie empfangen wurden. Wer sie als PDF speichert, verliert die Kopfzeilen mit Absender, Weg und Zeitstempel.
Bei einer Prüfung muss das Finanzamt lesend zugreifen oder eine Auswertung bekommen können. Wie archiviert wird, beschreibt eine Verfahrensdokumentation.
Den Begriff „revisionssicher“ verwenden viele Hersteller von Lösungen zur E-Mail-Archivierung, in den GoBD kommt er nicht vor. Ein „GoBD-Zertifikat“ gibt es ebenfalls nicht: Die Finanzverwaltung bestätigt keine Software. Ein Testat eines Wirtschaftsprüfers, meist nach dem Prüfungsstandard IDW PS 880, zeigt, dass eine Software bei richtiger Einrichtung die Anforderungen erfüllen kann. Ordnungsgemäß wird das Archiv aber erst durch die Einrichtung und den Betrieb im Unternehmen.
Warum das Archivpostfach in Microsoft 365 für die E-Mail-Archivierung nicht reicht
Das Archivpostfach in Microsoft 365 ist ein zweites Postfach für ältere Mails. In Business Basic und Business Standard fasst es 50 GB, in Business Premium wächst es bis 1,5 TB. Mitarbeitende verschieben, ändern und löschen dort genauso wie im normalen Postfach. Vollständig und unveränderbar ist damit nichts.
Mit Business Premium lässt sich das mit Bordmitteln verbessern: Eine Aufbewahrungsrichtlinie in Microsoft Purview hält auch gelöschte Mails fest, und eine Aufbewahrungssperre verhindert, dass ein Administrator die Richtlinie später abschaltet. In Business Basic und Business Standard sind diese Richtlinien nicht enthalten. Eine Aussage von Microsoft zu den GoBD gibt es nicht, und die Suche für eine Prüfung läuft über eDiscovery, das für Prüfer und Mitarbeitende wenig handlich ist. Ich empfehle deshalb in der Regel ein eigenes Mailarchiv.
Journalregel: so landet jede Mail im Archiv
Ein Archiv, das nur ab und zu die Postfächer abgleicht, verpasst jede Mail, die vorher gelöscht wurde. Eine Journalregel in Exchange Online schickt dagegen von jeder Mail sofort eine Kopie ans Archiv. Journalregeln sind in allen Microsoft-365-Lizenzen enthalten, auch in Business Basic.
- Mailein- oder ausgehend, auf Wunsch auch intern
- Exchange OnlineJournalregel greift
- ZustellungPostfachMitarbeitende können löschenKopieArchivaußerhalb von Microsoft 365, unveränderbar bis Fristende
Lösungen zur E-Mail-Archivierung im Vergleich
Zur Einordnung: Ich bin Partner von Hornetsecurity und MailStore, vertreibe die Lizenzen und übernehme Einrichtung und Wartung. Die Angaben stammen aus der Dokumentation der Hersteller, Stand Oktober 2026.
| Was das Archiv kann | Hornetsecurity | MailStore | Microsoft 365 mit Business Premium | Mail Archiver |
|---|---|---|---|---|
| Erfasst jede Mail beim Versand und Empfang | ✓ | ✓ | ◐ | – |
| Interne Mails | ✓ | ✓ | ✓ | ◐ |
| Unveränderbar bis zum Ende der Frist | ✓ | ✓ | ◐ | ◐ |
| Eigener Zugang für Prüfer | ✓ | ✓ | ◐ | – |
| Mitarbeitende suchen selbst | ✓ | ✓ | ✓ | ✓ |
| Auch ohne Microsoft 365 | ✓ | ✓ | – | ✓ |
| Speicherort | Cloud, wählbar (Deutschland) | eigener Server | im Tenant | eigener Server |
✓ enthalten · ◐ teilweise (Microsoft 365: nur mit Aufbewahrungsrichtlinie und Aufbewahrungssperre, Zugriff über eDiscovery; Mail Archiver: gleicht Postfächer ab, Löschsperre optional) · – nicht enthalten. Hornetsecurity: interne Mails über eine zusätzliche Journalregel. Stand Oktober 2026, laut Herstellerdokumentation.
Das Archiv gehört ab 365 Total Protection Plan 2 dazu. Ein- und ausgehende Mails werden beim Durchlauf durch den Filter im Original archiviert, interne über eine Journalregel. Bis zum Ende der Frist lässt sich nichts ändern oder löschen, Prüfer bekommen einen zeitlich begrenzten Zugang mit Protokoll. Wo die Daten liegen, lege ich beim Einrichten für jeden Kunden fest, bei mir immer in Deutschland. Passt, wenn Mailschutz und Sicherung ohnehin gebraucht werden.
MailStore Server läuft auf einem Windows-Server im eigenen Haus oder in einem Rechenzentrum. Über MailStore Gateway, das ohne Aufpreis dazugehört, schickt eine Journalregel in Microsoft 365 jede ein- und ausgehende Mail ins Archiv. Für die Version 26.4 liegt ein Testat nach IDW PS 880 vor. Mitarbeitende suchen direkt in Outlook oder im Browser.
Mit Business Premium und sauber eingerichteten Aufbewahrungsrichtlinien bleiben Mails im Tenant erhalten. Für Prüfungen und die Suche durch Mitarbeitende ist das umständlich, und eine Aussage von Microsoft zu den GoBD fehlt. In Business Basic und Business Standard geht es nicht.
Kostenlos, quelloffen und schlank. Gut geeignet, um Postfächer vor einer Kündigung zu sichern. Es gleicht Postfächer ab, statt jede Mail per Journal zu erfassen, und erhebt selbst keinen Anspruch, die GoBD zu erfüllen.
Welche Lösung ich einsetze
Mit Hornetsecurity 365 Total Protection kommen Archiv, Mailfilter und Sicherung aus einem Produkt, mehr dazu im Artikel Hornetsecurity oder Business Premium für die E-Mail-Sicherheit.
MailStore richte ich für Microsoft 365 immer mit MailStore Gateway und Journalregel ein. Nur so ist sichergestellt, dass jede Mail im Archiv ankommt.
So gehe ich vor
- Bestandsaufnahme: Wo laufen Ihre Mails heute durch, was wird schon aufbewahrt, und welche Lizenzen sind vorhanden?
- Auswahl: Ich empfehle eine Lösung, die zu Ihrer Umgebung passt, und erstelle Ihnen ein unverbindliches Angebot.
- Einrichtung: Ich richte Archiv, Journalregel und Aufbewahrungsfristen ein, übernehme den Altbestand aus den Postfächern und zeige Ihren Mitarbeitenden die Suche.
- Prüfung und Dokumentation: Ich prüfe mit Testmails, ob ein- und ausgehende sowie interne Mails vollständig ankommen, und halte die Einrichtung für Ihre Verfahrensdokumentation fest.
- Wartung: Updates, Überwachung der Journalregel und regelmäßige Stichproben übernehme ich auf Wunsch dauerhaft.
Häufige Fragen
Reicht es, Mails als PDF abzulegen?
Nein. Eingehende Mails sind im Format aufzubewahren, in dem sie empfangen wurden. Beim Speichern als PDF gehen die Kopfzeilen verloren, und die GoBD werten das ausdrücklich zulasten des Unternehmens. Eine Ablage in Ordnern ist außerdem nicht unveränderbar.
Gibt es eine GoBD-Zertifizierung für Mailarchive?
Nein. Die Finanzverwaltung erteilt keine Zertifikate. Testate von Wirtschaftsprüfern, etwa nach IDW PS 880, helfen bei der Auswahl, binden das Finanzamt aber nicht. Entscheidend ist, wie das Archiv eingerichtet und betrieben wird.
Muss ein Mailarchiv im eigenen Haus stehen?
Nein. Hornetsecurity archiviert in der Cloud, bei meinen Kunden immer in Deutschland. MailStore läuft auf einem eigenen Server, der auch in einem Rechenzentrum stehen kann. Wichtig ist, dass das Archiv außerhalb des Postfachs liegt und die Mitarbeitenden es nicht verändern können.
Was ist mit Mails, die vor der Einrichtung verschickt wurden?
Die Journalregel erfasst nur Mails ab ihrer Einrichtung. Was noch in den Postfächern liegt, übernehme ich einmalig ins Archiv. Was dort schon gelöscht wurde, lässt sich nachträglich nicht mehr vollständig herstellen. Je früher das Archiv steht, desto besser.
Was kostet die E-Mail-Archivierung?
Entscheidend sind die Zahl der Personen, die Mails schreiben, sowie Mailschutz und Sicherung. Auch der Speicherort zählt: Cloud oder eigener Server. In einem kostenlosen Gespräch kläre ich Ihren Bedarf und erstelle Ihnen danach ein unverbindliches Angebot.
Quellen
- Aufbewahrungsfristen: § 147 Abgabenordnung, § 257 Handelsgesetzbuch (Stand: Oktober 2026)
- GoBD: Bundesfinanzministerium – GoBD im AO-Handbuch 2026, Zweite Änderung vom 14.07.2025 (PDF), insbesondere Rz. 108–110 (Unveränderbarkeit), 121 (E-Mails), 129–131 (Format), 151–155 (Verfahrensdokumentation), 179–181 (Zertifikate) (Stand: Oktober 2026)
- Archivpostfach: Microsoft Learn – Exchange Online limits (Stand: Oktober 2026)
- Aufbewahrungsrichtlinien und Aufbewahrungssperre: Microsoft Learn – Microsoft Purview service description, Microsoft Learn – Preservation Lock (Stand: Oktober 2026)
- Journalregeln: Microsoft Learn – Configure journaling in Exchange Online (Stand: Oktober 2026)
- Hornetsecurity: Hornetsecurity – 365 Total Protection, Hornetsecurity – Email Archiving, Hornetsecurity – Journaling für interne E-Mails (Stand: Oktober 2026)
- MailStore: MailStore Server, MailStore Gateway, MailStore-Hilfe – Archivierung aus Microsoft 365, Softwarebescheinigung nach IDW PS 880 für Version 26.4 (PDF) (Stand: Oktober 2026)
- Mail Archiver: mail-archiver.org, GitHub – s1t5/mail-archiver (Stand: Oktober 2026)
Privileged Identity Management: Administratorrechte nur auf Zeit
Dauerhafte Administratorrechte sind das größte Risiko in vielen Microsoft-365-Tenants. Wie PIM Rollen nur bei Bedarf und auf Zeit vergibt, welche Lizenz es braucht und was Business Premium ohne PIM leistet.
Artikel lesen→
Einheitliche E-Mail-Signaturen für Microsoft 365 mit CodeTwo
Einmal zentral festlegen, automatisch unter jeder Mail, von jedem Gerät: Was einheitliche Signaturen mit CodeTwo bringen, wie es funktioniert und was es kostet, mit Preisrechner.
Artikel lesen→
Sichert Microsoft meine Daten? Backup für Microsoft 365
Microsoft 365 hält gelöschte Daten nur wenige Wochen vor. Was danach verloren ist, wofür sich Microsoft 365 Backup eignet und welche Zusatzlösungen auch Teams-Chats, Planner und Entra ID abdecken.
Artikel lesen→