10

Okt.

GoBD-E-Mails rechtssicher archivieren: So klappt es ohne teure Software im Kleinbetrieb

Schluss mit teurer Software für die rechtssichere E-Mail-Ablage

Viele kleine Handwerksbetriebe, Handelsunternehmen und Solo-Selbstständige vermuten, dass eine GoBD-konforme E-Mail-Archivierung nur mit einem fünfstelligen IT-Budget möglich ist. Das stimmt nicht. Entscheidend ist weniger die Größe der Software als ein sauberer Prozess: Geschäftlich relevante Nachrichten müssen vollständig erfasst, unverändert gespeichert, schnell wiedergefunden und nachvollziehbar verwaltet werden.

Das einfache Ablegen in Outlook-Ordnern, das Verschieben in ein IMAP-Postfach oder das Speichern einzelner Nachrichten als PDF reicht dafür in der Regel nicht aus. Eine PDF-Datei kann die ursprüngliche E-Mail-Struktur, technische Kopfzeilen und Anhänge unvollständig abbilden. Außerdem fehlen meist ein belastbarer Schutz vor nachträglicher Veränderung, ein Protokoll der Zugriffe und eine dokumentierte Löschregel. Viele Betriebe greifen deshalb auf spezialisierte Tools zurück, während andere auf integrierte Systeme setzen. Wer eine etablierte GoBD-Software nutzt, spart oft wertvolle Einrichtungszeit.

Dieser Leitfaden zeigt einen schlanken Weg mit überschaubaren Kosten. Im Mittelpunkt stehen eine klare Klassifizierung der E-Mails, ein unveränderbarer Speicherweg und eine kurze, verständliche Verfahrensdokumentation. Damit entsteht kein überdimensioniertes Enterprise-Projekt, sondern ein alltagstauglicher Ablauf, der auch in einem Betrieb mit wenigen Mitarbeitenden zuverlässig funktioniert.

• Geschäftlich relevante Nachrichten automatisch oder systematisch erfassen
• Originale einschließlich Anhängen und Kopfzeilen unverändert aufbewahren
• Zugriffe, Änderungen und Löschungen kontrollieren und dokumentieren
• Aufbewahrungsfristen und datenschutzrechtliche Ausnahmen festlegen

Was der Gesetzgeber wirklich von deinen geschäftlichen E-Mails fordert

Nicht jede E-Mail muss archiviert werden. Newsletter, Spam und reine Werbung ohne Geschäftsbezug können normalerweise gelöscht werden. Anders sieht es bei Angeboten, Auftragsbestätigungen, Rechnungen, Mahnungen, Reklamationen, Vertragsabsprachen, Liefernachweisen und E-Mails mit Buchungs- oder Steuerinformationen aus. Auch eine kurze Nachricht wie „Bitte liefern Sie 20 Stück bis Freitag“ kann relevant sein, wenn sie einen Geschäftsvorgang dokumentiert.

Die Anforderungen ergeben sich nicht aus einem einzigen E-Mail-Gesetz, sondern vor allem aus Handelsgesetzbuch, Abgabenordnung und GoBD. Für die Praxis lassen sich sechs zentrale Säulen ableiten:

• Unveränderbarkeit: Das gespeicherte Original darf nicht unbemerkt überschrieben oder gelöscht werden.
• Vollständigkeit: Die relevante Nachricht muss mitsamt Anhängen und wesentlichen technischen Informationen erhalten bleiben.
• Nachvollziehbarkeit: Der Weg vom Eingang oder Versand bis zur Ablage und Buchung muss verständlich sein.
• Verfügbarkeit: Die Unterlagen müssen während der Aufbewahrungsfrist lesbar und abrufbar bleiben.
• Ordnung: Eine einheitliche Struktur und Suchmöglichkeit verhindern chaotische Einzelablagen.
• Schutz vor Manipulation: Berechtigungen, Protokolle und technische Sperren müssen unbemerkte Veränderungen erschweren.

Wichtig ist das Originalformat. Eine E-Mail besteht nicht nur aus dem sichtbaren Text, sondern auch aus Absender, Empfänger, Versandzeitpunkt, Betreff, Message-ID, Routing-Informationen und Anlagen. Wird eine Nachricht ausschließlich ausgedruckt oder als PDF exportiert, gehen diese Informationen häufig verloren. Bei einer elektronischen Rechnung muss insbesondere das Format erhalten bleiben, in dem sie eingegangen ist. Eine zusätzliche PDF-Kopie kann die Lesbarkeit verbessern, ersetzt aber nicht automatisch das Original.

Die Frist hängt von der Art des Dokuments ab. Für viele Buchungsbelege und Rechnungen gilt seit den gesetzlichen Änderungen für bestimmte Zeiträume grundsätzlich eine achtjährige Aufbewahrung, während bestimmte Bücher und Aufzeichnungen weiterhin zehn Jahre aufzubewahren sind. Handels- und Geschäftsbriefe unterliegen regelmäßig einer sechsjährigen Frist. Der Fristbeginn liegt typischerweise am Ende des Kalenderjahres, in dem die Nachricht empfangen oder versendet wurde. Da die Einordnung im Einzelfall anspruchsvoll sein kann, sollte die konkrete Frist mit der Steuerberatung abgestimmt werden. Einen verständlichen Überblick über technische und organisatorische Grundlagen bietet auch die Übersicht zur E-Mail-Archivierung.

Kriterienkatalog für eine schlanke und kostengünstige Archivierungslösung

Die wichtigste Frage lautet nicht „Welche Software ist am günstigsten?“, sondern „Wie verhindert der Betrieb zuverlässig Lücken?“. Eine Lösung sollte ein- und ausgehende Nachrichten möglichst automatisch erfassen. Das kann über eine Journaling-Funktion des Mailservers, eine Archivkopie an ein geschütztes Postfach oder eine direkte Schnittstelle zu einem Dokumentenmanagementsystem geschehen. Manuelle Ablage darf nur für klar definierte Sonderfälle eingesetzt werden, weil sie bei Krankheit, Urlaub oder Zeitdruck schnell ausfällt.

Für jede E-Mail sollte feststehen, ob sie archiviert werden muss, welchem Vorgang sie zugeordnet wird und wer darauf zugreifen darf. Sinnvolle Suchkriterien sind beispielsweise Absender, Empfänger, Datum, Betreff, Kundennummer, Auftragsnummer und Rechnungsnummer. Bei E-Rechnungen müssen strukturierte Formate wie XRechnung oder ZUGFeRD im Original erhalten bleiben. Eine PDF-Vorschau ist praktisch, aber sie darf nicht zur einzigen Ablage werden.

• Automatische Erfassung aller relevanten Postfächer und Versandwege
• Originalspeicherung mit Anhängen und technischen Metadaten
• Schreibschutz oder technisch kontrollierte Unveränderbarkeit
• Volltextsuche und strukturierte Indexfelder
• Exportmöglichkeit für eine Betriebsprüfung
• Protokollierung von Zugriffen, Löschungen und administrativen Eingriffen

Der Begriff „WORM“ steht für „Write Once, Read Many“. Gemeint ist ein Speicherprinzip, bei dem Daten nach der Ablage nicht mehr überschrieben werden können. Für kleine Betriebe muss dafür nicht zwingend ein teures Spezialgerät angeschafft werden. Je nach Anbieter kommen manipulationsgeschützte Cloud-Archive, geeignete Archivspeicher oder Software mit revisionssicherer Ablage infrage. Eine normale Dateifreigabe auf dem Server, ein USB-Stick oder ein ungeschützter Cloud-Ordner genügt dagegen nicht automatisch.

Datenschutz gehört von Anfang an in das Konzept. Private E-Mails von Beschäftigten dürfen nicht einfach mitgelesen, dauerhaft gespeichert oder gelöscht werden. Praktikable Lösungen sind ein ausdrückliches Verbot privater Nutzung, getrennte private Postfächer oder klar geregelte Bereiche, die nicht in das Geschäftsarchiv einbezogen werden. Bewerbungsunterlagen, besonders sensible Personalangelegenheiten und Nachrichten ohne steuerlichen oder geschäftlichen Zweck brauchen ebenfalls eine eigene Lösch- und Zugriffssystematik. So verhindert der Betrieb, dass eine Archivierungspflicht zu einer unbegrenzten Vorratsspeicherung wird.

Drei praxistaugliche Methoden im direkten Vergleich

Methode 1 ist die integrierte Archivierung beim bestehenden Mailhoster. Viele Anbieter bieten inzwischen Archivfunktionen als Zusatzoption an. Der Vorteil liegt in der einfachen Einrichtung: Die Nachrichten werden bereits beim Ein- und Ausgang erfasst, ohne dass Mitarbeitende ihre Arbeitsweise ändern müssen. Für einen kleinen Betrieb mit wenigen Postfächern kann das die wirtschaftlichste Variante sein. Vor dem Abschluss muss allerdings geprüft werden, ob Originalformate, Anhänge, Suchfunktion, Export, Aufbewahrungsregeln und Schutz vor nachträglicher Veränderung tatsächlich abgedeckt sind.

Methode 2 ist ein selbst gehostetes Open-Source-System, beispielsweise Mail Piler oder Benno MailArchiv. Diese Variante bietet Kontrolle über Datenstandort, Benutzerverwaltung und technische Konfiguration. Sie kann bei vorhandener Serverkompetenz kostengünstig sein, verursacht aber laufenden Aufwand für Updates, Überwachung, Speichererweiterung, Backup, Wiederherstellung und Sicherheitsprüfungen. Ein kostenloser Download bedeutet deshalb nicht, dass der Betrieb kostenlos bleibt. Fehlt internes Know-how, kann ein Dienstleister die Einrichtung und regelmäßige Wartung übernehmen.

Methode 3 verbindet ein schlankes Cloud-DMS mit Buchhaltung oder Belegerkennung. Dabei werden E-Mails und Anlagen automatisch einem Kunden, Auftrag oder Buchungsvorgang zugeordnet. Der Vorteil ist ein durchgängiger Prozess von der Rechnung im Postfach bis zur Buchhaltung. Je nach System sind OCR, Volltextsuche, Zugriffsprotokolle und Prüfungs-Export enthalten. Die laufenden Gebühren sind planbarer als der Aufbau eines eigenen Servers, dafür müssen Datenschutz, Auftragsverarbeitung, Datenstandort, Vertragslaufzeiten und Exit-Möglichkeiten sorgfältig geprüft werden.

Unabhängig von der Methode entscheidet die Umsetzung über die Qualität. Ein Archiv, das zwar Nachrichten speichert, aber keinen zuverlässigen Export ermöglicht oder wichtige Postfächer auslässt, erfüllt seinen Zweck nicht. Lass dir vor dem Kauf einen Testexport zeigen und prüfe anhand einer echten Rechnung, ob E-Mail, Anlage, Metadaten und Zuordnung gemeinsam wiedergefunden werden können.

Schritt für Schritt zur GoBD-konformen Verfahrensdokumentation

Eine technische Lösung allein genügt nicht. Die Verfahrensdokumentation erklärt, wie der Betrieb E-Mails empfängt, bewertet, archiviert, sucht, exportiert und löscht. Ohne diese Beschreibung bleibt im Prüfungsfall unklar, ob das System dauerhaft und korrekt betrieben wird. Die Dokumentation muss kein umfangreiches Handbuch sein. Für einen Kleinbetrieb reichen oft wenige klar formulierte Seiten mit Zuständigkeiten, Abläufen und Kontrollpunkten.

Orientiere dich bei technischen und organisatorischen Schutzmaßnahmen an den einschlägigen BSI-Grundschutz-Bausteinen zur Archivierung. Die GoBD selbst wurden durch das Bundesfinanzministerium zuletzt unter anderem im März 2024 an gesetzliche Änderungen angepasst. Die aktuelle Fassung und die fachliche Einordnung sollten regelmäßig geprüft werden, weil sich Fristen und Anforderungen ändern können.

1. Prozess aufnehmen: Liste alle geschäftlichen Postfächer, Weiterleitungen, Funktionsadressen und Versandwege auf. Markiere, wo Rechnungen, Angebote, Verträge oder Auftragsänderungen eingehen.
2. Klassifizierungsregeln festlegen: Beschreibe, welche Nachricht archiviert werden muss, welche gelöscht werden darf und wer im Zweifel entscheidet. Definiere Sonderregeln für private Kommunikation, Bewerbungen und Personalthemen.
3. Archivierung beschreiben: Dokumentiere Speicherort, Originalformat, automatische Erfassung, Indexierung, Aufbewahrungsfristen und Exportverfahren. Halte auch fest, wie Fehler erkannt und nachbearbeitet werden.
4. Verantwortlichkeiten zuweisen: Benenne eine Person für Administration, eine Vertretung und die Zuständigkeit für regelmäßige Kontrollen. Kleine Betriebe brauchen keine eigene IT-Abteilung, aber klare Verantwortlichkeit.
5. Kontrollen und Backups testen: Prüfe regelmäßig, ob neue Nachrichten ankommen, Suchabfragen funktionieren und eine Wiederherstellung möglich ist. Ein Backup ohne getestete Rücksicherung ist nur eine Vermutung, keine belastbare Notfallstrategie.

Für den Prüfungsfall sollten ein Testexport, eine Beschreibung der Benutzerrechte und ein Nachweis über die Datensicherung griffbereit sein. Der Betrieb muss außerdem erklären können, wie ein Steuerprüfer die Daten erhält. Je nach Prüfungsumfang kann der Zugriff unmittelbar im System, über einen maschinell auswertbaren Export oder durch überlassene Unterlagen erfolgen. Deshalb sollte die Lösung Z1-, Z2- oder Z3-Zugriffe beziehungsweise die dafür erforderlichen Datenexporte unterstützen.

Praxischeck vor der Freigabe:

• Ist jedes relevante Postfach in der Erfassung enthalten?
• Bleiben Anhänge und Originalformate erhalten?
• Kann eine E-Mail anhand von Kunde, Datum oder Vorgangsnummer gefunden werden?
• Sind Löschen und Überschreiben technisch eingeschränkt?
• Werden Zugriffe und administrative Änderungen protokolliert?
• Funktionieren Backup und Wiederherstellung nach einem Test?
• Ist die Verfahrensdokumentation datiert, freigegeben und bei Änderungen aktualisiert?

Starte noch heute mit deinem rechtssicheren E-Mail-Archiv

Rechtssicherheit erfordert kein fünfstelliges IT-Budget. Entscheidend sind klare Regeln und konsequente Abläufe. Ein kleiner Betrieb kann mit wenigen, gut dokumentierten Bausteinen starten: relevante Nachrichten automatisch erfassen, Originale unverändert speichern, Zugriffe begrenzen, Backups testen und Fristen sauber verwalten.

• Alle geschäftlichen Postfächer und E-Mail-Prozesse inventarisieren
• Relevante Belege von Werbung und sonstiger Kommunikation trennen
• Eine Lösung mit Originalspeicherung, Suchfunktion und Prüfungs-Export auswählen
• Private Nutzung und datenschutzrechtliche Ausnahmen schriftlich regeln
• Eine kurze Verfahrensdokumentation erstellen und mindestens jährlich prüfen

Der beste nächste Schritt ist ein realistischer Test mit einer Rechnung, einem Angebot und einer Auftragsänderung. Werden alle drei Vorgänge vollständig archiviert, später schnell gefunden und einschließlich Anhängen exportiert, ist die Grundlage solide. Danach lassen sich weitere Postfächer und Dokumentarten schrittweise einbinden. So entsteht ein verlässliches E-Mail-Archiv, das den Arbeitsalltag unterstützt und die nächste Betriebsprüfung deutlich entspannter macht.

Magnus