Ja, E-Mail-Archivierung ist für Unternehmen in Deutschland Pflicht: Geschäftliche E-Mails gelten als Handels- oder Geschäftsbriefe und müssen nach HGB und Abgabenordnung revisionssicher aufbewahrt werden – im digitalen Originalformat, nicht als Ausdruck. Wer nur ein Postfach-Backup fährt oder auf die Archivfunktion von Microsoft 365 vertraut, erfüllt die GoBD in der Regel nicht vollständig.
Das Thema klingt nach Papierkram für die Buchhaltung, landet in der Praxis aber auf dem Tisch der IT. Denn die technische Umsetzung – Unveränderbarkeit, Vollständigkeit, Auffindbarkeit – entscheidet darüber, ob eine Betriebsprüfung glattgeht oder unangenehm wird. Wir schauen uns an, was tatsächlich gefordert ist und wo die Bordmittel von Microsoft 365 aufhören.
Ist E-Mail-Archivierung für Unternehmen wirklich Pflicht?
Ja. Die Pflicht ergibt sich nicht aus einem einzelnen „E-Mail-Gesetz“, sondern aus dem Zusammenspiel von § 257 HGB, §§ 146 und 147 AO und den GoBD – den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form.
Entscheidend ist der Inhalt, nicht das Medium: Eine E-Mail, die einen Auftrag bestätigt, eine Rechnung transportiert oder eine Preisabsprache dokumentiert, ist ein aufbewahrungspflichtiger Handelsbrief. Eine reine Terminabsprache ohne geschäftlichen Bezug ist es nicht. Dient die E-Mail nur als Transportmittel für eine angehängte Rechnung, muss zumindest die Rechnung selbst archiviert werden – in der Praxis ist es einfacher, die komplette Nachricht aufzubewahren.
Wichtig: Ein Ausdruck genügt nicht. Die GoBD verlangen die Aufbewahrung im digitalen Ursprungsformat, inklusive Header-Daten und Anhängen.
Welche Aufbewahrungsfristen gelten 2026?
Mit dem Vierten Bürokratieentlastungsgesetz (BEG IV) hat sich zum 1. Januar 2025 etwas Grundlegendes geändert: Die Frist für Buchungsbelege wurde von zehn auf acht Jahre verkürzt. Für Jahresabschlüsse, Handelsbücher und Inventare bleibt es bei zehn Jahren.
| Unterlage | Frist | Typisches E-Mail-Beispiel |
|---|---|---|
| Jahresabschlüsse, Handelsbücher, Inventare | 10 Jahre | Abschlussunterlagen vom Steuerberater |
| Buchungsbelege (seit 2025 verkürzt) | 8 Jahre | Eingangs- und Ausgangsrechnungen per Mail |
| Empfangene und abgesandte Handelsbriefe | 6 Jahre | Angebote, Auftragsbestätigungen, Reklamationen |
Die Frist beginnt immer mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Eine Rechnung aus März 2026 muss also bis zum 31. Dezember 2034 verfügbar bleiben – nicht bis März 2034.
Reicht Microsoft 365 für die E-Mail-Archivierung aus?
Nur eingeschränkt. Exchange Online bringt durchaus starke Bausteine mit: das Onlinearchiv mit automatisch wachsendem Speicher (100 GB Startgröße, bis zu 1,5 TB pro Postfach mit Exchange Online Plan 2, Microsoft 365 E3 oder E5), Aufbewahrungsrichtlinien über Microsoft Purview, das Beweissicherungsverfahren und Journaling.
Der Haken liegt bei der Unveränderbarkeit. Eine Aufbewahrungsrichtlinie lässt sich von einem Administrator mit den passenden Rechten per PowerShell wieder abschalten – genau das widerspricht dem GoBD-Kernprinzip des Schutzes vor nachträglicher Manipulation. Wer Purview nutzen will, muss die Richtlinie mit dem Preservation Lock sichern. Und dieser Schritt ist endgültig: Danach kann weder dein eigenes Team noch der Microsoft-Support die Richtlinie wieder lockern oder verkürzen. Vor der Aktivierung also unbedingt an einem Testmandanten üben.
Dazu kommt: Ein Archiv ist kein Backup und ein Backup ist kein Archiv. Beides braucht es. Wie eine belastbare Sicherungsstrategie aussieht, haben wir in der 3-2-1-Backup-Regel beschrieben.
Wie richtest du eine rechtssichere Archivierung ein?
Fünf Schritte, die sich in mittelständischen Unternehmen bewährt haben:
1. Bestand klären. Welche Postfächer gibt es, welche freigegebenen Postfächer, was liegt in lokalen PST-Dateien auf Notebooks? PST-Dateien sind der häufigste blinde Fleck – und für die GoBD ein echtes Problem.
2. Archivierungsweg festlegen. Entweder Journaling auf ein externes, unveränderbares Archiv oder Purview-Aufbewahrungsrichtlinien mit Preservation Lock. Mischformen führen erfahrungsgemäß zu Lücken.
3. Löschkonzept anpassen. Die DSGVO verlangt Löschung nach Zweckfortfall, das Steuerrecht verlangt Aufbewahrung. Die verkürzte Acht-Jahres-Frist bedeutet, dass viele Löschkonzepte aus 2023 heute schlicht nicht mehr passen.
4. Private Nutzung regeln. Ist die private E-Mail-Nutzung erlaubt und nicht schriftlich geregelt, kann das Fernmeldegeheimnis eine vollständige Archivierung angreifbar machen. Eine klare Betriebsvereinbarung oder ein Verbot der Privatnutzung schafft Sicherheit.
5. Verfahrensdokumentation schreiben. Ohne sie ist auch die technisch beste Lösung im Prüfungsfall wenig wert. Sie beschreibt, welche Mails wie, wo und wie lange archiviert werden und wer sie wiederfinden kann.
Wie du in Exchange Online das Beweissicherungsverfahren konkret aktivierst, zeigen wir Schritt für Schritt im Beitrag Beweissicherungsverfahren für E-Mails aktivieren. Die datenschutzrechtliche Seite von Exchange behandeln wir in DSGVO und Exchange.
Häufige Fragen zur E-Mail-Archivierung
Muss ich wirklich jede E-Mail archivieren?
Nein. Aufbewahrungspflichtig sind nur E-Mails mit geschäftlichem oder steuerlichem Bezug. In der Praxis ist eine vollständige Archivierung aller Geschäftspostfächer trotzdem meist der sicherere und günstigere Weg, weil die manuelle Vorsortierung fehleranfällig ist und selbst dokumentiert werden müsste.
Ist ein Backup meiner Postfächer nicht ausreichend?
Nein. Ein Backup dient der Wiederherstellung nach einem Ausfall und wird nach kurzer Zeit überschrieben. Ein Archiv sichert Nachrichten unveränderbar über Jahre und macht sie gezielt durchsuchbar. Die GoBD verlangen Letzteres.
Was passiert bei einer Betriebsprüfung ohne Archiv?
Das Finanzamt kann die Ordnungsmäßigkeit der Buchführung verwerfen und die Besteuerungsgrundlagen schätzen. Zusätzlich ist ein Verzögerungsgeld nach § 146 Abs. 2c AO möglich. Der wirtschaftliche Schaden übersteigt die Kosten einer Archivlösung meist deutlich.
Wie lange muss ich E-Mails nach dem Ausscheiden eines Mitarbeitenden aufbewahren?
Die Aufbewahrungsfrist hängt am Inhalt der Nachricht, nicht am Beschäftigungsverhältnis. Geschäftlich relevante Mails bleiben also sechs, acht oder zehn Jahre erhalten – das Postfach selbst kann nach der Archivierung deaktiviert werden.
Unterstützung bei Archivierung und Microsoft 365
Wir betreuen mittelständische Unternehmen in und um Osnabrück bei genau diesen Themen – von der Bestandsaufnahme über die Einrichtung in Cloud & Microsoft 365 bis zur Verfahrensdokumentation. Die angrenzende IT-Sicherheit schauen wir uns dabei gleich mit an. Wenn du dein Postfach-Setup nicht selbst betreuen möchtest, übernehmen wir das im Rahmen der verwalteten Microsoft-365-Betreuung.
Archivierung jetzt prüfen lassen
Hinweis: Dieser Beitrag gibt den Stand vom September 2026 wieder und ersetzt keine steuerliche oder rechtliche Beratung. Für die verbindliche Einordnung deiner Unterlagen sprich bitte mit deinem Steuerberater.
Hast du eine Frage zu diesem Artikel?
Schreib uns – wir antworten in der Regel innerhalb eines Werktages.