E-Mail-Archivierung für kleine Unternehmen: GoBD-konform mit Microsoft 365 oder Google Workspace

Eine Rechnung trifft als ZUGFeRD-PDF per E-Mail ein, ein Mitarbeiter speichert nur den Anhang im Buchhaltungsordner und löscht später die Nachricht. Technisch ist die Rechnung noch vorhanden. Für die steuerliche Prüfung kann jedoch gerade die vollständige Korrespondenz relevant sein: Absender, Eingang, Begleittext, Anhänge und der Zeitpunkt des Empfangs. Seit dem Start der E-Rechnungspflicht rückt diese Lücke in vielen kleinen Unternehmen stärker in den Blick.

Geschäftliche E-Mails müssen nicht pauschal alle unbegrenzt gespeichert werden. E-Mails mit steuerlich oder handelsrechtlich relevanten Inhalten gehören aber in eine geordnete Aufbewahrung. Dazu zählen Rechnungen, Angebote mit Belegcharakter, Bestellungen, Auftragsbestätigungen, Verträge, Zahlungsinformationen und geschäftliche Korrespondenz, soweit sie einen Buchungsvorgang dokumentiert. Entscheidend ist nicht das Dateiformat, sondern der Inhalt.

Warum ein Backup kein E-Mail-Archiv ersetzt

Backup und Archivierung erfüllen unterschiedliche Aufgaben. Das wird oft erst deutlich, wenn ein Mitarbeiter eine Nachricht löscht, ein Postfach geschlossen wird oder Unterlagen für eine Betriebsprüfung benötigt werden.

Aufgabe	Backup	Archiv
Zweck	Daten nach Verlust wiederherstellen	Geschäftsvorfälle langfristig nachweisbar aufbewahren
Zugriff	Meist durch IT oder Administration	Recherche nach Absender, Zeitraum, Inhalt und Anhang
Löschung	Sicherung wird nach Sicherungsplan überschrieben	Aufbewahrung nach festgelegten Fristen
Nachvollziehbarkeit	Wiederherstellung eines Datenstands	Vollständige und geordnete Dokumentation
Schutz vor Änderungen	Abhängig vom Sicherungskonzept	Unveränderbarkeit beziehungsweise nachvollziehbare Änderungen erforderlich

Ein Cloud-Backup für Microsoft 365 oder Google Workspace ist sinnvoll. Es schützt etwa vor versehentlichem Löschen, Ransomware oder fehlerhaften Synchronisationen. Es löst aber nicht automatisch die Anforderungen an eine revisionssichere Aufbewahrung. Ein Backup ist oft zeitlich begrenzt, nicht für die tägliche Belegsuche gedacht und kann Datenstände überschreiben.

Für die GoBD ist wichtig, dass relevante Unterlagen vollständig, richtig, zeitgerecht, geordnet und für Prüfungen verfügbar sind. Die konkrete technische Umsetzung kann variieren. Sie müssen jedoch nachvollziehbar erklären können, wie Nachrichten ins Archiv gelangen, wer darauf zugreifen darf und wie Löschungen oder Änderungen verhindert beziehungsweise protokolliert werden.

Bei elektronischen Rechnungen gilt zusätzlich: Bewahren Sie die Datei in dem Format auf, in dem sie eingegangen ist. Bei einer XRechnung ist das regelmäßig die XML-Datei. Bei ZUGFeRD ist insbesondere der strukturierte Rechnungsdatensatz wichtig. Ein PDF-Ausdruck oder ein Screenshot ersetzt diese Originaldatei nicht. Weitere Hinweise zur Aufbewahrung finden Sie im Beitrag E-Rechnungen GoBD-konform archivieren: So bewahren kleine Unternehmen XRechnung und ZUGFeRD richtig auf.

Welche E-Mails gehören ins Archiv?

Eine pauschale Vollarchivierung aller Nachrichten kann organisatorisch einfach sein. Sie erfasst auch versehentlich relevante E-Mails und verhindert, dass Mitarbeiter selbst entscheiden müssen, was aufbewahrt wird. Gleichzeitig landen dabei private Inhalte, Newsletter und Spam im System. Das erfordert klare Regeln für Datenschutz, Zugriffe und Löschkonzepte.

Für kleine Unternehmen sind zwei Wege üblich:

• Vollständige Archivierung aller ein- und ausgehenden E-Mails über eine zentrale Archivlösung
• Gezielte Archivierung definierter Funktionspostfächer und Geschäftsvorgänge, etwa rechnung@, buchhaltung@ oder einkauf@

Die gezielte Variante passt, wenn private Nutzung ausgeschlossen ist und Prozesse konsequent eingehalten werden. Die Vollarchivierung ist robuster, wenn viele Mitarbeitende mit Lieferanten und Kunden kommunizieren. Sie ersetzt aber keine Datenschutzentscheidung. Legen Sie fest, ob private Nutzung dienstlicher Postfächer erlaubt ist. Ist sie erlaubt, wird die rechtliche und organisatorische Behandlung deutlich anspruchsvoller.

Microsoft 365: Aufbewahrung mit Purview oder externem Archiv

Microsoft 365 bringt mit Microsoft Purview Funktionen für Aufbewahrungsrichtlinien, Aufbewahrungsbezeichnungen, eDiscovery und rechtliche Aufbewahrung mit. Je nach Microsoft-365-Tarif und gebuchten Zusatzfunktionen unterscheiden sich Umfang und Möglichkeiten deutlich.

Für kleinere Teams ist zunächst entscheidend: Eine Aufbewahrungsrichtlinie kann Inhalte in Exchange Online für einen definierten Zeitraum erhalten, auch wenn Nutzer die E-Mail aus ihrem Postfach löschen. Über die Suche lassen sich Inhalte später auffinden und exportieren. Das ist für viele interne Anforderungen hilfreich, aber kein Selbstläufer für eine vollständige und prüfungssichere Archivstrategie.

Prüfen Sie insbesondere diese Punkte:

• Sind alle Benutzerpostfächer, freigegebenen Postfächer und Funktionsadressen erfasst?
• Werden eingehende und ausgehende Nachrichten einbezogen?
• Bleiben Anhänge gemeinsam mit der Nachricht erhalten?
• Können Administratoren Aufbewahrungsregeln verändern, und wird das protokolliert?
• Sind Suche, Export und Zugriffsrechte für einen Prüfungsfall geregelt?
• Welche Lizenz enthält die benötigten Purview-Funktionen tatsächlich?

Eine externe Lösung wie MailStore, Barracuda oder eine andere spezialisierte Archivierungsplattform kann sinnvoll sein, wenn Sie eine vom Produktivsystem getrennte Ablage, einfachere Prüfersuche oder feste Archivierungsprozesse benötigen. Entscheidend ist nicht der Markenname, sondern die Umsetzung: Die Archivierung muss automatisiert erfolgen, nachvollziehbar dokumentiert sein und auch bei einem Wechsel des Microsoft-365-Tarifs oder Mitarbeiteraustritten funktionieren.

Microsoft 365 bleibt zudem das Arbeitswerkzeug, nicht das gesamte Sicherheitskonzept. Für Kennwörter, Administratorzugänge und Wiederherstellungscodes empfiehlt sich ein geregelter Umgang, wie ihn der Beitrag Passwort-Manager für kleine Teams: sicher und DSGVO-konform beschreibt.

Google Workspace: Vault ist hilfreich, aber kein Ersatz für ein Konzept

Google Workspace bietet mit Google Vault Funktionen für Aufbewahrung, Suche, Holds und Exporte von Gmail-Inhalten. Vault kann E-Mails anhand definierter Regeln aufbewahren, auch wenn Nutzer sie aus Gmail löschen. Für Unternehmen, die vollständig in Google Workspace arbeiten, ist das oft der naheliegende Startpunkt.

Auch hier gilt: Aktivierte Funktionen allein machen noch keine belastbare Archivierung. Dokumentieren Sie, welche Organisationseinheiten, Gruppen und Konten von den Regeln erfasst werden. Kontrollieren Sie, ob ehemalige Mitarbeiterkonten, Sammelpostfächer und Adressen für Rechnungen einbezogen sind.

Google Vault eignet sich vor allem, wenn Sie eine zentrale Aufbewahrung innerhalb der Google-Umgebung umsetzen möchten und Verantwortliche die Suche sowie Exporte beherrschen. Ein externes Archiv kann die bessere Wahl sein, wenn Sie E-Mails unabhängig vom Workspace-Konto aufbewahren, klare Trennung zwischen Produktivsystem und Archiv schaffen oder mehrere Mail-Systeme zusammenführen wollen.

Bei beiden Plattformen gilt: Das Archiv muss nicht nur Daten behalten, sondern sie auch lesbar und vollständig bereitstellen. Testen Sie daher nicht nur die Einrichtung, sondern einen realistischen Abruf mit E-Mail, Kopfzeilen, Anhängen und Suchkriterien.

Auswahlcheckliste für kleine Unternehmen

Bevor Sie eine Lösung buchen oder konfigurieren, beantworten Sie diese Fragen schriftlich:

• Welche Postfächer und Domains werden geschäftlich genutzt?
• Welche Nachrichtenarten sind aufbewahrungspflichtig?
• Sollen alle Nachrichten oder nur bestimmte Funktionspostfächer archiviert werden?
• Wie lange gelten die jeweiligen Aufbewahrungsfristen?
• Werden E-Mails automatisch und ohne Mitwirkung einzelner Mitarbeiter erfasst?
• Ist das Archiv gegen unbemerkte Löschung und Änderung geschützt?
• Wer darf suchen, exportieren und Einstellungen ändern?
• Wie werden Mitarbeiterkonten bei Austritt behandelt?
• Wie funktioniert ein Abruf im Prüfungsfall?
• Wie passen Löschfristen aus Datenschutz und Aufbewahrungspflichten zusammen?

Nehmen Sie außerdem die Verfahrensdokumentation ernst. Sie muss nicht unnötig lang sein. Beschreiben Sie aber verständlich, welche Systeme eingesetzt werden, welche E-Mail-Adressen erfasst sind, wie die Archivierung ausgelöst wird, wer verantwortlich ist und wie Sie die Funktionsfähigkeit kontrollieren.

Einführung: Erst Regeln festlegen, dann Technik aktivieren

Starten Sie nicht mit einer Lizenzentscheidung, sondern mit einer Bestandsaufnahme. Listen Sie Domains, Postfächer, gemeinsame Adressen und bisherige Ablagen auf. Gerade Rechnungen liegen oft verteilt in persönlichen Postfächern, Cloud-Ordnern und Buchhaltungssoftware.

Anschließend richten Sie eine Testgruppe ein. Senden Sie Testmails mit PDF-Anhang, XML-Rechnung und mehreren Empfängern. Löschen Sie die Nachrichten im Produktivpostfach und prüfen Sie, ob sie im Archiv weiterhin vollständig recherchierbar sind. Dokumentieren Sie das Ergebnis.

Schulen Sie danach die Mitarbeitenden knapp und verbindlich. Die wichtigste Regel lautet: Geschäftliche Kommunikation gehört in die vorgesehenen Firmenpostfächer. Private Weiterleitungen an persönliche Adressen oder das Speichern einzelner Rechnungsanhänge auf lokalen Geräten unterlaufen jede Archivierungsstrategie.

Wenn Sie parallel Belege und Buchhaltung neu organisieren, hilft auch der Überblick aus Buchhaltung für Selbstständige: So geht der Start. Wer die technischen Grundlagen systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Fazit

Microsoft 365 und Google Workspace bieten brauchbare Funktionen für Aufbewahrung und Recherche. Ob diese für Ihr Unternehmen ausreichen, hängt von Tarif, Konfiguration, Prozessen und Verantwortlichkeiten ab. Ein separates Archiv kann mehr Unabhängigkeit und klarere Abläufe schaffen, ist aber ebenfalls nur so gut wie seine Einrichtung.

Die praxistaugliche Lösung beginnt deshalb mit einer einfachen Frage: Können Sie eine relevante E-Mail mit Originalanhang auch Jahre später vollständig finden, nachvollziehen und bereitstellen? Wenn Sie das zuverlässig mit Ja beantworten können, ist Ihre E-Mail-Archivierung auf dem richtigen Weg.