Ist E-Mail-Archivierung Pflicht? Ja, aber die meisten Unternehmen machen es falsch

Sie löschen geschäftliche E-Mails nach dem Lesen? Dann verstoßen Sie möglicherweise gegen geltendes Recht. Hier erfahren Sie, welche Nachrichten Sie wie lange aufbewahren müssen und wie Sie teure Fehler bei der Betriebsprüfung vermeiden.

Wie wurde die E-Mail zum unverzichtbaren Geschäftsinstrument?

Die Geschichte der elektronischen Post beginnt mit einem Experiment, das nie für die Öffentlichkeit bestimmt war. Im Jahr 1971 saß der Informatiker Ray Tomlinson in einem Kellerraum der Firma Bolt Beranek and Newman in Massachusetts. Eigentlich arbeitete er am ARPANET, dem Vorläufer des Internets. Nebenbei tüftelte er an einer Möglichkeit, Nachrichten zwischen zwei Computern zu versenden. Als Tomlinson seinem Kollegen das Ergebnis zeigte, bat dieser ihn: „Sag das niemandem! Das ist nicht das, woran wir arbeiten sollen.“

Tomlinson ahnte nicht, dass er gerade eine Revolution in Gang gesetzt hatte. Als Trennzeichen zwischen Benutzername und Computername wählte er das @-Zeichen, schlicht weil sonst niemand dieses Symbol auf seiner Tastatur verwendete. An den Inhalt seiner ersten E-Mail konnte er sich später nicht mehr erinnern. Vermutlich enthielt die Nachricht nur belanglose Testzeichen.

Die erste E-Mail in Deutschland erreichte am 3. August 1984 um 10:14 Uhr Michael Rotert an der Universität Karlsruhe. Der Inhalt war freundlich: „Willkommen in CSNET! Michael, This is your official welcome to CSNET.“ Außerhalb der Universitäten nutzte damals kaum jemand diese Technologie, doch das änderte sich rasch.

Wann begann der E-Mail-Boom in Deutschland?

Die Geburtsstunde der kostenlosen E-Mail für Privatnutzer schlug 1995. In diesem Jahr ging Web.de als „Deutsches Internet Verzeichnis“ online.

Zwei Jahre später folgte GMX, damals noch von einem Münchner Kellerraum aus betrieben. Die Gründer Karsten Schramm, Eric Dolatre und Peter Köhnkow erkannten das Potenzial kostenloser Webmail-Dienste. Bereits 1999 hatte GMX eine Million Nutzer.

Diese deutschen Pioniere veränderten das Kommunikationsverhalten grundlegend. Zuvor besaßen vor allem Studenten und Technikbegeisterte eine E-Mail-Adresse, nun konnte sich jeder eine digitale Postadresse einrichten. Der Run auf @gmx.de und @web.de begann.

Laut einer Pressemitteilung des Digitalverbands Bitkom erhalten Berufstätige in Deutschland durchschnittlich 26 E-Mails pro Tag, bei den 50- bis 64-Jährigen liegt der Wert sogar bei 30 täglichen Nachrichten. Weltweit wurden Daten der Radicati Group bei Statista zufolge 2024 täglich über 361 Milliarden E-Mails versendet und empfangen. Bis 2028 soll diese Zahl auf über 424 Milliarden steigen.

Lesetipp: Arbeitsschutzgesetz: Was Arbeitgeber 2026 wirklich umsetzen müssen

Welche rechtlichen Grundlagen gelten für die Archivierung?

Ein einzelnes „E-Mail-Archivierungsgesetz“ existiert in Deutschland nicht. Die Pflicht zur Aufbewahrung ergibt sich aus dem Zusammenspiel mehrerer Vorschriften: dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO) und den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD).

Seit 2015 konkretisieren die GoBD das „Wie“ der digitalen Aufbewahrung. Steuerlich relevante E-Mails müssen danach unveränderbar, nachvollziehbar, vollständig, richtig und jederzeit verfügbar gespeichert werden. Die Anforderungen gelten nicht nur für den E-Mail-Text: Auch Metadaten wie Absender, Empfänger, Datum und Uhrzeit sowie sämtliche Anhänge gehören ins Archiv.

Wie lange eine E-Mail aufbewahrt werden muss, hängt von ihrem Inhalt ab:

• Zehn Jahre Aufbewahrungspflicht: Jahresabschlüsse, Bilanzen und Inventare
• Acht Jahre Aufbewahrungspflicht (seit 2025): Buchungsbelege wie Quittungen sowie alle E-Mails, die als Buchungsbeleg dienen; die Verkürzung von zehn auf acht Jahre geht auf das Bürokratieentlastungsgesetz IV zurück
• Sechs Jahre Aufbewahrungspflicht: Empfangene und versendete Handels- oder Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen

Mit dem Versand der E-Mail beginnt die Frist übrigens nicht. Maßgeblich ist der 31. Dezember des Jahres, in dem die E-Mail erstellt, empfangen oder zuletzt bearbeitet wurde. Gilt die zehnjährige Frist, muss eine E-Mail vom 15. Juli 2025 also bis zum 31. Dezember 2035 im Archiv bleiben.

Welche E-Mails müssen Sie konkret archivieren?

Grundsätzlich gilt: Jede E-Mail, die einen Geschäftsvorfall vorbereitet, durchführt, abschließt oder rückgängig macht, unterliegt der Aufbewahrungspflicht.

Konkret archivieren Sie Angebote, Auftragsbestätigungen, Rechnungen, Mahnungen, Vertragskorrespondenz, Reklamationen samt deren Bearbeitung, Bestellungen, Lieferavis sowie alle E-Mails mit steuerlich relevanten Informationen.

Viele Unternehmer glauben, bei E-Mails mit PDF-Anhängen nur den Anhang speichern zu müssen, nicht die E-Mail selbst. Diese Annahme ist falsch. Die E-Mail hat zwar die Funktion eines „Briefumschlags“, enthält aber wichtige Metadaten zur Beweisbarkeit, Herkunft und Echtheit des Dokuments. Im Zweifel archivieren Sie beides.

Nicht archivierungspflichtig sind rein private E-Mails von Mitarbeitern (falls die Privatnutzung erlaubt ist), Spam und Werbung sowie E-Mails ohne geschäftlichen Bezug wie allgemeine Terminbestätigungen.

Der Sonderfall: Private E-Mails am Arbeitsplatz

Erlauben Sie Ihren Mitarbeitern die private Nutzung der dienstlichen E-Mail-Adresse, stehen Sie vor einem Dilemma. Nach dem Telekommunikationsgesetz werden Sie gegenüber Ihren Beschäftigten zum Telekommunikationsdiensteanbieter, unterliegen dem Fernmeldegeheimnis und dürfen private E-Mails nicht ohne ausdrückliche Einwilligung archivieren.

Die pragmatische Lösung: Untersagen Sie die private Nutzung geschäftlicher E-Mail-Accounts. So vermeiden Sie Konflikte zwischen Archivierungspflicht und Datenschutz.

Warum reicht ein einfaches Backup nicht aus?

Ein weit verbreiteter Irrtum lautet: „Wir sichern alle E-Mails monatlich als PST-Archiv. Das reicht doch.“ Aus rechtlicher Sicht reicht ein solches PST-Archiv nicht aus.

Ein Backup dient der kurzfristigen Datensicherung, um nach einem Systemausfall Informationen wiederherzustellen. Eine revisionssichere Archivierung soll dagegen belegen, dass jede E-Mail über die gesamte Aufbewahrungsfrist unverändert vorliegt.

Die GoBD verlangen ausdrücklich, dass archivierte E-Mails während der gesamten Aufbewahrungsfrist vor Manipulation geschützt sind. PST-Dateien, die Outlook beim lokalen Speichern erstellt, erfüllen diese Anforderung nicht, denn diese Dateien lassen sich nachträglich verändern, beschädigen oder löschen. Dasselbe gilt für die einfache Speicherung auf Festplatten, USB-Sticks oder Netzlaufwerken.

Revisionssicher archiviert ist eine E-Mail erst, wenn niemand sie unbemerkt verändern oder löschen kann. Jede Änderung muss protokolliert werden, und die ursprüngliche Version muss jederzeit rekonstruierbar bleiben. Bei einer Betriebsprüfung verlangt das Finanzamt maschinellen Zugriff auf die archivierten Daten.

Auch das Ausdrucken und Abheften von E-Mails erfüllt die Anforderungen nicht. Digitale Originale müssen nach den GoBD auch digital im Archiv liegen. Der Ausdruck gilt lediglich als Kopie.

Was passiert bei einer Betriebsprüfung ohne ordentliche Archivierung?

Im Steuerrecht gilt zwar grundsätzlich die Vermutung, dass eine Buchführung korrekt ist. Stellt der Prüfer jedoch Unregelmäßigkeiten fest, kippt diese Vermutung schnell.

Fehlen E-Mails oder sind sie nicht ordnungsgemäß archiviert, darf das Finanzamt den steuerlichen Gewinn schätzen. Erfahrungsgemäß fällt die Schätzung nicht zugunsten des Unternehmens aus. Zusätzlich drohen Bußgelder wegen Ordnungswidrigkeiten bis zu 5.000 Euro nach § 379 AO.

Persönliche Haftung der Geschäftsführung

Besonders heikel: Die Verantwortung für die Einhaltung der GoBD liegt beim Unternehmen, konkret bei der Geschäftsführung. Bei Kapitalgesellschaften haftet der Geschäftsführer persönlich. Eine unterlassene oder mangelhafte E-Mail-Archivierung kann als grob fahrlässiger Verstoß gegen den Anstellungsvertrag gewertet werden.

Im schlimmsten Fall drohen strafrechtliche Konsequenzen. Die Verletzung der Buchführungspflicht nach § 283b Strafgesetzbuch kann mit einer Freiheitsstrafe von bis zu zwei Jahren oder mit Geldstrafe geahndet werden. Bei vorsätzlicher Steuerverkürzung gelten noch härtere Strafen.

In den USA wurde ein deutsches Unternehmen mit einer Geldstrafe von 1,65 Millionen US-Dollar belegt, weil seine E-Mails nicht ordnungsgemäß archiviert waren.

Wie funktioniert eine revisionssichere E-Mail-Archivierung in der Praxis?

Professionelle Archivierungslösungen arbeiten nach dem sogenannten Journal-Prinzip. Jede ein- und ausgehende E-Mail wird automatisch in Echtzeit in ein separates Archiv kopiert. Dieses Archiv ist vom produktiven E-Mail-Server getrennt und technisch gegen nachträgliche Veränderungen geschützt.

Ein GoBD-konformes Archiv erfüllt fünf technische Anforderungen:

• Unveränderbarkeit: E-Mails liegen auf WORM-Medien (Write Once Read Many) oder in vergleichbaren Systemen, die nachträgliche Änderungen ausschließen.
• Vollständigkeit: Das System archiviert automatisch alle E-Mails inklusive Anhängen. Manuelles Eingreifen ist nicht erforderlich.
• Ordnungsmäßigkeit: E-Mails werden strukturiert abgelegt und lassen sich nach verschiedenen Kriterien durchsuchen.
• Protokollierung: Das Archiv dokumentiert jede Aktion lückenlos. Der Prüfer kann nachvollziehen, wann welche E-Mail archiviert wurde.
• Verfügbarkeit: Archivierte E-Mails lassen sich jederzeit innerhalb angemessener Zeit abrufen.

Moderne Archivierungslösungen bieten zusätzlich De-Duplizierung und Komprimierung. Die archivierten Daten belegen so bis zu 70 Prozent weniger Speicherplatz als auf dem E-Mail-Server selbst.

Welche Softwarelösungen eignen sich für KMU?

Der Markt für E-Mail-Archivierung bietet Lösungen für jede Unternehmensgröße. Bei kleinen und mittelständischen Betrieben haben sich einige Anbieter fest etabliert. Aufbewahrungspflichtig sind neben E-Mails allerdings auch Rechnungen, Bilanzen und Jahresabschlüsse. Unser Vergleich der Archivierungssoftware stellt Programme gegenüber, die alle diese Geschäftsunterlagen in einem gemeinsamen Archiv ablegen.

MailStore Server

Mit über 100.000 Kunden weltweit zählt MailStore zu den bekanntesten Archivierungslösungen im deutschsprachigen Raum. MailStore ist nach IDW PS 880 und DSGVO zertifiziert. Unterstützt werden nahezu alle gängigen E-Mail-Systeme, von Microsoft 365 über Google Workspace bis zu On-Premise-Lösungen wie Exchange. Installiert wird die Software auf einem Windows Server, was in reinen Linux-Umgebungen zusätzliche Kosten verursacht.

REDDOXX MailDepot

MailDepot arbeitet unabhängig vom eingesetzten Mailserver. Ob Microsoft Exchange, Microsoft 365, Zimbra oder HCL Notes (früher Lotus Notes): MailDepot bindet jedes dieser Systeme an. Die Software wird als virtuelle Appliance installiert und ist nach wenigen Schritten einsatzbereit. Wechselt ein Unternehmen das E-Mail-System, läuft die Archivierung weiter.

Cloud-basierte Alternativen

Für Unternehmen ohne eigene IT-Infrastruktur bieten sich Cloud-Lösungen an. Diese Dienste erfordern keine lokale Installation und skalieren flexibel mit dem Unternehmenswachstum. Achten Sie darauf, dass die Rechenzentren des Anbieters in Deutschland oder der EU stehen. Nur so unterliegen Ihre Daten dem europäischen Datenschutzrecht.

Bei der Auswahl einer Lösung zählen diese Kriterien: GoBD-Zertifizierung oder Testat, Kompatibilität mit Ihrem E-Mail-System, einfache Bedienbarkeit für Endanwender, eine schnelle Suchfunktion und regelbasierte Löschung nach Ablauf der Aufbewahrungsfristen.

Einen Partner für revisionssichere E-Mail Archivierung finden Unternehmen auch bei spezialisierten Schweizer Anbietern, die Komplettlösungen für den deutschen Markt entwickeln.

Wie bringen Sie DSGVO und Archivierungspflicht unter einen Hut?

Auf den ersten Blick scheinen die Datenschutz-Grundverordnung und die steuerlichen Aufbewahrungspflichten unvereinbar. Die DSGVO verlangt die Löschung personenbezogener Daten, sobald der Verarbeitungszweck erfüllt ist (Recht auf Vergessenwerden). Die GoBD schreiben dagegen eine jahrelange Speicherung vor.

Beide Regelwerke lassen sich vereinbaren. Die DSGVO erklärt eine Verarbeitung personenbezogener Daten ausdrücklich für rechtmäßig, sofern sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Die steuerlichen Aufbewahrungspflichten aus AO und HGB sind solche Verpflichtungen. Während der gesetzlichen Aufbewahrungsfristen dürfen und müssen Sie E-Mails deshalb archivieren. Nach Ablauf der Fristen müssen Sie personenbezogene Daten jedoch löschen. Eine professionelle Archivierungslösung unterstützt Sie dabei mit regelbasierten Löschmechanismen, die automatisch greifen.

Besondere Vorsicht gilt bei E-Mails, die niemals archiviert werden dürfen: Bewerbungsunterlagen abgelehnter Kandidaten, vertrauliche Korrespondenz zwischen Mitarbeitern und Betriebsrat sowie Kommunikation mit dem Betriebsarzt. Bei dauerhafter Speicherung drohen hier empfindliche DSGVO-Bußgelder.

Lesetipps:

• Zeiterfassungsgesetz: Das müssen Sie auch in 2026 wissen
• Bildungsurlaub in der Agentur 🤿: Pflicht oder echter Wettbewerbsvorteil?
• Microsoft 365 Tricks 🪄, die Sie jeden Tag effizienter arbeiten lassen
• Vertragsmanagement 📑: So reduzieren Sie Risiken und gewinnen echte Kontrolle zurück
• Digitaler Posteingang 📨: Warum die Digitalisierung kein Nice-to-have mehr ist

Was sollten Sie jetzt konkret tun?

Am Anfang steht eine Bestandsaufnahme: Prüfen Sie, wie Ihr Unternehmen E-Mails heute archiviert. Setzen Sie lediglich auf Outlook-Ordner oder manuelle Backups, besteht dringender Handlungsbedarf.

Erstellen Sie als Nächstes eine Verfahrensdokumentation. Die GoBD verlangen, dass Sie festhalten, wie E-Mails in Ihrem Unternehmen empfangen, verarbeitet, archiviert und gelöscht werden. Ein sachverständiger Dritter muss diese Dokumentation nachvollziehen können.

Implementieren Sie dann eine geeignete Archivierungslösung. Viele Anbieter stellen kostenlose Testversionen bereit, mit denen Sie ohne Risiko prüfen, ob die Software zu Ihren Anforderungen passt.

Schulen Sie abschließend Ihre Mitarbeiter. Die beste Archivierungslösung nützt nichts, solange Ihre Beschäftigten das System nicht verstehen oder Nachrichten am Archiv vorbei verschicken. Erklären Sie, warum E-Mail-Archivierung wichtig ist und wie das Archiv funktioniert.

Die Investition in eine professionelle E-Mail-Archivierung bleibt überschaubar: Selbst kleine Unternehmen finden Lösungen ab wenigen Euro pro Postfach und Monat. Gemessen an den möglichen Folgen einer Betriebsprüfung ohne ordnungsgemäße Archivierung zahlen Sie damit einen geringen Preis für Ihre Rechtssicherheit.

Glossar: 15 wichtige Fachbegriffe zur E-Mail-Archivierung

Abgabenordnung (AO)

Die Abgabenordnung (AO) ist das zentrale Gesetz des deutschen Steuerverfahrensrechts. Die AO regelt unter anderem in § 147 die Aufbewahrungspflichten für steuerlich relevante Unterlagen und bildet gemeinsam mit dem HGB die gesetzliche Basis für die E-Mail-Archivierung.

Aufbewahrungsfrist

Aufbewahrungsfrist ist der gesetzlich vorgeschriebene Zeitraum, in dem Geschäftsunterlagen aufbewahrt werden müssen. Für E-Mails gelten je nach Inhalt sechs, acht oder zehn Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die E-Mail erstellt, empfangen oder zuletzt bearbeitet wurde.

Betriebsprüfung

Betriebsprüfung bezeichnet die Überprüfung der steuerlichen Verhältnisse eines Unternehmens durch das Finanzamt. Bei dieser Prüfung muss das Unternehmen alle archivierungspflichtigen E-Mails maschinell auswertbar zur Verfügung stellen können.

De-Duplizierung

De-Duplizierung ist ein technisches Verfahren, bei dem identische E-Mails und Anhänge nur einmal im Archiv gespeichert werden. Das Verfahren senkt den Speicherbedarf erheblich, weil beispielsweise ein Anhang, der an mehrere Empfänger ging, nur einmal im Archiv liegt.

DSGVO

DSGVO steht für Datenschutz-Grundverordnung und regelt den Umgang mit personenbezogenen Daten in der EU. Die Verordnung verlangt unter anderem die Löschung von Daten nach Zweckerfüllung; bei archivierten E-Mails greift diese Pflicht erst nach Ablauf der steuerlichen Aufbewahrungsfristen.

GoBD

GoBD ist die Abkürzung für „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“. Diese Verwaltungsvorschrift des Bundesfinanzministeriums definiert, wie digitale Unterlagen archiviert werden müssen.

Journal-Archivierung

Journal-Archivierung beschreibt ein Verfahren, bei dem alle ein- und ausgehenden E-Mails automatisch in Echtzeit in ein separates Archiv kopiert werden. Auf diese Weise geht keine archivierungspflichtige E-Mail verloren, und niemand kann eine archivierte Nachricht manipulieren.

Metadaten

Metadaten sind Informationen über eine E-Mail, die nicht zum eigentlichen Inhalt gehören. Zu den Metadaten zählen Absender, Empfänger, Datum, Uhrzeit und Betreff. Bei der revisionssicheren Archivierung müssen diese Angaben vollständig mit der E-Mail gespeichert werden.

PST-Datei

PST-Datei (Personal Storage Table) heißt die Datei, in der Microsoft Outlook E-Mails lokal speichert. PST-Dateien erfüllen die GoBD-Anforderungen an eine revisionssichere Archivierung nicht, da sich der Inhalt nachträglich verändern oder beschädigen lässt.

Retention Policy

Retention Policy bezeichnet eine Richtlinie, die festlegt, wie lange bestimmte E-Mail-Kategorien aufbewahrt werden müssen. In professionellen Archivierungslösungen definieren Sie verschiedene Aufbewahrungsregeln, die das System automatisch anwendet.

Revisionssicherheit

Revisionssicherheit bedeutet, dass archivierte Dokumente während der gesamten Aufbewahrungsfrist unveränderbar, vollständig und jederzeit verfügbar sind. Änderungen müssen protokolliert werden, und die Originalversion muss rekonstruierbar bleiben.

Verfahrensdokumentation

Verfahrensdokumentation ist eine schriftliche Beschreibung aller Prozesse rund um die Erfassung, Verarbeitung, Speicherung und Löschung von Geschäftsunterlagen. Die GoBD verlangen diese Dokumentation, damit ein sachverständiger Dritter die Abläufe nachvollziehen kann.

Volltextindizierung

Volltextindizierung ist ein Verfahren, das den gesamten Inhalt einer E-Mail einschließlich der Anhänge durchsuchbar macht. Bei Betriebsprüfungen oder internen Recherchen finden Sie archivierte E-Mails so schnell über Stichworte.

WORM

WORM steht für „Write Once Read Many“ und bezeichnet Speichermedien oder Speichersysteme, auf denen Daten nur einmal geschrieben, aber beliebig oft gelesen werden können. Die Technologie verhindert nachträgliche Manipulation und bildet eine Grundlage revisionssicherer Archivierung.

Zwei-Faktor-Authentifizierung

Zwei-Faktor-Authentifizierung ist eine Sicherheitsmethode, bei der neben dem Passwort ein zweiter Faktor (beispielsweise ein Code auf dem Smartphone) zur Anmeldung erforderlich ist. Bei E-Mail-Archiven schützt das Verfahren vor unbefugtem Zugriff auf sensible Geschäftskorrespondenz.

FAQ