E-Mail-Archive sinnvoll aufbewahren

In vielen Unternehmen ist das Postfach zugleich Ablage, Gedächtnis und Archiv. Das funktioniert, bis ein Mitarbeiter das Unternehmen verlässt, ein Postfach versehentlich gelöscht wird oder das Finanzamt einen Beleg aus einem früheren Geschäftsjahr sehen möchte. Spätestens dann zeigt sich: Aufbewahren ist nicht dasselbe wie Archivieren. Dieser Artikel erklärt, worauf es ankommt, in welcher Reihenfolge Sie vorgehen und wann ein separates Archiv überflüssig ist.

Warum Postfach und Backup kein Archiv ersetzen

Ein Postfach ist ein Arbeitswerkzeug, keine Ablage. Mitarbeiter löschen, verschieben und sortieren nach eigenen Regeln. Quoten erzwingen regelmäßiges Ausmisten, und was einmal gelöscht ist, lässt sich oft nicht mehr beschaffen. Dazu kommen PST-Dateien: lokale Ablagen auf einzelnen Rechnern, die weder gesichert noch zentral durchsuchbar sind und beim Rechnerwechsel gern verloren gehen.

Auch ein Backup löst das Problem nicht. Ein Backup ist für den Katastrophenfall gebaut: Es stellt einen früheren Zustand wieder her, etwa nach einem Serverausfall oder einer Ransomware-Attacke. Es ist nicht dafür gedacht, eine einzelne E-Mail aus einem bestimmten Monat binnen Minuten zu finden. Backups werden zudem nach einem Rotationsplan überschrieben; wer sie langfristig aufhebt, hortet Daten ohne Ordnung und ohne Suchfunktion.

Ein Archiv verfolgt den umgekehrten Ansatz: Jede ein- und ausgehende E-Mail wird im Moment des Versands oder Empfangs automatisch und unveränderbar kopiert, bevor der Empfänger sie löschen kann. Diese Kopie bleibt für die festgelegte Dauer unverändert, ist vollständig durchsuchbar und wird erst nach Ablauf der Aufbewahrungsfrist gelöscht.

Was der Gesetzgeber verlangt

E-Mails, die Geschäftsvorgänge belegen – Rechnungen, Auftragsbestätigungen, Angebote mit Preisabsprachen, Verträge, Mahnungen –, unterliegen denselben Aufbewahrungspflichten wie Papierdokumente. Die einschlägigen Regelwerke sind das Handelsgesetzbuch, die Abgabenordnung und die GoBD, die Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung elektronischer Unterlagen. Sie verlangen im Kern vier Dinge: Vollständigkeit, Unveränderbarkeit, Nachvollziehbarkeit und die Möglichkeit, Belege bei einer Prüfung zeitnah vorzulegen. Wie lange ein Dokument aufzubewahren ist, hängt von seiner Art ab; Ihr Steuerberater nennt Ihnen die Fristen für Ihre Dokumentenarten verbindlich.

Aus der Unveränderbarkeit folgt praktisch, dass Postfach und Dateiablage als Archiv ausscheiden, denn dort lassen sich E-Mails bearbeiten und löschen. Die GoBD erwarten außerdem eine Verfahrensdokumentation: eine schriftliche Beschreibung, wie das Archiv funktioniert, wer Zugriff hat und wie die Vollständigkeit sichergestellt wird. Viele Unternehmen kaufen Technik und vergessen genau dieses Dokument.

Gleichzeitig gilt die Datenschutz-Grundverordnung: E-Mails enthalten personenbezogene Daten, und pauschales Aufheben ohne Grund kollidiert mit dem Löschgebot. Die Aufbewahrungspflichten aus Handels- und Steuerrecht liefern die Rechtsgrundlage für geschäftliche E-Mails, nicht aber für die private Korrespondenz der Mitarbeiter. Regeln Sie deshalb schriftlich, ob die private Nutzung der dienstlichen Adresse erlaubt ist, und binden Sie – falls vorhanden – Betriebsrat und Datenschutzbeauftragten früh ein. Wer private Nutzung duldet, muss dafür sorgen, dass private Nachrichten nicht archiviert werden, was der geforderten Vollständigkeit widerspricht. Die sauberste Lösung ist meist ein klares Verbot der Privatnutzung.

In welcher Reihenfolge Sie vorgehen

Beginnen Sie nicht mit der Produktauswahl, sondern mit der Bestandsaufnahme. Verschaffen Sie sich ein Bild: Welche Postfächer, gemeinsam genutzten Mailboxes und öffentlichen Ordner existieren? Wo liegen PST-Dateien? Was geschieht mit den Postfächern ausgeschiedener Mitarbeiter? In einem Unternehmen dieser Größenordnung ist diese Inventur meist in wenigen Tagen erledigt und entscheidet über den Umfang des gesamten Projekts.

Klären Sie danach mit dem Steuerberater, welche E-Mail-Kategorien bei Ihnen aufbewahrungspflichtig sind, und gießen Sie das Ergebnis in ein kurzes schriftliches Regelwerk: Was wird archiviert, wie lange, wer darf suchen, wer übernimmt das Postfach bei einem Austritt? Legen Sie die Verantwortung fest. Die Geschäftsführung trägt sie rechtlich und kann den Betrieb an die IT delegieren, die Verantwortung selbst jedoch nicht. Für Suchzugriffe auf fremde Postfächer empfiehlt sich ein Vier-Augen-Prinzip, etwa Geschäftsführung plus Datenschutzbeauftragter.

Technisch hat sich das Journaling bewährt: Der Mailserver leitet jede Nachricht in dem Moment, in dem sie ein- oder ausgeht, zusätzlich ins Archiv. Die Vollständigkeit hängt damit nicht vom Verhalten der Mitarbeiter ab. Prüfen Sie, ob Ihr Mailsystem – ob Microsoft 365, ein lokaler Exchange-Server oder eine andere Groupware – Journaling unterstützt und ob die Archivlösung damit zusammenarbeitet. Erst wenn das Journaling läuft, migrieren Sie die Altbestände: PST-Dateien und alte Postfächer werden eingespielt und anschließend gelöscht, damit keine Schattenarchive zurückbleiben.

Testen Sie das System, bevor Sie es für fertig erklären: Suchen Sie eine bekannte E-Mail aus dem Altbestand, exportieren Sie das Ergebnis und lassen Sie eine Kollegin ohne Einweisung dasselbe versuchen. Was im Test nicht gefunden wird, findet später auch der Prüfer nicht.

Fragen, die Sie einem Cloud-Anbieter stellen sollten

Stellen Sie einem Cloud-Anbieter vor der Entscheidung diese Fragen:

• In welchem Land stehen die Rechenzentren, und kommen Subunternehmer zum Einsatz?
• Erhalten Sie einen Vertrag zur Auftragsverarbeitung nach der Datenschutz-Grundverordnung?
• Wie wird die Unveränderbarkeit technisch umgesetzt – etwa über Hashwerte, Zeitstempel und die lückenlose Protokollierung aller Zugriffe?
• Unterstützt die Lösung Journaling für Ihr konkretes Mailsystem?
• In welchem Format können Sie den gesamten Bestand exportieren, und ist der Export ohne Zutun des Anbieters möglich? Ein Archiv, aus dem Sie Ihre Daten nicht vollständig herausbekommen, ist ein Risiko, kein Service.
• Was geschieht bei Vertragsende mit den Daten, und wird die endgültige Löschung dokumentiert?
• Wer hält die Verschlüsselungsschlüssel – Sie oder der Anbieter?
• Können Sie nachweisen, wer wann in welchem Postfach gesucht hat?

Lassen Sie sich die Antworten schriftlich geben; sie gehören in die Verfahrensdokumentation.

Woran Sie merken, dass das Archiv nicht funktioniert

Das häufigste Problem ist ein still stehendes Journaling: Ein Zugang ist abgelaufen, ein Zertifikat ungültig, und seit Wochen landet nichts mehr im Archiv, ohne dass es jemand bemerkt. Kontrollieren Sie deshalb regelmäßig, ob die täglich archivierte Menge plausibel zum Mailaufkommen passt. Ein zweites Warnsignal: Mitarbeiter legen weiterhin PST-Dateien an. Dann ist das Archiv zu langsam, zu kompliziert oder schlicht unbekannt. Drittens: Niemand hat je eine Suche oder einen Export getestet. Und schließlich: Wenn nach dem Wechsel eines Administrators niemand mehr weiß, wie das System bedient wird, fehlt es an Dokumentation und Vertretungsregelung.

Wann sich ein separates Archiv nicht lohnt

Nicht jedes Unternehmen braucht ein eigenes Archivprodukt. Bringt Ihre Mailplattform bereits eine Archivfunktion mit, die Unveränderbarkeit, Volltextsuche und Fristenverwaltung abdeckt, und ist Ihr Volumen überschaubar, erzeugt ein zweites System nur doppelten Aufwand. Prüfen Sie also zuerst, was Sie bereits lizenziert haben.

Ebenso wenig lohnt sich ein Archiv als Ersatz für fehlende Regeln: Wer nicht weiß, was er aufbewahren muss, kauft mit einem Werkzeug nur die Illusion von Ordnung. Und das Gegenteil von „nichts aufheben“ ist nicht „alles für immer aufheben“. Ein Archiv ohne Löschkonzept sammelt personenbezogene Daten, die bei einer Datenschutzprüfung Erklärungsbedarf auslösen und in einem Rechtsstreit auch gegen Sie verwendet werden können. Ziel ist nicht ein möglichst großes Archiv, sondern ein vollständiges mit definiertem Ende.

Fazit

Wer E-Mail-Archive sinnvoll aufbewahren will, braucht drei Dinge in dieser Reihenfolge: Klarheit über die aufbewahrungspflichtigen Inhalte, ein schriftliches Regelwerk mit Verantwortlichkeiten und erst dann eine Technik, die Vollständigkeit und Unveränderbarkeit automatisch sichert. Der Aufwand dafür ist überschaubar. Der Aufwand, eine verlorene E-Mail gegenüber dem Finanzamt oder vor Gericht zu erklären, ist es nicht.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.