Microsoft 365 ist in deutschen Unternehmen allgegenwärtig. Exchange Online, Teams, SharePoint: die gesamte Kommunikationsinfrastruktur vieler Betriebe läuft über die Microsoft-Cloud. Da liegt die Frage nahe: Wenn Microsoft ohnehin alles speichert, brauchen wir dann noch eine separate Archivierungslösung?

Die kurze Antwort: Ja, in den meisten Fällen schon. Die lange Antwort erklärt, warum die in Microsoft 365 enthaltenen Compliance-Werkzeuge zwar nützlich sind, aber die rechtlichen Anforderungen der GoBD und des deutschen Steuerrechts nicht vollständig erfüllen, und was das für Ihre IT-Strategie bedeutet.

Was Microsoft 365 mitbringt: Ein Überblick

Microsoft 365 enthält in verschiedenen Lizenzpaketen eine Reihe von Funktionen, die auf den ersten Blick wie eine Archivierungslösung wirken.

In-Place Archive (Compliance-Archiv)

Das In-Place Archive ist ein erweitertes Postfach, das Nutzern unter "Onlinearchiv" in Outlook erscheint. Es erweitert das Postfach um zusätzlichen Speicher und ermöglicht es, ältere E-Mails automatisch dorthin zu verschieben. Technisch ist es jedoch kein unabhängiges Archiv, sondern ein zweites Exchange-Postfach im selben Tenant. Was dort liegt, ist weiterhin für den Nutzer und für Administratoren veränderbar.

Retention Policies und Retention Labels

Im Microsoft Purview Compliance Center können Administratoren Aufbewahrungsrichtlinien definieren: E-Mails sollen sieben oder zehn Jahre aufbewahrt werden, danach automatisch gelöscht. Retention Labels erlauben eine granulare Steuerung auf Inhaltsebene. Das klingt nach Compliance, aber eine Retention Policy verhindert nur das vorzeitige Löschen. Sie macht ein E-Mail-Postfach noch nicht zu einem revisionssicheren Archiv.

Litigation Hold und eDiscovery

Litigation Hold (In-Situ-Aufbewahrung) friert den Postfachinhalt eines Nutzers ein: Gelöschte oder veränderte Elemente werden in einem versteckten Ordner vorgehalten und können über eDiscovery-Suchen abgerufen werden. Diese Funktion ist primär für rechtliche Auseinandersetzungen und interne Untersuchungen gedacht, nicht für steuerliche Aufbewahrungspflichten.

Microsoft Purview Message Encryption und Compliance-Suche

Purview bietet außerdem verschlüsselte Nachrichtenübertragung und eine mandantenweite Volltextsuche über E-Mails, Teams-Nachrichten und SharePoint-Dokumente. Für eDiscovery-Zwecke ist das wertvoll. Für die GoBD-konforme Archivierung nach deutschem Steuerrecht löst es die wesentlichen Probleme nicht.

Warum diese Features die GoBD nicht erfüllen

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, BMF-Schreiben vom 28. November 2019, zuletzt geändert 14. Juli 2025) stellen konkrete Anforderungen an elektronische Archivsysteme. Microsoft 365 erfüllt mehrere davon strukturell nicht.

1. Kein unabhängiges System vom produktiven System

Die GoBD fordern in Rz. 106, dass die Archivierung in einem System erfolgt, das vom operativen Produktivsystem getrennt ist. Wörtlich: "Die Aufbewahrung darf nicht in dem System erfolgen, in dem die Daten entstanden sind, wenn dieses System nicht die Anforderungen erfüllt."

Das In-Place Archive und die Retention-Infrastruktur von Microsoft 365 sind Bestandteil desselben Tenants, desselben Exchange-Online-Dienstes und desselben Microsoft-Kontos. Ein Administrator mit den entsprechenden Berechtigungen kann Inhalte ändern, Postfächer löschen oder Retention Policies nachträglich anpassen. Die GoBD verlangen dagegen ein Archiv, das unabhängig vom produktiven System betrieben wird und in dem Manipulationen technisch ausgeschlossen oder lückenlos nachvollziehbar sind.

2. Keine gesicherte Unveränderlichkeit

Unveränderlichkeit ist eine Kernanforderung jeder GoBD-konformen Archivierung. Ein archiviertes Dokument muss nach der Einlagerung so erhalten bleiben, wie es eingegangen ist. Jede Änderung muss protokolliert werden, das Original muss rekonstruierbar bleiben.

Microsoft 365 bietet mit dem "Preservation Lock" für Retention Policies eine Funktion, die die Richtlinie selbst vor Änderungen schützt. Das ist ein Schritt in die richtige Richtung. Die tatsächlichen E-Mail-Inhalte sind jedoch weiterhin über PowerShell-Befehle durch Global Admins veränderbar. Auch Microsoft selbst kann im Rahmen von Support-Prozessen oder Dienständerungen auf diese Daten zugreifen. Eine lückenlose, extern überprüfbare Manipulationssicherheit mit kryptografischer Absicherung bietet Microsoft 365 nicht.

3. Keine Verfahrensdokumentation im deutschen Sinne

Die GoBD verlangen eine vollständige Verfahrensdokumentation für jedes eingesetzte elektronische Buchführungssystem, also auch für das E-Mail-Archiv. Diese Dokumentation muss beschreiben, wie das System funktioniert, wie die Unveränderlichkeit technisch gewährleistet wird, wer Zugriff hat, wie Löschsperren funktionieren und wie der Datenzugriff für Betriebsprüfungen ermöglicht wird.

Microsoft stellt für Microsoft 365 keine GoBD-spezifische Verfahrensdokumentation bereit, die diesen Anforderungen genügt. Der Microsoft Trust Center und die Compliance-Dokumentation beschreiben die Dienste aus einer SOC-2- und ISO-27001-Perspektive, nicht aus der Perspektive des deutschen Steuerrechts. Unternehmen, die Microsoft 365 als Archiv nutzen, müssen diese Dokumentation selbst erstellen und pflegen, was aufwändig und fehleranfällig ist.

4. Datenspeicherung und Rechtszuständigkeit

Seit dem "Schrems II"-Urteil des EuGH (C-311/18, Juli 2020) und der nachfolgenden Diskussion um den EU-US Data Privacy Framework ist die Frage der Datenspeicherung für steuerrelevante Unterlagen in Deutschland sensibel. Microsoft hat mit der "EU Data Boundary" eine Initiative gestartet, die Kundendaten innerhalb der EU halten soll.

Wichtig zu verstehen: Die EU Data Boundary von Microsoft ist kein Versprechen, dass Daten ausschließlich in Deutschland gespeichert werden. Erstens umfasst die EU Data Boundary alle EU/EWR-Rechenzentren, also auch Irland, die Niederlande oder andere Länder. Zweitens gibt es Ausnahmen für Support-Prozesse, in denen Microsoft-Mitarbeiter außerhalb der EU auf Daten zugreifen können. Drittens unterliegt Microsoft als US-amerikanisches Unternehmen dem CLOUD Act von 2018, der US-Behörden unter bestimmten Umständen Zugriff auf Daten US-amerikanischer Unternehmen ermöglicht, unabhängig vom Speicherort.

Für steuerlich aufbewahrungspflichtige Unterlagen, die nach § 147 AO bis zu zehn Jahre vorgehalten werden müssen, ist ein Archiv mit nachweisbarer Datensouveränität und deutschem Hosting für viele Unternehmen die sicherere Wahl.

5. Microsoft kann Features ändern oder einstellen

Microsoft 365 ist ein sich laufend verändernder Dienst. Features werden eingeführt, umbenannt, zusammengelegt oder eingestellt. Die "Compliance Center"-Oberfläche ist in den letzten Jahren mehrfach umstrukturiert worden, zuletzt durch den Übergang von "Microsoft 365 Compliance" zu "Microsoft Purview". Retention-Richtlinien, Litigation-Hold-Mechanismen und eDiscovery-Werkzeuge können sich mit dem nächsten Service-Update ändern.

Ein GoBD-konformes Archiv muss über die gesamte Aufbewahrungsfrist von bis zu zehn Jahren unveränderlich zugänglich sein. Ein Cloud-Dienst, dessen Funktionsweise sich im Laufe dieser Zeit grundlegend ändern kann, bietet diese Garantie nicht.

Journaling: Der richtige Ansatz, aber nicht in sich selbst

Microsoft Exchange Online und Exchange Server unterstützen Journaling: Für definierte Postfächer oder den gesamten Tenant wird eine Kopie jeder eingehenden und ausgehenden E-Mail an eine Journaling-Adresse weitergeleitet. Das ist technisch der richtige Weg, um sicherzustellen, dass E-Mails vollständig erfasst werden, auch solche, die Nutzer manuell löschen.

Das Problem: Wenn das Journal-Ziel ein weiteres Postfach in Exchange Online ist, befinden Sie sich wieder im selben System. Eine Kopie in Exchange Online schützt nicht vor Tenant-weiten Problemen, nicht vor administrativen Fehlern und erfüllt nicht die Anforderung an ein unabhängiges Archivsystem.

Journaling ist dann GoBD-konform, wenn das Journal-Ziel ein externes, unabhängiges Archivsystem ist: ein System, das außerhalb des produktiven E-Mail-Dienstes betrieben wird, manipulationssicher ist und die übrigen GoBD-Anforderungen erfüllt.

Die GoBD-konforme Archivierungsstrategie für Microsoft-365-Umgebungen lautet deshalb: Journaling aus Exchange Online heraus an ein dediziertes externes Archivsystem.

Vergleich: Microsoft 365 Built-in vs. dedizierte Archivlösung

Was die Lizenzstufen wirklich kosten

Ein häufiges Argument lautet: "Wir haben Microsoft 365 E3, da ist Compliance doch inklusive." Es lohnt sich, genauer hinzusehen.

Microsoft 365 E3 (ca. EUR 36/Nutzer/Monat) enthält das In-Place Archive, Retention Policies und Litigation Hold. Für einfache Aufbewahrungsszenarien reicht das technisch, GoBD-seitig nicht.

Erweiterte eDiscovery und Audit-Logs (Premium Audit, bis zu einem Jahr Log-Aufbewahrung) erfordern Microsoft 365 E5 (ca. EUR 57/Nutzer/Monat) oder das Microsoft Purview Compliance Add-on (ca. EUR 12/Nutzer/Monat zusätzlich zu E3).

Für ein Unternehmen mit 50 Nutzern bedeutet das: Entweder EUR 57 x 50 = EUR 2.850/Monat für E5 oder EUR 36 + EUR 12 = EUR 48 x 50 = EUR 2.400/Monat für E3 plus Compliance-Add-on. Und selbst bei E5 sind die geschilderten strukturellen Einschränkungen bezüglich GoBD-Konformität nicht behoben.

Eine dedizierte E-Mail-Archivierungslösung im Business-Tarif kostet typischerweise EUR 9/Nutzer/Monat, also EUR 450/Monat für 50 Nutzer. Sie ersetzt nicht die M365-Lizenz, aber sie löst das Archivierungsproblem vollständig und deutlich günstiger als ein E5-Upgrade.

Datensouveränität: EU Data Boundary vs. deutsches Hosting

Microsoft wirbt mit der "EU Data Boundary", dem Versprechen, dass Kundendaten für Nutzer in der EU innerhalb des EU/EWR-Raums verbleiben. Was das genau bedeutet, verdient einen nüchternen Blick:

Die EU Data Boundary umfasst Microsofts Rechenzentren in der gesamten EU und im EWR. Der geografische Speicherort ist nicht auf Deutschland beschränkt. Microsoft kann Daten zwischen Rechenzentren in der EU bewegen, zum Beispiel aus Kapazitätsgründen.

Darüber hinaus enthält Microsofts Dokumentation zur EU Data Boundary Ausnahmen für bestimmte Support-Szenarien, in denen Daten vorübergehend außerhalb der EU verarbeitet werden können.

Der EU Data Act (Verordnung 2023/2854) stärkt seit seinem Inkrafttreten die Rechte von Unternehmen beim Wechsel zwischen Cloud-Anbietern. Kapitel IV der Verordnung verpflichtet Anbieter, den Wechsel zu erleichtern und Vendor Lock-in zu vermeiden. Das ist ein wichtiger Fortschritt, ändert aber nichts an den Fragen rund um den CLOUD Act oder die tatsächliche Datenlokation.

Wer steuerlich aufbewahrungspflichtige E-Mails in einem Archiv mit nachweisbarem deutschem Hosting ablegen möchte, benötigt einen Anbieter, der dieses Versprechen ausdrücklich und vertraglich macht. Das ist bei Microsoft 365 strukturell nicht möglich.

Die empfohlene Architektur: Journaling aus M365 in ein externes Archiv

Die technisch saubere und GoBD-konforme Lösung für Microsoft-365-Umgebungen kombiniert das Journaling von Exchange Online mit einem externen, dedizierten Archivsystem.

Der Ablauf ist unkompliziert:

1. Exchange Online Journal-Regel anlegen

Im Exchange Admin Center wird eine Journal-Regel konfiguriert, die für alle Postfächer (oder eine definierte Gruppe) jede eingehende und ausgehende E-Mail als Kopie an eine Journal-Empfangsadresse sendet.

2. Journal-E-Mails gehen an das externe Archiv

Das externe Archivsystem nimmt die Journal-E-Mails entgegen. Da jede Nachricht als separate E-Mail an die Archivadresse gesendet wird, erhält das Archiv eine vollständige, manipulationssichere Kopie, unabhängig davon, was im Exchange-Online-Postfach des Nutzers passiert.

3. Archiv indiziert und speichert unveränderlich

Das Archiv speichert jede empfangene E-Mail mit Zeitstempel, Absender, Empfänger und vollständigem Inhalt. Die Unveränderlichkeit wird technisch erzwungen: kein Administrator des Unternehmens kann archivierte Nachrichten nachträglich ändern oder löschen.

4. Revisionssichere Suche und Exportfunktionen

Bei einer Betriebsprüfung stehen strukturierte Exportfunktionen bereit, die den GoBD-Datenzugriff nach Z1, Z2 und Z3 unterstützen.

Diese Architektur ist für Exchange Online, Exchange Server (On-Premises) und Hybridumgebungen gleichermaßen geeignet.

Was bei der Einrichtung zu beachten ist

Einige praktische Punkte, die bei der Implementierung regelmäßig übersehen werden:

Exchange Online sendet Journal-E-Mails an die konfigurierte Adresse. Wenn diese Adresse nicht erreichbar ist oder die E-Mail abgelehnt wird, speichert Exchange Online die unzustellbare Journal-E-Mail temporär und versucht es erneut. Nach einer definierten Zeit kann die Nachricht verloren gehen. Das Archivsystem muss hochverfügbar sein und Journal-E-Mails zuverlässig akzeptieren.

Wenn Exchange Online das Journal zunächst an ein M365-Postfach sendet und das Archiv dieses Postfach abholt, entsteht ein Zeitfenster, in dem E-Mails nur im M365-Postfach liegen. Besser ist eine direkte SMTP-Zustellung ans externe Archiv ohne Zwischenspeicherung in Exchange Online.

Journaling erfasst ab dem Aktivierungszeitpunkt. Für die Archivierung älterer E-Mails, die bereits im Exchange-Online-Postfach liegen, ist ein separater Import über die M365-APIs oder einen PST-Export notwendig. Viele Archivlösungen bieten entsprechende Import-Werkzeuge.

Exchange Online kann Journal-Regeln für alle Postfächer konfigurieren, aber Shared Mailboxes und Verteilergruppen erfordern manchmal separate Konfiguration. Das sollte bei der Einrichtung geprüft werden, damit keine Postfächer ausgelassen werden.

Fazit

Microsoft 365 ist ein hervorragendes Produktivitäts- und Kommunikationswerkzeug. Seine eingebauten Compliance-Funktionen sind für bestimmte Szenarien (insbesondere für eDiscovery in rechtlichen Auseinandersetzungen und für interne Untersuchungen) durchaus leistungsfähig.

Als GoBD-konformes Archivsystem für steuerlich aufbewahrungspflichtige E-Mails nach deutschem Recht ist Microsoft 365 allein jedoch nicht ausreichend. Die fehlende Unabhängigkeit vom produktiven System, die eingeschränkte Unveränderlichkeit, das Fehlen einer deutschen Verfahrensdokumentation, die Fragen zur Datensouveränität und die Abhängigkeit von Microsoft-seitigen Feature-Änderungen sind strukturelle Einschränkungen, die sich mit den vorhandenen Lizenzen nicht auflösen lassen.

Die Lösung ist nicht der Verzicht auf Microsoft 365, sondern die Kombination: Exchange Online für die tägliche Kommunikation, ein externes Archivsystem als Journal-Ziel für die GoBD-konforme Langzeitarchivierung. Diese Kombination ist technisch einfach umzusetzen, kosteneffizient und rechtssicher.

EasyMailArchive ist als Journal-Ziel für Exchange Online und Exchange Server konzipiert. Die Lösung nimmt Journal-E-Mails direkt entgegen, speichert sie unveränderlich in deutschen Rechenzentren und liefert eine vollständige Verfahrensdokumentation für die GoBD-konforme Archivierung mit. Betriebsprüfungs-Exports nach Z1, Z2 und Z3 sind integriert.

Wenn Sie prüfen möchten, wie sich EasyMailArchive in Ihre Microsoft-365-Umgebung integrieren lässt, können Sie die Lösung 30 Tage kostenlos testen, ohne Kreditkarte, ohne Mindestvertragslaufzeit.

Jetzt kostenlos testen oder Beratungsgespräch vereinbaren.

Rechtlicher Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine steuerliche oder rechtliche Beratung. Die dargestellten Anforderungen basieren auf der GoBD in der Fassung vom 14. Juli 2025 sowie § 147 AO. Für Ihre konkrete Situation empfehlen wir die Abstimmung mit Ihrem Steuerberater.