Diese 10 Fehler sehen wir immer wieder
E-Mail-Archivierung klingt nach einer einmaligen IT-Aufgabe: System einrichten, fertig. In der Praxis sieht es anders aus. Bei Betriebsprüfungen, Datenschutz-Audits und internen Revisionen kommen immer wieder dieselben Fehler ans Licht, und viele davon sind teuer.
Das Bundesfinanzministerium hat in den GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) klar definiert, was eine revisionssichere Archivierung ausmacht. Der BFH hat mit Urteil XI R 15/23 klargestellt, dass E-Mails als Geschäftsbriefe gelten und entsprechend aufzubewahren sind. Und trotzdem: Die folgende Liste mit den zehn häufigsten Fehlern zeigt, wo die meisten Unternehmen noch Nachholbedarf haben.
Fehler 1: Backup statt Archiv nutzen
Warum es falsch ist: Ein Backup ist eine Sicherungskopie des aktuellen Zustands. Es sichert, was heute vorhanden ist, und überschreibt beim nächsten Durchlauf das Alte. Löscht ein Mitarbeiter eine E-Mail, ist sie beim nächsten Backup-Zyklus weg. Eine Archivierung hingegen legt jede E-Mail dauerhaft, unveränderbar und recherchierbar ab, unabhängig davon, was im Postfach passiert.
Wie Sie es richtig machen: Setzen Sie ein dediziertes Archivsystem ein, das E-Mails beim Empfang oder Versand automatisch abgreift (Journal-Archivierung). Das Backup bleibt daneben für die Disaster-Recovery bestehen, ersetzt das Archiv aber nicht.
Fehler 2: Nicht alle Postfächer erfassen
Warum es falsch ist: Viele Unternehmen archivieren nur die persönlichen Postfächer der Mitarbeiter und vergessen dabei gemeinsam genutzte Postfächer: info@, buchhaltung@, support@ oder Verteilerlisten. Gerade dort landen aber oft die geschäftlich relevantesten E-Mails: Bestellungen, Reklamationen, Zahlungsbelege. Bei einer Betriebsprüfung nach §147 AO müssen diese lückenlos vorgelegt werden können.
Wie Sie es richtig machen: Erfassen Sie bei der Einrichtung des Archivs alle Postfächer, inklusive Funktionsadressen, Alias-Adressen und geteilter Mailboxen. Pflegen Sie eine aktuelle Liste und überprüfen Sie diese bei jeder Organisationsänderung.
Fehler 3: Keine Verfahrensdokumentation
Warum es falsch ist: Die GoBD schreiben ausdrücklich vor, dass ein IT-System, das steuerrelevante Daten verarbeitet, durch eine Verfahrensdokumentation beschrieben sein muss. Diese muss erklären, wie das System funktioniert, wie Daten erfasst, gespeichert und wiedergefunden werden und wer Zugriff hat. Fehlt die Dokumentation, kann der Prüfer die Ordnungsmäßigkeit des gesamten Archivs anzweifeln, selbst wenn technisch alles korrekt läuft.
Wie Sie es richtig machen: Erstellen Sie eine schriftliche Verfahrensdokumentation für Ihr Archivsystem. Sie muss nicht hundert Seiten lang sein, aber die wesentlichen Punkte abdecken: Systemübersicht, Datenfluss, Zugriffskonzept, Aufbewahrungsfristen und Löschprozesse. Halten Sie die Dokumentation aktuell, wenn sich etwas ändert.
Fehler 4: Private E-Mails ohne Regelung archivieren
Warum es falsch ist: Wenn Mitarbeitern die private Nutzung der betrieblichen E-Mail-Adresse erlaubt oder geduldet wird, gilt das Unternehmen datenschutzrechtlich als Telekommunikationsanbieter. Die Archivierung privater Kommunikation ohne ausdrückliche Einwilligung verstößt dann gegen das Fernmeldegeheimnis und die DSGVO. Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe zu E-Mail-Archivierung ausdrücklich auf dieses Problem hingewiesen.
Wie Sie es richtig machen: Sie haben zwei rechtssichere Wege. Entweder Sie verbieten die private Nutzung betrieblicher E-Mail-Adressen in einer schriftlichen Richtlinie, dann darf alles archiviert werden. Oder Sie erlauben die private Nutzung und treffen technische Vorkehrungen, die private E-Mails von der Archivierung ausschließen (z.B. durch Kennzeichnung oder separate Ordner). Wichtig: Die Richtlinie muss den Mitarbeitern bekannt sein und dokumentiert werden.
Fehler 5: Aufbewahrungsfristen falsch konfiguriert
Warum es falsch ist: In vielen Archivsystemen ist noch die alte Frist von zehn Jahren für Buchungsbelege hinterlegt. Das Vierte Bürokratieentlastungsgesetz (BEG IV) hat die Aufbewahrungsfrist für Buchungsbelege nach §147 AO auf acht Jahre verkürzt, gültig für Unterlagen, deren Frist ab dem 1. Januar 2025 zu laufen beginnt. Wer dennoch zehn Jahre archiviert, verstößt nicht gegen steuerliche Pflichten, bindet aber unnötig Speicherplatz und verletzt unter Umständen das Minimierungsgebot der DSGVO.
Wie Sie es richtig machen: Überprüfen Sie die konfigurierten Aufbewahrungsfristen in Ihrem Archivsystem. Für Buchungsbelege gilt jetzt: 8 Jahre. Für Handelsbriefe und sonstige steuerlich relevante Unterlagen: 6 Jahre (§257 HGB). Für nicht steuerrelevante E-Mails empfiehlt sich eine kürzere Frist entsprechend Ihrem Löschkonzept. Sprechen Sie im Zweifel mit Ihrem Steuerberater.
Fehler 6: Kein Löschkonzept nach Fristablauf
Warum es falsch ist: E-Mails ewig aufzubewahren klingt auf den ersten Blick sicherer, ist es aber nicht. Die DSGVO verlangt das Prinzip der Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Wer nach Ablauf der gesetzlichen Aufbewahrungsfrist keine Löschung vornimmt, verstößt gegen Art. 5 Abs. 1 lit. e DSGVO. Datenschutzbehörden mahnen diesen Punkt zunehmend ab.
Wie Sie es richtig machen: Richten Sie automatische Löschregeln in Ihrem Archivsystem ein, die E-Mails nach Ablauf der definierten Aufbewahrungsfrist löschen. Dokumentieren Sie diesen Prozess in Ihrem Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO). Ausnahmen (etwa laufende Rechtsstreitigkeiten, bei denen eine Legal Hold-Sperre sinnvoll ist) sollten ebenfalls schriftlich begründet sein.
Fehler 7: Anhänge nicht im Originalformat speichern
Warum es falsch ist: Die GoBD fordern, dass Unterlagen in dem Format aufbewahrt werden, in dem sie entstanden sind oder eingegangen sind. Ein PDF-Anhang, der als JPEG re-kodiert wird, ein Word-Dokument, das als reiner Text gespeichert wird: das alles verletzt das Originalitätsprinzip. Im Streitfall kann das Finanzamt solche Unterlagen als nicht ordnungsgemäß zurückweisen.
Wie Sie es richtig machen: Stellen Sie sicher, dass Ihr Archivsystem die E-Mail samt aller Anhänge im Originalformat (RFC 2822 / MIME) speichert, ohne Konvertierung oder Komprimierung, die zu Datenverlust führt. Eine verlustfreie Komprimierung ist zulässig, solange das Original jederzeit originalgetreu wiederhergestellt werden kann.
Fehler 8: Fehlendes Zugriffsrechte-Konzept
Warum es falsch ist: Wenn alle Mitarbeiter auf das gesamte Archiv zugreifen können (also auch auf E-Mails von Kollegen, Vorgesetzten oder der Geschäftsführung), ist das ein klarer DSGVO-Verstoß. Gleichzeitig schreibt das Arbeitsrecht vor, dass Mitarbeiter nicht pauschal überwacht werden dürfen. Viele Unternehmen öffnen bei der Einrichtung des Archivs zu viele Zugriffsrechte, weil es kurzfristig bequemer ist.
Wie Sie es richtig machen: Definieren Sie ein abgestuftes Berechtigungskonzept: Mitarbeiter sehen nur ihre eigenen archivierten E-Mails, Abteilungsleiter gegebenenfalls die ihrer Abteilung, und auf das vollständige Archiv haben nur bestimmte Personen (z.B. Compliance-Beauftragter, IT-Leitung) unter dokumentierten Bedingungen Zugriff. Legen Sie auch fest, unter welchen Umständen ein Zugriff auf fremde Postfächer erlaubt ist und wie dieser zu protokollieren ist.
Fehler 9: E-Mails nachträglich veränderbar
Warum es falsch ist: Das ist vermutlich der schwerwiegendste Fehler überhaupt. Die GoBD stellen in Abschnitt 4.3.2 klar: Aufbewahrungspflichtige Unterlagen müssen unveränderbar gespeichert sein. Wer E-Mails im Archiv bearbeiten, löschen oder ergänzen kann, ohne dass dies protokolliert wird, hat kein revisionssicheres Archiv, egal wie gut die übrigen Einstellungen sind. Im Extremfall kann das Finanzamt die gesamte Buchführung verwerfen.
Wie Sie es richtig machen: Prüfen Sie die technischen Garantien Ihres Archivsystems: Sind E-Mails nach dem Einlesen wirklich schreibgeschützt? Wird jeder Zugriffsversuch protokolliert? Verfügt das System über eine kryptographische Integritätssicherung (z.B. Hashwerte), die nachträgliche Manipulationen nachweisbar macht? Lassen Sie diese Punkte schriftlich vom Hersteller bestätigen und halten Sie die Bestätigung in Ihrer Verfahrensdokumentation fest.
Fehler 10: Keine regelmäßige Überprüfung der Archivierung
Warum es falsch ist: Viele Unternehmen richten ihr Archivsystem einmal ein und schauen danach jahrelang nicht mehr hin. In der Zwischenzeit kommen neue Mitarbeiter und neue Postfächer hinzu, die nicht erfasst werden. Software-Updates ändern das Verhalten des Systems. Die IT-Infrastruktur ändert sich. Was einmal korrekt konfiguriert war, kann nach drei Jahren bereits Lücken aufweisen, die erst bei der Betriebsprüfung auffallen.
Wie Sie es richtig machen: Etablieren Sie einen jährlichen Archivierungs-Check als festen Termin. Überprüfen Sie dabei: Werden alle aktiven Postfächer erfasst? Stimmen die Aufbewahrungsfristen noch mit der aktuellen Rechtslage überein? Funktioniert die Wiederherstellung tatsächlich (Testwiederherstellung)? Ist die Verfahrensdokumentation aktuell? 30 Minuten einmal im Jahr können eine Betriebsprüfung deutlich entspannter machen.
Fazit: Compliance ist kein Einmalprojekt
Die gute Nachricht: Die meisten dieser Fehler sind vermeidbar, wenn man die richtigen Grundlagen schafft. Ein technisch solides Archivsystem, eine schriftliche Verfahrensdokumentation, klare Regeln zur privaten Nutzung und ein jährlicher Review: das sind die vier Säulen einer rechtssicheren E-Mail-Archivierung.
EasyMailArchive ist so konzipiert, dass die häufigsten dieser Fehler gar nicht erst entstehen: Journal-Archivierung erfasst alle Postfächer automatisch, kryptographische Integritätssicherung verhindert nachträgliche Manipulation, automatische Löschregeln setzen das Speicherbegrenzungsgebot um, und ein granulares Rechtesystem schützt vor unbefugtem Zugriff.
Wenn Sie wissen möchten, wo Ihre aktuelle Archivierungslösung steht, sprechen Sie uns an. Wir helfen Ihnen, Lücken zu identifizieren, bevor es der Prüfer tut.