GoBD-konforme E-Mail-Archivierung: die Anforderungen

Von Martin Leue, Geschäftsführer der IDO GmbH Aktualisiert am 18.10.2026

Die GoBD verlangen für aufbewahrungspflichtige E-Mails vor allem vier Dinge: Die Mails müssen vollständig erfasst, im Originalformat unveränderbar gespeichert, geordnet wiederzufinden und maschinell auswertbar sein, und das während der gesamten Aufbewahrungsfrist. Dazu kommen Schutz vor Verlust, ein Protokoll über Eingang und Archivierung und eine Verfahrensdokumentation, die beschreibt, wie das alles funktioniert. Ein normales Postfach, ein Ordner mit PDF-Ausdrucken oder eine Outlook-Datei erfüllen diese Anforderungen nicht.

Was die GoBD sind und was nicht

GoBD steht für die „Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff“. Es handelt sich um ein Schreiben des Bundesministeriums der Finanzen, das festlegt, wie die Finanzverwaltung die Ordnungsvorschriften der Abgabenordnung (vor allem § 146 und § 147 AO) bei elektronischen Unterlagen auslegt. Die geltende Fassung stammt vom 28. November 2019. Am 11. März 2024 wurde sie vor allem beim Datenzugriff geändert, mit einem weiteren Schreiben vom 14. Juli 2025 bei der Aufbewahrung von E-Rechnungen.

Drei Punkte werden oft missverstanden:

Die GoBD sind kein Gesetz, sondern eine Verwaltungsanweisung. In der Betriebsprüfung sind sie aber der Maßstab, an dem der Prüfer Ihr Archiv misst.
Ein amtliches GoBD-Zertifikat für Software gibt es nicht. Die Finanzverwaltung erteilt keine Positivtestate, und Zertifikate Dritter binden das Finanzamt nicht (GoBD Rz. 179 bis 181). Seien Sie skeptisch bei Werbung mit „GoBD-zertifiziert“.
Verantwortlich bleibt immer das Unternehmen selbst, auch wenn es einen Cloud-Dienst nutzt (Rz. 20 und 21). Ein gutes Archiv nimmt Ihnen die Technik ab, die Organisation drumherum bleibt Ihre Aufgabe.

Die Anforderungen im Überblick

Grundsatz	Fundstelle in den GoBD	Was das für E-Mails heißt
Vollständigkeit	Rz. 36 ff.	Jede aufbewahrungspflichtige Mail, ein- und ausgehend, wird erfasst, ohne Lücken.
Ordnung	Rz. 53 ff., 117, 122	Mails sind über einen eindeutigen Index wiederzufinden, Eingang und Archivierung werden protokolliert.
Unveränderbarkeit	Rz. 58 ff., 107 ff., 119	Das Original bleibt bis zum Fristende unverändert, Änderungen und Löschungen sind ausgeschlossen oder werden erkennbar.
Maschinelle Auswertbarkeit	Rz. 125 ff.	Aufbewahrung im Originalformat, durchsuchbar und auswertbar, ohne Informationsverlust.
Datensicherheit	Rz. 103 ff.	Schutz vor Verlust, Diebstahl und unberechtigtem Zugriff.
Nachvollziehbarkeit	Rz. 145 ff., 151 ff.	Ein sachverständiger Dritter kann das Verfahren anhand der Verfahrensdokumentation prüfen.
Datenzugriff	Rz. 158 ff.	Der Prüfer erhält Lesezugriff oder die Daten in auswertbarer Form.

Vollständigkeit: jede Mail, bevor jemand sie löscht

Ein Archiv ist nur so gut wie seine Lücken. Die häufigste Schwachstelle ist nicht die Speicherung, sondern die Erfassung: Wird eine Mail gelöscht, bevor das Archiv sie abgeholt hat, fehlt sie für immer. Für E-Mails gibt es zwei Wege, die Vollständigkeit sicherzustellen:

Journal oder BCC-Regel auf dem Mailserver: Der Server schickt von jeder ein- und ausgehenden Mail automatisch eine Kopie an das Archiv, im Moment der Zustellung. Das ist der sicherste Weg, weil Benutzer nichts daran ändern können. Microsoft 365 bietet dafür Journalregeln, Google Workspace Compliance-Regeln, viele andere Server eine BCC-Weiterleitung. Wie das in Microsoft 365 aussieht, erklärt die Seite zur Journal-Regel in Microsoft 365.
Abholung per IMAP: Das Archiv liest das Postfach in kurzen Abständen, bei Mailarchiv leicht jede Minute, und übernimmt alles, auch den Ordner „Gesendet“. Das funktioniert mit jedem Anbieter und ohne Eingriff in den Mailserver. Eine Mail, die innerhalb dieser Minute gelöscht wird, kann allerdings fehlen.

Zur Vollständigkeit gehört auch der Altbestand. Mails, die vor dem Start des Archivs eingegangen sind, sollten ebenfalls hinein, etwa aus dem Postfach selbst oder aus Altbestand aus PST- und MBOX-Dateien.

Unveränderbarkeit: das Original, nachweisbar unberührt

Nach § 146 Abs. 4 AO darf eine Aufzeichnung nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist. Für elektronische Unterlagen verlangen die GoBD, dass sie für die Dauer der Aufbewahrungsfrist unveränderbar erhalten bleiben (Rz. 119). Unveränderbarkeit kann nach Rz. 110 hardwaremäßig, softwaremäßig oder organisatorisch erreicht werden. Und ausdrücklich: Die Ablage in einem normalen Dateisystem erfüllt diese Anforderung regelmäßig nicht, wenn keine zusätzlichen Maßnahmen dazukommen.

Für ein E-Mail-Archiv heißt das praktisch:

Die Mail wird im Originalformat gespeichert (EML nach RFC 5322, mit allen Kopfzeilen und Anhängen), nicht umgewandelt.
Eine Prüfsumme (Hash) belegt, dass die gespeicherte Datei Bit für Bit dem Original entspricht.
Der Speicher verhindert technisch, dass jemand die Mail vor Fristende löscht oder überschreibt, auch ein Administrator.
Wird etwas entfernt oder verändert, muss das auffallen.

Mailarchiv leicht setzt das so um: Jede Mail wird als unverändertes Original gespeichert und mit SHA-256 gehasht. Die Prüfsummen sind je Archiv zu einer Kette verbunden, in der jede Mail auf die vorherige verweist; fehlt eine Mail oder wird eine verändert, bricht die Kette an dieser Stelle. Gespeichert wird im Objektspeicher mit Löschsperre im Compliance-Modus (S3 Object Lock): Bis zum Ende der Frist kann niemand die Mail löschen, auch wir nicht. Jede Nacht prüfen wir Stichproben der Originale gegen ihre Prüfsumme und rechnen die Kette nach. Die Einzelheiten stehen auf der Seite zur Technik hinter der Löschsperre.

Ordnung: wiederfinden in angemessener Zeit

Ein bestimmtes Ordnungssystem schreiben die GoBD nicht vor (Rz. 117). Es muss aber sichergestellt sein, dass ein sachverständiger Dritter die Unterlagen in angemessener Zeit prüfen kann. Jedes elektronische Dokument braucht einen eindeutigen Index, dessen Verknüpfung zum Dokument während der ganzen Frist erhalten bleibt (Rz. 122). Außerdem sind Eingang, Archivierung und eine eventuelle Konvertierung zu protokollieren (Rz. 117).

Bei E-Mails ergibt sich der Index fast von selbst: Datum, Absender, Empfänger, Betreff, Message-ID, Postfach und Richtung. Ein Archiv sollte danach filtern können und zu jeder Mail festhalten, wann und auf welchem Weg sie archiviert wurde.

Maschinelle Auswertbarkeit: kein Ausdruck, kein Bild

Unterlagen müssen während der Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein (§ 147 Abs. 2 Nr. 2 AO). Die GoBD nennen als Beispiele eine Volltextsuche und Auswertungen wie Filtern und Sortieren (Rz. 126). Eine bestehende Auswertbarkeit darf nicht verschlechtert werden (Rz. 129). Die GoBD nennen dazu ausdrücklich die E-Mail: Wer sie als PDF speichert, verliert die Informationen der Kopfzeilen, und es ist nicht mehr nachvollziehbar, wie die Mail tatsächlich angekommen ist.

Auch bei Anhängen zählt das Original. Eine ZUGFeRD-Rechnung in ein Bildformat umzuwandeln, ist unzulässig, weil dabei die eingebetteten XML-Daten verloren gehen (Rz. 129, Beispiel 11).

Für die Prüfung reicht eine reine Volltextsuche allein übrigens regelmäßig nicht aus (Rz. 174). Gute Archive bieten deshalb Filter nach Zeitraum, Postfach, Richtung und Anhängen sowie einen Export mit maschinenlesbarem Index, den der Prüfer in seine Prüfsoftware übernehmen kann. Wie das in der Prüfung abläuft, steht im Beitrag darüber, wie der Prüfer auf Ihre Mails zugreift.

Datensicherheit: Schutz vor Verlust und Zugriff

Das Unternehmen muss sein System gegen Verlust, Vernichtung und Diebstahl sichern und gegen unberechtigte Veränderungen schützen (Rz. 103). Können Unterlagen wegen unzureichenden Schutzes nicht mehr vorgelegt werden, ist die Buchführung formell nicht mehr ordnungsmäßig (Rz. 104). Für ein E-Mail-Archiv gehören dazu:

Speicherung in einem professionellen Rechenzentrum, idealerweise mit Kopie an einem zweiten Standort,
Verschlüsselung der gespeicherten Mails,
Zugang nur mit persönlichem Konto, besser mit Zwei-Faktor-Anmeldung,
ein Protokoll, wer wann gesucht, gelesen oder exportiert hat.

Bei Mailarchiv leicht ist jedes Archiv mit einem eigenen Schlüssel verschlüsselt und liegt in Rechenzentren in Deutschland. Jede Suche, jede Ansicht, jeder Download und jeder Export wird im Zugriffsprotokoll festgehalten, das sich nur fortschreiben, aber nicht ändern lässt.

Nachvollziehbarkeit: die Verfahrensdokumentation

Für jedes DV-System muss eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse vollständig und schlüssig hervorgehen (Rz. 151). Für ein E-Mail-Archiv beschreibt sie, welche Postfächer wie erfasst werden, wie gespeichert und geschützt wird, wer zugreifen darf und wie lange aufbewahrt wird. Eine fehlende Dokumentation ist allein noch kein Grund, die Buchführung zu verwerfen, solange die Nachvollziehbarkeit nicht leidet (Rz. 155). Sie erspart Ihnen aber viele Fragen in der Prüfung. Eine Gliederung einer Verfahrensdokumentation zum Übernehmen finden Sie in unserem eigenen Beitrag dazu.

Checkliste: Erfüllt Ihr E-Mail-Archiv die GoBD?

Werden alle geschäftlichen Postfächer erfasst, auch Sammeladressen und gesendete Mails?
Kommt jede Mail ins Archiv, bevor jemand sie löschen kann?
Wird das Original mit allen Kopfzeilen und Anhängen gespeichert, ohne Umwandlung?
Ist technisch ausgeschlossen, dass jemand Mails vor Fristende löscht, auch der Administrator?
Lässt sich nachweisen, dass keine Mail verändert wurde oder fehlt?
Ist die Frist passend eingestellt (siehe wie lange welche Mail aufbewahrt werden muss)?
Können Sie in Sekunden nach Zeitraum, Absender und Inhalt suchen und einen Export für den Prüfer erstellen?
Gibt es ein Zugriffsprotokoll und eine aktuelle Verfahrensdokumentation?

Wenn Sie mehrere Fragen mit Nein beantworten, lohnt sich ein Blick auf Mailarchiv leicht und die GoBD im Überblick. Oder Sie sehen es sich direkt an: Suche und Filter mit eigenen Mails ausprobieren.

Dieser Beitrag fasst die GoBD in der Fassung vom 28. November 2019 mit den Änderungen vom 11. März 2024 und vom 14. Juli 2025 zusammen (Stand: Oktober 2026). Er ist keine Rechts- oder Steuerberatung.

Quellen

Mailarchiv testen ohne AnmeldungJetzt testen