Ist Microsoft 365 / Exchange Online GoBD-konform?

Was die GoBD verlangen

Die GoBD sind die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff. Sie sind kein eigenes Gesetz, sondern eine Verwaltungsanweisung des Bundesministeriums der Finanzen, nach der die Finanzbehörden prüfen. Maßgeblich ist das BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und zuletzt am 14. Juli 2025, vor allem wegen der E-Rechnung.

Im Kern stehen ein paar Prinzipien: Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Erfassung, Ordnung und vor allem Unveränderbarkeit. Aufbewahrungspflichtige Unterlagen müssen während der gesamten Frist jederzeit verfügbar sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können. Empfangene Handels- oder Geschäftsbriefe und Buchungsbelege müssen bildlich, andere Unterlagen inhaltlich mit dem Original übereinstimmen (§ 147 Abs. 2 AO). Bei einer Außenprüfung darf die Finanzbehörde Einsicht in die Daten nehmen, sie nach ihren Vorgaben maschinell auswerten lassen oder sich übertragen lassen (§ 147 Abs. 6 AO).

Welche E-Mails Sie aufbewahren müssen

Nicht jede Mail muss ins Archiv. Entscheidend sind nach den GoBD Inhalt und Funktion, nicht die Bezeichnung (Rz. 121): E-Mails mit der Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs sind in elektronischer Form aufzubewahren. Handelsbriefe sind nach § 257 Abs. 2 HGB Schriftstücke, die ein Handelsgeschäft betreffen.

• Angebote, Auftragsbestätigungen, Rechnungen und Verträge per E-Mail: in der Regel aufbewahrungspflichtig.
• Newsletter, reine Terminabsprachen oder private Nachrichten: in der Regel nicht.
• Dient eine E-Mail nur als „Transportmittel“, etwa für eine angehängte Rechnung, und enthält selbst keine weiteren aufbewahrungspflichtigen Angaben, muss nur der Anhang aufbewahrt werden. Die GoBD vergleichen sie mit dem früheren Papierbriefumschlag.

Im laufenden Betrieb ist diese Unterscheidung schwer sauber zu treffen. Oft ist es deshalb praktikabler, den geschäftlichen E-Mail-Verkehr automatisch zu archivieren, statt jede Nachricht einzeln bewerten zu lassen. Was ausgenommen wird und wann gelöscht wird, regelt ein Aufbewahrungskonzept, das Sie mit Ihrer Steuerberatung und mit Blick auf den Datenschutz abstimmen.

Wie lange? Die Aufbewahrungsfristen

• 10 Jahre: Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte und die Eröffnungsbilanz (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
• 8 Jahre: Buchungsbelege, dazu zählen in der Regel auch Rechnungen. Das Vierte Bürokratieentlastungsgesetz hat die Frist von 10 auf 8 Jahre verkürzt. Sie gilt seit dem 1. Januar 2025 auch für ältere Belege, deren bisherige Frist Ende 2024 noch nicht abgelaufen war (Art. 97 § 19a EGAO). Für Banken, Versicherungen und Wertpapierinstitute gelten Sonderregeln.
• 6 Jahre: empfangene und abgesandte Handels- und Geschäftsbriefe, also auch die entsprechenden E-Mails, sowie sonstige steuerlich relevante Unterlagen.

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die E-Mail empfangen oder abgesandt wurde bzw. der Beleg entstanden ist (§ 147 Abs. 4 AO). Sie läuft außerdem nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 AO).

Reicht Microsoft 365 / Exchange Online dafür aus?

Exchange Online speichert E-Mails zuverlässig und bringt Compliance-Funktionen mit: Archivpostfächer, Aufbewahrungsrichtlinien über Microsoft Purview, Litigation Hold und Journaling. Richtig lizenziert und konfiguriert, decken diese Funktionen einzelne GoBD-Anforderungen ab. Eine automatische GoBD-Konformität ergibt sich daraus aber nicht, und einige Punkte werden leicht übersehen.

Wo die Bordmittel an Grenzen stoßen

• Lizenz: Aufbewahrungsrichtlinien für Postfächer und Litigation Hold sind unter anderem in Exchange Online Plan 2, Microsoft 365 Business Premium, E3 und E5 enthalten. Für Business Basic und Business Standard braucht es das Add-on Exchange Online Archiving.
• Journaling: Ein Exchange-Online-Postfach lässt sich nicht als Journalpostfach festlegen. Journalberichte müssen an ein lokales System oder einen externen Archivdienst gehen. Microsoft nennt Journaling selbst eine ältere Funktion und empfiehlt, Daten mit der Microsoft-365-Aufbewahrung direkt im Tenant zu halten.
• Unzustellbare Journalberichte: Die Unzustellbarkeitsmeldungen müssen Sie selbst überwachen. Ist auch das alternative Journalpostfach nicht erreichbar, gehen abgewiesene Berichte verloren und lassen sich nicht wiederherstellen.
• Änderbare Holds: Litigation Hold und Aufbewahrungsrichtlinien ohne Sperre können Administratoren mit passenden Rechten wieder entfernen. Danach greift ein 30-tägiger Verzögerungs-Hold, anschließend werden zur Löschung markierte Elemente endgültig entfernt. Mit der Rolle „Legal Hold“ lässt sich auch dieser Verzögerungs-Hold vorzeitig aufheben.
• Preservation Lock: Aufbewahrungsrichtlinien lassen sich per PowerShell sperren. Dann kann niemand, auch kein globaler Administrator, sie deaktivieren, löschen oder verkürzen. Die Sperre ist bewusst nicht umkehrbar und will deshalb gut geplant sein.

Der entscheidende Punkt: Ohne Preservation Lock bleibt die Aufbewahrung in Microsoft 365 administrativ änderbar, mit Lock ist sie fest, aber auch unumkehrbar. Ob die Umsetzung den GoBD genügt, hängt zusätzlich an Dingen, die keine Einstellung liefert: vollständige Erfassung, ein geregelter Weg, Prüfern Daten lesbar und maschinell auswertbar bereitzustellen, und eine Verfahrensdokumentation.

Was eine revisionssichere Archivierung leisten muss

• Vollständige, automatische Erfassung des relevanten E-Mail-Verkehrs, am besten bevor jemand etwas löschen kann.
• Unveränderbarkeit, abgesichert durch technische und organisatorische Maßnahmen, mit protokollierten Änderungen.
• Verfügbarkeit, Lesbarkeit und maschinelle Auswertbarkeit über die gesamte Aufbewahrungsfrist, auch nach einem Systemwechsel.
• Ein geregelter Datenzugriff für die Außenprüfung (§ 147 Abs. 6 AO): Wer stellt welche Daten auf welchem Weg bereit?
• Ein Lösch- und Berechtigungskonzept, denn auch der Datenschutz setzt Grenzen, wie lange und für wen personenbezogene Daten verfügbar sind.
• Eine Verfahrensdokumentation, die beschreibt, wie archiviert wird. Die GoBD sind im Kern auch ein Prozessthema, nicht nur eine Softwarefrage.

Ein separates Archiv: zentrale Archivierung mit MailStore

Für Microsoft 365 und Exchange setze ich auf MailStore (MailStore Software GmbH, seit Dezember 2019 Teil von OpenText), lokal als MailStore Server oder gehostet, etwa als MailStore Cloud oder EL mailarchive. Die Software legt vollständige, originalgetreue Kopien der E-Mails in einem zentralen Archiv ab und bindet Microsoft 365, Exchange und Google Workspace über Journaling oder Postfach-Archivierung an. Nutzer greifen weiter über die gewohnte Ordnerstruktur, per Volltextsuche oder direkt aus Outlook zu.

Den Manipulationsschutz stützt MailStore Server technisch über SHA-Hashwerte der E-Mail-Inhalte und eine interne AES256-Verschlüsselung. Ist Legal Hold aktiv, lassen sich ungeachtet aller anderen Einstellungen keine E-Mails aus dem Archiv löschen. Eine Auditing-Funktion protokolliert die vom Administrator festgelegten Ereignisse, und ein eigener Auditor-Benutzer gibt Prüfern Lesezugriff auf die Archive, ohne dass er E-Mails archivieren oder exportieren kann. Nach Herstellerangabe wird jede neue Version von einem unabhängigen Prüfer nach IDW PS 880 geprüft. Die Bescheinigung für Version 26.3 vom 17. Juli 2026 bestätigt, dass die Software bei sachgerechter Anwendung eine den Grundsätzen ordnungsmäßiger Buchführung entsprechende Rechnungslegung ermöglicht.

Ob das Archiv im eigenen Haus läuft oder gehostet wird, hängt von Ihrer Größe und Ihren Anforderungen ab. Die Varianten vergleiche ich im Beitrag MailStore im eigenen Haus oder in der Cloud. Wie ich Archivierung plane und betreue, beschreibt die Seite E-Mail-Archivierung.