E-Mail-Archivierung8 Min Lesezeit

Ist Microsoft 365 / Exchange Online GoBD-konform?

Kurz gesagt: Exchange Online speichert Ihre E-Mails, macht Ihr Postfach aber nicht automatisch GoBD-konform. Die Bordmittel decken einzelne Anforderungen ab, die geforderte revisionssichere Unveränderbarkeit erzwingen sie aber nicht. Was Sie wirklich brauchen und wie Sie es sauber lösen.

Veröffentlicht am 25. Juni 2026 · Daniel Gläser

Was die GoBD verlangen

Die GoBD sind die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form. Sie sind kein eigenes Gesetz, sondern eine bindende Verwaltungsanweisung des Bundesfinanzministeriums (maßgebliches BMF-Schreiben vom 28.11.2019, seither mehrfach angepasst).

Im Kern stehen ein paar Prinzipien: Nachvollziehbarkeit und Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Erfassung, Ordnung und vor allem Unveränderbarkeit. Aufbewahrungspflichtige Unterlagen müssen über die gesamte Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein und inhaltlich mit dem Original übereinstimmen (§ 147 Abs. 2 AO). Die Finanzverwaltung darf darauf zugreifen (§ 147 Abs. 6 AO).

Gilt das auch für mein kleines Unternehmen?

Ja. Die Aufbewahrungspflichten treffen alle buchführungs- und aufzeichnungspflichtigen Steuerpflichtigen, unabhängig von der Größe, also auch KMU und Einzelunternehmer.

Welche E-Mails Sie aufbewahren müssen

Nicht jede Mail muss ins Archiv. Aufbewahrungspflichtig sind steuer- und handelsrechtlich relevante E-Mails, insbesondere solche mit der Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs.

Angebote, Auftragsbestätigungen, Rechnungen und Verträge per E-Mail: aufbewahrungspflichtig.
Newsletter, reine Terminabsprachen oder private Nachrichten: in der Regel nicht.
Dient eine E-Mail nur als Transportmittel für einen aufbewahrungspflichtigen Anhang (z. B. eine Rechnung als PDF) und enthält selbst keine weiteren relevanten Angaben, genügt die Aufbewahrung des Anhangs.

In der Praxis ist diese Unterscheidung im laufenden Betrieb kaum sauber zu treffen. Deshalb archivieren die meisten Unternehmen aus gutem Grund den gesamten E-Mail-Verkehr vollständig und automatisiert, statt Mitarbeitende einzeln entscheiden zu lassen.

Wie lange? Die Aufbewahrungsfristen

10 Jahre: Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
8 Jahre: Buchungsbelege. Diese Frist wurde durch das Vierte Bürokratieentlastungsgesetz von 10 auf 8 Jahre verkürzt und gilt seit dem 01.01.2025 für alle Belege, deren Frist Ende 2024 noch nicht abgelaufen war.
6 Jahre: empfangene und abgesandte Handels- und Geschäftsbriefe sowie sonstige steuerlich relevante Unterlagen.

Verbreiteter Irrtum

Die Verkürzung auf 8 Jahre kam nicht durch das Wachstumschancengesetz, sondern durch das Vierte Bürokratieentlastungsgesetz. Und sie betrifft nur Buchungsbelege: für Bücher, Abschlüsse und Inventare bleibt es bei 10 Jahren.

Reicht Microsoft 365 / Exchange Online dafür aus?

Exchange Online speichert E-Mails zuverlässig und bringt durchaus Compliance-Funktionen mit: ein Online-Archiv, Aufbewahrungsrichtlinien über Microsoft Purview, Litigation Hold und Journaling. Diese Funktionen erfüllen einzelne GoBD-Teilziele. Eine vollständige, automatische GoBD-Konformität ergibt sich daraus aber nicht.

Wo die Bordmittel an Grenzen stoßen

Ein Exchange-Online-Postfach lässt sich nicht als Journalpostfach festlegen. Journalberichte müssen an ein lokales System oder einen externen Archivdienst gehen (Microsoft Learn).
Microsoft bezeichnet Journaling selbst als ältere Funktion und empfiehlt stattdessen die In-Place-Aufbewahrung über Microsoft 365 Retention.
Litigation Hold und Aufbewahrungsrichtlinien lassen sich von Administratoren mit den passenden Rechten per PowerShell wieder deaktivieren oder entfernen. Nach dem Entfernen greift nur noch ein 30-tägiger Verzögerungs-Hold, danach werden zur Löschung markierte Elemente endgültig entfernt.
Bei Journaling tragen Sie selbst die Verantwortung, Unzustellbarkeitsmeldungen zu überwachen. Abgewiesene Journalberichte können verloren gehen und sind nicht wiederherstellbar.

Der entscheidende Punkt: Die Unveränderbarkeit ist bei den Bordmitteln nicht systemisch erzwungen, sondern bleibt administrativ steuerbar. Genau das ist aber der Kern der GoBD.

Es gibt keine GoBD-Zertifizierung vom Staat

Weder Microsoft 365 noch ein anderes Produkt ist 'vom Finanzamt GoBD-zertifiziert'. Eine staatliche GoBD-Zertifizierung existiert nicht. Auch eine bestimmte Technik (etwa WORM-Speicher) ist gesetzlich nicht vorgeschrieben.

Was eine revisionssichere Archivierung leisten muss

Vollständige, automatische Erfassung des relevanten E-Mail-Verkehrs, am besten bevor jemand etwas löschen kann.
Unveränderbarkeit, abgesichert durch technische und organisatorische Maßnahmen.
Verfügbarkeit, Lesbarkeit und maschinelle Auswertbarkeit über die gesamte Aufbewahrungsfrist.
Eine Verfahrensdokumentation, die beschreibt, wie archiviert wird. GoBD ist im Kern auch ein Prozessthema, nicht nur eine Softwarefrage.

Eine bewährte Lösung: zentrale Archivierung mit MailStore

Für Microsoft 365 und Exchange setze ich auf MailStore Server (MailStore Software GmbH, seit Dezember 2019 Teil von OpenText). Die Software legt vollständige, exakte Kopien aller E-Mails in einem zentralen Archiv ab und bindet Exchange, Microsoft 365 und Google Workspace wahlweise über Journaling oder Postfach-Archivierung an. Der Zugriff erfolgt weiter über die gewohnte Ordnerstruktur, per Volltextsuche oder direkt aus Outlook.

Den Manipulationsschutz stützt MailStore technisch über SHA-Hashwerte der E-Mail-Inhalte und eine interne AES256-Verschlüsselung. Mit aktiviertem Legal Hold lassen sich ungeachtet aller anderen Einstellungen keine E-Mails aus dem Archiv löschen. Administrator-Aktivitäten werden protokolliert, und über einen speziellen Auditor-Zugang können Sie Prüfern Lesezugriff geben, ohne Schreibrechte. MailStore Server wird zudem regelmäßig durch einen unabhängigen IT-Revisor nach dem Standard IDW PS 880 geprüft.

Ehrlich bleibt ehrlich

MailStore selbst formuliert es zurückhaltend: Eine professionelle Archivierungslösung kann helfen, die GoBD-Anforderungen für E-Mail-Daten zu erfüllen. Die Konformität hängt zusätzlich von Ihrer Verfahrensdokumentation und den organisatorischen Abläufen ab. Software ist die halbe Miete, der Prozess die andere.

Ob der Betrieb on-premises läuft (Sie behalten alles im Haus) oder als gehostete Variante, hängt von Ihrer Größe und Ihren Anforderungen ab. Beides ist möglich, beides bespreche ich vorab ehrlich mit Ihnen.

Quellen

Dieser Beitrag ist eine sorgfältig recherchierte Orientierung, keine Rechts- oder Steuerberatung. Für verbindliche Auskünfte wenden Sie sich an Ihren Steuerberater oder Rechtsanwalt.

Häufige Fragen

Ist Microsoft 365 / Exchange Online GoBD-konform?+

Exchange Online speichert E-Mails und bringt Compliance-Funktionen mit, ist mit den Bordmitteln allein aber nicht automatisch GoBD-konform. Die Unveränderbarkeit bleibt administrativ steuerbar (Holds und Richtlinien lassen sich per PowerShell entfernen). Für eine revisionssichere Archivierung braucht es zusätzliche Maßnahmen.

Muss ich wirklich alle E-Mails archivieren?+

Pflicht sind nur steuer- und handelsrechtlich relevante E-Mails, etwa mit Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs. In der Praxis ist eine vollständige, automatische Archivierung trotzdem meist sinnvoller, weil die Einzelfallentscheidung im Alltag kaum sauber gelingt.

Wie lange muss ich E-Mails aufbewahren?+

10 Jahre für Bücher, Abschlüsse und Inventare, 8 Jahre für Buchungsbelege (seit 01.01.2025, vorher 10 Jahre) und 6 Jahre für Handels- und Geschäftsbriefe.

Gibt es eine offizielle GoBD-Zertifizierung?+

Nein. Eine staatliche GoBD-Zertifizierung existiert nicht, und es ist keine bestimmte Technik vorgeschrieben. Seriöse Lösungen lassen sich aber durch unabhängige Prüfer testieren, MailStore zum Beispiel nach IDW PS 880.

On-Premises oder Cloud?+

Beides ist möglich. On-Premises behalten Sie alle Daten im eigenen Haus, eine gehostete Variante nimmt Ihnen den Betrieb ab. Welche Variante passt, hängt von Größe, Datenschutzanforderungen und vorhandener IT ab. Das klären wir im Erstgespräch.

E-Mail-Archivierung, die der Prüfung standhält

Ich richte für Ihr Unternehmen eine revisionssichere, GoBD-konforme E-Mail-Archivierung mit MailStore ein, inklusive Anbindung an Microsoft 365 und Verfahrensdokumentation. Aus Chemnitz, vor Ort in Sachsen und deutschlandweit remote.

Zur E-Mail-Archivierung Kontakt aufnehmen

Daniel Gläser

Inhaber Gläser IT-Solutions, Chemnitz

Ich entwickle Software und betreibe IT-Infrastruktur für kleine und mittlere Unternehmen, von der ersten Analyse bis zum laufenden Betrieb. Die Inhalte hier stammen aus realen Projekten und sind mit Quellen belegt.

Mehr über mich LinkedIn