GoBD und E-Mail-Archivierung, erklärt
Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am
Dieser Artikel ist die kurze Einführung. Die ausführliche Anleitung mit allen Anforderungen, einer Checkliste und den Quellen steht auf der Seite E-Mail-Archivierung nach GoBD.
Die GoBD verlangt für geschäftliche E-Mail, die als Handelsbrief gilt oder sich auf eine Buchung bezieht, dass sie über Jahre vollständig, unveränderbar und nachvollziehbar aufbewahrt wird, nicht nur gespeichert; genau dafür ist das Restow-Archiv gebaut, verfügbar seit 0.1.0, mit einer Hash-Kette, die jede Änderung erkennbar macht. Der Rest dieser Seite beantwortet genau, was das bedeutet und was das Archiv heute leistet.
Geschäftliche E-Mail, die als Handelsbrief gilt oder sich auf einen Buchungsvorgang bezieht, ist nach deutschem Recht eine steuerlich relevante Unterlage. Die GoBD, das Verwaltungsschreiben des Finanzministeriums zur ordnungsgemäßen Buchführung, setzt konkrete, überprüfbare Anforderungen daran, wie diese Unterlage aufbewahrt werden muss, nicht nur wie lange.
Was das Gesetz tatsächlich verlangt
- Aufbewahrung: 6 Jahre für Handelsbriefe (§ 257 HGB, § 147 AO), 8 Jahre für Buchungsbelege, 10 Jahre für Bücher und Jahresabschlüsse.
- Kernanforderung der GoBD: Unterlagen müssen vollständig, richtig, zeitgerecht, geordnet, unveränderbar, nachvollziehbar und maschinell auswertbar sein, mit Verfahrensdokumentation und einem Änderungsprotokoll, und im Originalformat aufbewahrt werden: Eine E-Mail bleibt eine E-Mail, kein Ausdruck.
- „Zeitgerecht“ speziell ist der Grund, warum die Erfassung beim Transport, per Journaling oder per Kopie, die der Mailanbieter weiterleitet, der stärkere Mechanismus ist: Sie nimmt eine Kopie, bevor ein Nutzer das Original ändern oder löschen kann, während eine Erfassung aus dem Postfach nur sieht, was beim Abholen der Mail noch da ist. Restow bietet beides an und kennzeichnet, was was ist.
- Neben der DSGVO: ein Löschkonzept nach Ablauf der Aufbewahrung, die Möglichkeit, für eine Betroffenenanfrage personenbezogen zu suchen, und ein Legal Hold, der nur mit dokumentiertem Grund eingesetzt wird.
Wie lange Unterlagen in Deutschland aufzubewahren sind
§ 257 HGB, § 147 AO. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist (§ 147 Abs. 4 AO).
Länger, solange eine Unterlage für eine nicht bestandskräftige Steuerfestsetzung noch von Bedeutung ist (§ 147 Abs. 3 AO). Keine Rechtsberatung.
Wie die Hash-Kette eine Änderung sichtbar macht
Der Hash jedes archivierten Elements enthält den Hash davor. Ändert sich ein Element, passt kein späteres Glied mehr.
Was das Restow-Archiv leistet (seit 0.1.0)
In jeder Edition: ein nur anhängbares Archiv mit SHA-256-Hash-Kette und Kettenprüfung, durchsuchbar nach Betreff, Adressen und (bei importierter Mail) Nachrichtentext; der Inhalt von Anhängen wird nicht durchsucht. In jeder Edition wird das Archiv durch den Mail-Import mit der Option „gleichzeitig archivieren“ gefüllt; importierte Mail wird nachträglich erfasst, und ihre Aufbewahrungsfrist beginnt mit dem Importdatum. Business und Service Provider ergänzen den Empfang von Exchange-Online-Journalberichten per SMTP und, für IMAP-Anbieter und Google Workspace, von Kopien, die der Anbieter weiterleitet: die Erfassungswege, die zum Argument oben passen, weil die Kopie beim Transport entsteht (der Empfänger braucht ein eigenes TLS-Zertifikat). Seit 0.4.4 kommt die Erfassung aus den Postfächern dazu, per Microsoft-Graph-Änderungsbenachrichtigungen für Microsoft 365 und per IMAP-Abgleich mit IDLE für IMAP und Google Workspace, jeweils mit einer einmaligen Übernahme der Mail, die schon da ist, und einem archivierten Element je Mail, egal über wie viele Wege sie erfasst wurde. Diese Erfassung ist zeitnah: Sie holt eine Mail kurz nach der Zustellung, eine Mail, die dazwischen verschoben oder gelöscht wird, kann fehlen, und Restow behauptet keine Vollständigkeit. Sie wurde gegen simulierte Dienste getestet, nicht gegen einen echten Microsoft-365- oder Google-Workspace-Mandanten. Der Mail-Job-Editor kennzeichnet jeden Weg als „Echt“ oder „Zeitnah“. Dazu kommen Aufbewahrung mit durchgesetztem Löschlauf und Legal Hold, der die Löschung aussetzt. Restow spricht mit Microsoft nur über Microsoft Graph, und Microsoft hat am 1. Oktober 2026 begonnen, EWS für Exchange Online abzuschalten (endgültig: 1. April 2027). Geplant: die Self-Service-Suche für Endnutzer im eigenen Archiv und ein signierter PDF-Nachweisbericht. Siehe Roadmap und die Design-Dokumentation.
Die Hash-Kette macht eine Änderung erkennbar (manipulationserkennbar); sie macht eine Änderung nicht unmöglich. Seit 0.4.0 lässt sich die Unveränderbarkeit je Repository (Speicherziel) einschalten; sie ist aus, bis ein Administrator das tut. Auf S3 mit Object Lock (Compliance- oder Governance-Modus, 1 bis 3650 Tage) sind die Packs, Manifeste und Schlüssel des Chunk-Speichers gesperrt; das Archiv schreibt seinen Nachrichteninhalt durch denselben Speicher, und die Datensätze der Archivelemente behalten wie bisher ihre eigene Aufbewahrung. Auf einem Verzeichnis oder einer NFS-Freigabe verzögert Restow die Löschung nur, das ist keine Unveränderbarkeit, das Standard-Repository der Installation lässt sich nicht unveränderbar machen, und die Sperre wurde bisher nur gegen einen simulierten S3-Dienst getestet. Siehe Unveränderbare Backups.
Was wir nicht behaupten
Nicht „GoBD-zertifiziert“: Ein solches Zertifikat gibt es gar nicht zu beanspruchen, da die GoBD selbst ausdrücklich festhält, dass Finanzbehörden keine positiven Bestätigungen ausstellen. Restow sagt, dass das Archiv für den GoBD-konformen Einsatz ausgelegt ist, und die konkreten Maßnahmen hinter dieser Aussage benennen, nie „zertifiziert“ oder „konform“ als bloße, unqualifizierte Behauptung, und nie als Ersatz für die Prüfung durch Ihren eigenen Steuerberater oder Datenschutzbeauftragten. Das Archiv ist in jeder Edition enthalten; Erfassung aus den Postfächern, Empfang von Journalberichten, durchgesetzte Löschläufe und Legal Hold gehören zu Business und Service Provider.
Wie sich das von den Regeln in den USA, im UK, in der Schweiz und in Österreich unterscheidet, zeigt Warum deutsches Recht ein guter Maßstab für Datenschutz und Datensicherung ist. Anforderungen, Umfang von Restow und eine Checkliste stehen kompakt unter E-Mail-Archivierung nach GoBD.
Häufig gefragt
Was verlangt GoBD für E-Mail-Archivierung?
Geschäftliche E-Mails, die Handelsbriefe sind oder sich auf einen Buchungsvorgang beziehen, sind steuerlich relevante Unterlagen: 6 Jahre Aufbewahrung für Handelsbriefe (§ 257 HGB, § 147 AO), 8 Jahre für Buchungsbelege. Die GoBD (das Verwaltungsschreiben des Finanzministeriums) verlangt darüber hinaus, dass diese Unterlagen vollständig, richtig, zeitgerecht, unveränderbar, nachvollziehbar, maschinell auswertbar, im Originalformat aufbewahrt werden, mit Verfahrensdokumentation und einem Protokoll jeder Änderung.
Ist das Archiv von Restow GoBD-zertifiziert?
Ein solches Zertifikat gibt es überhaupt nicht zu beanspruchen: Die GoBD selbst stellt klar, dass Finanzbehörden keine positiven Bestätigungen ausstellen, weder im Rahmen einer Prüfung noch sonst, und dass ein Zertifikat eines Dritten die Finanzbehörde ebenfalls nicht bindet; die Verantwortung bleibt beim Steuerpflichtigen. Restow formuliert, dass sein Archiv für den GoBD-konformen Einsatz ausgelegt ist, und benennt die konkreten Maßnahmen, nie „zertifiziert“ oder „konform“ als unqualifizierte Behauptung.
Ist die für den GoBD-konformen Einsatz ausgelegte Archivschicht jetzt schon verfügbar?
Ja, mit Einschränkungen, seit 0.1.0. Jede Edition archiviert mit Hash-Kette und einer Suche über Betreff, Adressen und (bei importierter Mail) Nachrichtentext; Business und Service Provider ergänzen den Empfang von Journalberichten und weitergeleiteten Kopien (beim Transport), seit 0.4.4 die Erfassung aus den Postfächern per Microsoft Graph und IMAP-Abgleich (zeitnah, nicht vollständig, nur gegen simulierte Dienste getestet), durchgesetzte Aufbewahrung und Legal Hold. Die Self-Service-Suche für Endnutzer und ein signierter Nachweisbericht sind geplant.
Mehr in Wissen: das Backup-Glossar (Archiv, Hash-Kette, Legal Hold, Aufbewahrung) →
Mehr in Wissen: Backup und Archivierung, und warum das eine das andere nicht ersetzt →