E-Mail-Archivierung mit MailStore in Berlin

• Was das Gesetz verlangt
• Archiv ist kein Backup
• Was wir umsetzen
• Datenschutz
• Betrieb
• Häufige Fragen

Was das Gesetz verlangt – und warum es fast jeden betrifft

Aufbewahrungspflichtig ist nicht nur, was nach Buchhaltung aussieht. Nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch zählt jede Korrespondenz dazu, mit der ein Geschäft vorbereitet, abgeschlossen, abgewickelt oder rückgängig gemacht wird: Angebote, Auftragsbestätigungen, Rechnungen, Verträge, Mängelrügen, Zahlungsbelege. Dass diese Korrespondenz heute per E-Mail läuft, ändert daran nichts – und Dateianhänge gehören dazu, wenn die E-Mail ohne sie unvollständig wäre.

Unterlagen	Aufbewahrungsfrist
Buchungsbelege, etwa Rechnungen, Kontoauszüge, Zahlungsbelege	8 Jahre (seit 1.1.2025; vorher 10 Jahre)
Empfangene und abgesandte Handels- und Geschäftsbriefe	6 Jahre
Bücher, Inventare, Jahresabschlüsse, Lageberichte	10 Jahre

Wie elektronische Unterlagen aufzubewahren sind, konkretisieren die GoBD: vollständig, originalgetreu, unveränderbar, nachvollziehbar, jederzeit verfügbar und maschinell auswertbar. Ein Ausdruck genügt nicht. Eine dauerhafte Ablage im E-Mail-System selbst genügt in aller Regel ebenfalls nicht, weil sich Unveränderbarkeit und Nachvollziehbarkeit dort kaum belegen lassen – jeder Anwender kann eine E-Mail löschen, bevor sie irgendwo gesichert wird.

Dazu kommt seit dem 1. Januar 2025 die E-Rechnung: Jedes inländische Unternehmen muss elektronische Rechnungen empfangen können, ein E-Mail-Postfach reicht dafür aus. Aufzubewahren ist dann aber der strukturierte Teil der Rechnung – die XML-Daten – unversehrt in seiner ursprünglichen Form, acht Jahre lang. Wer die Rechnung nur als PDF ablegt oder das Postfach aufräumt, verliert genau das Original, auf das es ankommt. Ein Archiv, das die E-Mail samt Anhang unverändert übernimmt, löst dieses Problem beiläufig mit.

Verantwortlich für die Umsetzung ist die Geschäftsführung, nicht die IT. Fehlen Unterlagen bei einer Betriebsprüfung, darf das Finanzamt schätzen (§ 162 AO); im Insolvenzfall reicht die Kette bis ins Strafrecht. Das ist unangenehm zu lesen und trotzdem der Grund, warum das Thema regelmäßig aus der Buchhaltung und nicht aus der IT-Abteilung kommt.

Archiv ist kein Backup – und Backup ist kein Archiv

„Wir sichern den Mailserver täglich, wir brauchen kein Archiv.“ Diesen Satz hören wir häufig, und er beruht auf einem Missverständnis: Beide Verfahren lösen unterschiedliche Aufgaben und ersetzen einander nicht.

	Backup	E-Mail-Archiv
Zweck	Wiederherstellung nach einem Schaden	Nachweis und Auffindbarkeit über Jahre
Zeitraum	Tage bis Monate	6, 8, 10 Jahre und länger
E-Mail, die vor dem nächsten Sicherungslauf gelöscht wird	ist weg	ist beim Journaling bereits archiviert
Unveränderbarkeit einzelner Nachrichten	nicht das Ziel	Kernfunktion
Suche über alle Postfächer hinweg	nur über eine Rücksicherung	Volltextsuche in Sekunden
Zugriff durch Anwender selbst	nein	ja, per Self-Service
Entlastung des Mailservers	nein	ja, archivierte E-Mails können aus den Postfächern entfernt werden
Auskunft gegenüber Betriebsprüfung oder Gericht	aufwendig	Export im Standardformat

In der Praxis brauchen Sie beides – und das Archiv gehört selbst mit ins Backup, sonst hängt die Aufbewahrungspflicht an einem einzigen Datenbestand.

Microsoft 365 Backup – ausführlich erklärt

Was wir mit MailStore umsetzen

Wir setzen MailStore Server ein. Die Software gibt es seit 2006, sie wird von der MailStore Software GmbH im niederrheinischen Viersen entwickelt, gehört seit einigen Jahren zu OpenText und ist bei über 100.000 Unternehmen im Einsatz – überwiegend im Mittelstand, also genau in der Größenordnung, in der wir arbeiten. SSP ist MailStore Registered Partner.

Exchange Server im eigenen Haus

Für die Häuser, die ihren Exchange Server noch selbst betreiben, ist der Weg der direkteste: MailStore archiviert die Postfächer regelmäßig oder übernimmt über die Journalfunktion des Servers eine Kopie jeder ein- und ausgehenden Nachricht, bevor sie im Postfach eines Anwenders landet. Damit ist die Archivierung vollständig, auch wenn jemand eine E-Mail sofort löscht. Öffentliche Ordner, Shared Mailboxes und Gruppenpostfächer werden mitgenommen, ebenso Altbestände aus PST-Dateien auf den Rechnern der Anwender.

Microsoft 365

Bei Exchange Online ist der Weg ein anderer, weil Microsoft Journalregeln nicht auf ein internes Postfach zustellen lässt. Hier kommt das kostenfreie MailStore Gateway ins Spiel: Es nimmt die Journal-E-Mails aus Microsoft 365 per SMTP entgegen, legt sie verschlüsselt ab, und MailStore Server holt sie von dort ab. Ein Journalpostfach bei einem Drittanbieter ist damit überflüssig. Alternativ archivieren wir die Postfächer direkt über die Microsoft-Schnittstellen – welcher Weg passt, entscheiden Vollständigkeitsanspruch und Lizenzsituation.

Der Grundgedanke ist derselbe wie beim Backup von Microsoft 365: Microsoft betreibt die Plattform, für die Inhalte darin bleiben Sie verantwortlich. Ein Archiv außerhalb des Mandanten ist zudem noch verfügbar, wenn der Mandant es gerade nicht ist.

Was Ihre Anwender davon merken

Im besten Fall: dass Suchen wieder funktioniert. Der Zugriff läuft über ein Add-in in Outlook, über den MailStore Client oder über den Browser. Die Volltextsuche erfasst Betreff, Inhalt und Dateianhänge – auch den Text angehängter PDF-Rechnungen. Die gewohnte Ordnerstruktur bleibt erhalten, einzelne Nachrichten holt sich jeder mit einem Klick selbst zurück, und Postfachbegrenzungen verlieren ihren Schrecken, weil archivierte E-Mails aus dem Postfach entfernt werden können. Für die IT bedeutet das weniger Rückfragen der Sorte „kannst du mir die Mail von 2021 wiederherstellen“.

Unveränderbar, protokolliert, prüffähig

Damit ein Archiv seinen Zweck erfüllt, muss man ihm ansehen können, dass niemand daran manipuliert hat. MailStore bildet dafür Hashwerte über die Inhalte, verschlüsselt das Archiv intern mit AES-256 und sieht ein Ändern von Nachrichten schlicht nicht vor. Über Aufbewahrungsrichtlinien legen Sie fest, was wie lange bleibt; Legal Hold sperrt im Streitfall jede Löschung, unabhängig von allen anderen Einstellungen. Ein eigener Benutzertyp „Auditor“ gibt externen Prüfern Zugriff, dessen Aktionen protokolliert werden, und alle E-Mails lassen sich im Standardformat exportieren – etwa für eine Datenträgerüberlassung an das Finanzamt. Der Hersteller lässt die Software regelmäßig von einem unabhängigen IT-Revisor nach IDW PS 880 prüfen, zusätzlich mit Blick auf die Betroffenenrechte der DSGVO.

Wo Archivierung mit dem Datenschutz kollidiert

Dieser Teil wird gern übersprungen und macht später die meiste Arbeit. Wer alle E-Mails automatisch archiviert, archiviert auch alles, was niemand archiviert haben will. Vier Punkte klären wir deshalb vor der Einrichtung, nicht danach:

• Private Nutzung der dienstlichen Postfächer. Ist sie erlaubt oder wird sie geduldet, wird die Lage schnell unübersichtlich. Sauber ist eine schriftliche Regelung – meist ein Verbot der privaten Nutzung –, die auch tatsächlich durchgesetzt wird. Eine jahrelange stillschweigende Duldung kann eine frühere Anweisung aushebeln.
• Postfächer, die ausgenommen gehören. Für den Betriebsrat, den Betriebsarzt, die Datenschutzbeauftragte oder für Bewerbungen richtet man eigene Adressen ein und nimmt sie von der Archivierung aus. Das ist der praktikabelste Weg, besonders schutzwürdige Inhalte gar nicht erst ins Archiv zu bekommen.
• Löschen statt sammeln. Aufbewahrungspflichten gehen den Löschpflichten der DSGVO vor, aber eben nur so lange, wie sie laufen. Aufbewahrungsrichtlinien im Archiv bilden das ab, statt alles unbegrenzt zu behalten.
• Verfahrensdokumentation. Die GoBD verlangen sie für das Archivierungsverfahren. Wir liefern die technische Beschreibung dessen, was wir eingerichtet haben – Archivierungsprofile, Aufbewahrungsregeln, Berechtigungen, Umgang mit Spam. Die betriebliche Ausgestaltung stimmen Sie mit Ihrem Steuerberater ab.

Was auf dieser Seite steht, ist eine Einordnung aus der Projektpraxis und keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls sind Steuerberatung und Rechtsberatung zuständig – wir sorgen dafür, dass die Technik das trägt, was dort entschieden wird.

Wo das Archiv läuft und wer es betreibt

In den Projekten, die wir bisher umgesetzt haben, läuft MailStore Server auf Ihrer eigenen Hardware in Ihrem Haus – als virtuelle Maschine auf der vorhandenen Virtualisierung, unter Windows Server oder Windows 11. Ein eigenes Datenbanksystem ist nicht nötig, alles Erforderliche bringt die Software mit. Die Lizenzierung richtet sich nach der Anzahl der Benutzer, ab fünf Lizenzen aufwärts, und der Speicherbedarf bleibt durch Deduplizierung und Komprimierung überschaubar. Das Archiv selbst sichern wir mit – ein Archiv ohne Backup verlagert das Risiko nur; wie wir Server und virtuelle Maschinen sichern, steht auf der Seite zu Veeam.

Soll es nicht das eigene Haus sein: Wir sind ein Full-Service-Anbieter, der auch Rechenzentrumsleistungen abdeckt. Ein Betrieb des Archivsystems in den Rechenzentren der NMMN lässt sich erbringen – wir rechnen das gern mit Ihnen durch, statt es als fertiges Paket zu verkaufen.

Sie entscheiden über den Betrieb:

• Sie betreiben selbst. Wir beraten, lizenzieren, richten ein, migrieren die Altbestände und dokumentieren. Danach liegt der Betrieb bei Ihnen.
• Wir betreiben für Sie. Als Managed Service mit Überwachung der Archivierungsprofile, Updates, Speicherplanung und einem Ansprechpartner, den Sie anrufen können, wenn die Buchhaltung eine E-Mail von 2019 braucht.

Wir betreuen Berliner Unternehmen seit 1990, typischerweise mit 10 bis 200 Arbeitsplätzen. Sie erreichen bei uns feste Ansprechpartner statt wechselnder Projektteams, und wir garantieren eine Reaktionszeit von vier Stunden.

Managed IT im Überblick

Häufige Fragen

Reicht es nicht, die E-Mails einfach im Postfach zu lassen?

Technisch geht das eine Weile gut, rechtlich trägt es nicht. Im Postfach kann jede Nachricht verändert oder gelöscht werden, und genau das lässt sich später nicht mehr nachvollziehen – die GoBD verlangen aber Unveränderbarkeit und Nachvollziehbarkeit. Dazu kommt der praktische Effekt: Postfächer wachsen, Sicherungen dauern länger, und die Suche über mehrere Jahre und mehrere Postfächer hinweg ist im Ernstfall Handarbeit.

Was passiert mit den E-Mails aus der Zeit vor der Einführung?

Die holen wir mit hinein. MailStore archiviert vorhandene Postfächer, öffentliche Ordner und Shared Mailboxes ebenso wie PST-Dateien, die über die Jahre auf Notebooks und Dateiablagen gelandet sind. Meist ist genau das der Punkt, an dem ein Unternehmen zum ersten Mal sieht, wie viele E-Mail-Bestände es eigentlich gibt.

Dürfen private E-Mails der Mitarbeiter mitarchiviert werden?

Das ist die heikelste Frage des Projekts. Der übliche Weg ist, die private Nutzung der dienstlichen Postfächer schriftlich zu untersagen und diese Regelung auch durchzusetzen. Eine bloße Einwilligung der Belegschaft trägt weniger weit als oft angenommen, weil externe Absender ihr nicht zustimmen konnten. Postfächer für Betriebsrat, Betriebsarzt, Datenschutz und Bewerbungen nehmen wir von der Archivierung aus. Die verbindliche Bewertung gehört in die Hände Ihrer Rechtsberatung – wir sorgen dafür, dass die Einrichtung dazu passt.

Wir nutzen Microsoft 365 – bringt Microsoft nicht schon alles Nötige mit?

Microsoft 365 bietet Aufbewahrungsrichtlinien und Suchfunktionen, und für manche Anforderung reicht das. Drei Punkte bleiben offen: Die Daten liegen weiterhin in derselben Plattform, was der 3-2-1-Regel widerspricht; die Funktionen hängen an der Lizenzstufe, die Sie gebucht haben; und ein Wechsel des Anbieters nimmt das Archiv nicht ohne Weiteres mit. Ein unabhängiges Archiv ist auch dann noch da, wenn der Mandant gerade nicht erreichbar ist.

Wie lange dauert die Einführung?

Die Installation und die Einrichtung der Archivierungsprofile sind an einem Arbeitstag zu schaffen. Zeit brauchen zwei andere Dinge: die Übernahme der Altbestände, die je nach Datenmenge über Nacht oder über mehrere Tage läuft, und die Abstimmung der Regeln – welche Postfächer, welche Fristen, welche Ausnahmen. Für Ihre Anwender ändert sich im laufenden Betrieb nichts außer einem zusätzlichen Bereich in Outlook.

Was kostet MailStore?

MailStore Server wird nach der Anzahl der Benutzer lizenziert, deren Postfächer archiviert werden oder die Zugriff auf das Archiv haben; der Server selbst kostet nichts extra. Die Lizenz ist dauerhaft, im ersten Jahr ist der Update- und Supportvertrag enthalten, danach wird er verlängert. Dazu kommen Speicherplatz und – wenn Sie möchten – der Betrieb durch uns. Wir weisen die Positionen einzeln aus, statt eine Pauschale zu nennen.

Kommen wir aus dem Archiv wieder heraus?

Ja. Alle archivierten E-Mails lassen sich in den gängigen Standardformaten exportieren, einschließlich der Ordnerstrukturen – für die Rechtsabteilung, für eine Betriebsprüfung oder für einen Wechsel des Systems. Das Archiv liegt bei Ihnen, und die Daten darin gehören Ihnen.

Alle Hersteller und Partner im Überblick