E-Mail-Archivierung in Microsoft 365: Reicht Exchange Online für die GoBD?

Exchange Online kann geschäftliche E-Mails technisch unveränderbar und über die gesetzlichen Fristen hinweg aufbewahren. In der Standardkonfiguration tut es das nicht. Ob ein Tenant von Microsoft 365 oder Office 365 die GoBD erfüllt, entscheidet sich an drei Punkten: Der Plan oder die Zusatzlizenz muss Hold und Aufbewahrung erlauben, Aufbewahrungsrichtlinien oder ein Beweissicherungsverfahren müssen lückenlos für alle betroffenen Postfächer gesetzt sein, und das Verfahren muss dokumentiert werden. Wer nur das Archivpostfach aktiviert, hat mehr Speicher, aber kein Archiv im Sinne der GoBD (Stand: September 2026). Die Grundlagen der Aufbewahrungspflicht haben wir im Beitrag Archivierung von E-Mails nach GoBD: Welche Pflichten Unternehmen haben zusammengefasst.

Was die GoBD von einem Archiv für E-Mails verlangen

Die GoBD sind das BMF-Schreiben vom 28. November 2019, geändert durch die Schreiben vom 11. März 2024 und vom 14. Juli 2025. Für E-Mails zählen vor allem diese Anforderungen:

• Betroffene E-Mails: Es kommt auf Inhalt und Funktion an, nicht auf die Bezeichnung. E-Mails mit der Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs sind in elektronischer Form aufbewahrungspflichtig. Dient eine E-Mail nur als „Transportmittel", etwa für eine angehängte Rechnung, und enthält sie darüber hinaus nichts Aufbewahrungspflichtiges, gilt sie wie der frühere Briefumschlag und muss nicht aufbewahrt werden (Rz. 121). Handelsbriefe sind nach § 257 Abs. 2 HGB Schriftstücke, die ein Handelsgeschäft betreffen.
• Fristen: Bücher, Aufzeichnungen und Jahresabschlüsse zehn Jahre, Buchungsbelege acht Jahre, empfangene und abgesandte Handels- oder Geschäftsbriefe sechs Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Rechnungen sind nach § 14b Abs. 1 UStG acht Jahre aufzubewahren. Die Frist beginnt mit dem Schluss des Kalenderjahrs, in dem der Brief empfangen oder abgesandt wurde, der Beleg entstanden oder die Rechnung ausgestellt worden ist (Stand: September 2026).
• Unveränderbarkeit und Ursprungsformat: Elektronisch eingegangene Unterlagen sind in dieser Form aufzubewahren, dürfen vor Fristablauf nicht gelöscht werden und müssen unveränderbar erhalten bleiben; ausdrücklich genannt ist die per E-Mail eingegangene Rechnung im PDF-Format (Rz. 119). Veränderungen und Löschungen sind so zu protokollieren, dass der ursprüngliche Inhalt feststellbar bleibt (Rz. 58 und 59). Eingehende elektronische Geschäftsbriefe und Belege bleiben im Empfangsformat, eine Konvertierung etwa von MSG in PDF ist nur unter den Voraussetzungen der Rz. 135 zulässig (Rz. 131). Wer E-Mails als PDF ablegt, verliert Kopfzeilen mit Absender und Zugangsweg (Rz. 129). Bei E-Rechnungen nach § 14 Abs. 1 Satz 3 und 6 UStG genügt der strukturierte Datenteil, sofern der menschenlesbare Teil keine zusätzlichen steuerlich relevanten Informationen enthält (Rz. 119 und 131 in der Fassung vom 14. Juli 2025).
• Vollständigkeit, Nachvollziehbarkeit, Auswertbarkeit: Geschäftsvorfälle sind vollzählig und lückenlos aufzuzeichnen (Rz. 36), ein sachverständiger Dritter muss sich in angemessener Zeit einen Überblick verschaffen können (Rz. 32), Eingang, Archivierung und Konvertierung elektronischer Unterlagen sind zu protokollieren (Rz. 117). Die Daten müssen maschinell auswertbar bleiben, wozu auch die Volltextsuche zählt (Rz. 126).
• Datenzugriff: Die Finanzbehörde kann im Rahmen der Außenprüfung selbst im System lesen (Z1, Rz. 165), eine Auswertung nach ihren Vorgaben verlangen (Z2, Rz. 166) oder sich die Daten maschinell auswertbar überlassen lassen, auf Datenträger oder über eine Datenaustauschplattform (Z3, Rz. 167).
• Verfahrensdokumentation: Für jedes DV-System muss eine Verfahrensdokumentation vorliegen, aus der Inhalt, Aufbau, Ablauf und Ergebnisse vollständig und schlüssig hervorgehen (Rz. 151); bei elektronischen Dokumenten beschreibt sie den Weg von der Entstehung über Speicherung und Wiederfinden bis zur Absicherung gegen Verlust und Verfälschung (Rz. 152). Änderungen müssen versioniert nachvollziehbar sein (Rz. 154).

Was Exchange Online technisch mitbringt

Welche Aufbewahrungsfunktionen ein Postfach nutzen darf, hängt vom Plan ab (Stand: September 2026):

Archivpostfach (In-Place Archiving). Ein zweites Postfach; die Standardrichtlinie verschiebt Elemente dorthin, die älter als zwei Jahre sind. Das Archiv ist Speicherplatz, kein Löschschutz: Nutzer verschieben und löschen dort wie im Hauptpostfach. Ein Sammelarchiv für mehrere Nutzer, etwa per Transportregel oder Journaling in ein Postfach, ist laut Microsoft nicht zulässig.

Wiederherstellbare Elemente. Jedes Postfach hat diesen für Nutzer unsichtbaren Ordner; gelöschte Elemente bleiben dort standardmäßig 14 Tage, höchstens 30 Tage. Ohne Hold ist das eine Wiederherstellungsfrist, kein Archiv.

Beweissicherungsverfahren und Aufbewahrungsrichtlinien. Erst ein Hold macht das Postfach unveränderbar: Gelöschte Elemente und Originalversionen geänderter Elemente werden im Ordner „Wiederherstellbare Elemente" festgehalten, die automatische Bereinigung stoppt, das Kontingent steigt von 30 GB auf 100 GB. Aufbewahrungsrichtlinien und Aufbewahrungsbezeichnungen aus Microsoft Purview erreichen dasselbe mit Fristen je Postfach oder je Element; nach dem Grundsatz „Aufbewahrung gewinnt gegen Löschung" wird nichts endgültig gelöscht, was noch aufzubewahren ist. Microsoft empfiehlt sie statt des älteren Litigation Hold. Die Anwendung dauert bis zu sieben Tage; Postfächer unter 10 MB werden noch nicht erfasst.

eDiscovery und Export. Über Microsoft Purview eDiscovery lassen sich Postfächer, auch inaktive, durchsuchen und die Treffer als PST- oder .msg-Dateien exportieren; Zeitstempel bleiben erhalten. Exportpakete verfallen nach 14 Tagen. Die eDiscovery-Dokumentation nennt für Konten, die exportieren, eine Microsoft 365 E3- oder E5-Lizenz, der Planvergleich weist für Business Premium eDiscovery (Standard) samt Hold und Export aus; die Lizenzfrage gehört deshalb vor den Prüfungsfall (Stand: September 2026).

Die typischen Lücken in der Praxis

1. Postfächer ausgeschiedener Mitarbeiter. Wird das Konto gelöscht oder die Lizenz entzogen, bleibt das Postfach 30 Tage wiederherstellbar, danach ist es endgültig gelöscht. Nur wenn vorher ein Hold oder eine Aufbewahrungsrichtlinie aktiv war, wird es zum inaktiven Postfach, das ohne Lizenz für die Dauer der Aufbewahrung erhalten bleibt. Microsoft empfiehlt, den Hold vor dem Löschen per PowerShell zu bestätigen. Die Servicebeschreibung von Exchange Online weist inaktive Postfächer allerdings nur für Plan 2, E3 und E5 aus, nicht für Business Premium; dort ist die Lizenzfrage vorab zu klären (Stand: September 2026).
2. Lizenzwechsel. Wechselt ein Nutzer auf einen Plan ohne Hold oder wird die Zusatzlizenz Exchange Online Archiving gekündigt, entfällt die Grundlage für Hold und großes Archiv.
3. Freigegebene Postfächer ohne Lizenz. Adressen wie info@ oder rechnung@ laufen oft als freigegebene Postfächer ohne Lizenz (bis 50 GB), und genau dort landen viele Rechnungen und Geschäftsbriefe. Für Archivpostfach oder Litigation Hold braucht ein freigegebenes Postfach aber Exchange Online Plan 2 oder Plan 1 mit Exchange Online Archiving, und Löschungen durch Nutzer lassen sich dort nicht verhindern.
4. Löschungen durch Anwender. Ohne Hold entscheidet der Nutzer, was bleibt. Eine mit Umschalt+Entf gelöschte Rechnung ist nach spätestens 30 Tagen nirgends mehr.
5. Die Journal-Lücke. Postfachbasierte Aufbewahrung erfasst nur, was im Postfach ankommt. Was der Spamfilter in Quarantäne hält, erreicht das Postfach erst nach Freigabe; was ein Fakturierungsprogramm über einen eigenen Versandweg verschickt, taucht dort gar nicht auf. Journaling, also die Kopie jeder ein- und ausgehenden Nachricht, ist in Exchange Online konfigurierbar, aber nicht in ein Postfach desselben Tenants: Als Ziel lässt Microsoft nur ein lokales Archivsystem oder einen externen Archivdienst zu.
6. Fehlende Verfahrensdokumentation. Hold gesetzt, aber nirgends beschrieben, welche Richtlinie für welche Postfächer gilt, wer sie ändern darf und wie der Export abläuft: Damit fehlt der Nachweis nach Rz. 151 ff.
7. Export nicht geübt. Wenn der Prüfer kommt, weiß niemand, wie in Purview gesucht und exportiert wird. Ein jährlicher Probelauf mit Protokoll gehört zur Dokumentation.

Wann ein gehostetes Archiv sinnvoller ist

Ein eigenständiges, gehostetes Archiv arbeitet nach einem anderen Prinzip: Es erhält per Journaling eine Kopie jeder ein- und ausgehenden E-Mail, bevor Nutzer oder Lizenzentscheidungen eingreifen. Daraus ergeben sich Eigenschaften, die postfachbasierte Aufbewahrung nicht hat:

• Vollständigkeit unabhängig vom Postfach: Erfasst wird der Mailverkehr, nicht der Postfachzustand. Gelöschte Postfächer, Lizenzwechsel und unlizenzierte freigegebene Postfächer spielen keine Rolle mehr.
• Unveränderbarkeit außerhalb des Tenants: Ein Administrator kann in Exchange Online einen Hold aufheben; Microsoft Purview kann Richtlinien zwar per Aufbewahrungssperre (Preservation Lock) schützen, ein getrenntes Archiv koppelt die Frist aber ganz von der Tenant-Verwaltung ab.
• Fristen an der E-Mail statt an der Lizenz: Die Aufbewahrungsdauer läuft im Archiv, unabhängig davon, welcher Plan dem Postfach gerade zugewiesen ist.
• Prüferzugriff im Ursprungsformat: Volltextsuche über alle Jahre, Export in gängigen Formaten und ein Nur-Lesezugriff für den Prüfer lassen sich einrichten, ohne eDiscovery-Rollen im Tenant zu vergeben; die E-Mail liegt als Nachricht mit Kopfzeilen und Anhängen vor, wie Rz. 131 es verlangt.

Kriterien für die Entscheidung:

• Wie viele Postfächer laufen auf Plänen ohne Hold (Business Basic, Business Standard, Plan 1) oder als unlizenzierte freigegebene Postfächer, und wie verlässlich ist der Austrittsprozess?
• Gibt es E-Mails, die den Tenant umgehen oder im Filter hängen bleiben?
• Wer soll im Prüfungsfall suchen und exportieren, mit welcher Lizenz, und wer betreibt und dokumentiert Purview dauerhaft?

Einheitlich Business Premium oder E3, wenige Austritte und ein sauber betriebenes Purview: Dann trägt Exchange Online. Gemischte Lizenzen, viele freigegebene Postfächer oder keine Kapazität für Purview: Dann ist ein gehostetes Archiv meist der einfachere Weg.

Checkliste: Exchange Online GoBD-tauglich konfigurieren

1. Lizenzen je Postfach prüfen: Exchange Online Plan 2 (in E3 und E5 enthalten), Business Premium (Plan 1 mit enthaltenem Exchange Online Archiving) oder Plan 1 mit zugebuchtem Exchange Online Archiving, auch für freigegebene Postfächer.
2. Aufbewahrungsrichtlinie in Microsoft Purview für alle Exchange-Postfächer anlegen (aufbewahren oder aufbewahren und danach löschen) mit einer Dauer, die die längste einschlägige Frist abdeckt; Anwendung per PowerShell kontrollieren.
3. Aufbewahrung gelöschter Elemente auf 30 Tage erhöhen, als zusätzliche Sicherheit für Postfächer ohne Hold.
4. Austrittsprozess festlegen: Hold bestätigen, dann Konto löschen, inaktives Postfach in der Dokumentation erfassen.
5. Archivpostfach mit automatischer Erweiterung aktivieren, damit festgehaltene Elemente ins Archiv wandern können und das Kontingent reicht.
6. Kontingente überwachen: Ein voller Ordner „Wiederherstellbare Elemente" blockiert Löschungen und die Versionierung geänderter Elemente.
7. Export jährlich üben: eDiscovery-Suche anlegen, als PST exportieren, Ergebnis protokollieren, Lizenz des exportierenden Kontos prüfen.
8. Verfahrensdokumentation erstellen und versioniert pflegen: Lizenzen, Richtlinien, Austrittsprozess, Exportweg, Verantwortliche, Änderungshistorie.

Häufige Fragen

Reicht das Archivpostfach von Exchange Online für die GoBD?

Nein, nicht allein. Das Archivpostfach ist zusätzlicher Speicher, aus dem Nutzer weiterhin verschieben und löschen können. Unveränderbarkeit entsteht erst durch eine Aufbewahrungsrichtlinie oder ein Beweissicherungsverfahren, das Löschungen im Ordner „Wiederherstellbare Elemente" unterbindet. Dazu kommen die passende Lizenz und eine Verfahrensdokumentation.

Was passiert mit dem Postfach eines ausgeschiedenen Mitarbeiters?

Nach dem Löschen des Kontos oder dem Entzug der Lizenz bleibt das Postfach 30 Tage wiederherstellbar und wird dann endgültig gelöscht (Stand: September 2026). War vorher ein Hold oder eine Aufbewahrungsrichtlinie aktiv, wird es zum inaktiven Postfach, das ohne Lizenz für die Dauer der Aufbewahrung erhalten bleibt und per eDiscovery durchsuchbar ist. Der Hold muss also vor dem Löschen gesetzt und bestätigt sein.

Muss ich jede E-Mail archivieren?

Nein. Aufbewahrungspflichtig sind E-Mails mit der Funktion eines Handels- oder Geschäftsbriefs oder eines Buchungsbelegs sowie Rechnungen. Eine E-Mail, die nur als Transportmittel für einen Anhang dient und selbst nichts Aufbewahrungspflichtiges enthält, muss nach Rz. 121 GoBD nicht aufbewahrt werden. Viele Unternehmen archivieren trotzdem den gesamten geschäftlichen Mailverkehr; dann muss die private Nutzung des dienstlichen Postfachs geregelt sein.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH ist Cloud Solution Provider (CSP) für Microsoft 365 und richtet die Aufbewahrung in Exchange Online ein: Lizenzprüfung je Postfach, Aufbewahrungsrichtlinien in Microsoft Purview, Austrittsprozess mit inaktiven Postfächern, geübter Exportweg und Verfahrensdokumentation. Wo postfachbasierte Aufbewahrung an ihre Grenzen stößt, betreiben wir für Sie eine GoBD-konforme E-Mail-Archivierung per Journaling mit Serverstandort in Deutschland, unabhängig von Lizenzen und Postfachzuständen. Die Verfahrensdokumentation begleiten wir im Rahmen unserer IT-Compliance; Steuerberater und Kanzleien finden unter IT für Steuerberater und Kanzleien ein eigenes Angebot. Im kostenlosen Erstgespräch prüfen wir, wie Ihre E-Mails heute aufbewahrt werden und welcher der beiden Wege zu Ihnen passt.

Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung.

Quellen

• Microsoft, Exchange Online Archiving service description, Stand 13.10.2023, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/office365/servicedescriptions/exchange-online-archiving-service-description/exchange-online-archiving-service-description
• Microsoft, Exchange Online service description, Stand 09.06.2025, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/office365/servicedescriptions/exchange-online-service-description/exchange-online-service-description
• Microsoft, Exchange Online limits, Stand 07.04.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/office365/servicedescriptions/exchange-online-service-description/exchange-online-limits
• Microsoft, Microsoft Purview service description, Stand 03.08.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-purview-service-description
• Microsoft, Learn about archive mailboxes for Microsoft Purview, Stand 26.03.2024, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/archive-mailboxes
• Microsoft, Learn about retention policies and retention labels, Stand 22.07.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/retention
• Microsoft, Learn about retention for Exchange, Stand 15.09.2024, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/retention-policies-exchange
• Microsoft, Learn about inactive mailboxes, Stand 05.08.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/inactive-mailboxes-in-office-365
• Microsoft, Create and manage inactive mailboxes, Stand 05.08.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/create-and-manage-inactive-mailboxes
• Microsoft, Recoverable Items folder in Exchange Online, Stand 13.07.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/exchange/security-and-compliance/recoverable-items-folder/recoverable-items-folder
• Microsoft, Delete or restore user mailboxes in Exchange Online, aktualisiert 03.08.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/exchange/recipients-in-exchange-online/delete-or-restore-mailboxes
• Microsoft, About shared mailboxes in Microsoft 365, Stand 13.03.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/microsoft-365/admin/email/about-shared-mailboxes
• Microsoft, Journaling in Exchange Online, Stand 29.05.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/exchange/security-and-compliance/journaling/journaling
• Microsoft, Export search results in eDiscovery, Stand 23.06.2026, abgerufen am 11.09.2026, https://learn.microsoft.com/en-us/purview/edisc-search-export
• Microsoft, Modern Work Plan Comparison SMB (PDF), Stand 01.08.2026, abgerufen am 11.09.2026, https://aka.ms/M365BusinessPlans
• Bundesministerium der Finanzen, GoBD (BMF-Schreiben vom 28.11.2019, BStBl I S. 1269), konsolidierter Text im Amtlichen AO-Handbuch 2024, Anhang 33, abgerufen am 11.09.2026, https://ao.bundesfinanzministerium.de/ao/2024/Anhaenge/BMF-Schreiben-und-gleichlautende-Laendererlasse/Anhang-33/anhang-33.html
• Bundesministerium der Finanzen, GoBD: Änderung aufgrund verschiedener gesetzlicher Änderungen, BMF-Schreiben vom 11.03.2024, abgerufen am 11.09.2026, https://www.bundesfinanzministerium.de/Content/DE/Downloads/BMF_Schreiben/Weitere_Steuerthemen/Abgabenordnung/AO-Anwendungserlass/2024-03-11-aenderung-gobd.pdf?__blob=publicationFile&v=4
• Bundesministerium der Finanzen, GoBD: 2. Änderung aufgrund verschiedener gesetzlicher Änderungen, BMF-Schreiben vom 14.07.2025, abgerufen am 11.09.2026, https://www.bundesfinanzministerium.de/Content/DE/Downloads/BMF_Schreiben/Weitere_Steuerthemen/Abgabenordnung/2025-07-14-GoBD-2-aenderung.pdf?__blob=publicationFile&v=3
• Bundesministerium der Justiz, § 147 AO Ordnungsvorschriften für die Aufbewahrung von Unterlagen, abgerufen am 11.09.2026, https://www.gesetze-im-internet.de/ao_1977/__147.html
• Bundesministerium der Justiz, § 257 HGB Aufbewahrung von Unterlagen, Aufbewahrungsfristen, abgerufen am 11.09.2026, https://www.gesetze-im-internet.de/hgb/__257.html
• Bundesministerium der Justiz, § 14 UStG Ausstellung von Rechnungen, abgerufen am 11.09.2026, https://www.gesetze-im-internet.de/ustg_1980/__14.html
• Bundesministerium der Justiz, § 14b UStG Aufbewahrung von Rechnungen, abgerufen am 11.09.2026, https://www.gesetze-im-internet.de/ustg_1980/__14b.html