RevisionssichereE-Mail-Archivierung
Revisionssicher heisst: eine E-Mail ist vollständig, unveränderbar und über Jahre auffindbar, und jede dieser Eigenschaften lässt sich beweisen. Diese Seite erklärt die Kriterien, ihre Rechtsgrundlagen und was ein Archiv dafür können muss.
Was heisst revisionssicher?
Revisionssicher bedeutet, dass aufbewahrungspflichtige Unterlagen so abgelegt werden, dass sie vollständig, unveränderbar, nachvollziehbar und über die gesamte Aufbewahrungsfrist verfügbar sind. Für E-Mails heisst das: jede geschäftsrelevante Nachricht wird beim Ein- und Ausgang automatisch archiviert, kann danach nicht mehr verändert oder gelöscht werden und bleibt zehn Jahre lang durchsuchbar.
Der Begriff selbst steht in keinem Gesetz. Er stammt aus der Praxis der Dokumentenverwaltung und fasst zusammen, was sich aus mehreren Vorschriften zusammen ergibt: aus der Aufbewahrungspflicht von Art. 958f OR, aus der ordnungsmässigen Buchführung nach Art. 957a OR und aus der Verordnung über die Führung und Aufbewahrung der Geschäftsbücher, die für elektronische Unterlagen Integrität und Nachvollziehbarkeit verlangt. Revisionssichere Archivierung ist deshalb keine Produkteigenschaft, sondern eine Eigenschaft des Verfahrens: sie entsteht aus Technik, Konfiguration und Dokumentation zusammen.
Daraus folgt eine praktische Konsequenz. Kein Anbieter kann ein Produkt „revisionssicher zertifizieren" lassen, denn es gibt keine Norm, gegen die geprüft würde. Prüfbar ist immer nur das Verfahren im Unternehmen: das Archiv, seine Konfiguration und die Verfahrensdokumentation dazu. Wer ein Werkzeug kauft und es falsch einstellt, archiviert nicht revisionssicher.
Drei Begriffe, die oft vermischt werden
Revisionssicher
Der Oberbegriff. Beschreibt die Eigenschaften der Ablage: vollständig, unveränderbar, nachvollziehbar, verfügbar.
Konform zur GeBüV
Die steuerrechtliche Ausprägung. Bezieht sich auf die Grundsätze der Finanzverwaltung und damit auf buchführungsrelevante Unterlagen.
Rechtssicher
Umgangssprachlich und am unschärfsten. Meint meist dasselbe wie revisionssicher, verspricht aber mehr, als eine Software leisten kann.
Die sechs Kriterien
Sie ergeben sich aus Art. 957a und Art. 958f OR sowie aus der Geschäftsbücherverordnung. Ein Archiv erfüllt sie oder es erfüllt sie nicht; einen Teilerfüllungsgrad gibt es nicht.
- 01
Vollständigkeit
Jede aufbewahrungspflichtige Nachricht wird erfasst, ohne Lücke und ohne Auswahl durch den Benutzer. Deshalb wird am Übergabepunkt archiviert, nicht aus dem Postfach heraus.
Art. 957a OR, Art. 3 GeBüV
- 02
Unveränderbarkeit
Was einmal im Archiv liegt, lässt sich nicht mehr ändern und vor Fristende nicht löschen. Spätere Korrekturen entstehen als neuer Eintrag, der den alten nicht überschreibt.
Art. 9 GeBüV, Art. 958f OR
- 03
Nachvollziehbarkeit
Ein sachverständiger Dritter muss das Verfahren in angemessener Zeit prüfen können. Dazu gehört ein Protokoll aller Zugriffe und eine Verfahrensdokumentation, die beschreibt, wie archiviert wird.
Art. 957a Abs. 2 OR, Art. 2 GeBüV
- 04
Verfügbarkeit und Auswertbarkeit
Die Unterlagen müssen über die gesamte Frist lesbar bleiben und maschinell auswertbar sein. Ein Stapel PDF-Dateien auf einem Netzlaufwerk erfüllt das nicht.
Art. 958f Abs. 4 OR, Art. 6 GeBüV
- 05
Ordnung und Zugriffsschutz
Der Bestand ist geordnet und gegen unbefugten Zugriff geschützt. Wer suchen darf, ist geregelt; Zugriffe auf fremde Postfächer sind die Ausnahme und werden protokolliert.
Art. 957a OR, Art. 8 revDSG
- 06
Aufbewahrungsfristen
Jede Nachricht trägt eine Frist, die eingehalten wird. Nach Fristablauf wird gelöscht, denn das Aufbewahren über die Pflicht hinaus ist datenschutzrechtlich begründungsbedürftig.
Art. 958f OR, Art. 6 revDSG
Zehn Jahre, und wann es länger wird
Welche Frist gilt, hängt vom Inhalt der Nachricht ab, nicht von ihrem Absender. Der Fristbeginn liegt am Ende des Geschäftsjahres, in dem die Unterlage entstanden ist.
| Frist | Gilt für | Grundlage |
|---|---|---|
| 10 Jahre | Handels- und Geschäftsbriefe, empfangen wie abgesendet | Art. 958f Abs. 1 OR |
| 10 Jahre | Unterlagen mit Bezug zur Mehrwertsteuer | Art. 70 Abs. 2 MWSTG |
| länger | Unterlagen zu Immobilien | Art. 70 Abs. 3 MWSTG, bis zum Ablauf der Verjährung |
Fristen werden nur verlängert, nie verkürzt: trifft eine Nachricht auf mehrere Regeln, gilt die längste. Läuft ein Verfahren, ist die Frist gehemmt, und die Nachricht bleibt über das rechnerische Ende hinaus im Bestand.
Welche Mail wie lange aufbewahrt werden mussWas ein Archiv dafür können muss
Die Kriterien sind rechtlich formuliert, erfüllt werden sie technisch. Vier Bausteine tragen die Last.
Erfassung am Übergabepunkt
Archiviert wird, bevor eine Nachricht im Postfach landet, und ebenso beim Versand. Ein Benutzer kann eine Nachricht damit nicht mehr an der Archivierung vorbeiführen, auch nicht durch sofortiges Löschen.
WORM-Ablage
Nach dem Prinzip write once read many wird jede Nachricht einmal geschrieben und danach nur gelesen. Im Standard-Speicher setzt Archiv das softwareseitig durch, im Compliance-Speicher kommt eine Objektsperre hinzu, die jedes Objekt bis zum Fristende unveränderlich festhält.
Verkettetes Prüfprotokoll
Jeder Eintrag im Prüfpfad ist über eine Hash-Kette mit dem vorherigen verbunden, deren Kopf extern verankert wird. Ein Eingriff in den Bestand oder in das Protokoll selbst bleibt dadurch erkennbar und lässt sich nachweisen.
Aufbewahrungsklassen und Löschlauf
Regeln je Organisation, Gruppe oder Postfach vergeben die Frist. Der Löschlauf entfernt nach Ablauf, verweigert die Löschung aber vor Fristende. Ruhende Archivdaten liegen zusätzlich verschlüsselt.
Revisionssicher archivieren: die Schritte
Von der Entscheidung bis zum prüffähigen Bestand vergehen in der Regel wenige Tage. Der längste Teil ist nicht die Technik, sondern die Verfahrensdokumentation.
- 1
Erfassung anschliessen
Bei Microsoft 365 über eine Journalregel, bei einem eigenen Mailserver über den Übergabepunkt im Gateway. Beides erfasst ein- und ausgehende Nachrichten vollständig.
- 2
Aufbewahrungsklassen festlegen
Die drei Standardfristen decken den Regelfall ab. Abweichungen für einzelne Abteilungen oder Postfächer entstehen als eigene Regel mit eigenem Geltungsbereich.
- 3
Zugriffe regeln
Wer im eigenen Postfach sucht, wer organisationsweit suchen darf und wer gar nicht. Jeder Zugriff auf fremde Nachrichten wird protokolliert und ist damit später belegbar.
- 4
Verfahren dokumentieren
Die Verfahrensdokumentation beschreibt, was archiviert wird, mit welchen Fristen, wer zugreifen darf und wie gelöscht wird. Ohne sie ist der beste Bestand im Prüfungsfall angreifbar.
- 5
Altbestand übernehmen
Vorhandene PST-Dateien und Postfächer werden importiert, damit die Aufbewahrungspflicht nicht erst ab dem Einführungstag erfüllt ist.
Archiv, Backup, Postfachordner
Drei Dinge, die im Alltag verwechselt werden und rechtlich sehr verschieden sind.
| Frage | Archiv | Backup | Postfachordner |
|---|---|---|---|
| Zweck | Nachweis über Jahre | Wiederherstellung nach Ausfall | Ordnung im Alltag |
| Unveränderbar | ja, bis Fristende | nein, wird überschrieben | nein |
| Vollständig | ja, am Übergabepunkt | nur der Stand zum Sicherungszeitpunkt | nur was der Benutzer behält |
| Erfüllt die Aufbewahrungspflicht | ja | nein | nein |
Ein Backup ersetzt kein Archiv, weil es den Bestand überschreibt und den Zustand zwischen zwei Sicherungen nicht kennt. Umgekehrt ersetzt ein Archiv kein Backup, weil es nicht dafür gebaut ist, ein Postfach im Betriebszustand zurückzubringen.
Backup und Archivierung im VergleichHäufige Fragen
Ist revisionssichere E-Mail-Archivierung Pflicht?+
Für aufbewahrungspflichtige Nachrichten ja. Geschäftskorrespondenz ist nach Art. 958f OR während zehn Jahren aufzubewahren, unabhängig davon, ob sie auf Papier oder als E-Mail vorliegt. Die Pflicht trifft jedes buchführungspflichtige Unternehmen, unabhängig von der Grösse.
Was ist der Unterschied zwischen revisionssicher und GeBüV-konform?+
Revisionssicher beschreibt die Eigenschaften der Ablage, GeBüV-konform die Einhaltung der Verordnung über die Führung und Aufbewahrung der Geschäftsbücher. Die GeBüV richtet sich an Buchführung und Buchungsbelege; Revisionssicherheit ist der weitere Begriff und schliesst Unterlagen ein, die buchhalterisch keine Rolle spielen, aber nach Art. 958f OR als Geschäftskorrespondenz aufzubewahren sind.
Reicht eine revisionssichere Ablage auf einem Netzlaufwerk?+
Nein. Ein Ordner mit exportierten Dateien erfüllt weder die Vollständigkeit, weil die Auswahl beim Benutzer liegt, noch die Unveränderbarkeit, die Art. 9 GeBüV für elektronische Unterlagen verlangt, noch die jederzeitige Lesbarmachung nach Art. 958f Abs. 4 OR. Auch ein schreibgeschützter Ordner genügt nicht, solange ein Administrator den Schutz aufheben kann.
Kann ein Produkt revisionssicher zertifiziert sein?+
Nein, denn es gibt keine Norm dafür. Prüfbar ist das Verfahren im Unternehmen, nicht das Werkzeug. Testate von Wirtschaftsprüfern beziehen sich immer auf eine konkrete Installation mit ihrer Konfiguration und Verfahrensdokumentation, nie auf die Software allein.
Was passiert nach Ablauf der Aufbewahrungsfrist?+
Dann wird gelöscht. Das Aufbewahren über die gesetzliche Pflicht hinaus braucht einen eigenen Rechtfertigungsgrund, weil Personendaten nach Art. 6 des revidierten Datenschutzgesetzes nur so lange bearbeitet werden dürfen, wie es der Zweck erfordert. Ein Löschlauf, der nach Fristende arbeitet, gehört deshalb zur Revisionssicherheit dazu.
Muss ich private E-Mails der Mitarbeiter mitarchivieren?+
Das hängt davon ab, ob die private Nutzung erlaubt ist. Ist sie untersagt und wird das durchgesetzt, sind alle Nachrichten dienstlich und werden archiviert. Ist sie erlaubt, braucht es eine Regelung, die den Umgang mit privaten Nachrichten klärt, meist über eine Betriebsvereinbarung.
Prüffähig archivieren, ohne Projekt
Archive erfasst am Übergabepunkt, legt unveränderbar ab und protokolliert jeden Zugriff. Gehostet in Europa, wahlweise im eigenen Rechenzentrum.
Diese Seite fasst die Rechtslage allgemeinverständlich zusammen und ersetzt keine Rechts- oder Steuerberatung. Massgeblich sind die Vorschriften in ihrer jeweils geltenden Fassung.