Gründe für E-Mail Archivierung

E-Mails sind als elektronische Dokumente für eine online-Suche prinzipiell gut zugänglich.

Solange die E-Mails im Mailserver gespeichert bleiben, könnten sie mit in den Mailserver oder Mailclient integrierten Suchwerkzeugen im Prinzip relativ gut gefunden werden. In der Praxis entstehen aber zwei Probleme:

  1. Im Mailserver oder Mailclient eingebaute Suchwerkzeuge funktionieren nicht, nur langsam oder sind schlecht bedienbar. Das Suchergebnis entspricht deshalb oft nicht den Erwartungen, oft werden gesuchte E-Mails nicht gefunden, obwohl sie tatsächlich vorhanden sind.
  2. E-Mails verbleiben nicht im Mailserver, weil sie gelöscht oder in andere Datenspeicher verschoben wurden. Sie sind dann nicht mehr für die Suchwerkzeuge im Mailserver oder Mailclient zugänglich.

Demgegenüber speichern zentrale Mailarchive je nach Ausführung alle oder alle wichtigen E-Mails eines Unternehmens sicher für einen langen Zeitraum und stellen mit leistungsfähigen Suchwerkzeugen sicher, dass gesuchte E-Mails leicht gefunden werden können.

E-Mails, die nicht gefunden werden, verursachen Kosten: Einerseits für die (vergebliche) Suche an sich, gravierender aber dadurch, dass wichtige und wertvolle Informationen nicht vorliegen.

Verschiedene Rechtsnormen und Vorschriften erfordern die nachweislich unveränderte und unveränderbare Archivierung von Dokumenten, in Deutschland z.B. HGB, AO, GDPdU, KonTraG, auf internationaler Ebene z.B. SOX und EuroSOX. Handelsbriefe müssen dabei sechs Jahre, übrige Dokumente zehn Jahre aufbewahrt werden.

Die meisten Vorschriften beziehen sich ursprünglich auf klassische Dokumente in Papierform. Es ist aber allgemein unstrittig, dass die Vorschriften auch auf elektronische Dokumente anwendbar sind. Ein Teil der Vorschriften, z.B. GDPdU, beziehen sich zudem ausdrücklich auf originär elektronische Dokumente. Es ist insgesamt davon auszugehen, dass elektronische Dokumente wie E-Mails auch elektronisch zu archivieren sind.

Neben einer demnach bestehenden unmittelbaren Pflicht zur Archivierung kann es weitere Fälle geben, in denen die Archivierung von E-Mails aus rechtlicher Sicht zumindest vorteilhaft ist. Elektronische Dokumente werden generell immer wichtiger – unter bestimmten Voraussetzungen sind sie Papierdokumenten rechtlich gleichgestellt. So werden E-Mails in vielen Rechtsstreitigkeiten zur Beweisführung herangezogen, z.B. zur Frage des Zustandekommens von Verträgen oder in Arbeitsgerichtsverfahren. Tragen Sie eine qualifizierte elektronische Signatur, sind sie unmittelbar als rechtsverbindliches Original anzusehen.

Ohne eine solche Signatur dienen E-Mails in Verfahren zwar in der Regel nicht als gerichtsfester Beweis, eine belegbare ordnungsgemäße Archivierung kann aber vor Gericht zu einer Verschiebung der Beweislast führen. Grundsätzlich können durch Erklärungen in E-Mails Verträge abgeschlossen, verändert und aufgehoben werden. Es wird der Gegenseite regelmäßig schwer

fallen mit Hilfe von ordnungsgemäß archivierten E-Mails dargelegte und untermauerte Tatsachen zu entkräften.

International kann es sogar zur Niederlage in einem Verfahren führen, wenn eine Seite nicht in der Lage ist, einen E-Mail Schriftverkehr beizubringen.

In den USA z.B. ist es gängige Praxis, dass vor Beginn von Verfahren ein „Electronic Discovery“ Prozess durchgeführt wird. Ein solcher Ausforschungsantrag ist in Deutschland zwar prinzipiell unzulässig, von einem solchen Verfahren können dennoch alle in den USA tätigen Unternehmen getroffen werden. Die nicht lückenlose Beantwortung eines solchen Ausforschungsantrags führt in den USA dann zu gravierenden Nachteilen im Verfahren. Hinzu kommt, dass die Fristen zur Beantwortung solcher Anforderungen sehr kurz sind. Ohne systematisches E-Mail Archiv sind die Anforderungen von Electronic Discovery jedenfalls kaum zu erfüllen.

E-Mail Server sind dazu konzipiert, E-Mails vom Sender an den Empfänger zu übermitteln und Nachrichten ggf. zum Abruf durch den Empfänger vorzuhalten. Die langfristige Aufbewahrung von E-Mails war ursprünglich nicht vorgesehen. Aus diesem Grund haben viele Mailsysteme noch heute Probleme mit der Verwaltung großer Mengen von E-Mail-Daten, unabhängig vom Hardware-Ausbau des Systems.

Sichtbar wird dies z.B. beim Backup von Mailservern. Auch wenn moderne Systeme die Sicherung von Daten parallel zum normalen E-Mail Betrieb normalerweise problemlos ermöglichen, belastet der Sicherungslauf doch das System. Hinzu kommen Zugriffskonflikte von normalem E-Mail Betrieb und Backup. Backups großer E-Mail-Datenbanken brauchen deshalb viel Zeit und können oftmals nicht vollständig in Zeiten niedriger Last durchgeführt werden. Als Folge muss die Hardware des Mailservers stärker ausgebaut werden, als es für den E-Mail Betrieb eigentlich nötig wäre. Dies verursacht erhebliche Mehrkosten.

Gänzlich unangenehm wird es, wenn Daten des Mailservers als Folge eines Ausfalls vollständig oder teilweise wiederhergestellt werden müssen. Die Wiederherstellung belastet den Server erheblich, ein normaler Mailbetrieb ist parallel kaum möglich. Dadurch wird der operative Betrieb nach einem Hardwareausfall deutlich länger gestört, als es eigentlich der Fall sein müsste.

Um diesen Problemen aus dem Weg zu gehen, schreiben viele Unternehmen maximale Mailboxgrößen vor. Anwender, die mehr als das zulässige Nachrichtenvolumen aufbewahren wollen, sind dadurch zur Anlage eigener E-Mail-Archive quasi gezwungen. Es entsteht ein Wildwuchs von E-Mail Datenbanken und verstreut abgelegten Archiven, in denen gesuchte E-Mails nur sehr schwer wieder gefunden werden, die nicht systematisch gesichert werden und die Speicherkosten außerhalb des Mailservers verursachen.

Anforderungen an E-Mail Archivierung

Im Zusammenhang mit Archivsystemen wird oft der Begriff „revisionssicher“ benutzt. Ein Archivsystem gilt als revisionssicher, wenn Informationen darin wieder auffindbar, nachvollziehbar, unveränderbar und verfälschungssicher archiviert sind. Der Verband Organisations- und Informationssysteme e. V (VOI) hat folgende Merksätze zur revisionssicheren elektronischen Archivierung aufgestellt:

  1. Jedes Dokument muss nach Maßgabe der rechtlichen und organisationsinternen Anforderungen ordnungsgemäß aufbewahrt werden.
  2. Die Archivierung hat vollständig zu erfolgen – kein Dokument darf auf dem Weg ins Archiv oder im Archiv selbst verloren gehen.
  3. Jedes Dokument ist zum organisatorisch frühestmöglichen Zeitpunkt zu archivieren.
  4. Jedes Dokument muss mit seinem Original übereinstimmen und unveränderbar archiviert werden.
  5. Jedes Dokument darf nur von entsprechend berechtigten Benutzern eingesehen werden.
  6. Jedes Dokument muss in angemessener Zeit wiedergefunden und reproduziert werden können.
  7. Jedes Dokument darf frühestens nach Ablauf seiner Aufbewahrungsfrist vernichtet, d.h. aus dem Archiv gelöscht werden.
  8. Jede ändernde Aktion im elektronischen Archivsystem muss für Berechtigte nachvollziehbar protokolliert werden.
  9. Das gesamte organisatorische und technische Verfahren der Archivierung kann von einem sachverständigen Dritten jederzeit geprüft werden. 
  10. Bei allen Migrationen und Änderungen am Archivsystem muss die Einhaltung aller zuvor aufgeführten Grundsätze sichergestellt sein.

Hinzu kommt, dass Mitarbeiter die Entscheidung, welche E-Mails später eventuell einmal wichtig sind und deshalb archiviert werden müssen, nicht mit hinreichender Sicherheit treffen können. Das Netzwerk Elektronischer Geschäftsverkehr empfiehlt daher den „Hundert-Prozent-Ansatz“: Wenn Sie sicher gehen wollen, archivieren Sie alle eingehenden und ausgehenden E-Mails.

Der Revisionssicherheit entgegen stehen Anforderungen des Datenschutzes. E-Mails enthalten häufig personenbezogene Daten. Schon eine persönliche E-Mail-Adresse, etwa in der Form „nachname@ domain“, wird allgemein als personenbezogene Information angesehen. Jede E-Mail, die eine solche Adressangabe enthält, kann damit dem Datenschutz unterliegen. Insbesondere das deutsche Datenschutzgesetz stellt hohe Anforderungen an den Schutz personenbezogener Daten.

Wenn Mitarbeitern zudem die Nutzung der dienstlichen E-Mail Adresse auch zu privaten Zwecken gestattet wird, so wird das Unternehmen zum Telekommunikationsdienstleister im Sinne des Telekommunikationsgesetzes, mit der Folge, dass eine automatische Archivierung der E-Mails zunächst nicht erlaubt ist. Der einfachste Weg, dieses Problem zu umgehen, führt über das Verbot der privaten Nutzung der betrieblichen E-Mail-Systeme. Ein solches Verbot muss allerdings auch überwacht und durchgesetzt werden.

Und selbst dann sind die Schwierigkeiten nicht vollständig behoben: Sollte nämlich eine private EMail trotz Verbots in das betriebliche E-Mail-System geraten sein, z.B. weil eine dritte Person eine private E-Mail an einen Mitarbeiter geschickt hat, so darf diese E-Mail prinzipiell nicht eingesehen werden. Mindestens nach Bekanntwerden der Existenz der privaten E-Mail kann der Betroffene (Absender oder Empfänger) grundsätzlich die Löschung verlangen, mindestens den Schutz vor unbefugtem Zugriff.

Auch für bestimmte Personengruppen, z.B. Adressen des Betriebsrats oder eines Obmanns, kann die Archivierung von E-Mails aus Datenschutzgründen insgesamt unzulässig sein. Für andere Daten, z.B. Bewerbungen, kann die Archivierung zunächst notwendig, nach Abschluss eines Bewerbungsverfahrens aber unzulässig sein.

Der Datenschutz steht damit der Anforderung nach lückenloser Speicherung des E-Mail-Verkehrs zunächst entgegen. Wie in Konfliktfällen zu verfahren ist, lässt sich deshalb oft nur im Einzelfall entscheiden. Archivsysteme sollten daher Ausnahmen von der Archivierung, unterschiedliche Archivierungsfristen und die Löschung oder Sperrung von Daten unter besonderen Voraussetzungen unterstützen. Solche Ausnahmen sollten aber im Sinne der Revisionssicherheit nachvollziehbar sein und protokolliert werden.

In den Grundsätzen zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU, Schreiben des BMF vom 16. Juli 2001) sind drei Arten des Datenzugriffs im Rahmen steuerlicher Außenprüfungen vorgesehen:

  1. Unmittelbarer Zugriff (Z1) Beim unmittelbaren Zugriff greift der Prüfer in lesender Form auf relevante Daten im System selbst zu. Das System muss diesen Zugriff ermöglichen und dabei das Lesen, Filtern und Sortieren der Daten erlauben.
  2. Mittelbarer Zugriff (Z2) Beim mittelbaren Zugriff werden die relevanten Daten im System vom Steuerpflichtigen selber oder einem von ihm beauftragten Dritten maschinell ausgewertet und dem Prüfer zur Verfügung gestellt. Das System muss auch hier die notwendigen Auswertemöglichkeiten bereitstellen und den Lesezugriff durch den Prüfer auf die ausgewählten Daten erlauben.
  3. Überlassung eines Datenträgers (Z3) Bei dieser Zugriffsart wird dem Prüfer ein maschinell lesbarer Datenträger mit den relevanten Daten zur Verfügung gestellt.

Prüfzugänge müssen so gestaltet sein, dass der Prüfer keinen Zugriff auf nicht relevante Daten erhält, z.B. auf Daten außerhalb des Prüfzeitraums oder auf Daten von nicht zu prüfenden Unternehmensbereichen.

Aus den vorhergehenden Betrachtungen ergeben sich folgende technische Anforderungen an ein EMail Archiv:

  • Das Archiv muss eingehende und ausgehende E-Mails speichern. Eine 100% Archivierung des externen Mailverkehrs ist empfehlenswert, sofern nicht Datenschutzanforderungen dem entgegen stehen.
  • Zusätzlich kann die Archivierung des internen Mailverkehrs sinnvoll sein. Das Archiv sollte entsprechend in der Lage sein auch interne E-Mails zu archivieren.
  • Die Speicherung der Daten im Archiv sollte automatisch, möglichst ohne aufwändige Eingriffe und idealerweise komplett ohne Interaktion von Benutzern und Administratoren erfolgen.
  • E-Mails müssen das Archiv auf einem dokumentierten und nachprüfbaren Weg erreichen, der Veränderungen der E-Mails vor der Ablage im Archiv ausschließt.
  • Eine Veränderung von Daten im Archiv während der Archivierungsdauer muss grundsätzlich ausgeschlossen sein.
  • Für private Daten im Archiv muss eine Möglichkeit zur Sperre gegen Einsicht der Daten oder zur Löschung vorhanden sein. Sofern eine Löschung durchgeführt wird, muss diese protokolliert werden. 
  • Daten im Archiv müssen über die gesamte geforderte Aufbewahrungszeit zugänglich und abrufbar sein. Die alternativ mögliche Umspeicherung von Daten auf ein neues System ist in der Regel aufwändig und teuer. 
  • Der Speicherplatz im Archiv muss ausreichend bemessen sein. Auf keinen Fall dürfen Größenbeschränkungen dazu führen, dass Daten nicht mehr archiviert werden.  Archivierungsfristen und Ausnahmen von der Archivierung sollten durch Richtlinien (Policies) zentral festlegbar sein. 
  • Daten im Archiv müssen gegen Verlust gesichert sein, entweder durch entsprechende Maßnahmen im Archivsystem selbst (redundante Speicherung), oder durch ein separates Backup der Archivdaten. 
  • Das Archiv muss über ein Benutzermanagement verfügen, um Nutzern des Unternehmens den personalisierten Zugriff auf ihre Daten zu ermöglichen. Idealerweise ist das Benutzermanagement an ein vorhandenes Benutzermanagement im Unternehmen angebunden (z.B. per LDAP) und wird mit diesem synchronisiert. 
  • Der Zugriff auf archivierte Daten sollte für berechtigte Benutzer leicht vom Arbeitsplatz und ggf. mobil möglich sein. 
  • E-Mails müssen leicht und schnell gefunden werden, in der Regel wird dazu ein Volltextindex notwendig sein. 
  • Das Archiv muss verschiedene Berechtigungsstufen unterstützen, z.B. für normale Benutzer und Administratoren. 
  • Privilegierter Benutzer (Administratoren) sollten nicht oder nur eingeschränkt auf Inhalte von E-Mails zugreifen können. 
  • Das Archiv muss die Prüfzugänge für Abschlussprüfer und Betriebsprüfer bereitstellen. Prüfer müssen Daten selber recherchieren und abrufen können. Zusätzlich muss der Export der Daten auf einen Datenträger möglich sein.

Prüfer sollten nur auf eingeschränkte Datenbestände zugreifen können, nicht auf das gesamte Archiv. Die Umsetzung des Vier-Augen-Prinzips zur Freischaltung des Prüfzugangs ist aus Datenschutzgründen geboten. Sinnvoll ist eine Protokollierung der Zugriffe und Abfragen, um Handlungen des Prüfers nachvollziehen zu können.

E-Mail bildet heute einen, wenn nicht den zentralen Kommunikationskanal für Unternehmen – extern mit Kunden, Lieferanten und Dienstleistern genauso wie intern. Wesentliche Eigenschaften von E-Mail sind Schnelligkeit und Einfachheit der Übertragung zum Empfänger sowie die Schriftform.

Letztere macht E-Mail zu einem nachhaltigen Medium. Per E-Mail ausgetauschte Informationen können noch nach langer Zeit wieder eingesehen werden, wenn die E-Mail denn noch gespeichert ist und man die entsprechende E-Mail auch findet.

Für klassische Kommunikation in Schriftform, Briefe, FAX oder dessen Vorgänger, das Fernschreiben, haben Unternehmen normalerweise klare Regeln, wie diese im Unternehmen geleitet, erfasst und abgelegt wird. Schriftstücke werden z. B. chronologisch oder vorgangsbasiert in Ordnern abgelegt und archiviert.

Die Ablage als Papierdokument ermöglicht den Nachweis, dass es sich um ein unverändertes Original handelt, das auch als Beweis vor Gericht verwendet werden kann. Die von Rechtsnormen in den meisten Ländern geforderte revisionssichere Ablage über längere Zeiträume ist mit Papierdokumenten leicht erfüllbar. Die Suche nach Schriftstücken auf Papier ist allerdings meist aufwändig, zeitraubend und damit teuer.

Wir bieten Ihnen diesbezüglich die Möglichkeit unter Inhouse-Appliance und Hosted-Service zu wählen.