Skip to content

GoBD-konforme E-Mail-Archivierung#

Diese Dokumentation gilt für Piler Enterprise Edition 2.1.0+

Revision #3

Veröffentlicht: 30.10.2026

English version

Rechtlicher Hinweis

Diese Dokumentation beschreibt, wie piler enterprise die Einhaltung der GoBD technisch und organisatorisch unterstützt.

Sie ist keine Rechtsberatung und ersetzt nicht die eigene Prüfung der rechtlichen Anforderungen, Risiken und Maßnahmen durch das Unternehmen.

Allein das Unternehmen ist verantwortlich dafür,

  • welche E-Mails steuerlich oder handelsrechtlich relevant sind,
  • welche Aufbewahrungsfristen eingestellt werden,
  • dass Zugriffsrechte und Protokollierung angemessen sind,
  • dass die steuer- und handelsrechtlichen Vorschriften insgesamt eingehalten werden.

piler enterprise stellt die technischen Mittel bereit, ersetzt aber keine rechtlichen Entscheidungen.

Die Angaben „Rz." sind die Randziffern der GoBD in der Fassung vom 14. Juli 2025 (siehe Quellen).

Was sind die GoBD?#

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) sind eine Verwaltungsanweisung des Bundesministeriums der Finanzen (BMF). Maßgeblich ist das BMF-Schreiben vom 28. November 2019, geändert am 11. März 2024 und am 14. Juli 2025 (vor allem wegen der verpflichtenden E-Rechnung).

Sie regeln

  • die elektronische Buchführung und Aufzeichnung,
  • die Aufbewahrung steuerlich relevanter Unterlagen in elektronischer Form,
  • den Datenzugriff der Finanzverwaltung bei Außenprüfungen.

Die GoBD gelten für alle Unternehmen, die in Deutschland steuerpflichtig sind, unabhängig von ihrer Größe. Verstöße können zur Folge haben:

  • die Verwerfung der Buchführung durch die Finanzverwaltung
  • Hinzuschätzungen
  • Bußgelder
  • intensivere Prüfungen

Zwei Grundsätze der GoBD bestimmen, was ein Archiv leisten kann:

  • Die Verantwortung bleibt beim Unternehmen, auch wenn das Archiv von einem Dienstleister oder Hosting-Partner betrieben wird (Rz. 21).
  • Es gibt kein GoBD-Zertifikat. Die Finanzverwaltung trifft keine allgemeinen Aussagen zur Konformität von Software, und Zertifikate oder Testate Dritter entfalten ihr gegenüber keine Bindungswirkung (Rz. 179 bis 181). Entscheidend ist, wie das Archiv eingerichtet und betrieben wird, und die Verfahrensdokumentation, die das beschreibt (Rz. 151 bis 155).

Rechtsgrundlagen#

Die Anforderungen der GoBD ergeben sich aus mehreren Gesetzen:

Gesetz Anforderung
§ 147 AO (Abgabenordnung) Aufbewahrung steuerlich relevanter Unterlagen
§ 257 HGB (Handelsgesetzbuch) Aufbewahrung von Handelsbriefen
§ 14b UStG Aufbewahrung von Rechnungen
GoBD (BMF-Schreiben) Anforderungen an die technische Umsetzung

Aufbewahrungsfristen#

Unterlagen Frist
Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte sowie die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen 10 Jahre
Buchungsbelege, einschließlich Rechnungen 8 Jahre (bis 2024: 10 Jahre)
Empfangene und abgesandte Handels- und Geschäftsbriefe (Angebote, Auftragsbestätigungen, allgemeine Geschäftskorrespondenz) 6 Jahre

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist oder empfangen wurde.

Das Vierte Bürokratieentlastungsgesetz (BEG IV) hat die Frist für Buchungsbelege ab dem 1. Januar 2025 von 10 auf 8 Jahre verkürzt (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG). Für Banken, Versicherungen und Wertpapierinstitute gelten für eine Übergangszeit weiter 10 Jahre. Viele Steuerberater empfehlen, Belege weiterhin 10 Jahre aufzubewahren. Welche Frist für eine E-Mail gilt, ist auch nicht immer an ihrem Betreff zu erkennen: Stimmen Sie die Fristen mit Ihrem Steuerberater ab.

Welche E-Mails müssen archiviert werden?#

Es kommt auf den Inhalt und die Funktion einer E-Mail an, nicht auf ihre Bezeichnung (Rz. 121). Eine E-Mail, die als Handels- oder Geschäftsbrief oder als Buchungsbeleg dient, ist aufbewahrungspflichtig. Eine E-Mail, die nur „Transportmittel" für eine angehängte Rechnung ist und darüber hinaus keine aufbewahrungspflichtigen Informationen enthält, ist es nicht (wie der Briefumschlag aus Papier).

Steuerlich relevante E-Mails#

  • Eingangs- und Ausgangsrechnungen
  • Rechnungskorrekturen und Gutschriften
  • Verträge mit finanziellen Auswirkungen
  • Zahlungsbestätigungen und Mahnungen
  • Steuererklärungen und Korrespondenz mit Finanzbehörden
  • Abschlüsse und Buchhaltungsunterlagen

Handelsrechtlich relevante E-Mails#

  • Angebote
  • Auftragsbestätigungen
  • Lieferscheine und Versandbestätigungen
  • Allgemeine Geschäftskorrespondenz
  • Korrespondenz mit Kunden und Lieferanten mit geschäftlicher Bedeutung

E-Mails ohne Aufbewahrungspflicht#

  • Private Korrespondenz (soweit sie im Unternehmen erlaubt ist)
  • Spam und Werbung
  • Newsletter ohne geschäftliche Bedeutung
  • Interne, informelle Kommunikation ohne geschäftliche Bedeutung
  • Entwürfe, die nie abgesandt wurden (Rz. 5)

Diese E-Mails von Hand zuverlässig zu trennen, ist kaum praktikabel. Die meisten Unternehmen archivieren mit einer Journalregel jede E-Mail ihrer Domains, legen die Aufbewahrungsfrist nach der längsten geltenden Pflicht fest und regeln Ausnahmen mit Aufbewahrungsregeln.

Die Anforderungen der GoBD und wie Piler sie erfüllt#

Die Tabelle ordnet die Anforderungen der GoBD, die ein E-Mail-Archiv betreffen, den Funktionen von Piler zu und zeigt, was Ihre Aufgabe bleibt. Die Abschnitte darunter erläutern sie.

Anforderung Rz. Piler Ihre Aufgabe
Vollständigkeit 36 bis 43 Archiviert jede E-Mail, die der Mailserver übergibt, mit Kopfzeilen und Anhängen Journalregel für alle ein- und ausgehenden E-Mails
Unveränderbarkeit 58 bis 60, 107 bis 112 Speichert jede E-Mail unverändert, wie empfangen; keine Funktion zum Ändern archivierter E-Mails; ein Hashwert, der beim Öffnen geprüft wird; optional TSA-Zeitstempel Löschen deaktiviert lassen; optional WORM-Speicher
Protokollierung 59, 111, 117 Audit-Log von Anmeldungen, Suchen, Ansichten, Downloads, Exporten, Löschungen und jeder Änderung der Einstellungen Auswerten; optional an ein SIEM weiterleiten
Aufbewahrung im Empfangsformat 119, 129, 131 Die Original-E-Mail (EML) mit allen Kopfzeilen und Anhängen, XML und PDF von E-Rechnungen eingeschlossen
Keine Löschung vor Fristablauf 119 Löschen ist standardmäßig deaktiviert; Aufbewahrungsregeln; Legal Hold; die Bereinigung entfernt E-Mails erst nach Fristablauf Fristen festlegen; Freigabe von Löschungen, falls Sie das Löschen aktivieren
Ordnung und Index 53 bis 57, 117, 122 Eindeutige ID, Message-ID und Hashwert jeder E-Mail; ein Suchindex, der aus den gespeicherten E-Mails neu aufgebaut werden kann
Ergänzungen 123 Tags und Notizen werden getrennt von der E-Mail gespeichert, die unverändert bleibt
Maschinelle Auswertbarkeit 125 bis 128 Volltextsuche in E-Mails und Anhängen, Suche nach Metadaten, Exporte
Verschlüsselung 134 E-Mails werden verschlüsselt gespeichert und berechtigten Benutzern entschlüsselt angezeigt Den Schlüssel für die gesamte Aufbewahrungsfrist aufbewahren
Datensicherheit 103 bis 106 Zugriffskontrolle, Rollen, Zwei-Faktor-Authentifizierung Datensicherung und ihre Beschreibung in der Verfahrensdokumentation
Internes Kontrollsystem (IKS) 100 bis 102 Rollen, Zugriffsrechte, Freigabe von Löschungen, Audit-Log Berechtigungskonzept und seine Beschreibung in der Verfahrensdokumentation
Lesbarmachung 156, 157 Jede E-Mail ist in der Weboberfläche am Bildschirm lesbar
Datenzugriff bei der Außenprüfung 158 bis 170 Prüferkonten (Z1), Suchen und Exporte nach den Vorgaben des Prüfers (Z2), Exporte in EML und weiteren Formaten (Z3) Festlegen, was der Prüfer sehen darf
Verfahrensdokumentation 151 bis 155 Beschreibt den eigenen Teil: diese Seite und die Dokumentation Ihrer Piler-Version Erstellen und aktuell halten

Technische Umsetzung#

Vollständigkeit#

Geschäftsvorfälle sind vollständig und lückenlos aufzuzeichnen (Rz. 36). Für ein E-Mail-Archiv bedeutet das: Jede aufbewahrungspflichtige E-Mail muss das Archiv erreichen.

So stellt Piler die Vollständigkeit sicher:

  • Eine Journalregel auf dem Mailserver schickt eine Kopie jeder ein- und ausgehenden E-Mail an Piler, unabhängig von Benutzern und E-Mail-Programmen
  • Archivierung in Echtzeit: E-Mails werden archiviert, sobald sie eintreffen
  • Kopfzeilen und Anhänge bleiben bei der E-Mail, die Umschlagsempfänger (z. B. Bcc-Empfänger) mit Umschlagsdateien
  • Beim Archivieren wird an der E-Mail nichts verändert

Richten Sie Ihren Mailserver so ein, dass er eine Journalkopie aller E-Mails an den SMTP-Dienst von Piler sendet, siehe die Anleitung für Ihren Mailserver oder Microsoft 365.

Unveränderbarkeit und Protokollierung#

Eine Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist, und Änderungen sind zu protokollieren (§ 146 Abs. 4 AO, Rz. 58 bis 60 und 107 bis 112). Die Unveränderbarkeit kann hardwaremäßig (z. B. WORM-Speicher), softwaremäßig (z. B. Sperren, Protokollierung, Versionierung) oder organisatorisch (z. B. Zugriffsberechtigungen) gewährleistet werden. Die Ablage in einem einfachen Dateisystem genügt ohne zusätzliche Maßnahmen regelmäßig nicht (Rz. 110).

So stellt Piler die Unveränderbarkeit sicher:

  • E-Mails werden sofort nach dem Empfang im Originalformat (EML) gespeichert, so wie sie empfangen wurden
  • Piler hat keine Funktion, archivierte E-Mails zu ändern: Benutzer und Administratoren können sie nur lesen, exportieren oder (falls aktiviert) ihre Löschung beantragen
  • Alle gespeicherten E-Mails sind mit AES verschlüsselt
  • Beim Archivieren wird ein SHA-256-Hashwert jeder E-Mail gespeichert und beim Öffnen geprüft: Eine veränderte E-Mail wird als nicht verifiziert angezeigt
  • Das Audit-Log protokolliert Zugriffe und administrative Vorgänge, siehe unten
  • Optional: TSA-Zeitstempel. Das Programm sign lässt die Hashwerte der archivierten E-Mails von einem Zeitstempeldienst signieren (RFC 3161, sign --tsa-url https://...), als kryptografischer Nachweis, dass sie zu diesem Zeitpunkt unverändert vorlagen. Führen Sie es regelmäßig aus, z. B. täglich per cron
  • Optional: WORM-Speicher, z. B. S3-Speicher mit Object Lock, für die Unveränderbarkeit auf Speicherebene

Was das Audit-Log protokolliert (Rz. 111, 117):

  • Anmeldung: An- und Abmeldungen (erfolgreiche und fehlgeschlagene), Passkeys
  • Zugriffe: welcher Benutzer welche E-Mail wann und von welcher IP-Adresse angesehen, heruntergeladen oder wiederhergestellt hat
  • Suchen: was von wem gesucht wurde
  • Exporte: eDiscovery-Exporte, Downloads
  • Löschungen: Löschanträge, ihre Freigabe oder Ablehnung, DSGVO-Löschanträge
  • Einstellungen (ab 2.2.5): jede Änderung über die Weboberfläche oder die API, mit den neuen Werten (nie ein Passwort): Benutzer, Gruppen, Domains, LDAP, Profile, Mandanten, Kontingente, Aufbewahrungsregeln, Kategorien, Legal Holds, DLP- und Compliance-Regeln, Importaufträge, Branding, API-Tokens, Aufbewahrung von Teams und Slack

Änderungen außerhalb von Piler (z. B. an den Einstellungen in .env oder an der Journalregel des Mailservers) stehen nicht im Audit-Log: Halten Sie sie in der Änderungshistorie Ihrer Verfahrensdokumentation fest (Rz. 154). Vor 2.2.5 wurden Änderungen an Domains, Gruppen, LDAP, Profilen und einigen weiteren Einstellungen nicht protokolliert.

Schutz des Audit-Logs:

  • Das Audit-Log wird getrennt von den E-Mails gespeichert und kann in der Weboberfläche und über die API weder geändert noch gelöscht werden
  • Es kann an ein externes SIEM (Splunk, Sumo Logic, Syslog) weitergeleitet werden, siehe SIEM-Anbindung: eine Kopie außerhalb von Piler, die lokale Administratoren nicht ändern können

Aufbewahrung im Empfangsformat#

Eingehende elektronische Handels- und Geschäftsbriefe und Buchungsbelege müssen in dem Format aufbewahrt werden, in dem sie empfangen wurden (Rz. 119, 131). Wird eine E-Mail als PDF gespeichert, gehen ihre Kopfzeilen verloren, und damit der Nachweis, wie die E-Mail zugegangen ist (Rz. 129).

So erfüllt Piler die Anforderung:

  • Piler bewahrt die Original-E-Mail (EML) mit allen Kopfzeilen und Anhängen auf, so wie sie empfangen wurde
  • Anhänge werden nie umgewandelt: Ein PDF bleibt ein PDF, eine XML-Rechnung bleibt XML, und eine ZUGFeRD-Rechnung behält ihre eingebettete XML-Datei
  • Suchindex und Datenbank werden aus der gespeicherten E-Mail abgeleitet, die das Original bleibt

Aufbewahrung und Löschung#

Unterlagen dürfen vor Ablauf der Aufbewahrungsfrist nicht gelöscht werden (Rz. 119).

So unterstützt Piler das:

  • Löschen ist standardmäßig deaktiviert (ENABLE_DELETE=false): Niemand kann eine archivierte E-Mail vor Ablauf ihrer Frist entfernen
  • Aufbewahrungsfrist je Mandant (die Vorgabe für alle E-Mails) und Aufbewahrungsregeln für Ausnahmen, nach Domain, Absender, Empfänger, Betreff, Text, Größe, Name oder Typ eines Anhangs
  • Legal Hold: E-Mails der Personen unter einem Legal Hold werden nicht bereinigt, auch nicht nach Fristablauf
  • Bereinigung (purge): entfernt E-Mails nach Ablauf ihrer Frist (falls für den Mandanten aktiviert)

Wenn Sie das Löschen aktivieren (ENABLE_DELETE=true), z. B. für Löschanträge nach der DSGVO: Auditoren (und mit ENABLE_DELETE_FOR_USERS=true auch Benutzer) können die Löschung einer E-Mail beantragen. Mit NEED_TO_APPROVE_DELETE=true muss ein Datenschutzbeauftragter jeden Antrag freigeben (Vier-Augen-Prinzip). Jeder Antrag, jede Freigabe und jede Ablehnung steht im Audit-Log. Beachten Sie, dass steuer- und handelsrechtliche Aufbewahrungspflichten einem Löschantrag nach der DSGVO in der Regel vorgehen (Art. 17 Abs. 3 lit. b DSGVO).

Empfohlene Einstellungen für die GoBD:

  • ENABLE_DELETE=false beibehalten, oder das Löschen nur mit NEED_TO_APPROVE_DELETE=true aktivieren
  • Die Aufbewahrungsfrist des Mandanten nach der längsten Pflicht festlegen, die für Ihre E-Mails gilt (z. B. 10 Jahre, 3650 Tage)
  • Ein Jahr hinzurechnen: Piler rechnet die Frist ab dem Datum der E-Mail, die gesetzliche Frist endet erst mit dem Schluss des Kalenderjahres (z. B. 11 Jahre, 4018 Tage, für 10 Jahre)
  • Aufbewahrungsregeln nur für E-Mails einsetzen, von denen Sie wissen, dass sie kürzer aufzubewahren sind (z. B. Newsletter)

Ordnung und Index#

Unterlagen sind geordnet aufzubewahren, und jedes elektronische Dokument braucht einen eindeutigen Index, der während der gesamten Aufbewahrungsfrist mit ihm verknüpft bleibt (Rz. 117, 122).

So unterstützt Piler das:

  • Jede E-Mail hat eine eindeutige ID, und Message-ID und Hashwert werden mit ihr gespeichert
  • Volltextsuche in Text, Betreff und Anhängen
  • Suche nach Metadaten: Absender, Empfänger, Zeitraum, Größe, Typ der Anhänge
  • Kategorien, Tags und Notizen zur Einordnung; Tags und Notizen werden getrennt von der E-Mail gespeichert, die unverändert bleibt (Rz. 123)
  • Gespeicherte Suchen für wiederkehrende Abfragen
  • Der Suchindex kann aus den gespeicherten E-Mails neu aufgebaut werden (reindex)

Maschinelle Auswertbarkeit#

Archivierte Unterlagen müssen im Umfang ihrer Informationen maschinell auswertbar sein (Rz. 125 bis 128). Eine Volltextsuche gilt als maschinelle Auswertbarkeit (Rz. 126). Strukturierte Daten, etwa die XML-Datei einer E-Rechnung, müssen als solche erhalten bleiben (Rz. 127, 129).

Exporte in Piler:

Format Verwendung
EML Die Original-E-Mail; standardisiert und portabel
MBOX Mehrere E-Mails in einer Datei
PDF Eine lesbare Kopie einer E-Mail
CSV Metadaten zur Auswertung in einer Tabellenkalkulation
eDiscovery-Exporte E-Mails mit Ladedateien und Hashwerten für Review-Programme, siehe eDiscovery

Verschlüsselung und Schlüssel#

Verschlüsselte Unterlagen müssen entschlüsselt zur Verfügung stehen, und die Schlüssel sind aufzubewahren, solange damit verschlüsselte Unterlagen aufzubewahren sind (Rz. 134).

  • Piler zeigt und exportiert E-Mails für berechtigte Benutzer entschlüsselt
  • Bewahren Sie den Schlüssel (piler.key) für die gesamte Aufbewahrungsfrist auf, in Ihren Datensicherungen und getrennt davon an einem sicheren Ort. Ohne ihn können die archivierten E-Mails nicht gelesen werden

Datensicherheit#

Das Archiv ist gegen Verlust und unberechtigte Veränderungen zu schützen, und die Datensicherung ist Teil der Verfahrensdokumentation (Rz. 103 bis 106).

  • Zugriffskontrolle mit Rollen, LDAP / Active Directory, SAML oder lokalen Konten, und Zwei-Faktor-Authentifizierung
  • Die Datensicherung ist Ihre Aufgabe: Folgen Sie der 3-2-1-Regel und testen Sie die Wiederherstellung regelmäßig, siehe Datensicherung und Notfallwiederherstellung

E-Rechnungen#

Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen für inländische B2B-Umsätze empfangen können; die Pflicht zur Ausstellung wird bis 2028 stufenweise eingeführt. Die Änderung der GoBD vom 14. Juli 2025 regelt ihre Aufbewahrung:

Anforderung Rz. Piler
Eingehende E-Rechnungen werden im Empfangsformat aufbewahrt, z. B. XML 131 Die E-Mail wird so aufbewahrt, wie sie empfangen wurde, der XML-Anhang unverändert
Bei einer E-Rechnung genügt die Aufbewahrung des strukturierten Teils (der XML-Datei); bei strukturierten Daten ist eine inhaltliche, keine bildliche Übereinstimmung erforderlich 118, 119, 131 Die XML-Datei wird aufbewahrt, und das PDF ebenso
Der menschenlesbare Teil (z. B. das PDF einer ZUGFeRD-Rechnung) ist auch aufzubewahren, wenn er zusätzliche steuerlich relevante Informationen enthält (z. B. Buchungsvermerke oder qualifizierte elektronische Signaturen) 119, 125, 131 Die ganze E-Mail wird aufbewahrt, das PDF eingeschlossen
Die XML-Datei einer hybriden Rechnung darf nicht durch eine Formatumwandlung verloren gehen (z. B. PDF/A-3 in TIFF) 125, 129 Anhänge werden nie umgewandelt
E-Rechnungen sind strukturierte Daten, die mathematisch-technisch ausgewertet werden können 127 Die XML-Datei steht unverändert für Auswertung und Export zur Verfügung
Eine E-Mail, die nur Transportmittel einer E-Rechnung ist, ist nicht aufbewahrungspflichtig 121 Piler bewahrt sie trotzdem auf, mit der Rechnung

Piler bewahrt E-Rechnungen so auf, wie es die GoBD verlangen, weil es jede E-Mail so archiviert, wie sie empfangen wurde: XML, PDF und hybride Formate (ZUGFeRD, Factur-X, XRechnung) bleiben unverändert erhalten und sind per Volltextsuche und nach Typ des Anhangs auffindbar.

E-Rechnungen finden (ab 2.2.5): Piler erkennt beim Archivieren die E-Mails mit einer E-Rechnung im Anhang: XRechnung und andere UBL- oder CII-Rechnungen (XML) sowie ZUGFeRD- und Factur-X-Rechnungen (PDF mit eingebetteter XML-Rechnung). Sie finden sie mit attachment:einvoice oder dem Kontrollkästchen „E-invoice" der erweiterten Suche. Für eine Außenprüfung kombinieren Sie es mit einem Zeitraum und exportieren die E-Rechnungen (Z2 / Z3, siehe Die E-Rechnungen eines Zeitraums). Die vor 2.2.5 archivierten E-Mails werden nach einem reindex gefunden.

Verfahrensdokumentation#

Für jedes DV-System muss eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der Inhalt, Aufbau, Ablauf und Ergebnisse des Verfahrens vollständig und schlüssig ersichtlich sind und die ein sachverständiger Dritter in angemessener Zeit prüfen kann (Rz. 151). Bei elektronischen Dokumenten beschreibt sie den Prozess von der Entstehung über die Indizierung, Verarbeitung und Speicherung, das eindeutige Wiederfinden und die maschinelle Auswertbarkeit, die Absicherung gegen Verlust und Verfälschung bis zur Reproduktion (Rz. 152).

Bestandteile#

Sie besteht in der Regel aus (Rz. 153):

  1. Allgemeine Beschreibung

    • Zweck des Archivs, welche E-Mails archiviert werden
    • Zuständigkeiten: wer das Archiv betreibt, verwaltet und prüft

  2. Anwenderdokumentation

    • Wie Benutzer und Auditoren E-Mails suchen, ansehen und exportieren
    • Rollen und Zugriffsrechte

  3. Technische Systemdokumentation

    • Eingesetzte Software (Piler Enterprise mit Version), Hardware oder Hosting, Speicherorte
    • Wie E-Mails erfasst (Journalregel), gespeichert, verschlüsselt und geprüft werden
    • Aufbewahrungsfristen und -regeln, Einstellungen zum Löschen

  4. Betriebsdokumentation

    • Datensicherung und Wiederherstellung, Aufbewahrung des Schlüssels
    • Updates und ihre Historie, Überwachung
    • Das interne Kontrollsystem: Prüfung der Berechtigungen und des Audit-Logs

Die Dokumentation muss dem tatsächlich eingesetzten Verfahren entsprechen, einschließlich der Programmversionen, und Änderungen müssen versioniert und historisch nachvollziehbar sein (Rz. 154). Sie ist so lange aufzubewahren wie die Unterlagen, zu deren Verständnis sie erforderlich ist (Rz. 154). Eine fehlende oder ungenügende Verfahrensdokumentation ist kein formeller Mangel, der zur Verwerfung der Buchführung führt, soweit sie die Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt (Rz. 155).

Piler unterstützt Ihre Verfahrensdokumentation mit:

  • einer Vorlage für die Verfahrensdokumentation, in der die Teile zu Piler vorausgefüllt sind

  • dieser Seite und der Dokumentation Ihrer Piler-Version, für die technischen Teile

  • dem Audit-Log, für die Kontrollen (Anmeldungen, Zugriffe, Löschungen, Änderungen an Regeln)
  • den Aufbewahrungsregeln und ihrer Änderungshistorie
  • dem Konfigurationsbericht (ab 2.2.5), in der Administration unter Compliance > Configuration report: die Einstellungen, Aufbewahrungs- und Ausschlussregeln, Rollen und Benutzer sowie die aktiven Legal Holds des Mandanten, als Markdown oder JSON, auf Deutsch oder Englisch, oder gedruckt. Die Begründung einer Regel ist ihre Beschreibung. Was Piler nicht auslesen kann (z. B. S3 Object Lock, den Zeitplan der Bereinigung), bleibt als [Platzhalter] stehen und ist von Ihnen zu ergänzen. Der deutsche Bericht nennt, wohin seine Abschnitte in der Vorlage gehören. Er enthält keine Passwörter oder Schlüssel. Er zeigt die Konfiguration am Tag der Erstellung: Bewahren Sie jede Fassung mit Ihrer Dokumentation auf.

Empfehlungen für den GoBD-konformen Betrieb#

Mindestanforderungen#

  1. Jede E-Mail archivieren

    • Eine Journalregel auf dem Mailserver für alle ein- und ausgehenden E-Mails einrichten

  2. Aufbewahrung einstellen

    • Die Aufbewahrungsfrist des Mandanten nach der längsten geltenden Pflicht festlegen (z. B. 10 Jahre)
    • Aufbewahrungsregeln nur für E-Mails, die nachweislich kürzer aufzubewahren sind

  3. Löschen deaktiviert lassen

    • ENABLE_DELETE=false (die Vorgabe), oder Löschen nur mit NEED_TO_APPROVE_DELETE=true

  4. Schlüssel schützen und Daten sichern

    • Datenbanken, gespeicherte E-Mails und den Schlüssel sichern; der 3-2-1-Regel folgen
    • Die Wiederherstellung regelmäßig testen

  5. Das Audit-Log nutzen und prüfen

    • Regelmäßig auswerten, als Teil Ihres internen Kontrollsystems

  6. Die Verfahrensdokumentation erstellen

Erweiterte Maßnahmen#

  1. TSA-Zeitstempel: das Programm sign regelmäßig ausführen, als unabhängigen Nachweis, wann die E-Mails archiviert wurden
  2. WORM-Speicher: S3 Object Lock oder Vergleichbares, für die Unveränderbarkeit auf Speicherebene
  3. Audit-Log extern speichern: SIEM-Anbindung, damit lokale Administratoren das Log nicht ändern können
  4. Regelmäßige Überprüfung: die Einstellungen mit dieser Seite abgleichen und die Verfahrensdokumentation nach jeder Änderung aktualisieren

Datenzugriff bei der Außenprüfung#

Bei einer Außenprüfung hat die Finanzverwaltung drei gleichberechtigte Möglichkeiten des Datenzugriffs und entscheidet selbst, welche sie nutzt (Rz. 163, 164):

Zugriff Rz. Bedeutung Mit Piler
Z1: unmittelbarer Datenzugriff 165 Der Prüfer sieht die Daten in Ihrem System ein, mit Nur-Lesezugriff, vor Ort; kein Online-Fernzugriff Ein Auditor-Konto für den Prüfer
Z2: mittelbarer Datenzugriff 166 Sie (oder ein Dienstleister) werten die Daten nach den Vorgaben des Prüfers aus und stellen ihm das Ergebnis zur Verfügung oder ermöglichen einen Nur-Lesezugriff darauf Suchen nach den Vorgaben des Prüfers, für ihn exportiert
Z3: Datenüberlassung 167 bis 169 Sie überlassen die Daten in einem maschinell auswertbaren Format, z. B. auf einem Datenträger Export der ausgewählten E-Mails als EML (mit ihren Metadaten); die E-Rechnungen eines Zeitraums mit einem Verzeichnis (ab 2.2.5)

Der Umfang: Der Datenzugriff umfasst die aufbewahrungspflichtigen Unterlagen im Rahmen der jeweiligen Außenprüfung (Rz. 158, 159). Welche Daten steuerlich relevant sind, legen Sie fest (Erstqualifikation, Rz. 161).

Ein Auditor-Konto sieht jede archivierte E-Mail des Mandanten. Piler hat keine Auditor-Rolle, die auf die steuerlich relevanten E-Mails beschränkt ist. Soll der Prüfer nicht alles sehen, ziehen Sie Z2 oder Z3 vor: Suchen Sie die relevanten E-Mails selbst heraus und exportieren Sie sie. Stimmen Sie das Format mit dem Prüfer ab.

Wer es macht: Für Z2 und Z3 ist kein besonderes Konto nötig. Ein normaler Benutzer, der die Rechnungen empfängt (z. B. mit rechnung@ oder buchhaltung@ als Alias), findet und exportiert sie und sieht sonst nichts. Ein Auditor-Konto kann es ebenfalls, sieht aber alle E-Mails.

Die E-Rechnungen eines Zeitraums (Z3)#

Ab 2.2.5:

  1. Nach attachment:einvoice suchen (oder „E-invoice" in der erweiterten Suche ankreuzen), mit den Daten des Prüfungszeitraums
  2. Auf das Beleg-Symbol neben dem Export-Symbol klicken und das ZIP bei den Exporten herunterladen

Das ZIP enthält:

Datei Inhalt
einvoices/<id>-<n>_<name> Jede E-Rechnung (XRechnung UBL oder CII als XML, ZUGFeRD / Factur-X als PDF) wie empfangen, Byte für Byte
emails/<id>.eml Die E-Mail, mit der sie kam
index.csv Eine Zeile je E-Rechnung: Datum, Absender, Empfänger, Betreff, Art (UBL, CII, PDF/A-3), Dateiname, Größe, SHA-256 der E-Rechnung und der E-Mail. UTF-8, durch Semikolons getrennt
README.txt Die Zahl der gefundenen und geprüften E-Mails und ob der Export vollständig ist

E-Mails ohne E-Rechnung werden ausgelassen. Eine Suche ist auf MAX_EXPORT_MESSAGES E-Mails begrenzt (standardmäßig 20000), bevor sie ausgelassen werden: Erreicht eine breite Suche die Grenze, steht in README.txt „UNVOLLSTAENDIG". Grenzen Sie die Suche auf attachment:einvoice und den Zeitraum ein und exportieren Sie erneut. Jede exportierte E-Mail steht im Audit-Log (download), ebenso der Export selbst (export) mit seinen Zahlen.

Ein Auditor-Konto für den unmittelbaren Zugriff (Z1)#

  1. Ein Benutzerkonto mit der Auditor-Rolle anlegen, nur für die Dauer der Prüfung
  2. Das Löschen deaktiviert lassen: Mit ENABLE_DELETE=true können Auditoren Löschungen beantragen
  3. Die Zugangsdaten dem Prüfer übergeben
  4. Die Zugriffe im Audit-Log verfolgen
  5. Das Konto nach der Prüfung deaktivieren

Jeder Zugriff eines Auditors wird protokolliert.

Zusammenfassung: Checkliste#

Anforderung Umsetzung Status
Vollständigkeit Journalregel, SMTP-Archivierung in Echtzeit ✓ Einrichtung erforderlich
Unveränderbarkeit Original-EML, keine Änderungsfunktion, Verschlüsselung, Prüfung des SHA-256-Hashwerts, optional TSA und WORM ✓ Integriert
Protokollierung Audit-Log der Zugriffe und jeder Änderung der Einstellungen (ab 2.2.5), Weiterleitung an ein SIEM ✓ Integriert
Aufbewahrung im Empfangsformat Original-EML mit Kopfzeilen und Anhängen ✓ Integriert
Keine Löschung vor Fristablauf Löschen standardmäßig deaktiviert, Aufbewahrungsregeln, Legal Hold ✓ Einrichtung erforderlich
Ordnung und Index Eindeutige ID, Volltext- und Metadatensuche, E-Rechnungen (attachment:einvoice), Kategorien, Tags ✓ Integriert
Maschinelle Auswertbarkeit Volltextsuche, Exporte als EML, MBOX, PDF, CSV und eDiscovery ✓ Integriert
Schlüssel Für die gesamte Aufbewahrungsfrist aufbewahren ○ Aufgabe des Kunden
Datensicherheit, Datensicherung Zugriffskontrolle, 2FA; Datensicherung ○ Aufgabe des Kunden
Datenzugriff Auditor-Konten, Suchen und Exporte ✓ Integriert
Verfahrensdokumentation Unterstützt durch diese Seite und das Audit-Log ○ Aufgabe des Kunden

Legende: ✓ = unterstützt, ○ = Verantwortung des Kunden

Weitere Dokumentation (englisch)#

Quellen#