GoBD-konforme Archivierung klingt nach einem Thema für Steuerberater und große Buchhaltungsabteilungen. Mit der E-Rechnung landet es jedoch in jedem kleinen Betrieb. Seit Januar 2025 müssen Unternehmen E-Rechnungen empfangen können, Ende 2026 läuft die erste Übergangsfrist für den Versand aus. Spätestens bei der nächsten Betriebsprüfung zeigt sich dann, ob Rechnungen nur irgendwo gespeichert oder tatsächlich ordnungsgemäß archiviert sind.
Uwe Wortmann, Inhaber von Keepsmile Design in Castrop-Rauxel, begleitet kleine Unternehmen bei IT-Sicherheit und Digitalisierung und hat die rechtssichere Archivierung nach GoBD in sein Portfolio aufgenommen. Im Interview erklärt er, warum ein PDF im Postfach kein Archiv ist, wo Betriebe bei einer Prüfung typischerweise auffallen, welche Rolle Steuerberater spielen und mit welchem Vier-Wochen-Plan ein Betrieb startet, der bisher nichts gemacht hat.
GoBD-konforme Archivierung: Warum ein PDF im Postfach nicht reicht
Uwe Wortmann schätzt, dass 99 Prozent der kleinen und mittleren Unternehmen das Thema nicht auf dem Schirm haben. Die Zahl sei keine wissenschaftliche Erhebung, sondern eine zugespitzte Einschätzung aus seinen Gesprächen mit Betrieben. Er merke das sehr schnell an den Antworten: „Die Rechnung liegt doch in Outlook“, „Wir speichern alle PDFs auf dem Server“ oder „Der Steuerberater hat die Unterlagen doch in der Buchhaltung“.
Viele Betriebe verwechseln aus seiner Sicht Speichern, Backup und Archivierung. Ein Ordner auf dem Server, ein Cloud-Speicher oder ein E-Mail-Postfach sorgt zunächst nur dafür, dass Dateien irgendwo liegen. Auch das Archiv im E-Mail-Programm, etwa in Outlook, ist keine GoBD-konforme Archivierung. Es sorgt vor allem für ein aufgeräumtes Postfach. Eine ordnungsgemäße Archivierung muss dagegen den gesamten Prozess abbilden. Unterlagen müssen vollständig, nachvollziehbar, zeitgerecht, geordnet, verfügbar und gegen unbemerkte Veränderungen geschützt aufbewahrt werden. Genau dort liegen in der Praxis häufig die Lücken: Dateien können gelöscht, überschrieben oder verschoben werden, und oft ist nicht dokumentiert, wer Zugriff hat, wie Änderungen behandelt werden und wie Unterlagen bei einer Prüfung bereitgestellt werden.
„Viele Betriebe verwechseln Speichern, Backup und Archivierung. Ein Ordner auf dem Server sorgt zunächst nur dafür, dass Dateien irgendwo liegen.“
Was die GoBD verlangen, geht deutlich über das bloße Ablegen einer Datei hinaus. Steuerlich relevante Unterlagen müssen vollständig, richtig, zeitgerecht, geordnet und nachvollziehbar aufbewahrt werden. Sie müssen während der gesamten Aufbewahrungsfrist verfügbar, lesbar und für eine Prüfung zugänglich sein. Nachträgliche Änderungen dürfen nicht unbemerkt bleiben. Außerdem muss der tatsächliche Ablauf in einer Verfahrensdokumentation beschrieben werden.
Ein normales E-Mail-Postfach oder ein Dateiordner auf dem Server erfüllt diese Anforderungen in der Regel nicht allein. Dort lassen sich Nachrichten und Dateien häufig löschen, ersetzen oder verändern, ohne dass der Vorgang lückenlos protokolliert wird. Auch ein Backup ist kein Archiv. Es dient vor allem der Wiederherstellung nach einem Ausfall oder Datenverlust.
Bei E-Rechnungen kommt ein weiterer Punkt hinzu: Entscheidend ist der strukturierte Datensatz. Bei einer XRechnung ist das die XML-Datei. Bei einer hybriden E-Rechnung wie ZUGFeRD kann nach den 2025 angepassten GoBD die Aufbewahrung des strukturierten Teils ausreichen, sofern er vollständig ist und die übrigen Anforderungen erfüllt sind. Enthält der menschenlesbare PDF-Teil zusätzliche oder abweichende steuerlich relevante Informationen, muss auch dieser erhalten bleiben. Ein Ausdruck, ein Bildschirmfoto oder eine neu erzeugte PDF-Datei ersetzt den maßgeblichen Datensatz daher nicht. Wie das eigene Verfahren steuerlich zu beurteilen ist, sollte jeder Betrieb mit seinem Steuerberater klären, rechtliche Fragen gehören zu einem Rechtsanwalt.
Betriebsprüfung und IT-Sicherheit: Wo es für kleine Betriebe kritisch wird
Fällt bei einer Betriebsprüfung auf, dass Unterlagen fehlen, nicht auffindbar sind, verändert wurden oder der Archivierungsprozess nicht nachvollzogen werden kann, beginnt das Problem laut Wortmann meist mit zusätzlichen Rückfragen und einem deutlich höheren Prüfungsaufwand. Der Betrieb muss dann erklären und belegen, wie Rechnungen und andere steuerlich relevante Unterlagen empfangen, verarbeitet, gespeichert und vor Veränderungen geschützt wurden.
Bei schwerwiegenden Mängeln kann die Finanzverwaltung die Ordnungsmäßigkeit der Aufzeichnungen infrage stellen. Je nach Einzelfall sind steuerliche Nachteile, zusätzliche Nachweise oder Schätzungen der Besteuerungsgrundlagen möglich. Wortmann warnt allerdings vor Panikmache: Nicht jeder einzelne Archivierungsfehler führt automatisch zu einer Steuernachzahlung, einem Bußgeld oder dem Verlust des Vorsteuerabzugs. Entscheidend sind Art, Umfang und Bedeutung des Mangels.
Typische Schwachstellen sieht er immer wieder: gelöschte ursprüngliche E-Mails, nur manuell abgelegte Rechnungen, fehlende XML-Daten einer E-Rechnung, unklare Zugriffsrechte, nicht dokumentierte Änderungen sowie eine fehlende oder veraltete Verfahrensdokumentation. Ebenso problematisch ist die Annahme, der Kauf einer bestimmten Software mache den Betrieb automatisch GoBD-konform.
Bleibt die Frage, wie man Unternehmer erreicht, die schon bei IT-Sicherheit abwinken. Wortmann beginnt weder mit Paragrafen noch mit einer Software, sondern mit einfachen Fragen aus dem Betriebsalltag: Finden Sie eine Rechnung von vor fünf Jahren innerhalb weniger Minuten? Können Sie noch nachvollziehen, wann sie eingegangen ist und welche E-Mail oder Vereinbarung dazugehört? Was passiert nach einem Mitarbeiterwechsel, einem gelöschten Postfach, einem Systemwechsel oder einem Cyberangriff?
Gerade bei der IT-Sicherheit seien viele Unternehmen sehr blauäugig und unterschätzten die Gefahr. Ein Systemwechsel kommt nicht unerwartet, er wird geplant. Bei einem Cyberangriff dagegen sind die Daten von jetzt auf gleich nicht mehr abrufbar. Gibt es kein Backup, sind sie oft unwiederbringlich verloren. Welche Verantwortung die Geschäftsleitung dabei trägt, zeigt auch die Debatte um NIS2 und die Geschäftsführerhaftung für Cybersicherheit.
„Wie sag ich immer: Kein Backup, kein Mitleid.“
An diesem Punkt werde schnell deutlich, dass es bei den GoBD nicht nur um eine Vorschrift geht. Ein geregelter Archivierungsprozess verbessert auch die eigene Organisation. Unterlagen sind schneller auffindbar, Verantwortlichkeiten klarer, und der Betrieb bleibt auch bei personellen oder technischen Veränderungen handlungsfähig. Wichtig ist Wortmann dabei eine klare Trennung der Rollen. Als IT-Dienstleister kann er den Prozess aufnehmen, technische Schwachstellen zeigen, eine geeignete Archivierungslösung einrichten und die technische Dokumentation unterstützen. Eine verbindliche Rechts- oder Steuerberatung darf er nicht leisten, und eine Garantie, dass ein Betrieb allein durch eine Software GoBD-konform ist, gibt er nicht.
Steuerberater, IT-Dienstleister und ein Plan für die nächsten vier Wochen
Steuerberater sind für Wortmann wichtige Multiplikatoren, weil sie die Abläufe ihrer Mandanten kennen und die steuerliche Bedeutung der Unterlagen einordnen können. Spricht der Steuerberater das Thema an, verstehen viele Unternehmer, dass Archivierung keine technische Zusatzfunktion ist. Hinzu kommt ein ganz praktischer Grund: IT-Dienstleister würden oft als Verkäufer wahrgenommen. Der Steuerberater dagegen ist der Vertraute des Unternehmens, seine Aussagen haben deshalb ein anderes Gewicht.
Eine gute Zusammenarbeit lebt von klaren Zuständigkeiten. Der Betrieb beschreibt, wie Rechnungen, E-Mails und andere Unterlagen tatsächlich eingehen, bearbeitet und weitergegeben werden. Der Steuerberater klärt die steuerlichen Anforderungen, die relevanten Unterlagen und die Aufbewahrungsfristen. Der IT-Dienstleister setzt daraus ein technisch tragfähiges Verfahren um, richtet Berechtigungen und Archivierungsregeln ein, prüft Such- und Exportmöglichkeiten und unterstützt bei der technischen Verfahrensdokumentation. Rechtliche Fragen, etwa zur Vertragsgestaltung, zum Arbeitsrecht oder zur zulässigen Archivierung bestimmter Kommunikation, gehören zu einem Rechtsanwalt. Die Verantwortung für die Ordnungsmäßigkeit bleibt dabei immer beim Unternehmen selbst. Sie lässt sich weder auf den Steuerberater noch auf den IT-Dienstleister oder den Softwarehersteller vollständig übertragen. Auch ein Zertifikat oder Testat für eine Software ersetzt weder den richtig eingerichteten Prozess noch die Verfahrensdokumentation.
Und was sollte ein Betrieb tun, der bisher nichts gemacht hat? Nicht mit dem Kauf einer Software beginnen, sondern mit einer Bestandsaufnahme. Wortmann empfiehlt einen einfachen, aber schriftlichen Vier-Schritte-Plan für die nächsten vier Wochen:
- Woche 1: Erfassen, über welche Wege Rechnungen und steuerlich relevante Unterlagen ein- und ausgehen, also E-Mail-Postfächer, Kunden- und Lieferantenportale, Buchhaltungssoftware, Dateiablagen, Scanner und Papierbelege. Festhalten, wer für welchen Schritt verantwortlich ist, und die auslaufenden Übergangsfristen bei der E-Rechnung im Blick behalten. Dabei kann der Steuerberater helfen.
- Woche 2: Mit dem Steuerberater klären, welche Unterlagen und Formate im eigenen Unternehmen aufzubewahren sind, welche Fristen gelten und welche Besonderheiten zu beachten sind.
- Woche 3: Die technischen Anforderungen festlegen: automatische Erfassung, Schutz vor unbemerkten Änderungen, Suche, Berechtigungen, Protokollierung, Export, Datensicherung und Wiederherstellung. Erst danach eine vorhandene Lösung prüfen oder eine neue auswählen.
- Woche 4: Den Ablauf testen, Verantwortlichkeiten festlegen und mit der Verfahrensdokumentation beginnen. Sie muss den tatsächlichen Prozess beschreiben und bei Änderungen aktualisiert werden.
„Anfangen, aber strukturiert. Erst den Prozess verstehen, dann steuerlich und rechtlich einordnen lassen und anschließend technisch sauber umsetzen.“
Erst der Prozess, dann die Software
Das Interview zeigt, dass GoBD-konforme Archivierung weniger eine Frage der richtigen Software ist als eine Frage der Organisation. Wer weiß, wo seine Rechnungen eingehen, wer sie bearbeitet und wie sie vor Veränderung geschützt sind, hat den größten Teil der Arbeit bereits erledigt. Die E-Rechnung verschärft das Thema, weil der strukturierte Datensatz selbst zum maßgeblichen Beleg wird und ein ausgedrucktes PDF nicht mehr genügt.
Bemerkenswert ist, wie eng Uwe Wortmann Archivierung und IT-Sicherheit zusammendenkt. Neben dem operativen Tagesgeschäft sieht er in beiden Themen die größten Herausforderungen für Unternehmen in den kommenden Jahren, die Cyberrisiken setzt er dabei sogar auf Platz eins. Ein Archiv, das ein Cyberangriff mit einem Schlag unbrauchbar macht, hilft bei der nächsten Betriebsprüfung wenig. Für kleine Betriebe liegt darin eine gute Nachricht: Wer die GoBD-konforme Archivierung strukturiert angeht, sichert mit demselben Schritt auch seine Daten besser ab. Voraussetzung ist eine klare Arbeitsteilung zwischen Betrieb, Steuerberater und IT-Dienstleister, bei der die Verantwortung erkennbar beim Unternehmen bleibt.
