Eine E-Mail-Archivierung wird meist dann zum Thema, wenn etwas endet oder etwas ansteht: Die alte Lösung ist abgekündigt, eine Prüfung kündigt sich an, der Weg nach Exchange Online beginnt. Dann soll es schnell gehen, und die Auswahl läuft über Datenblätter und Häkchen.
Das Problem: Die Grundfunktionen sind bei allen ernsthaften Produkten vorhanden. Ob ein Archiv im Ernstfall trägt, entscheidet sich an Architektur, Berechtigungen und Ausstieg. Diese zehn Fragen helfen, vor dem Kauf die richtigen Punkte zu klären.
1. Wo wird die Mail erfasst?
Die wichtigste Frage zuerst. Ein vorgelagertes Mail-Gateway sieht alle Mails, die das Haus verlassen oder erreichen, oft schon entschlüsselt. Interne Mails zwischen zwei Exchange-Postfächern laufen aber nie über das Gateway. Wer nur dort archiviert, hat ein Archiv der Aussenkommunikation, kein vollständiges.
Die Journalerfassung an Exchange erfasst auch interne Mails, Empfänger aus Verteilerlisten und Blindkopien. In Exchange Online kann das Journalpostfach nicht im eigenen Tenant liegen, das Ziel ist deshalb immer ein externes Archiv. Lokal hängt der Umfang von Exchange-Edition und Lizenzen ab. In der Praxis ist die Kombination aus Journal und Gateway oft die robusteste Lösung.
2. Was ist mit Mails, die nicht aus Outlook kommen?
Scanner, Fachanwendungen, Shops und Monitoring-Systeme versenden Mails per SMTP, häufig direkt an Exchange vorbei. Im Gesundheitswesen sind das etwa Befunde und Benachrichtigungen aus KIS, RIS oder LIS. Diese Mails sind oft geschäftsrelevant und fehlen trotzdem im Archiv.
Deshalb gehört ein Inventar aller SMTP-Absender vor die Einführung. Jeder Absender bekommt einen definierten Weg, der ins Archiv journalisiert. Dieselbe Bestandsaufnahme lohnt sich ohnehin, wenn SMTP mit Benutzername und Passwort abgelöst werden soll.
3. Wie revisionssicher ist «revisionssicher»?
Der Begriff steht auf jedem Datenblatt. Fragen Sie konkret nach:
- Kann ein Administrator archivierte Mails verändern oder vor Fristende löschen? Die richtige Antwort ist Nein, technisch und nicht nur organisatorisch.
- Wird WORM-fähiger Speicher unterstützt, etwa S3 Object Lock oder ein WORM-fähiges NAS?
- Wird die Integrität laufend über Hashwerte geprüft, und gibt es eine protokollierte Konsistenzprüfung des Bestands?
- Werden die Archivdaten verschlüsselt gespeichert, und wer hat die Schlüssel?
4. Welche Fristen gelten, und für wen?
Es gibt selten nur eine Aufbewahrungsfrist. Geschäftsbriefe sind nach Handels- und Steuerrecht in Deutschland sechs Jahre aufzubewahren, die ärztliche Behandlungsdokumentation nach § 630f BGB zehn Jahre. Andere Bereiche haben eigene Vorgaben. Ein Archiv muss mehrere Fristen parallel abbilden und sie nach Gruppe, Rolle oder Postfach zuordnen können, idealerweise automatisch aus dem Verzeichnisdienst.
Genauso wichtig ist das Ende der Frist: Wird automatisch gelöscht, wird die Löschung revisionssicher protokolliert, und lässt sich das Protokoll als Nachweis exportieren? Für laufende Verfahren braucht es zusätzlich einen Legal Hold, der die Löschung aussetzt.
5. Was sagt der Betriebsrat?
Ein E-Mail-Archiv ist eine technische Einrichtung, mit der sich Verhalten und Leistung auswerten liessen. In Deutschland ist es deshalb nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig, im öffentlichen und kirchlichen Bereich gilt entsprechendes Personal- bzw. Mitarbeitervertretungsrecht. Ohne Betriebs- oder Dienstvereinbarung startet das Projekt nicht.
Die Vereinbarung ist nur so gut wie ihre technische Umsetzung. Prüfen Sie deshalb, ob die Lösung typische Regeln wirklich abbilden kann:
- Ausnahme einzelner Postfächer oder Bereiche, etwa Betriebsrat, Personalwesen, Betriebsarzt, Seelsorge oder Schwerbehindertenvertretung
- Umgang mit als privat gekennzeichneten Mails
- Zugriff auf fremde Archivdaten nur im technisch erzwungenen Vier-Augen-Prinzip
- Trennung von Administration und Revision, mit Protokollen, die kein Administrator ändern kann
6. Wie kommen Mitarbeitende an ihr Archiv?
Ein Archiv, das niemand benutzt, wird wieder durch PST-Dateien ersetzt. Entscheidend ist der Zugriff dort, wo gearbeitet wird: im klassischen Outlook, in Outlook im Web und im neuen Outlook, über einen Webclient und mobil. Prüfen Sie, ob das Add-in auch für das neue Outlook verfügbar ist, denn klassische COM-Add-ins laufen dort nicht.
Dazu gehören Single Sign-on über Entra ID oder Active Directory, Mehrfaktor-Anmeldung und automatische Bereitstellung bzw. Deaktivierung der Konten aus dem Verzeichnis.
7. Wie gut ist die Suche wirklich?
Volltextsuche steht überall. Testen Sie im Pilot mit echten Daten: Werden Inhalte von PDF-, Office- und ZIP-Anhängen gefunden? Werden gescannte Dokumente per OCR durchsuchbar? Funktionieren Operatoren wie AND, OR und NOT, Filter und gespeicherte Suchen? Kann eine berechtigte Stelle über mehrere Postfächer oder den ganzen Bestand suchen, und sind Exporte für Prüfungen mit Metadaten und Prüfsummen versehen?
8. Hybrid heute, Cloud morgen?
Viele Organisationen betreiben Exchange Server und Exchange Online über Jahre parallel. Das Archiv muss beide Welten erfassen und den Wechsel eines Postfachs in die Cloud mitmachen, ohne dass Lücken entstehen. Fragen Sie, wie die Lösung Exchange Online anbindet, ob sie auch ohne Journalpostfach arbeiten kann und ob Postfächer verändert werden. Stubbing, also das Ersetzen von Anhängen durch Verweise, entlastet Postfächer, erschwert aber spätere Migrationen. Ein Betrieb ohne Stubbing sollte möglich sein.
9. Cloud oder eigenes Rechenzentrum?
Beides kann richtig sein. Bei einem Cloud-Dienst zählen Speicherort in der EU bzw. in Deutschland, ein C5-Testat Typ 2 des Rechenzentrumsbetreibers oder ein gleichwertiger Nachweis, und die Frage, ob der Auftraggeber die Schlüsselhoheit behält. Im eigenen Haus zählen virtualisierter Betrieb auf Hyper-V, VMware oder Proxmox VE, Hochverfügbarkeit ohne Single Point of Failure, WORM-fähiger Speicher und ein Backup- und Wiederherstellungskonzept. Vergleichen Sie die Gesamtkosten über die ganze Laufzeit, nicht nur die Lizenz.
10. Wie kommen die Daten wieder heraus?
Die Frage, die bei der Auswahl am häufigsten fehlt. Aufbewahrungsfristen von zehn Jahren überdauern fast jede Software-Generation. Klären Sie deshalb vor dem Kauf:
- Ist der vollständige Export aller Archivdaten einschliesslich Metadaten und Berechtigungen kostenfrei?
- Erfolgt er in einem herstellerunabhängigen Format, zum Beispiel EML mit XML-Metadaten, das sich ohne Herstellersoftware auswerten lässt?
- Bleiben archivierte Daten zugreifbar, wenn die Zahl der Lizenzen sinkt?
- Gibt es nach Vertragsende einen lesenden Zugriff für eine Übergangszeit und eine nachweisliche Löschung beim Anbieter?
- Unterstützt der Anbieter die Migration auf ein Nachfolgesystem?
Lassen Sie sich den Export nicht nur zusichern, sondern testen Sie ihn einmal mit einem echten Postfach.
Fazit
Ein gutes E-Mail-Archiv erkennt man nicht an der Funktionsliste, sondern an drei Dingen: Es erfasst alles, auch interne und maschinell versendete Mails. Es setzt Fristen, Rechte und die Dienstvereinbarung technisch durch. Und es gibt die Daten am Ende vollständig und in einem offenen Format wieder heraus. Wer diese Punkte vor der Auswahl prüft, kauft einmal und nicht zweimal.
Schreibt hier über Probleme, die in echten Projekten auftreten: Microsoft 365, Security, Automatisierung und digitale Systeme. Hängen Sie gerade an genau diesem Thema? Dann lösen wir es gemeinsam, von der Diagnose bis zur Umsetzung.
Kontakt aufnehmen