E-Rechnungen automatisch GoBD-konform archivieren — Eingang und Ausgang, mindestens 8 Jahre

Die Archivierung ist der Teil der E-Rechnungs-Geschichte, der am häufigsten falsch verstanden wird. Im Tagesgeschäft denkt man: "Ich hab die PDF doch in meinem Mailordner — das passt." Bei der ersten Betriebsprüfung kommt dann die Frage, wie man sicherstelle, dass die Datei seit dem Empfang unverändert geblieben sei, ob es einen Audit-Trail gebe, ob man die strukturierte Originaldatei (nicht die selbst erstellte Druck-PDF) vorlegen könne. Und dann wird es eng.

Dieser Artikel klärt, was GoBD bei E-Rechnungen genau verlangt, welche Fristen seit 2025 wirklich gelten, und wie eine vollautomatische Archivierung für Eingang und Ausgang aussieht — ohne dass du dafür ein eigenes Archivsystem aufsetzen musst.

Was GoBD im Kern verlangt

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) sind die zentralen Regeln des Bundesfinanzministeriums für elektronische Buchführung. Sie geben sechs Anforderungen vor, die für eine konforme E-Rechnungs-Archivierung erfüllt sein müssen.

1. Originalformat-Erhalt. Die Datei muss im strukturierten Originalformat aufbewahrt werden. Bei XRechnung die XML, bei ZUGFeRD die hybride PDF/A-3 mit eingebetteter XML. Eine selbst gedruckte oder konvertierte PDF reicht nicht. Das hat das BMF zuletzt im Schreiben vom 15. Oktober 2025 klargestellt.

2. Unveränderbarkeit. Nach dem Empfang oder Versand darf die Datei nicht mehr veränderbar sein. Mailpostfächer und normale Cloud-Speicher erfüllen das streng genommen nicht — der Nutzer könnte die Datei löschen, bearbeiten oder durch eine andere ersetzen.

3. Nachvollziehbarkeit. Veränderungsversuche müssen dokumentiert sein. Wer wann an einer Datei was geändert hat (auch Korrekturen, Verschiebungen), muss in einem Audit-Trail nachvollziehbar bleiben.

4. Auffindbarkeit. Strukturierte Suche nach Rechnungsnummer, Datum, Lieferant, Betrag. Eine reine Ordnerablage mit Datei-Namen reicht nicht.

5. Maschinelle Lesbarkeit. Die Datei muss jederzeit auswertbar sein. Das ist bei XML und PDF/A-3 gegeben, bei einer eingescannten Papierrechnung nicht.

6. Aufbewahrungsfrist. Mindestens 8 Jahre seit 1. Januar 2025 (vorher 10 Jahre, durch das Vierte Bürokratieentlastungsgesetz reduziert). In bestimmten Fällen — laufende Betriebsprüfung, vorläufige Steuerbescheide, bestimmte Anlagegüter — gelten weiterhin 10 Jahre. Sicherheitshalber sind 10 Jahre weiter eine gute Daumenregel.

Was ein Mailpostfach davon nicht löst

Wer denkt, das normale Mailpostfach plus separates "Archiv"-Folder löse die Aufgabe, übersieht in der Praxis fünf Probleme.

1. Originalformat geht verloren. Manche Mailprogramme konvertieren XML-Anhänge in eine HTML-Darstellung. Andere zeigen die Datei nicht an, sodass Nutzer sie weiterleiten, ausdrucken oder lokal speichern — und dabei oft nur die PDF-Sicht, nicht die XML. Wer die XML nicht hat, hat das Original nicht.

2. Unveränderbarkeit nicht gegeben. Mailpostfach-Inhalte können gelöscht werden — durch versehentliche Klicks, durch automatische Aufräum-Regeln, durch Quotas. Wer den Mailprovider wechselt oder ein Postfach migriert, hat im Worst Case keinen Nachweis mehr.

3. Kein Audit-Trail. Mailprogramme dokumentieren nicht, wer wann was verschoben oder bearbeitet hat. Wer eine Rechnung aus Versehen löscht und im Papierkorb wiederfindet, hat in der GoBD-Logik schon ein Problem.

4. Strukturierte Suche fehlt. Volltextsuche in Mails ist nicht dasselbe wie strukturierte Suche nach Rechnungsnummer, Lieferant, Betrag, Datum.

5. Frist nicht garantiert. Mailpostfächer haben Quotas, Mailprovider können den Dienst einstellen, Endgeräte gehen verloren. Eine 8-Jahre-Aufbewahrung ist auf Mailpostfach-Basis nicht zuverlässig sicherzustellen.

Das BMF-Schreiben vom 15. Oktober 2025 hat die Hürde zwar pragmatisch gesenkt: Die Aufbewahrung muss nicht zwingend in einem GoBD-zertifizierten System erfolgen, solange die Daten unverändert und nachvollziehbar bleiben. Das senkt die technischen Hürden, aber die fünf inhaltlichen Punkte oben gelten weiter.

Wie eine vollautomatische Archivierung aussieht

Bei Belegschmied läuft die Archivierung untrennbar mit Eingang und Ausgang. Du musst nichts manuell ablegen.

Für ausgehende Rechnungen:

• Sobald Belegschmied im CC einer Versand-Mail eine PDF empfängt und sie zur ZUGFeRD-Datei verarbeitet, wandert die strukturierte XML in das Archiv
• SHA-256-Hash über die Datei, in einer Hash-Kette mit dem vorherigen Eintrag verknüpft (sodass nachträgliche Manipulation auffallen würde)
• Audit-Trail dokumentiert alles: Wer hat freigegeben (Auto-Send oder menschliche Freigabe? durch wen?), welche deterministischen Checks waren grün, welche Felder hat ein Korrektor verändert, was war der KI-Vorschlag vor der Korrektur

Für eingehende Rechnungen:

• Bei jeder eingehenden Mail an die Empfangsadresse wandert die Original-XRechnung oder ZUGFeRD-PDF direkt in das Archiv
• Hash, Audit-Trail, Eintragsdatum, Lieferanten-Identifizierung
• Validierungsbericht (gegen EN 16931 und CIUS) wird als Nachweis-Anhang abgelegt — das ist der dokumentierte Sorgfaltsnachweis, den das BMF-Schreiben vom 15. Oktober 2025 empfiehlt
• Bei ZUGFeRD zusätzlich Konsistenz-Check-Ergebnis (PDF vs. XML)

Beide Datenströme — Ausgang und Eingang — liegen im selben Archiv unter dem jeweiligen Workspace. Du kannst nach Rechnungsnummer, Lieferant, Datum, Betrag suchen, sortieren, exportieren.

Was im Archiv für die Betriebsprüfung wichtig ist

Drei Punkte, die in einer realen Prüfung relevant sind:

1. Originalfile + Vorschau. Zu jedem Archiv-Eintrag gibt es die Originaldatei (XML oder ZUGFeRD-PDF) und eine menschenlesbare Vorschau. Der Prüfer kann das Original auf seinen Rechner laden und in seinem eigenen Tool prüfen.

2. Hash-Chain. Jeder Eintrag hat einen SHA-256-Hash über den Inhalt. Der Hash wird mit dem Hash des vorherigen Eintrags verkettet — ändert jemand nachträglich einen Eintrag, würden alle nachfolgenden Hashes nicht mehr stimmen. Das ist der mathematische Unveränderbarkeits-Nachweis.

3. Vollständiger Audit-Trail. Jeder Vorgang wird protokolliert: Empfang, Freigabe, Versand, Korrektur, Stornierung. Mit Zeitstempel, User und vorigem/neuem Zustand. Wer wann was gemacht hat, ist lückenlos nachvollziehbar.

Welche Aspekte das BMF besonders prüft und welche Verfahrensdokumentation man braucht, behandelt der BMF-Schreiben-Artikel.

Was du selbst dokumentieren musst — die Verfahrensdokumentation

Die GoBD verlangt zusätzlich eine Verfahrensdokumentation: ein schriftliches Dokument, das beschreibt, wie deine Buchhaltung organisatorisch und technisch funktioniert. Wenn du Belegschmied nutzt, ist der Großteil davon vorgefertigt — du musst nur deine spezifischen Abläufe ergänzen (etwa welche Person Freigaben erteilt, welche Anbieter du nutzt, welche Backup-Strategie greift).

Ein Vorlagen-Generator für die Verfahrensdokumentation ist im Pro-Tier eingebaut.

Was eine eigene Lösung aufwendiger macht

Wer die Archivierung selbst aufsetzen will, muss klären:

• Welcher Storage erfüllt Unveränderbarkeit? Cloud-Objektspeicher mit Object-Lock (S3 Object Lock, Azure Blob Immutable Storage) sind möglich, aber Konfiguration ist nicht trivial
• Wie wird der Audit-Trail geführt? Wer Hash-Verkettung selber baut, braucht eine Datenbank dafür und muss sie schützen
• Wer macht die Validierung? Schematron-Validierung erfordert die KoSIT-Regeln und einen Schematron-Prozessor — Mustang kann das, ist aber Java-Library
• Wie sieht die Suche aus? Volltext über XML reicht nicht — strukturierte Felder pro Rechnung sind nötig

Das alles ist technisch machbar, aber es entspricht etwa zwei Wochen Entwicklerzeit plus laufende Wartung. Für die meisten kleinen Betriebe ist das kein praktikabler Weg.

Was es kostet

• Free-Tier: Archiv nur 30 Tage — taugt zum Testen, nicht GoBD-konform
• Pro: 14,90 €/Monat, alles inklusive, mindestens 8 Jahre Aufbewahrung, Hash-Chain, Audit-Trail, strukturierte Suche, Verfahrensdokumentations-Vorlage
• Business: 49 €/Monat für höheres Volumen und Team

Bei dreißig Rechnungen pro Monat sind das im Pro-Tier etwa 50 Cent pro Rechnung — inklusive Versand, Empfang und 8-Jahre-Archiv. Verglichen mit dem Aufwand, das selbst aufzusetzen, ein klares Verhältnis.

Was du jetzt tun kannst

1. Bestehende Ablage prüfen. Hast du die Original-XML- oder ZUGFeRD-PDF-Dateien für alle 2025 und 2026 eingegangenen E-Rechnungen — nicht nur die Druck-PDFs? Wenn nicht: ein Anruf beim Lieferanten klärt, ob die Originaldatei nachgefordert werden kann.
2. Verfahrensdokumentation klären. Auch wer kein Software-Tool nutzt, braucht eine. Ein einfaches Word-Dokument reicht — Hauptsache, der Ablauf ist beschrieben.
3. Eigene Lösung evaluieren. Wer Belegschmied oder ein vergleichbares Tool nutzen will: Free-Tier zum Testen, Pro-Tier für den Produktivbetrieb. Mehr auf der Hauptseite.

Archivierung ist der Teil, an dem man am wenigsten Show macht und der bei einer Betriebsprüfung am meisten zählt. Wer sie automatisiert, hat einen der größten Risikofaktoren der E-Rechnungs-Umstellung dauerhaft erledigt.