Cloud oder eigene Software? Was Betriebe vor der Wahl klären sollten

Der Betriebsprüfer möchte die Korrespondenz zu einem Auftrag von vor fünf Jahren sehen, doch der damalige Mitarbeiter ist längst nicht mehr im Betrieb, sein Postfach gelöscht. Spätestens dann zeigt sich, ob ein Unternehmen seine E-Mails ordnungsgemäß aufbewahrt hat. Geschäftliche E-Mails unterliegen häufig gesetzlichen Aufbewahrungsfristen, und mit der E-Rechnung kommen steuerlich relevante Belege künftig direkt im Posteingang an. Für Handwerksbetriebe, Kanzleien und Praxen in Hessen, die meist ohne eigene IT-Abteilung arbeiten, steckt dahinter eine Grundsatzfrage: Läuft die Software auf einem Server im eigenen Haus oder als Dienst aus dem Rechenzentrum eines Anbieters? Andreas Dannenberg ist Gründer und Geschäftsführer der REDDOXX GmbH, die E-Mail-Archivierung in beiden Varianten anbietet. Wann ist ein Betrieb mit der Cloud besser beraten, und wann mit eigener Software?

Die beiden Modelle im Alltag

1. Herr Dannenberg, eine Software kann auf einem Server im eigenen Betrieb laufen, im Fachjargon On-Premises genannt, oder als Dienst aus der Cloud bezogen werden. Wer ist im Alltag jeweils wofür zuständig, von Updates über die Datensicherung bis zur Störung am Montagmorgen?

Antwort: Die Cloud verlagert einen großen Teil des technischen Betriebs zum Anbieter, nimmt dem Unternehmen aber nicht jede Verantwortung ab. Beim Cloud-Modell kümmert sich der Dienstleister typischerweise um Hardware, Betriebssystem, Updates, Sicherheits-Patches und die technische Datensicherung. Der Betrieb muss trotzdem Zugriffsrechte festlegen, Mitarbeiter informieren und prüfen, ob der Dienst zu den eigenen Abläufen passt. Bei einer eigenen Installation liegen Hardware, Strom, Wartung, Updates, Backups und die Behebung einer Störung am Montagmorgen beim Unternehmen oder seinem IT-Dienstleister. Dafür bleiben Daten und Betriebsumgebung stärker in der eigenen Hand. In beiden Fällen muss der Betrieb nachweisen können, dass die Aufbewahrung funktioniert.

Kosten

• Bei der eigenen Software fällt ein größerer Betrag zu Beginn an, bei der Cloud eine laufende Gebühr. Welche Kosten übersehen Betriebe beim Vergleich auf beiden Seiten am häufigsten?

Antwort: Verglichen werden sollte nicht der einmalige Kaufpreis mit einer Monatsgebühr, sondern die Gesamtkosten über mindestens fünf Jahre. Bei einer eigenen Installation werden Hardware und deren Erneuerung, Strom, Backup-Medien, Wartungsverträge sowie die Arbeitszeit von Mitarbeitern oder externen Dienstleistern leicht übersehen. Bei der Cloud zählen neben der laufenden Gebühr vor allem wachsender Speicherbedarf, mögliche Preisanpassungen, Mindestlaufzeiten und Kosten für einen späteren Export. Auch die Zeit für Einrichtung, Schulung und Kontrollen gehört in die Rechnung. Für einen kleinen Handwerksbetrieb kann die eigene Software trotzdem wirtschaftlich sein, wenn Server und IT-Betreuung bereits vorhanden sind. Eine Kanzlei ohne eigene IT-Abteilung bewertet dieselben Kosten möglicherweise anders.

Recht und Sicherheit

• Viele Betriebe halten ihre E-Mails für archiviert, weil sie im Postfach liegen oder weil ihr Office-Paket aus der Cloud eine Aufbewahrungsfunktion mitbringt. Was unterscheidet das von einer revisionssicheren Archivierung, bei der sich nachweisen lässt, dass nichts verändert oder gelöscht wurde?

Antwort: Ein Postfach ist in erster Linie ein Arbeitsbereich, kein belastbares Langzeitarchiv. Auch Microsoft 365 oder andere Aufbewahrungsfunktionen können wichtige Bausteine liefern, ersetzen aber nicht automatisch ein durchgängiges Archivkonzept. Für eine revisionssichere Archivierung müssen Nachrichten vollständig übernommen, vor nachträglicher Veränderung und Löschung geschützt, jederzeit auffindbar und ihre Verarbeitung nachvollziehbar sein. Dazu gehören auch klare Zugriffsrechte und eine Verfahrensdokumentation – also eine Beschreibung, wie die Archivierung im Betrieb abläuft. Entscheidend ist nicht das Etikett, sondern ob ein Unternehmen den Prozess prüfen und im Zweifel gegenüber Prüfern nachvollziehbar erklären kann. Deshalb sollte man die konkrete Konfiguration und den eigenen Geschäftsvorgang bewerten, statt sich allein auf eine Standardfunktion zu verlassen.

• Die GoBD, die Vorgaben der Finanzverwaltung zur digitalen Buchführung, verlangen lange Aufbewahrungsfristen, die Datenschutz-Grundverordnung dagegen, personenbezogene Daten nicht länger als nötig zu speichern. Wie bringt ein Betrieb beides in seinem E-Mail-Archiv zusammen?

Antwort: GoBD und Datenschutz lassen sich zusammenbringen, wenn Aufbewahrung und Löschung von Anfang an als gemeinsamer Prozess geplant werden. Geschäftliche Unterlagen müssen für die jeweils maßgebliche Dauer vollständig und unverändert verfügbar bleiben. Nach Ablauf dieser Frist sollte ein dokumentiertes Löschkonzept greifen, sofern keine andere Pflicht oder ein laufender Vorgang entgegensteht. Wichtig sind außerdem rollenbasierte Zugriffsrechte, eine Trennung von privaten und geschäftlichen Nachrichten sowie Regeln für Auskunfts- und Löschanfragen. Nicht jede E-Mail gehört automatisch in ein Langzeitarchiv. Welche Fristen und Ausnahmen im Einzelfall gelten, sollte der Betrieb mit Steuerberater und gegebenenfalls Datenschutzbeauftragtem klären. Technisch sollte die Archivierung diese Regeln möglichst automatisch und nachvollziehbar unterstützen.

• Gehen archivierte E-Mails verloren, etwa durch einen defekten Server im Haus oder eine Panne beim Dienstleister: Wer steht dann gegenüber dem Finanzamt in der Verantwortung? Und was sollte ein Betrieb deshalb vorab klären, vom Speicherort der Daten bis zur Datensicherung?

Antwort: Verantwortlich für die ordnungsgemäße Aufbewahrung bleibt grundsätzlich der Betrieb – auch dann, wenn ein Dienstleister die Technik betreibt. Bei einem eigenen Server muss das Unternehmen für redundante Sicherungen, Ausfallschutz und regelmäßige Wiederherstellungstests sorgen. Bei einem Cloud-Dienst sollte es vor Vertragsabschluss prüfen, wo die Daten gespeichert werden, welche Regelungen zur Auftragsverarbeitung gelten und wie der Anbieter Backups und Ausfälle behandelt. Speicherort in Deutschland oder der EU, geeignete Zertifizierungen und ein verständlich beschriebenes Notfallkonzept sind wichtige Prüfpunkte. Ebenso wichtig ist die Frage, wann zuletzt eine Wiederherstellung erfolgreich getestet wurde. Eine Haftung lässt sich nicht pauschal aus dem Modell ableiten; Zuständigkeiten und Leistungsumfang müssen im Vertrag und im eigenen Kontrollprozess klar geregelt sein.

Abhängigkeit und Datenhoheit

• Abhängig ist ein Betrieb in beiden Modellen, vom Cloud-Anbieter ebenso wie vom Hersteller der eigenen Software. Woran erkennt man vor Vertragsabschluss, ob man zehn Jahre archivierter E-Mails bei einem Wechsel oder bei der Einstellung des Produkts vollständig und lesbar wieder herausbekommt?

Antwort: Ein Ausstiegstest vor Vertragsabschluss ist die beste Schutzmaßnahme. Der Anbieter sollte konkret benennen, in welchem Format archivierte E-Mails, Anhänge und Metadaten exportiert werden, wie lange der Export dauert und welche Kosten entstehen. Entscheidend ist, dass die Daten auch ohne die ursprüngliche Software lesbar und ihre Zusammenhänge nachvollziehbar bleiben. Diese Punkte gehören in den Vertrag, einschließlich einer Regelung für die Herausgabe bei Kündigung oder Einstellung des Produkts. Bei einer Cloud ist das vor allem eine Frage der vertraglichen Datenhoheit. Bei eigener Software besteht ebenfalls ein Risiko: Veraltete Hardware oder ein nicht mehr gepflegtes Programm können den Zugriff erschweren. Deshalb sollte auch dort regelmäßig ein lesbarer Export getestet werden.

• Und was bedeutet es für den Betrieb, wenn die Internetverbindung einen ganzen Tag lang ausfällt?

Antwort: Bei einem Internetausfall hängt die konkrete Auswirkung vom Modell und von der übrigen IT-Umgebung ab. Bei einer Cloud kann der Zugriff auf das Archiv ausfallen; je nach Mail-System kann auch der laufende E-Mail-Verkehr beeinträchtigt sein. Die gespeicherten Daten selbst werden dadurch nicht automatisch gelöscht. Eine lokal betriebene Archivlösung bleibt im internen Netz unter Umständen erreichbar, während externe Kommunikation trotzdem gestört ist. Für wichtige Arbeitsplätze kann eine Ersatzleitung, etwa über Mobilfunk, sinnvoll sein. Vor allem sollte ein Betrieb festlegen, wie lange er ohne Zugriff arbeiten kann und was dann passiert. Viele Unternehmen sind ohnehin von Internetzugang, Online-Banking, Microsoft 365 oder Warenwirtschaftsdiensten abhängig – die Archivierung macht diese Abhängigkeit sichtbar, ist aber nicht deren einzige Ursache.

Umstellung und Entscheidung

• Welche Fehler beobachten Sie am häufigsten, wenn Betriebe eine E-Mail-Archivierung einführen oder von einem Modell ins andere wechseln?

Antwort: Der häufigste Fehler ist, die Einführung als reine Technikaufgabe zu behandeln. Dann werden Altbestände nicht übernommen, Postfächer ausgeschiedener Mitarbeiter vergessen oder Regeln für private und geschäftliche Nachrichten nicht festgelegt. Ebenso problematisch sind eine fehlende Verfahrensdokumentation und ein Archiv, dessen Suche und Wiederherstellung nie praktisch getestet wurden. In einem anonymisierten Fall stellte ein kleiner Betrieb erst bei einer Anfrage fest, dass zwar neue Nachrichten archiviert wurden, die E-Mails eines früheren Mitarbeiters aber nicht im vorgesehenen Bestand lagen. Die Ursache war keine komplizierte Technik, sondern ein unklarer Ablauf beim Ausscheiden. Bei einem Wechsel zwischen Cloud und eigener Installation kommen zusätzlich Export, Vollständigkeitsprüfung und eine Übergangsphase hinzu. Diese Schritte sollten geplant und dokumentiert werden.

• Welche drei Fragen sollte sich ein Betrieb stellen, bevor er sich für Cloud oder eigene Software entscheidet? Und gibt es eine Faustregel, für wen welches Modell eher passt?

Antwort: Erstens: Wer betreut die Technik zuverlässig – wir selbst, ein lokaler IT-Dienstleister oder der Cloud-Anbieter? Zweitens: Wie wichtig sind uns die direkte Kontrolle über Daten, Systeme und Zugriffswege sowie die Möglichkeit, die Umgebung selbst zu gestalten? Drittens: Wie stabil ist unsere Internetanbindung, und welche Ausweichmöglichkeit gibt es bei einer Störung? Hinzu kommen die Gesamtkosten über mehrere Jahre und ein getesteter Ausstiegsweg. Als Faustregel passt die eigene Software eher zu Betrieben, die bereits Server, IT-Kompetenz und klare Anforderungen an die Datenhoheit haben. Die Cloud kann für kleine Unternehmen sinnvoller sein, wenn sie laufenden technischen Aufwand reduzieren möchten und eine verlässliche Verbindung vorhanden ist. Eine allgemeingültige Entscheidung ersetzt diese Prüfung aber nicht.

Ausblick

1. Seit 2025 müssen Unternehmen E-Rechnungen empfangen können, die Pflicht zum Ausstellen folgt ab 2027 schrittweise. Wie wird sich die Frage nach Cloud oder eigener Software in den nächsten Jahren verändern, auch mit Blick auf hybride Modelle, also Mischformen aus beidem, und den Mangel an IT-Fachkräften?

Antwort: Die E-Rechnung wird dazu führen, dass mehr steuerlich relevante Belege direkt im Posteingang eines Unternehmens ankommen. Damit wird die E-Mail-Archivierung stärker mit Buchhaltung, Dokumentenmanagement und Prüfprozessen zusammenwachsen. Für viele kleine Betriebe wird weniger die Frage entscheidend sein, ob sie überhaupt digital arbeiten, sondern wer den Betrieb zuverlässig betreut. Hybride Modelle können dabei sinnvoll sein: Ein Unternehmen kann bestimmte Systeme lokal behalten, die Archivierung aber als Dienst nutzen – oder umgekehrt. Wichtig ist, Verantwortlichkeiten, Suchbarkeit, Löschregeln und einen späteren Export über die Systemgrenzen hinweg zu planen. Der Mangel an IT-Fachkräften spricht nicht automatisch für ein Modell, erhöht aber den Wert von gut dokumentierten Abläufen und kompetenten IT-Dienstleistern vor Ort. Cloud und eigene Software bleiben daher beide berechtigt; ausschlaggebend ist die passende Kombination aus Kontrolle, Aufwand und Ausfallsicherheit.

Eine Entscheidung, die für jeden Betrieb gleichermaßen passt, gibt es nicht. Wer Kosten über mehrere Jahre, rechtliche Pflichten und einen möglichen Ausstieg von Anfang an mitdenkt, schafft jedoch eine belastbare Grundlage für die Wahl.

Zum Interviewpartner
Andreas Dannenberg ist Gründer und Geschäftsführer der REDDOXX GmbH. Das Unternehmen bietet Lösungen für E-Mail-Archivierung, E-Mail-Verschlüsselung und Spamschutz an. Betriebe können die Software auf eigenen Servern betreiben oder die E-Mail-Archivierung in der Cloud nutzen, die in ISO-27001-zertifizierten Rechenzentren in Deutschland läuft.