E-Rechnung archivieren: Aufbewahrungspflichten und GoBD-konform speichern

Eine E-Rechnung ist nicht erst dann erfüllt, wenn sie verschickt wurde. Sie muss auch korrekt aufbewahrt werden – mehrere Jahre lang, im richtigen Format, ohne Möglichkeit zur nachträglichen Veränderung. Wer das ignoriert, hat im Prüfungsfall ein Problem, auch wenn der ursprüngliche Versand sauber war.

Wie lange Sie E-Rechnungen aufbewahren müssen

Seit dem 1. Januar 2025 gilt eine Aufbewahrungsfrist von acht Jahren (§ 147 AO, novelliert durch das Vierte Bürokratieentlastungsgesetz). Vorher waren es zehn Jahre. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde.

Konkretes Beispiel: Eine Rechnung vom 15. März 2026 muss bis zum 31. Dezember 2034 aufbewahrt werden.

Wichtig: Die Frist gilt für alle Rechnungen – Eingangs- wie Ausgangsrechnungen, ob im PDF, auf Papier oder als E-Rechnung. Die acht Jahre sind die Mindestfrist. Wer länger aufbewahren will, darf das (Verjährungen, Garantieansprüche).

Was die GoBD verlangen

Die "Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form" – kurz GoBD – sind das Regelwerk, an dem Finanzämter Archive messen. Für die E-Rechnung relevant sind sechs Anforderungen:

1. Vollständigkeit – jede Rechnung wird archiviert, keine geht verloren.
2. Richtigkeit – die archivierte Datei stimmt mit dem ursprünglich versendeten Original überein.
3. Zeitgerechte Erfassung – die Rechnung wird zeitnah ins Archiv übernommen, nicht erst Monate später.
4. Ordnung – das Archiv ist so strukturiert, dass jede Rechnung wiederfindbar ist.
5. Unveränderbarkeit – nachträgliche Änderungen sind technisch ausgeschlossen oder protokolliert.
6. Nachvollziehbarkeit – ein sachverständiger Dritter kann den Bestand in angemessener Zeit prüfen.

Diese sechs Punkte klingen abstrakt, sind in der Praxis aber konkret prüfbar. Eine Excel-Liste mit Rechnungsnummern erfüllt sie nicht. Eine Cloud-Lösung mit Versionierung in der Regel schon.

Was als "Original" gilt

Die zentrale Regel: Sie müssen die Originaldatei aufbewahren. Bei einer XRechnung ist das die XML. Bei einer ZUGFeRD-Rechnung ist es das PDF/A-3 mit eingebetteter XML.

Was nicht als Original durchgeht:

• Ein Ausdruck der E-Rechnung
• Ein PDF, das aus dem XML neu erzeugt wurde
• Eine umformatierte Version (z. B. konvertiert von UBL nach CII)
• Ein Screenshot der Vorschau

Wer eine XRechnung ausdruckt, abheftet und das XML löscht, hat formal nichts archiviert. Ein Mehrwert ist der Ausdruck nur als Lesehilfe für die Buchhaltung.

Konkrete Lösungen für unterschiedliche Größen

Welche Lösung passt, hängt vom Rechnungsvolumen und vom Budget ab.

Sehr kleine Volumen (bis ca. 100 Rechnungen pro Jahr)

• Lokales Verzeichnis mit Cloud-Backup. Klare Ordnerstruktur (z. B. 2026/Eingang/Lieferantenname-Rechnungsnummer.xml), automatisches Backup zu einem versionierenden Cloud-Anbieter wie Hetzner Storage Box, Strato HiDrive oder Tresorit.
• Wichtig: Originaldatei behalten, nichts überschreiben, Versionsverlauf aktiv lassen.

Mittlere Volumen (bis ca. 5.000 Rechnungen pro Jahr)

• Dokumentenmanagementsystem. Open-Source-Optionen wie paperless-ngx oder ecoDMS (kostenfreie Community-Edition für Einzelplatz). Beide unterstützen ZUGFeRD und können XML extrahieren.
• Buchhaltungssoftware mit Belegarchiv. sevDesk, Lexware, BuchhaltungsButler, Lexoffice – alle haben revisionssichere Archive.

Große Volumen oder regulierte Branchen

• Zertifizierte revisionssichere Archive. ELO, d.velop, DocuWare, kgs Rendite. Höhere Kosten, dafür vorgefertigte Konformität nach IDW PS 880.
• DATEV Unternehmen Online – Standard für Steuerberater-affine Mandanten.

Was im Prüfungsfall gefordert wird

Bei einer Betriebsprüfung möchte der Prüfer üblicherweise:

• Lesefähigen Zugriff auf jede archivierte Rechnung im Originalformat.
• Auswertbarkeit – nicht nur Anzeigen, sondern auch durchsuchen und exportieren.
• Verfahrensdokumentation (siehe nächster Abschnitt).
• Nachweis der Unveränderbarkeit – etwa über Hash-Werte oder ein revisionssicheres System.

Die häufigste Beanstandung in der Praxis: PDF gespeichert, XML gelöscht. Das ist ein klarer Verstoß und wird bei der Prüfung quittiert. Mehr in E-Rechnung Betriebsprüfung.

Verfahrensdokumentation – das vergessene Stück

Die GoBD verlangen eine schriftliche Verfahrensdokumentation. Sie beschreibt, wie Belege bei Ihnen entstehen, ankommen, verbucht und archiviert werden. Inhaltlich gehören rein:

• Wer empfängt Eingangsrechnungen?
• In welches System werden sie übernommen?
• Wie wird die Archivierung sichergestellt?
• Wie lange werden Belege aufbewahrt?
• Wer hat Zugriff?

Eine Verfahrensdokumentation muss kein 50-Seiten-Dokument sein. Für ein kleines Unternehmen reichen oft zwei bis drei Seiten. Wichtig ist, dass sie aktuell und konsistent zur tatsächlichen Praxis ist.

Häufige Fehler in der Archivierung

• Originaldatei gelöscht, weil ein PDF oder Ausdruck als ausreichend angesehen wird.
• Versand-E-Mail im Postfach ohne separates Archiv. Mailserver werden gelöscht oder migriert.
• Keine Backup-Strategie. Festplatte stirbt, Archiv weg.
• Lokale Speicherung ohne Schutz vor Veränderung. Wer im Explorer eine Datei überschreiben kann, verletzt die Unveränderbarkeit.
• Verfahrensdokumentation fehlt komplett.

Häufige Fragen

Reicht es, die E-Rechnung in der E-Mail zu lassen?

Nein. Ein E-Mail-Postfach ist kein revisionssicheres Archiv. Die Rechnung muss in ein dediziertes Ablagesystem überführt werden.

Muss ich auch das Begleit-E-Mail aufbewahren?

Wenn die E-Mail nur die Rechnung transportiert, nein. Enthält sie zusätzliche steuerlich relevante Informationen (Vereinbarungen, Skonti), ja.

Darf ich die XRechnung in eine ZUGFeRD-Datei umwandeln und nur diese aufbewahren?

Nein. Das wäre eine Veränderung des Originals. Aufbewahrt wird, was Sie empfangen haben.

Was ist mit ausgehenden Rechnungen, die ich selbst erstellt habe?

Identisch. Sie bewahren das Original der Datei auf, das Sie an den Empfänger geschickt haben – nicht die Vorlage in Ihrem Generator.

Ist Cloud-Speicher außerhalb der EU erlaubt?

Grundsätzlich ja, sofern der Anbieter DSGVO-konform arbeitet und der Zugriff durch deutsche Behörden gewährleistet ist. Praktisch sind EU-Anbieter unkomplizierter.