E-Rechnung in der Cloud speichern: So geht es wirklich sicher

Kurz & knapp: Cloud-Speicher kann E-Rechnungen sicher und GoBD-konform archivieren – aber nur, wenn die Lösung revisionssichere Ablage, Unveränderbarkeit, Verschlüsselung und einen Serverstandort in der EU bietet. Generische Consumer-Clouds wie Dropbox oder Google Drive reichen dafür in der Regel nicht aus, weil ihnen Protokollierung und Manipulationsschutz fehlen. Entscheidend ist die Wahl eines zertifizierten Cloud-DMS statt eines simplen Dateiablage-Ordners.

Warum die Cloud-Frage bei E-Rechnungen so wichtig ist

Seit der nationalen Empfangspflicht zum 1.1.2025 erhalten Unternehmen jeder Größe strukturierte E-Rechnungen im XML-Format. Diese Dateien müssen laut GoBD acht Jahre lang maschinell auswertbar und unveränderbar aufbewahrt werden. Viele Betriebe verlagern diese Aufgabe folgerichtig in die Cloud, weil dort Skalierbarkeit, Zugriff von überall und automatische Backups locken. Doch „in der Cloud speichern“ ist kein einheitlicher Vorgang – zwischen einem simplen Upload-Ordner und einem zertifizierten Cloud-Archivsystem liegen Welten, sowohl technisch als auch rechtlich.

Was „sicher“ bei E-Rechnungs-Archivierung eigentlich bedeutet

Der Begriff Sicherheit hat hier zwei Dimensionen. Erstens die klassische IT-Sicherheit: Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen, Schutz vor Datenverlust. Zweitens die steuerrechtliche Sicherheit im Sinne der GoBD: Nachvollziehbarkeit, Vollständigkeit, Richtigkeit, Zeitgerechtheit, Ordnung und vor allem Unveränderbarkeit. Ein Cloud-Speicher kann technisch hochsicher sein und trotzdem für die Finanzverwaltung ungeeignet, wenn er keine Änderungsprotokolle führt oder das nachträgliche Löschen und Überschreiben von Dateien zulässt, ohne dies zu dokumentieren.

Warum Dropbox, Google Drive & Co. allein nicht ausreichen

Consumer-Cloud-Dienste sind für die private oder lose geschäftliche Dateiablage konzipiert, nicht für revisionssichere Archivierung. Ihnen fehlen typischerweise folgende Funktionen:

• Eine unveränderbare Versionierung, die verhindert, dass eine archivierte XML-Datei überschrieben oder gelöscht wird, ohne dass dies nachvollziehbar protokolliert wird.
• Ein vollständiges, manipulationssicheres Audit-Trail, das jeden Zugriff und jede Änderung mit Zeitstempel dokumentiert.
• Eine Zusicherung des Anbieters, dass die Aufbewahrung den Anforderungen der GoBD entspricht (viele US-Anbieter machen dazu bewusst keine Aussage).
• Eine strukturierte, buchhalterisch nutzbare Verknüpfung zwischen Rechnung, Beleg und Vorgang.

Wer eine empfangene XRechnung einfach in einen Dropbox-Ordner zieht, hat sie zwar „gesichert“, aber im Zweifel nicht GoBD-konform archiviert. Bei einer Betriebsprüfung kann das zum Problem werden, weil die Nachvollziehbarkeit der Unveränderbarkeit fehlt.

DSGVO und Datenresidenz: Warum der Serverstandort zählt

E-Rechnungen enthalten personenbezogene und geschäftskritische Daten – Namen, Bankverbindungen, Leistungsbeschreibungen. Nach DSGVO ist die Verarbeitung solcher Daten außerhalb der EU nur unter zusätzlichen Voraussetzungen zulässig, etwa Standardvertragsklauseln oder einem Angemessenheitsbeschluss. Seit dem Wegfall des EU-US Privacy Shield und den anhaltenden Diskussionen um US-Cloud-Anbieter empfiehlt es sich für deutsche Unternehmen, gezielt auf Anbieter mit Rechenzentren in Deutschland oder zumindest der EU zu setzen. Das reduziert nicht nur das rechtliche Risiko, sondern vereinfacht auch die Kommunikation mit dem Datenschutzbeauftragten und der Finanzverwaltung.

Verschlüsselung: Wo sie ansetzen muss

Sichere Cloud-Archivierung verlangt Verschlüsselung an zwei Stellen. Erstens bei der Übertragung (Transportverschlüsselung, üblicherweise TLS 1.2 oder höher), damit Daten auf dem Weg zum Server nicht abgefangen werden können. Zweitens bei der Speicherung (Verschlüsselung „at rest“), damit selbst bei einem Einbruch in die physische Infrastruktur des Rechenzentrums die Daten nicht lesbar sind. Anspruchsvollere Lösungen bieten zusätzlich eine Ende-zu-Ende-Verschlüsselung, bei der selbst der Cloud-Anbieter keinen Klartextzugriff auf die Rechnungsdaten hat – das ist besonders für sensible Branchen relevant.

Zugriffskontrolle und Rollenmanagement

Ein sicheres Archiv beschränkt, wer welche Rechnungen sehen, herunterladen oder als geprüft markieren darf. Rollenbasierte Zugriffsrechte, Zwei-Faktor-Authentifizierung und ein Protokoll aller Login-Vorgänge gehören zum Mindeststandard. Gerade in wachsenden Unternehmen mit mehreren Buchhaltungskräften oder externen Steuerberatern verhindert ein sauberes Rechtekonzept, dass Rechnungen versehentlich verändert oder von Unbefugten eingesehen werden.

Praxisbeispiel: Fahrrad-Manufaktur Corvinius GmbH

Die Corvinius GmbH aus Münster, ein Hersteller hochwertiger Lastenräder, erhielt ab Januar 2025 zunehmend XRechnungen von Zulieferern. Anfangs speicherte die Buchhaltung die XML-Dateien in einem geteilten Google-Drive-Ordner. Beim Jahresabschlussgespräch wies der Steuerberater darauf hin, dass diese Lösung keine Unveränderbarkeit garantiere und im Falle einer Prüfung angreifbar sei. Corvinius wechselte daraufhin zu einem zertifizierten Cloud-DMS mit Rechenzentrum in Frankfurt, das archivierte Dateien automatisch mit Prüfsumme versieht und jede nachträgliche Aktion protokolliert. Der Umstieg kostete rund zwei Werktage Einrichtungszeit, brachte aber Rechtssicherheit und eine deutlich schnellere Belegsuche bei der nächsten Prüfung.

Checkliste: Worauf Sie bei der Anbieterwahl achten sollten

Häufige Fehler bei der Cloud-Archivierung

• Nur die PDF-Ansicht speichern: Bei ZUGFeRD-Rechnungen wird oft nur die visuelle PDF-Ebene archiviert, während der eingebettete XML-Datensatz verloren geht. Das verletzt die Pflicht zur maschinellen Auswertbarkeit.
• Private Cloud-Konten nutzen: Mitarbeitende, die private Dropbox- oder iCloud-Konten für Firmenbelege verwenden, schaffen unkontrollierte Datenabflüsse und Compliance-Lücken.
• Kein Backup des Backups: Auch Cloud-Anbieter können ausfallen oder insolvent werden. Ein reiner Cloud-Speicher ohne zusätzliche Sicherungskopie ist ein Risiko.
• Fehlende Exit-Strategie: Wird ein Vertrag mit dem Cloud-Anbieter gekündigt, müssen alle Daten in einem verwertbaren Format exportierbar sein – das sollte vorab vertraglich geklärt sein.

Sonderfall: Hybridlösungen und lokale Zwischenspeicherung

Manche Unternehmen kombinieren lokale Server mit Cloud-Backups, etwa aus Gründen der Internetverfügbarkeit oder Datenhoheit. Das ist grundsätzlich zulässig, solange die Gesamtlösung die GoBD-Anforderungen erfüllt und der Standort der Daten dokumentiert ist. Wichtig ist, dass Zwischenspeicherungen auf lokalen Rechnern oder E-Mail-Postfächern nicht als endgültige Archivierung missverstanden werden – sie sind lediglich Transitstationen auf dem Weg ins revisionssichere Archiv.

Vertragliche Absicherung mit dem Cloud-Anbieter

Bei der Verarbeitung personenbezogener Daten durch einen externen Cloud-Dienstleister ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Dieser regelt unter anderem Weisungsbindung, technische und organisatorische Maßnahmen sowie Löschkonzepte. Ohne einen solchen Vertrag drohen bei einer Datenschutzprüfung empfindliche Bußgelder – unabhängig davon, wie sicher die technische Infrastruktur tatsächlich ist.

Kosten-Nutzen-Abwägung

Zertifizierte Cloud-DMS-Lösungen kosten je nach Volumen zwischen wenigen Euro und mehreren Hundert Euro pro Monat. Im Vergleich zu den Risiken – Bußgeldern bei Datenschutzverstößen, Problemen bei der Anerkennung des Vorsteuerabzugs durch fehlerhafte Archivierung oder dem Reputationsschaden eines Datenlecks – ist dies für die meisten Unternehmen eine überschaubare Investition. Kleinere Betriebe können häufig auf Archivmodule ihrer bestehenden Buchhaltungssoftware zurückgreifen, die diese Anforderungen bereits mit abdecken.

Migration: Wie der Umstieg auf ein sicheres Cloud-Archiv gelingt

Der Wechsel von einer improvisierten Ablage zu einem zertifizierten Cloud-Archiv sollte nicht Hals über Kopf erfolgen. Bewährt hat sich ein dreistufiges Vorgehen. Zunächst wird der Ist-Zustand erfasst: Wo liegen aktuell welche E-Rechnungen, in welchen Formaten, und wer hat Zugriff? Anschließend erfolgt die Migration der bestehenden Bestände in das neue System, wobei Prüfsummen vor und nach der Übertragung verglichen werden sollten, um Datenverluste auszuschließen. Zuletzt wird der alte Speicherort entweder vollständig stillgelegt oder klar als reine Zwischenablage ohne rechtliche Relevanz gekennzeichnet, damit im Unternehmen kein Zweifel an der maßgeblichen Quelle entsteht. Für die Übergangsphase empfiehlt sich ein schriftliches Migrationsprotokoll, das bei einer späteren Prüfung als Nachweis dient, dass die Umstellung sorgfältig und lückenlos erfolgt ist.

Schnittstellen zu Buchhaltungssoftware und XRechnung-Empfang

Ein sicherer Cloud-Speicher entfaltet seinen vollen Nutzen erst im Zusammenspiel mit dem übrigen Rechnungswesen. Viele moderne Lösungen bieten Schnittstellen, über die eingehende XRechnung– oder ZUGFeRD-Dateien automatisch aus dem E-Mail-Postfach oder einem Peppol-Zugangspunkt direkt ins Archiv übernommen werden, ohne manuellen Zwischenschritt. Das reduziert nicht nur den Aufwand, sondern schließt auch eine typische Fehlerquelle: das versehentliche Liegenlassen einer Rechnung im E-Mail-Postfach, wo sie weder ausreichend gesichert noch strukturiert auffindbar ist. Wer eine Eingangsrechnung prüfen muss, profitiert zudem davon, wenn Prüf- und Freigabeprozesse direkt im selben System dokumentiert werden wie die anschließende Archivierung, da so lückenlos nachvollziehbar bleibt, wer eine Rechnung wann freigegeben hat.

Notfallplan: Zugriff auch bei Störungen sicherstellen

Sicherheit bedeutet auch, im Ernstfall handlungsfähig zu bleiben. Fällt der bevorzugte Cloud-Anbieter durch eine technische Störung oder einen Cyberangriff temporär aus, sollte ein dokumentierter Notfallplan bereitstehen: Wer hat administrativen Zugriff auf einen Offline-Export der letzten Sicherungskopie, und wie lange dürfte ein Ausfall maximal andauern, bevor laufende Geschäftsprozesse wie Zahlungsläufe oder Prüfungen beeinträchtigt werden? Ein jährlicher Testlauf, bei dem eine Wiederherstellung aus dem Backup unter realistischen Bedingungen simuliert wird, deckt Schwachstellen auf, bevor sie im echten Ernstfall zum Problem werden. Diese Übung sollte protokolliert werden und kann bei einer Betriebsprüfung als zusätzlicher Beleg für ein funktionierendes internes Kontrollsystem dienen.

Fazit

Cloud-Speicher ist für E-Rechnungen nicht per se unsicher – im Gegenteil, professionelle Cloud-DMS-Lösungen bieten oft ein höheres Sicherheitsniveau als lokale Server kleiner Betriebe. Entscheidend ist aber die bewusste Wahl eines Anbieters, der GoBD-Konformität, Unveränderbarkeit, EU-Datenresidenz und Verschlüsselung nachweislich erfüllt. Wer stattdessen auf generische Consumer-Clouds setzt, spart kurzfristig Geld, riskiert aber bei einer Prüfung erhebliche Probleme. Die oben stehende Checkliste bietet eine solide Grundlage für die Anbieterauswahl.

Häufig gestellte Fragen

Ist Google Drive für die Archivierung von E-Rechnungen zulässig?

Nicht ohne Weiteres. Google Drive in der Standardkonfiguration bietet keine revisionssichere, unveränderbare Ablage mit vollständigem Audit-Trail und wird daher von den meisten Steuerberatern für die alleinige GoBD-Archivierung nicht empfohlen. Es kann allenfalls als zusätzliche Sicherungskopie neben einer zertifizierten Lösung dienen.

Muss der Cloud-Server zwingend in Deutschland stehen?

Gesetzlich zwingend ist ein deutscher Standort nicht, ein EU-Standort mit entsprechenden Garantien reicht grundsätzlich aus. In der Praxis vereinfacht ein deutscher oder EU-Standort jedoch die DSGVO-Konformität erheblich und wird deshalb häufig empfohlen.

Reicht eine verschlüsselte Cloud-Ablage allein für GoBD-Konformität?

Nein. Verschlüsselung betrifft die IT-Sicherheit, aber nicht automatisch die Unveränderbarkeit oder das Audit-Trail, die für die GoBD entscheidend sind. Beide Aspekte müssen separat sichergestellt sein.

Was passiert, wenn der Cloud-Anbieter insolvent wird?

Deshalb sollte vertraglich eine Exportmöglichkeit in offenen Formaten vereinbart und regelmäßig eine unabhängige Sicherungskopie erstellt werden. Ohne diese Vorsorge drohen im Insolvenzfall Datenverlust und damit Lücken in der Aufbewahrungspflicht.

Kann ich mehrere Cloud-Anbieter parallel nutzen?

Ja, das ist sogar eine sinnvolle Redundanzstrategie. Wichtig ist dabei, dass eindeutig dokumentiert ist, welches System die maßgebliche, rechtlich verbindliche Ablage darstellt, um Verwechslungen bei einer Prüfung zu vermeiden.

Sind kostenlose Cloud-Tarife für kleine Unternehmen ausreichend?

In den seltensten Fällen. Kostenlose Tarife bieten meist weder die notwendige Aufbewahrungsdauer noch Compliance-Funktionen wie WORM-Speicherung. Für dauerhafte GoBD-konforme Archivierung ist ein kostenpflichtiger, spezialisierter Tarif fast immer erforderlich.

Wie erkenne ich, ob ein Anbieter wirklich GoBD-zertifiziert ist?

Seriöse Anbieter werben aktiv mit einer GoBD-Konformitätsbescheinigung, oft durch unabhängige Wirtschaftsprüfungsgesellschaften testiert. Fragen Sie gezielt nach diesem Nachweis, bevor Sie sich für einen Dienst entscheiden.