E-Mails sind Geschäftsbriefe! Zumindest diejenigen E-Mails, in denen es um geschäftliche, handelsrechtliche oder steuerlich relevante Inhalte geht. Spätestens seit dem Anfang 2007 in Kraft getretenen Elektronischen Handels- und Genossenschaftsregister (EHUG) mit der Anforderung, dass der Footer von E-Mails die kompletten Firmierungsinformationen einschließlich der Namen der verantwortlichen Manager, Vorstände, Aufsichtsräte und Geschäftsführer enthalten muss, sollte dies jedem Verantwortlichen in einer Firma bewusst geworden sein. Man musste übrigens nicht erst auf die Änderungen in den Gesetzen für GmbHs und AGs warten - handelsrechtlich war dies schon längst klar. Auch die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) fordern die Zugriffsmöglichkeit auf steuerlich relevante Inhalte, wie dies jüngst von einem Finanzgericht in Düsseldorf herausgestellt wurde. Alle E-Mails mit geschäftsrelevanten Informationen, sei es in der E-Mail, sei es im Attachment oder sei es die Information hinter einem eingebetteten Link, sind Handelsbriefe und damit aufbewahrungspflichtig.
Rechtliches zur Aufbewahrung von E-Mails
Das Stichwort Aufbewahrungspflicht hat die Archivierungsbranche zum Anlass genommen, spezielle Lösungen für E-Mail-Archivierung zu entwickeln. Gefordert ist aber das E-Mail-Management und die Erschließung der Information im Zusammenhang des Geschäftsgangs. Besonders durch das Thema Information Management Compliance getrieben, schnellen die Verkaufszahlen einschlägiger Anbieter von E-Mail-Archivierungs-Software hoch und zwingen damit die Hersteller von komplexeren ECM Enterprise-Content-Management-Produkten, für ganzheitliche Informationsmanagementlösungen nachzuziehen.
Die Verwaltung von E-Mails ist kein einfaches Thema. Sie landen in privaten Postkörben und fristen dort ihr Dasein bis zum Löschen. Dank der Verteilerinformation ist häufig der ursprünglich vorgesehene Empfänger nicht mehr so richtig ermittelbar. Kryptische Betreffzeilen lassen auch wichtige E-Mails im Spam-Verzeichnis enden. Beliebig geschachtelt und per Antwortfunktion kopiert tragen sie zur Informationsredundanz bei. Attachments lassen nicht nur die Beschränkungen des Postfachs platzen, sie kommen auch häufig in Formaten, die man nicht anzeigen kann oder machen über dynamische Links das Nachladen von Informationen aus dem Internet erforderlich.
Elektronisch signiert werden sie zum rechtskräftigen Handelsbrief, wenn denn die Firewall die Signatur als solche erkennt und die E-Mail nicht auf Grund eines nicht interpretierbaren, möglicherweise gefährlichen Inhalts im Nirwana verschwinden lässt. Die Vielfalt der Form macht eine automatisierte Zuordnung in Datenbanken sehr schwierig, besonders wenn die Absender alles darauf anlegen, möglichst keine Referenz-Information zu Vorgängen, Kundennummern oder anderen identifizierenden Merkmalen mitzuliefern. E-Mails lassen sich einfachst editieren und so kann auch schon eine E-Mail beim Absender mal ein anderes Datum tragen als beim Empfänger. Und E-Mails haben die Eigenschaft, häufig einmal dort zu landen, wo sie besser nicht gelesen werden sollten - siehe die Prozesse um Microsoft, um Enron, um Worldcom. E-Mail hat in vielerlei Beziehung unser Leben verändert.
Durch den Sarbanes-Oxley-Act wurde so eine neue Form der Archivierung geboren - E-Mail-Archivierung. Vorher war E-Mail ein Informationstyp wie jeder andere. Aber durch die steigenden Compliance-Anforderungen wird die Aufbewahrung und Erschließung von E-Mails essentiell und unumgänglich. Herkömmliche Mail-Systeme wie Notes oder Outlook mit ihren Datenbanken und Speicherstrategien sind ein völlig ungeeigneter Ort, um wertvolle Information aufzubewahren. Anwender können E-Mails bearbeiten, verschieben oder löschen. Eine Nachvollziehbarkeit ist nicht gegeben. Die Systeme sind nicht ausgelegt die wachsenden Mengen von E-Mails vernünftig zu speichern und den Geschäftsprozessen zuzuordnen.
Diese Lücken und Unzulänglichkeiten bedienen nur Spezialanbieter. Sie unterstützen die automatische Erfassung der E-Mails, zwingen den Empfänger sie richtig zuzuordnen, und legen sie in eigenen Datentöpfen unabhängig von E-Mail-Programm ab. Diese Repositories können dann mit eigenen Clienten durchforstet oder aber mit dem Client von der Bürokommunikations-Anwendung wieder gefunden werden. Die Entlastung der E-Mail-Server durch ein separates Repository führt aber auch zu neuen Informationsinseln. Eine wachsende Zahl von Anwendern löst heute die Probleme mit der Integration der E-Mail-Korrespondenz in ein elektronisches Archivierungskonzept oder über Insellösungen. Die Komplexität der E-Mail-Strukturen selbst behindert dabei eine systematische, möglichst automatische Klassifikation und Indizierung der E-Mail-Dokumente, was eine zwingende Voraussetzung für die Einführung jedes elektronischen Archivs ist.
ECM-Systeme unterstützen E-Mail-Archivierung
Aber macht es Sinn hierfür Spezialarchive einzusetzen? Eigentlich nicht. Die Archivierung steht zudem erst am Ende des Lebenszyklus von Dokumenten, auch wenn es sinnvoll ist, Eingänge und Ausgänge schon veränderungsfrei zu speichern. E-Mails gehören in virtuelle Akten, die dem Sachbearbeiter den Blick auf ein Kundendossier, eine Produktakte oder einen Workflow-Vorgang bieten: Alle zusammengehörigen Informationen, ungeachtet des Typs, strukturiert, geordnet und vollständig zusammengeführt. Speichert man die Information dagegen in separaten Informationstöpfen, muss der Bearbeiter schon wieder wissen ob eine Information per E-Mail eingegangen ist, im Image-Archiv mit den gescannten Dokumenten liegt, im Output-Management in einer COLD-Anwendung vorliegt oder im Archiv der ERP als Datensatz schlummert. Weder wird hierdurch die Arbeit leichter, noch ist es möglich, übergreifend Vorgänge und Zusammenhänge zu dokumentieren. Und darauf kommt es doch eigentlich bei Compliance an. Nicht die einzelne E-Mail zählt, sondern der Inhalt einer E-Mail im Zusammenhang eines Geschäftsganges.
Solche Zusammenhänge abzubilden ist eine Spezialität von Enterprise-Content-Management-Systemen: Eine einheitliche ECM-Infrastruktur, ein Dienste-Konzept, in dem es nur einen Archiv-Service gibt, ein übergreifend nutzbares Gesamtarchiv mit allen Informationen aus allen Anwendungen, dessen Inhalt unabhängig vom Informationstyp und der Informationsquelle nutzbar ist. Jedes professionelle ECM-System ist daher auch in der Lage mit der Archivierung von E-Mails umzugehen.
Eine rein technische Lösung in Form von ausgelagertem Speicherplatz löst dabei die Probleme nicht, sondern schafft zusätzlich Risiken, wenn ältere Datenbestände nicht mehr zur Verfügung stehen oder die gespeicherten Nachrichten mit ihren Anlagen nach einiger Zeit nicht mehr angezeigt und reproduziert werden können. Die wichtigsten Aspekte liegen jedoch nicht im reinen Speicherproblem, sondern sind inhaltlich und organisatorisch begründet. Die Unternehmen müssen interne Kontrollstrukturen einrichten und betreiben und sie müssen nachweisen können, wie Informationen entstanden sind und auf welchen Quellen sie beruhen. Das hat für die Unternehmen Konsequenzen auf der Kostenseite, da die Umsetzung der Anforderungen eine Zunahme der verwaltenden Tätigkeiten und damit indirekt eine Vergrößerung der Mitarbeiterzahl zur Folge hat. Das hängt mit den planerischen und dokumentierenden Tätigkeiten aber auch mit der Umstellung der Prozesse zusammen.
Bei der Analyse der Prozesse sind aber auch die prozessauslösenden und steuernden Informationen zu betrachten. Darunter sind z.B. Kommunikation mit Kunden und Lieferanten, Arbeitsanweisungen, direkte Arbeitsaufforderungen, Genehmigungen etc. zu verstehen. Um später die Entstehung und Richtigkeit von Informationen und Prozessergebnissen prüfen zu können, müssen alle Quellen und Kommunikationswege mit einbezogen sein. Auch hier ist also ein gesamtheitlicher Ansatz zur Verwaltung von Informationen, Einhaltung der Vorschriften und Kontrolle der Geschäftsprozesse erforderlich. Die Verwaltung und Steuerung von Informationen innerhalb solcher "Compliance- Anforderungen" soll dabei aus betriebswirtschaftlicher Sicht die Ausgabenseite so wenig wie möglich belasten.
Um die Kosten gering zu halten, wird versucht, die Einhaltung der Vorschriften durch IT-Systeme zu unterstützen. Die Möglichkeiten zur Kostenbeschränkung werden durch weitere Einflüsse von außen wie z.B. Spam und Viren gerade für die E-Mails erschwert. Der Nachweis der Richtigkeit von Informationen und die Absicherung gegen Verfälschung kann auch durch diese nicht steuerbaren Angriffe beeinflusst werden. Es sind daher auch Absicherungsmaßnahmen gegen solche äußeren Gefahren vorzunehmen. Nur ein ganzheitlicher Ansatz bietet die Sicherheit vor schwer integrierbaren, isolierten Informationsinseln.
Durch die übergreifende Sichtweise und dem Ansatz alle Informationen in die Verwaltung einzubeziehen, lassen sich unternehmensweite Lösungen für die Prozessunterstützung und die Einhaltung von Compliance-Anforderungen realisieren. Systeme ausschließlich zur Verwaltung von E-Mails zu schaffen, ist daher deutlich zu kurz gesprungen und führt in eine Sackgasse. Die Lösung ist in Enterprise-Content-Management-Systemen zu sehen, die E-Mail als wichtige, aber eben nur als eine von vielen Facetten integrieren.
Ein ausführliches White Paper von Dr. Kampffmeyer zum Thema E-Mail Management finden Sie unter http://www.ibm.com/software/de/db2/ecm/emailarchiving.html.
Dr. Ulrich Kampffmeyer ist Gründer und Geschäftsführer der Project Consult Unternehmensberatung GmbH, Hamburg.