Für Unternehmen im Windows- und Microsoft-Umfeld kommen vor allem MailStore Server, Microsoft Purview, Mimecast Cloud Archive und OpenText Retain als E-Mail-Archivierungssoftware infrage. Einen universellen Sieger gibt es nicht: MailStore Server passt häufig zu mittelständischen Umgebungen mit Windows Server und gemischten Mailquellen, Microsoft Purview zu konsequent auf Microsoft 365 ausgerichteten Organisationen. Mimecast ist eher eine Cloudplattform für Archivierung, Suche und E-Mail-Sicherheit, während OpenText Retain besonders bei heterogenen Kommunikationssystemen interessant sein kann.
Die Auswahl darf nicht allein von der Outlook-Integration oder vom verfügbaren Speicher abhängen. Maßgeblich sind eine nachvollziehbare Erfassung, Schutz vor unbemerkter Veränderung, regelbasierte Aufbewahrung, geregelte Löschung, schnelle Suche, Rollen- und Rechteverwaltung sowie ein brauchbarer Export. Vor einer Entscheidung muss außerdem feststehen, ob Microsoft 365, ein eigener Exchange Server oder mehrere Mailsysteme archiviert werden sollen.
Archivierung ist weder Outlook-Ablage noch normales Backup
Eine PST-Datei, ein verschobener Outlook-Ordner und ein regelmäßig gesichertes Exchange-Postfach erfüllen unterschiedliche Aufgaben. Die E-Mail-Archivierung soll aufbewahrungspflichtige Nachrichten geordnet, auffindbar und gegen unbemerkte Änderungen geschützt vorhalten. Ein Backup dient hingegen hauptsächlich dazu, Daten nach Löschung, Defekt oder einem technischen Ausfall wiederherzustellen.
Ein Backup kann mehrere frühere Datenstände enthalten, wird aber häufig nach einem rollierenden Zeitplan überschrieben. Ein Archiv benötigt Aufbewahrungsregeln, Suchmöglichkeiten, protokollierte administrative Eingriffe und ein kontrolliertes Löschverfahren. Umgekehrt ersetzt ein Archiv nicht automatisch die Sicherung des Mailservers, seiner Konfiguration und der übrigen Microsoft-365-Daten.
Auch das Onlinearchiv eines Exchange-Postfachs ist nicht automatisch mit einer unternehmensweit geregelten Archivierung gleichzusetzen. Es schafft zusätzlichen Speicher und kann abhängig von Lizenz und Konfiguration mit Aufbewahrungsfunktionen verbunden sein. Ob der eingerichtete Gesamtprozess die rechtlichen und organisatorischen Anforderungen erfüllt, hängt jedoch von den Richtlinien, Berechtigungen, Protokollen und Arbeitsabläufen ab.
Welche Anforderungen die Software tatsächlich abdecken muss
Die technische Leistungsbeschreibung sollte aus dem Aufbewahrungs- und Löschkonzept des Unternehmens entstehen. Nicht jede E-Mail muss gleich lange gespeichert werden, und nicht jede Nachricht ist überhaupt aufbewahrungspflichtig. Geschäftliche Korrespondenz, Buchungsbelege, Verträge, automatisierte Systemnachrichten, private E-Mails und Werbung können unterschiedlich zu behandeln sein.
Vollständige und frühe Erfassung
Eine belastbare Lösung sollte relevante Nachrichten möglichst serverseitig übernehmen, bevor ein Benutzer sie aus seinem Postfach löschen oder verändern kann. Bei Exchange und Microsoft 365 geschieht das typischerweise über Journal-, Transport-, Connector- oder programmgesteuerte Erfassungsverfahren. Welche Methode verfügbar und vom Hersteller unterstützt ist, hängt von der eingesetzten Plattform und deren Version ab.
Eine reine nachträgliche Archivierung vorhandener Postfächer birgt eine Lücke: Nachrichten, die vor dem nächsten Archivierungslauf gelöscht werden, erreichen das Archiv möglicherweise nicht. Bei einer Produktteststellung sollte daher geprüft werden, ob neue ein- und ausgehende Nachrichten fortlaufend erfasst werden und wie die Software mit internen E-Mails umgeht.
Nachweisbare Unveränderbarkeit statt Werbebegriff
Der Ausdruck revisionssicher bezeichnet kein einzelnes Produktmerkmal und kein allgemeines Zertifikat, das jede Installation automatisch rechtssicher macht. Entscheidend ist das Zusammenspiel aus Software, Konfiguration, Berechtigungen, Speichertechnik und dokumentierten Abläufen. Ein Administrator darf beispielsweise nicht unbemerkt Nachrichten austauschen oder Schutzregeln abschalten können.
Achte auf manipulationsgeschützte Speicherung, nachvollziehbare Protokolle, getrennte Rollen und dokumentierte Exporte. Ebenso wichtig ist die Frage, was bei einer Regeländerung passiert: Werden bestehende Aufbewahrungszeiten rückwirkend verkürzt, muss dieser Eingriff sichtbar und organisatorisch freigegeben sein.
Aufbewahrung und Löschung müssen zusammenpassen
In Deutschland beeinflussen insbesondere Handels- und Steuerrecht die Aufbewahrung geschäftlicher Unterlagen. Für steuerrelevante elektronische Nachrichten sind außerdem die GoBD und das jeweils geltende Schreiben des Bundesfinanzministeriums ein wichtiger Prüfpunkt. Welche Frist greift, hängt vom Inhalt und Zweck der Nachricht ab; gesetzliche Aufbewahrungszeiträume wurden zudem nicht für jede Dokumentart einheitlich festgelegt und können sich ändern.
Die Datenschutz-Grundverordnung verlangt zugleich, personenbezogene Daten nicht unbegrenzt ohne Zweck zu speichern. Gute Archivsoftware benötigt daher nicht nur lange Aufbewahrungsregeln, sondern auch kontrollierte Löschläufe, Sperren für Rechtsstreitigkeiten und eine dokumentierbare Zuordnung verschiedener Nachrichtenklassen. Die endgültige Fristenmatrix sollte mit Steuerberatung, Datenschutzverantwortlichen und bei Bedarf juristischer Beratung festgelegt werden.
Suche, Export und Wiederherstellung
Ein Archiv ist nur brauchbar, wenn berechtigte Personen Nachrichten und Anhänge innerhalb eines vertretbaren Zeitraums finden können. Relevant sind Suchfelder wie Absender, Empfänger, Zeitraum, Betreff, Nachrichtentext und Anhangsinhalt. Umlaute, verschiedene Dateiformate und große Postfächer sollten in einem Testbestand berücksichtigt werden.
Der Export ist ebenso wichtig wie die Suche. Prüfe, ob einzelne Nachrichten, Suchergebnisse und vollständige Postfächer in gebräuchlichen Formaten ausgegeben werden können und welche Metadaten erhalten bleiben. Für einen Anbieterwechsel muss ein Massenauszug möglich sein, ohne dass das Unternehmen auf ein proprietäres Anzeigeprogramm angewiesen bleibt.
Rechte, Protokolle und Microsoft-Integration
Benutzer sollten in der Regel nur ihre eigenen archivierten Nachrichten sehen. Erweiterte Suchrechte für Revision, Datenschutz, Rechtsabteilung oder Administration müssen getrennt vergeben und protokolliert werden. Für besonders sensible Recherchen kann ein Vier-Augen-Prinzip erforderlich sein.
Im Microsoft-Umfeld zählen außerdem die Anbindung an Exchange Online oder Exchange Server, die Anmeldung über die vorhandene Identitätsplattform, Mehrfaktor-Authentifizierung und die Nutzung aus Outlook oder einem Webbrowser. Eine komfortable Outlook-Erweiterung ist hilfreich, darf aber keine Voraussetzung für die serverseitige Erfassung sein.
Vier Lösungen nach demselben Entscheidungsraster
Die folgenden Produkte gehören unterschiedlichen Architekturklassen an. Der Vergleich bewertet sie daher nicht über eine scheinbar einheitliche Punktzahl, sondern nach denselben fünf Fragen: Zielumgebung, Erfassung, Suche und Zugriff, Betriebsmodell sowie entscheidende Grenze. Lizenzpakete und enthaltene Funktionen verändern sich; die benötigte Edition muss vor dem Kauf in der jeweiligen Produkt- und Lizenzdokumentation geprüft werden.
MailStore Server: Windows-nahe Archivierung mit breiter Quellenunterstützung
- Zielumgebung: Unternehmen, die eine eigenständig betriebene Archivlösung für Microsoft 365, Exchange oder weitere Mailserver suchen.
- Erfassung: Je nach Mailsystem stehen verschiedene Archivierungsprofile zur Verfügung. Für die vollständige laufende Erfassung muss das zum Mailserver passende Verfahren eingerichtet werden.
- Suche und Zugriff: Benutzer können archivierte Nachrichten über dafür vorgesehene Clients, Webzugriff und Integrationen recherchieren. Der tatsächliche Zugriffsumfang wird über Berechtigungen gesteuert.
- Betriebsmodell: Die Servervariante wird typischerweise in der eigenen Windows-Server-Umgebung oder auf entsprechend bereitgestellter Infrastruktur betrieben. Das Unternehmen trägt damit Verantwortung für Betrieb, Sicherung, Updates und Kapazität.
- Grenze: Wer eine vollständig vom Anbieter betriebene Cloudplattform ohne eigenen Archivserver erwartet, muss das Betriebsmodell sorgfältig abgleichen.
MailStore Server ist besonders plausibel, wenn interne IT oder ein Dienstleister einen Windows-Server zuverlässig betreiben kann und mehrere E-Mail-Quellen zusammengeführt werden sollen. Vor einer Einführung sollten die unterstützte Mailserverversion, Authentifizierungsmethode und vorgesehene Microsoft-365-Anbindung in der MailStore-Hilfe zu Archivierungsprofilen geprüft werden.
Microsoft Purview: Richtlinien direkt im Microsoft-365-System
- Zielumgebung: Organisationen, deren Postfächer und Benutzerverwaltung weitgehend in Microsoft 365 liegen.
- Erfassung: Aufbewahrungs-, Datensatz- und Untersuchungsfunktionen arbeiten innerhalb der Microsoft-365-Dienste. Umfang und Bedienoberfläche hängen von Lizenz und bereitgestellten Funktionen ab.
- Suche und Zugriff: Purview kann zentrale Suche, Aufbewahrung, eDiscovery und rechtliche Sperren miteinander verbinden, sofern die benötigten Komponenten lizenziert und eingerichtet sind.
- Betriebsmodell: Cloudbasierte Verwaltung innerhalb des Microsoft-Ökosystems; ein eigener Archivserver ist für diese Funktionen nicht erforderlich.
- Grenze: Lizenzierung, Rollenmodell und Richtlinienlogik können anspruchsvoll sein. Eine vorhandene Microsoft-365-Lizenz bedeutet nicht automatisch, dass alle benötigten Purview-Funktionen enthalten sind.
Purview ist oft die naheliegende Wahl, wenn Microsoft 365 bereits die verbindliche Plattform ist und neben E-Mails auch andere Microsoft-365-Inhalte nach einheitlichen Regeln behandelt werden sollen. Vor der Entscheidung sind im Microsoft-365-Administrationsbereich die vorhandenen Abonnements sowie im Purview-Portal die verfügbaren Bereiche für Aufbewahrung, Datensatzverwaltung, Überwachung und eDiscovery zu prüfen.
Mimecast Cloud Archive: Archivierung als Teil einer E-Mail-Cloudplattform
- Zielumgebung: Unternehmen, die cloudbasierte E-Mail-Archivierung mit weiteren Diensten rund um E-Mail-Sicherheit, Kontinuität oder Compliance kombinieren möchten.
- Erfassung: Der Nachrichtenfluss und die Anbindung der Mailplattform werden so eingerichtet, dass relevante Kommunikation an den Cloudservice übergeben wird. Das genaue Verfahren richtet sich nach der Mailumgebung.
- Suche und Zugriff: Recherche, Benutzerzugriff und administrative Untersuchungen werden über die Plattform bereitgestellt; Rollen und Aufbewahrungsrichtlinien müssen passend konfiguriert werden.
- Betriebsmodell: Vom Anbieter betriebener Cloudservice, wodurch der eigene Archivserver entfällt.
- Grenze: Funktionsumfang und wirtschaftliche Eignung hängen stark vom gewählten Paket ab. Wer nur eine schmale Archivfunktion benötigt, sollte prüfen, ob das Plattformpaket unnötige Bestandteile umfasst.
Mimecast eignet sich eher für Unternehmen, die Archivierung nicht isoliert betrachten, sondern in eine umfassendere E-Mail-Betriebs- und Sicherheitsstrategie einordnen. Zu prüfen sind die Dokumentationsbereiche für Microsoft-365-Integration, Archivaufbewahrung, Rollen, Export und Datenstandort sowie die vertraglichen Regelungen zur Herausgabe der Daten.
OpenText Retain: Archivierung für gemischte Kommunikationslandschaften
- Zielumgebung: Organisationen mit mehreren Kommunikationsplattformen oder dem Wunsch nach einer vom primären Mailsystem getrennten Archivierung.
- Erfassung: Retain ist auf die zentrale Archivierung unterstützter Kommunikationsquellen ausgerichtet. Welche Connectoren in der vorgesehenen Produktfassung verfügbar sind, muss für jede Quelle einzeln geprüft werden.
- Suche und Zugriff: Die Plattform stellt Recherche-, Aufbewahrungs- und Exportfunktionen für archivierte Kommunikation bereit.
- Betriebsmodell: Je nach Angebot und Produktfassung kommen unterschiedliche Bereitstellungsmodelle infrage; dies muss bereits in der Ausschreibung festgelegt werden.
- Grenze: In einer reinen Microsoft-365-Umgebung kann eine breiter angelegte Plattform mehr Integrations- und Verwaltungsaufwand verursachen als eine eng auf diesen Dienst zugeschnittene Lösung.
OpenText Retain ist vor allem dann prüfenswert, wenn E-Mail nicht die einzige relevante Kommunikationsquelle ist oder verschiedene Systeme gemeinsam recherchierbar sein sollen. Maßgeblich sind die offizielle Kompatibilitätsübersicht, die unterstützten Connectoren, die Exportmöglichkeiten und die Beschreibung des gewählten Betriebsmodells.
Welche Lösung passt zu welcher Ausgangslage?
Die Produktauswahl lässt sich mit einer kurzen Wenn-dann-Entscheidung eingrenzen:
- Wenn fast alle relevanten Daten bereits in Microsoft 365 liegen und Aufbewahrung, eDiscovery und rechtliche Sperren innerhalb dieser Umgebung verwaltet werden sollen, prüfe zuerst Microsoft Purview und die dafür erforderlichen Lizenzen.
- Wenn ein selbst betriebener Windows-Server gewünscht ist oder mehrere klassische Mailquellen angebunden werden müssen, ist MailStore Server ein naheliegender Kandidat.
- Wenn Archivierung gemeinsam mit cloudbasierter E-Mail-Sicherheit und Ausfallschutz beschafft werden soll, gehört Mimecast in die engere Auswahl.
- Wenn verschiedene Kommunikationssysteme zentral archiviert und durchsucht werden sollen, kann OpenText Retain besser zur Ausgangslage passen.
- Wenn Datenstandort, eigener Schlüssel, Offline-Verfügbarkeit oder strikte Mandantentrennung Ausschlusskriterien sind, müssen diese Punkte vor einer Funktionsdemo vertraglich und technisch geklärt werden. Produktoberflächen allein beantworten sie nicht.
Eine Vorauswahl von zwei Lösungen reicht meist für einen belastbaren Praxistest. Die Testumgebung sollte eingehende, ausgehende und interne E-Mails, mehrere Benutzerrollen, Anhänge, nachträgliche Löschversuche und einen vollständigen Export enthalten. Erst wenn die Ergebnisse nachvollziehbar protokolliert werden, lässt sich beurteilen, ob eine Lösung nur bequem bedienbar ist oder auch den vorgesehenen Archivprozess trägt.
Abnahmeprüfung mit typischen Störfällen
Die technische Abnahme sollte nicht nur den Normalbetrieb bestätigen. Gerade Fehler und administrative Änderungen zeigen, ob das Archiv verlässlich arbeitet.
- Sende Testnachrichten intern sowie an externe Empfänger und kontrolliere, ob jede vorgesehene Richtung im Archiv erscheint.
- Lösche eine Testnachricht unmittelbar aus dem Benutzerpostfach. Fehlt sie anschließend im Archiv, ist die Erfassung zu spät oder unvollständig.
- Ändere eine Aufbewahrungsrichtlinie mit einem dafür eingerichteten Testkonto und prüfe, welcher Benutzer, Zeitpunkt und Vorgang protokolliert werden.
- Entziehe einem Benutzer die Berechtigung für ein fremdes Postfach. Eine Suche darf dessen Nachrichten nicht offenlegen.
- Exportiere eine abgegrenzte Ergebnismenge und prüfe Nachricht, Anhang, Zeitangaben und weitere benötigte Metadaten.
- Unterbrich testweise die Verbindung zur Mailplattform. Das System muss den Ausfall erkennbar melden und nach Wiederherstellung entweder nacharbeiten oder eine klar dokumentierte Lücke ausweisen.
- Stelle eine archivierte Nachricht in ein dafür vorgesehenes Testpostfach wieder her. Absender, Empfänger, Betreff, Inhalt und Anhänge müssen anschließend nutzbar sein.
Bei einem Cloudarchiv gehört zusätzlich die Prüfung des Anbieterwechsels zur Abnahme. Das Unternehmen benötigt eine belastbare Antwort darauf, in welchem Format ein Gesamtexport geliefert wird, wie lange er dauert, welche Kosten entstehen können und wann verbleibende Kopien nach Vertragsende gelöscht werden.
Der Archivbetrieb braucht mehr als eine Installation
Bei einer selbst betriebenen Lösung müssen Archivdaten, Konfiguration und Schlüssel in das Sicherungs- und Wiederanlaufkonzept aufgenommen werden. Bei einer Cloudlösung sind Auftragsverarbeitung, Unterauftragnehmer, Datenstandorte, Verschlüsselung, Verfügbarkeit und Datenrückgabe vertraglich zu prüfen. Für beide Modelle gilt: Ein erfolgreicher Suchtest beweist noch nicht, dass nach einem größeren Ausfall alle Archivdaten wiederhergestellt werden können.
Die beste Wahl ergibt sich damit aus der vorhandenen Microsoft-Architektur und dem verbindlichen Aufbewahrungsprozess. Für reine Microsoft-365-Strukturen beginnt die Prüfung sinnvollerweise bei Purview; für einen eigenständig kontrollierten Windows-Betrieb bei MailStore Server. Mimecast und OpenText Retain werden besonders relevant, wenn zusätzliche Sicherheitsdienste oder heterogene Kommunikationsquellen Teil der Aufgabe sind. Beschafft werden sollte erst nach einem Test, der Erfassung, Rechte, Löschung, Export und Wiederherstellung mit den eigenen Postfächern überprüft.
