Export für die Betriebsprüfung

Mailefant unterstützt die Anforderungen der GoBD an die Unveränderbarkeit: Jede Mail wird beim Archivieren mit ihrer Prüfsumme (SHA-256) in einem fortlaufenden, signierten und mit Zeitstempeln versehenen Protokoll festgehalten.

1. Legen Sie für die Prüferin oder den Prüfer ein Konto in Ihrem Entra ID an. Ein Gastkonto genügt nicht, Gäste können sich nicht anmelden.
2. Weisen Sie dem Konto im Entra Admin Center unter Unternehmensanwendungen > Mailefant > Benutzer und Gruppen die App-Rolle Mailefant.Auditor zu (oder bei der Einrichtung über das Skript, siehe Microsoft 365 anbinden).
3. Die Person meldet sich mit Mit Microsoft anmelden an. In der Kopfzeile steht dann „Prüfer“.

Nach der Prüfung sperren Sie das Konto in Entra ID oder nehmen ihm die App-Rolle.

1. Suchen Sie die gewünschten Mails, z. B. alle Mails des Prüfungszeitraums: Datum ab und bis setzen, Suchbegriff leer lassen, Suchen. Für ein ganzes Postfach wählen Sie nur das Postfach.
2. Klicken Sie auf Alle Treffer als ZIP exportieren. Exportiert werden alle Treffer der Suche, nicht nur die angezeigte Seite, bis 100.000 Mails je Export.

Die ZIP-Datei enthält:

• eml/<Archiv-Nr.>.eml: jede Mail als Originaldatei, Byte für Byte so, wie sie archiviert wurde. Jede Datei wird beim Export gegen ihre Prüfsumme geprüft; weicht eine ab, bricht der Export ab.
• manifest.csv: ein Verzeichnis aller Mails (Archiv-Nr., Datei, SHA-256, Größe, Datum, Von, An, Betreff, Postfach), UTF-8 mit Semikolon als Trennzeichen. Es lässt sich in Excel oder Prüfsoftware öffnen.

Die Prüfsummen im Verzeichnis lassen sich mit jedem SHA-256-Werkzeug gegen die Dateien prüfen.

Benutzer ohne Rolle können keine ZIP-Exporte erstellen, nur einzelne Mails herunterladen.

Will die Prüfung für eine bestimmte Mail belegt haben, dass sie unverändert archiviert ist und seit wann, erstellt Avamboo auf Anforderung einen Nachweis: eine Datei nachweis.json mit dem Protokolleintrag der Mail, dem Pfad zum signierten Prüfpunkt und dessen Zeitstempel. Nennen Sie Avamboo dafür die Archiv-Nr. der Mail (auf der Mailseite unter Archivdaten, im Export der Dateiname). Auch das Erstellen eines Nachweises wird protokolliert.

Geprüft wird der Nachweis ohne Zugang zum Archiv, auf einem beliebigen Rechner mit dem Programm mailefant. Den öffentlichen Schlüssel dazu erhält die Prüfung getrennt vom Nachweis. Mit -eml prüft das Programm zugleich, dass eine Mail aus dem Export genau die archivierte ist:

mailefant verify-proof -pubkey <öffentlicher Schlüssel> -eml eml/16.eml nachweis.json

VALID: message 16 of tenant 395f2b0d-…: SHA-256 3313ba14…ded5e, 2599 bytes, archived 2026-10-19T20:27:35.336995Z from "imap", retained until 2036-12-31
  …
  signed in checkpoint 1 at 2026-10-19T20:27:47Z with the given ledger key,
  timestamped 2026-10-19T20:27:47Z by CN=www.freetsa.org, …
  eml/16.eml is that message, byte for byte

Ist die Mail verändert, lautet das Ergebnis INVALID mit dem Grund, z. B. dass die Prüfsumme der Datei abweicht.

Unter Zugriffsprotokoll sieht ein Prüfer

• alle Änderungen: Benutzer und Rollen, Postfachrechte, Quellen, Aufbewahrungsfrist, Sperren, Löschvorschläge und Löschungen, Exporte;
• von den Zugriffen (Anmeldung, Suche, Ansicht, Download) nur seine eigenen. Was andere Benutzer gesucht oder geöffnet haben, sehen nur die Administratoren Ihres Unternehmens.

Jeder Export steht mit Zeitraum und Filtern, Anzahl der Mails und der Prüfsumme des manifest.csv im Protokoll. So lässt sich später belegen, welcher Export übergeben wurde.

Filtern lässt sich nach Benutzer, Aktion, Archiv-Nr. und Zeitraum. Auch das Durchsuchen des Protokolls wird protokolliert.