SMS-Archivierung für regulatorische Compliance: BaFin, HGB und DSGVO

2021 zahlte JP Morgan 200 Millionen Dollar Strafe für das Versäumnis, Mitarbeiter-SMS zu archivieren. In den Folgejahren haben die SEC und FINRA weltweit über 2 Milliarden Dollar an Strafen gegen Finanzunternehmen verhängt — weil Mitarbeiter private Telefone und Consumer-Messaging-Apps für Geschäftskommunikation ohne Archivierung nutzten.

Auch in Deutschland ist die Botschaft der Aufsichtsbehörden klar: Wenn Ihre Mitarbeiter geschäftlich per SMS kommunizieren, müssen Sie diese Nachrichten erfassen und aufbewahren. Die Zeiten von „wir wussten nichts davon" sind vorbei.

Aber hier liegt das Problem: Enterprise-SMS-Archivierungslösungen, die für Großbanken konzipiert sind, kosten zehntausende Euro pro Jahr — Preise, die für eine Drei-Personen-Finanzberatung, eine Einzelpraxis im Gesundheitswesen oder ein Startup keinen Sinn ergeben.

Dieser Leitfaden erklärt die spezifischen SMS-Archivierungsanforderungen für BaFin-regulierte Unternehmen, HGB/AO-Aufbewahrungspflichten und DSGVO-Anforderungen und zeigt, wie kleine Teams ein praktisches, kostengünstiges Archivierungssystem umsetzen können.

Die drei regulatorischen Rahmenwerke

BaFin / MaRisk (Finanzdienstleistungen)

Für wen: Kreditinstitute, Wertpapierfirmen, Finanzberater, Versicherungsunternehmen und alle BaFin-regulierten Unternehmen.

Die Regel: Die MaRisk (Mindestanforderungen an das Risikomanagement) und das WpHG (Wertpapierhandelsgesetz) verlangen, dass alle geschäftsrelevanten Kommunikationen — einschließlich SMS — erfasst, überwacht und aufbewahrt werden.

Aufbewahrungsfrist:

• 6 Jahre für Handelskorrespondenz (HGB §257)
• 10 Jahre für steuerlich relevante Unterlagen (AO §147)
• Muss in einem nicht veränderbaren Format gespeichert werden

Was gilt als „Geschäftskommunikation": Jede SMS, die Wertpapiere, Kundenkonten, Transaktionen, Empfehlungen, Marktbedingungen oder Kundenbeziehungen betrifft. Wenn ein Berater einem Kunden per SMS schreibt „Ich würde angesichts der Marktlage einen Wechsel in Anleihen empfehlen" — muss diese SMS archiviert werden.

Das „Off-Channel"-Problem: BaFin und ESMA betonen zunehmend die Risiken von „Off-Channel-Kommunikation" — Geschäfts-SMS über private Telefone, WhatsApp, Signal oder Standard-SMS, die das offizielle Archivierungssystem der Firma umgehen. Die Strafe trifft nicht nur den Einzelnen, sondern das Unternehmen, das die Aufsicht versäumt hat.

HGB §257 / AO §147 (Handels- und Steuerrecht)

Für wen: Alle Gewerbetreibenden, Kapitalgesellschaften, deren Geschäftsführer und Wirtschaftsprüfer.

Die Regel: HGB §257 und AO §147 verlangen die Aufbewahrung von Geschäftsbriefen, Buchungsbelegen und steuerlich relevanten Unterlagen für 6 bis 10 Jahre. Vorsätzliche Vernichtung von Unterlagen kann als Straftat nach §283 StGB (Bankrott) verfolgt werden.

Was zählt: Jede SMS, die für die Finanzberichterstattung, interne Kontrollen, Prüfungsprozesse oder Unternehmensführung relevant sein könnte. Ein Geschäftsführer, der dem Controller über Umsatzrealisierung schreibt, ein Wirtschaftsprüfer, der über Feststellungen textet — das sind aufbewahrungspflichtige Kommunikationen.

DSGVO (Datenschutz im Gesundheitswesen und darüber hinaus)

Für wen: Alle Unternehmen, die personenbezogene Daten verarbeiten — insbesondere Gesundheitsdienstleister, Versicherungen und deren Auftragsverarbeiter.

Die Regel: Die DSGVO verbietet SMS nicht grundsätzlich, aber sie verlangt, dass jede Kommunikation mit personenbezogenen Daten strengen technischen Schutzmaßnahmen entspricht:

• Verschlüsselung bei Übertragung und Speicherung
• Protokollierung wer gesendet, empfangen und zugegriffen hat
• Zugangskontrolle (Authentifizierung, Autorisierung)
• Auftragsverarbeitungsvertrag (AVV) mit jedem externen Archivierungsanbieter

Aufbewahrungsfrist: Die DSGVO selbst definiert keine feste Frist, aber verlangt Aufbewahrung „so lange wie nötig". Branchenspezifisch gelten 6–10 Jahre (Gesundheitswesen: Landesrecht, bis zu 30 Jahre bei bestimmten Behandlungsdokumentationen).

Die praktische Realität: Standard-SMS ist generell nicht DSGVO-konform, weil sie unverschlüsselt ist. Allerdings schafft die Archivierung von SMS an eine sichere, verschlüsselte E-Mail (wie einen DSGVO-konformen E-Mail-Dienst) einen Audit-Trail, der Ihre Compliance-Position erheblich verbessert — besonders für kleine Praxen, in denen Enterprise-Lösungen nicht realisierbar sind.

Die realen Compliance-Lücken

Großunternehmen haben Compliance-Abteilungen und sechsstellige Archivierungsbudgets. Aber die meisten regulierten Unternehmen sind klein:

• Eine Zwei-Personen-Finanzberatung, in der beide Berater Kunden vom privaten iPhone aus anschreiben
• Ein niedergelassener Arzt, der Patienten per SMS Terminerinnerungen sendet
• Ein Startup-Geschäftsführer, der dem Buchhaltungsteam über Quartalszahlen schreibt
• Eine kleine Versicherungsagentur, deren Makler Kunden über Policenänderungen per SMS informieren

Diese Unternehmen unterliegen denselben regulatorischen Anforderungen wie die Deutsche Bank, haben aber einen Bruchteil des Budgets. Das Ergebnis? Sie ignorieren die Anforderungen (und hoffen, nicht geprüft zu werden) oder zahlen für Enterprise-Lösungen, die sie sich kaum leisten können.

Es gibt einen Mittelweg.

Eine praktische SMS-Archivierung umsetzen

So funktioniert es

Das Konzept ist einfach: Alle eingehenden (und optional ausgehenden) geschäftsrelevanten SMS automatisch an eine dedizierte, sichere E-Mail-Adresse weiterleiten, die als Compliance-Archiv dient.

Das erzeugt:

• Eine zeitgestempelte Aufzeichnung jeder SMS (E-Mail-Zustellungszeitstempel)
• Ein durchsuchbares Repository (E-Mail-Suche findet jede Nachricht sofort)
• Ein Backup außerhalb des Geräts (überlebt Telefonverlust, -schaden oder -wechsel)
• Ein exportierbares Format (E-Mails können gedruckt, als PDF exportiert oder Prüfern vorgelegt werden)

Schritt-für-Schritt-Einrichtung für kleine Teams

Schritt 1: Compliance-Archiv-E-Mail erstellen

Richten Sie eine dedizierte E-Mail-Adresse für die SMS-Archivierung ein:

• [email protected]
• Für DSGVO-sensible Kontexte: einen DSGVO-konformen E-Mail-Anbieter nutzen (z. B. Tutanota, Posteo oder Google Workspace mit AVV)

Zugriffsregeln:

• Nur der Datenschutzbeauftragte und autorisiertes Personal sollten Zugang haben
• 2FA und strenge Passwortrichtlinien aktivieren
• E-Mail-Aufbewahrungsrichtlinien an Ihre regulatorische Anforderung anpassen (6/10 Jahre)

Schritt 2: SMS to Email Forwarder auf jedem Dienstgerät installieren

Jeder Mitarbeiter mit einem geschäftlich genutzten Telefon installiert SMS to Email Forwarder aus dem App Store.

Konfiguration:

1. Die Compliance-Archiv-E-Mail-Adresse eingeben
2. Die Kurzbefehle-Automatisierung einrichten (~2 Minuten pro Gerät)
3. Konfigurieren, alle Nachrichten weiterzuleiten (oder nach geschäftsrelevanten Kontakten filtern)
4. App schließen. Sie läuft still im Hintergrund.

Schritt 3: Schriftliche Richtlinie erstellen

Erstellen Sie ein einfaches internes Richtliniendokument:

• Erlaubte Kommunikationskanäle — welche Plattformen Mitarbeiter für geschäftliche SMS nutzen dürfen
• Archivierungsanforderungen — alle geschäftlichen SMS müssen an die Compliance-E-Mail weitergeleitet werden
• Verbotene Kanäle — keine geschäftlichen Gespräche auf privatem WhatsApp, Signal oder anderen nicht-archivierten Plattformen
• Mitarbeiterbestätigung — jedes Teammitglied unterschreibt die Kenntnisnahme und Einhaltung

Diese Richtlinie ist Ihre Verteidigung bei einer Prüfung: „Wir haben eine schriftliche Richtlinie, technische Kontrollen umgesetzt und eine Mitarbeiterbestätigung eingeholt."

Schritt 4: Regelmäßige Überprüfung und Audit

• Monatlich: Stichprobenartig die Compliance-E-Mail prüfen, ob Nachrichten weitergeleitet werden
• Quartalsweise: Auf Compliance-Lücken prüfen (neue Mitarbeiter, neue Telefonnummern, Richtlinienverstöße)
• Jährlich: Richtlinie aktualisieren und Aufbewahrungsfristen bestätigen

Compliance-Vergleichstabelle

Was diese Lösung ist (und was nicht)

Was sie ist:

• Eine leichtgewichtige, kostengünstige SMS-Archivierungsebene für kleine Teams
• Eine bedeutende Compliance-Verbesserung gegenüber „gar keine Archivierung"
• Eine durchsuchbare, zeitgestempelte, geräteunabhängige Aufzeichnung, die Prüfer einsehen können
• Eine Lösung, die auf jedem iPhone ohne IT-Infrastruktur funktioniert

Was sie nicht ist:

• Ein Ersatz für Enterprise-Compliance-Plattformen (für Firmen mit 50+ Mitarbeitern kommen GlobalRelay, Smarsh oder LeapXpert in Frage)
• Eine Garantie vollständiger regulatorischer Compliance (Compliance hängt von Ihrer spezifischen Situation, Richtlinien und Prüfungsanforderungen ab)
• WORM-konformer Speicher (E-Mail-Archive können theoretisch modifiziert werden — für strikte WORM-Anforderungen regelmäßig in konformen Speicher exportieren)

Für die meisten kleinen regulierten Unternehmen stellt der Wechsel von null SMS-Archivierung zu E-Mail-basierter Archivierung eine massive Reduzierung des regulatorischen Risikos dar — bei praktisch null Kosten.

Die Kosten der Nichteinhaltung

Haftungsausschluss: Wir sind Softwareentwickler, keine Anwälte oder Compliance-Beauftragten. Dieser Artikel bietet technische Orientierung zur SMS-Aufbewahrung und stellt keine Rechts-, Regulierungs- oder Compliance-Beratung dar. BaFin-, HGB-, AO- und DSGVO-Anforderungen sind komplex und variieren nach Unternehmensgröße, Branche und Zuständigkeit. Konsultieren Sie immer Ihre Compliance-Abteilung, Ihren Rechtsberater oder einen qualifizierten Regulierungsberater bezüglich Ihrer spezifischen Archivierungspflichten.

Der beste Zeitpunkt, mit der Archivierung zu beginnen, war als die Vorschrift in Kraft trat. Der zweitbeste ist jetzt.

Laden Sie SMS to Email Forwarder herunter — in wenigen Minuten im Team ausgerollt.