WhatsApp-Chatverlauf gerichtsverwertbar sichern: 
Warum Screenshots allein häufig nicht ausreichen und wie eine nachvollziehbare forensische Sicherung erfolgt

Datum: 23.07.2026, Christoph Neumann, Forensik-Insight


1. Einleitung
WhatsApp-Nachrichten sind regelmäßig Gegenstand zivilrechtlicher, strafrechtlicher, familienrechtlicher oder arbeitsrechtlicher Auseinandersetzungen. Sie können Absprachen, Zahlungszusagen, Beleidigungen, Drohungen, geschäftliche Weisungen oder den zeitlichen Ablauf eines Sachverhalts dokumentieren.
 

In der Praxis werden entsprechende Nachrichten häufig lediglich als einzelne Screenshots vorgelegt. Das ist schnell und unkompliziert, lässt jedoch wichtige Fragen offen:
 

- Von welchem Gerät stammt der Screenshot?

- Ist der gezeigte Kontakt tatsächlich der behaupteten Person zuzuordnen?

- Wurden Nachrichten ausgelassen, verändert oder in einen anderen Zusammenhang gestellt?

- Stimmen Zeitangaben und Reihenfolge mit den gespeicherten App-Daten überein?

- Existieren die Nachrichten noch auf dem ursprünglichen Smartphone?

- Wie wurden die Dateien seit ihrer Erstellung aufbewahrt und weitergegeben?
 

Ein Screenshot kann durchaus als Beweismittel vorgelegt werden. Seine technische Aussagekraft ist isoliert betrachtet jedoch begrenzt. Soll ein WhatsApp-Chat möglichst belastbar dokumentiert werden, müssen Herkunft, Inhalt, Kontext und Sicherungsweg nachvollziehbar sein.

Der häufig verwendete Begriff „gerichtsverwertbar“ ist dabei mit Bedacht zu verwenden. Kein Sicherungsprogramm und kein Sachverständiger kann die spätere gerichtliche Würdigung garantieren. Ziel der forensischen Sicherung ist es vielmehr, dem Gericht eine transparente, überprüfbare und möglichst belastbare Tatsachengrundlage zur Verfügung zu stellen.


2. Was bedeutet „gerichtsverwertbar“ bei einem WhatsApp-Chat?
Digitale Beweismittel erhalten ihren Beweiswert nicht allein durch ein bestimmtes Dateiformat oder ein aufgedrucktes Siegel. Entscheidend ist die Gesamtschau.

In einem Zivilprozess würdigt das Gericht den gesamten Inhalt der Verhandlung und das Ergebnis der Beweisaufnahme nach seiner freien Überzeugung (§ 286 ZPO). Auch im Strafprozess entscheidet das Gericht nach dem Grundsatz der freien richterlichen Beweiswürdigung (§ 261 StPO). Für die technische Aufbereitung eines WhatsApp-Verlaufs sind daher insbesondere folgende Eigenschaften wichtig:
 
Herkunft

Es muss nachvollziehbar sein, von welchem Gerät, Benutzerkonto und Datenbestand die Nachrichten stammen.
 

Integrität

Die gesicherten Daten müssen gegen nachträgliche, unbemerkte Veränderungen geschützt oder Veränderungen durch Hashwerte erkennbar gemacht werden.
 

Authentizität

Die vorgefundenen Artefakte sollten technisch zum behaupteten Ursprung passen. Dazu können beispielsweise Datenbankeinträge, Kontaktdaten, interne Identifikatoren und Medienreferenzen herangezogen werden.
 

Vollständigkeit und Kontext

Einzelne Nachrichten können ohne vorhergehende oder nachfolgende Kommunikation missverständlich sein. Der für die Fragestellung relevante Zusammenhang muss deshalb erhalten bleiben.
 

Nachvollziehbarkeit

Die verwendeten Methoden, Werkzeuge, Zeitpunkte und Auswertungsschritte müssen dokumentiert werden. Eine andere fachkundige Person sollte verstehen können, wie das Ergebnis zustande gekommen ist.
 

Eine fachgerechte Sicherung erhöht damit nicht automatisch den rechtlichen Beweiswert einer Aussage. Sie verbessert aber wesentlich die Möglichkeit, Herkunft und Unverändertheit der vorgelegten Daten technisch zu überprüfen.


3. Warum ein Screenshot allein häufig nicht genügt
Screenshots haben einen praktischen Nutzen: Sie zeigen schnell, was auf dem Display sichtbar war. Sie sind jedoch keine vollständige Kopie des zugrunde liegenden WhatsApp-Datenbestands.
 

Typische Einschränkungen sind:
 

- Der Bildausschnitt kann Nachrichten oberhalb oder unterhalb ausblenden.

- Kontaktname und Profilbild lassen sich im Adressbuch frei vergeben.

- Datum, Uhrzeit und sichtbare Systemelemente können fehlen.

- Bilder können nachträglich beschnitten, zusammengesetzt oder bearbeitet werden.

- Ein Screenshot enthält regelmäßig keine internen WhatsApp-Identifikatoren.

- Versand-, Empfangs- und Systemzeitpunkte lassen sich nicht immer unterscheiden.

- Antworten, Weiterleitungen, Bearbeitungen oder gelöschte Inhalte können unvollständig dargestellt sein.

- Die Herkunftsdatei kann durch Weiterleitung über E-Mail oder Messenger verändert worden sein.

Das bedeutet nicht, dass Screenshots grundsätzlich wertlos sind. Sie können einen Sachverhalt veranschaulichen und zusammen mit Zeugenaussagen oder weiteren Unterlagen durchaus relevant sein. Technisch belastbarer werden sie jedoch, wenn sie mit dem Originalgerät und weiteren App-Artefakten abgeglichen werden können.

Ist der WhatsApp-Chat-Export besser?

Die WhatsApp-Funktion „Chat exportieren“ erzeugt eine Textdarstellung des Verlaufs und kann auf Wunsch Medien beifügen. Ein solcher Export ist für eine erste Sichtung und die lesbare Weitergabe nützlich. Er ersetzt aber keine forensische Extraktion.

Der Export enthält nur einen von der App aufbereiteten Ausschnitt. Interne Datenbankfelder, technische Identifikatoren, Verknüpfungen und je nach Umfang auch ältere Nachrichten oder Medien können fehlen. Außerdem lässt sich eine exportierte Textdatei nachträglich bearbeiten.

Ein Chat-Export ist daher ein sinnvolles ergänzendes Artefakt, sollte aber möglichst nicht die einzige Sicherung sein.


4. Ablauf einer professionellen WhatsApp-Sicherung
Die konkrete Methode richtet sich nach Gerät, Betriebssystem, Sperrzustand, WhatsApp-Version und Fragestellung. Ein typischer Ablauf umfasst mehrere aufeinander abgestimmte Schritte.
 

4.1 Auftrag und Beweisfrage festlegen

Vor der Extraktion wird geklärt, was tatsächlich untersucht werden soll. Mögliche Fragestellungen sind:

- Existiert der bezeichnete Chat auf dem Originalgerät?

- Lassen sich Absender, Empfänger und zeitliche Reihenfolge technisch zuordnen?

- Sind Anhaltspunkte für Lücken oder Manipulationen erkennbar?

- Stimmen Medien, Antworten und Nachrichtenbezüge mit dem Chatverlauf überein?

- Lassen sich bestimmte gelöschte Inhalte noch rekonstruieren?

Eine präzise Fragestellung verhindert unnötige Zugriffe auf private Kommunikation außerhalb des relevanten Chats.

Vor der Sicherung ist außerdem die Berechtigung zur Untersuchung zu klären. Ein WhatsApp-Verlauf enthält regelmäßig auch personenbezogene Daten der Kommunikationspartner. Auftrag und Auswertung sollten deshalb auf den erforderlichen Zeitraum und die tatsächlich relevante Kommunikation beschränkt werden.
 

4.2 Übernahme und Gerätezustand dokumentieren

Bei der Übergabe werden unter anderem festgehalten:
 

- Hersteller, Modell und eindeutige Gerätekennzeichen

- äußerer und technischer Zustand

- Sperrzustand und bereitgestellte Zugangsdaten

- Betriebssystem- und möglichst App-Version

- Datum, Uhrzeit und verwendete Zeitzone

- Name von Übergeber und Übernehmer

- Auftrag, Berechtigungsgrundlage und vereinbarter Untersuchungsumfang

Diese Angaben bilden den Beginn der Beweismittelkette, der sogenannten Chain of Custody.

4.3 Forensische Datenextraktion

Je nach Plattform und technischer Möglichkeit erfolgt beispielsweise eine logische, Backup-basierte oder dateisystembasierte Extraktion. Ziel ist es, nicht nur eine sichtbare Bildschirmdarstellung, sondern möglichst auch die zugrunde liegenden WhatsApp-Daten und relevanten Begleitartefakte zu sichern.

Bei Mobilgeräten lässt sich eine vollständige Veränderungsfreiheit des eingeschalteten Systems nicht immer erreichen. Schon der Betrieb des Geräts kann Systemdaten aktualisieren. Entscheidend sind deshalb die Minimierung unvermeidbarer Veränderungen und deren transparente Dokumentation.
 

4.4 Hashwerte und Arbeitskopien

Extraktionsdateien, Datenbanken, Exporte und weitere relevante Dateien werden mit kryptografischen Hashwerten versehen. Ein Hashwert dient als digitaler Fingerabdruck: Ändert sich die Datei, ändert sich grundsätzlich auch ihr Hashwert.

Die Auswertung sollte auf einer Arbeitskopie erfolgen. Die ursprüngliche Extraktion wird unverändert aufbewahrt. So kann später geprüft werden, ob die analysierten Daten noch mit dem gesicherten Ausgangsbestand übereinstimmen.
 

4.5 Analyse und verständliche Dokumentation

Die technische Sicherung allein beantwortet noch keine Beweisfrage. Die relevanten Daten müssen ausgewertet, miteinander abgeglichen und für Nichttechniker verständlich dargestellt werden.

Je nach Auftrag kann das Ergebnis als Dokumentationsbericht, technische Stellungnahme oder Sachverständigengutachten aufbereitet werden. Dabei sollten Tatsachenfeststellungen, technische Interpretation und bestehende Einschränkungen klar voneinander getrennt sein.


5. Welche WhatsApp-Daten werden technisch geprüft?
WhatsApp speichert seine Kommunikation in strukturierten lokalen Datenbeständen. Die genaue Bezeichnung und Struktur kann sich mit Betriebssystem- und App-Versionen ändern. Typische primäre Artefakte sind unter iOS die Datenbank ChatStorage.sqlite und unter Android die entschlüsselte Nachrichtendatenbank msgstore.db. Ergänzend können Kontakt- und Identitätsdatenbanken, Medienordner sowie weitere App-Dateien ausgewertet werden.
 

Eine forensische Prüfung kann unter anderem folgende Bereiche umfassen:

Datenbankintegrität

Zunächst wird geprüft, ob die SQLite-Datenbank technisch lesbar und intern konsistent ist. Dazu gehören auch gegebenenfalls vorhandene Begleitdateien wie Write-Ahead-Log- und Shared-Memory-Dateien. Sie können aktuelle oder noch nicht vollständig in die Hauptdatenbank übertragene Informationen enthalten.
 

Chat- und Teilnehmerzuordnung

Interne WhatsApp-Kennungen (häufig als JID oder in neueren Versionen zusätzlich LID bezeichnet) werden mit den gespeicherten Kontakt- und Kontodaten abgeglichen. Dabei ist zwischen einem frei wählbaren Anzeigenamen und der internen technischen Zuordnung zu unterscheiden.
 

Absender und Empfänger

Datenbankfelder können kennzeichnen, ob eine Nachricht vom untersuchten Konto gesendet oder empfangen wurde. In Gruppen-Chats sind zusätzliche Teilnehmerinformationen zu berücksichtigen.
 

Zeitstempel und Reihenfolge

Nachrichten enthalten verschiedene Zeitangaben. Diese können beispielsweise die lokale Speicherung, den Versand, den Empfang oder einen Serverbezug beschreiben. Eine plausible zeitliche Reihenfolge wird anhand mehrerer Felder und nicht allein anhand der sichtbaren Uhrzeit beurteilt.
 

Nachrichten- und Stanza-IDs

Interne Nachrichtenkennungen können bei der Prüfung auf Dubletten, Verknüpfungen und Konsistenz helfen. Sie sind aussagekräftige technische Merkmale, stellen aber für sich allein keinen absoluten Echtheitsnachweis dar.
 

Medien und Dateiverknüpfungen

Bilder, Videos, Audiodateien und Dokumente werden mit den zugehörigen Nachrichteneinträgen abgeglichen. Hierbei können Dateinamen, Hashwerte, Speicherpfade, Zeitstempel und Datenbankreferenzen einbezogen werden.
 

Antworten, Zitate, Weiterleitungen und Bearbeitungen

Soweit in der jeweiligen WhatsApp-Version gespeichert, können Bezugnahmen auf andere Nachrichten, Weiterleitungskennzeichen, Bearbeitungsinformationen oder Systemmeldungen ausgewertet werden.
 

Gelöschte Inhalte

Ob gelöschte WhatsApp-Nachrichten wiederhergestellt werden können, hängt stark vom Gerät und Datenzustand ab. Mögliche Quellen sind Datenbankreste, Journaldateien, lokale oder Cloud-Backups, Benachrichtigungsdaten, vorhandene Medien und weitere Datenbankartefakte. Eine Wiederherstellung kann oftmals nicht zugesichert werden.


6. Was kann eine forensische Untersuchung beweisen – und was nicht?
Eine sorgfältige Analyse kann beispielsweise feststellen, dass ein bestimmter Nachrichtenbestand auf dem untersuchten Gerät vorhanden war, welche technischen Teilnehmerkennungen gespeichert sind und ob sich innerhalb der geprüften Daten Auffälligkeiten ergeben. Sie kann jedoch nicht automatisch beweisen:
 

- welche natürliche Person das Smartphone im entscheidenden Moment tatsächlich bedient hat,

- ob eine inhaltliche Aussage wahr oder unwahr ist,

- ob der Kommunikationspartner jede Nachricht persönlich verfasst hat,

- ob außerhalb des untersuchten Datenbestands weitere Nachrichten existierten,

- ob ein fehlender Datensatz gelöscht wurde oder nie vorhanden war.

Auch die Ende-zu-Ende-Verschlüsselung ist richtig einzuordnen. Sie schützt Nachrichten bei der Übertragung zwischen den beteiligten Endgeräten. Auf einem autorisiert zugänglichen Endgerät müssen die Inhalte für die Anzeige jedoch entschlüsselt vorliegen. Dort können sie – abhängig von Gerät und Zugriffsmöglichkeit – forensisch gesichert werden.
 

Die Qualität eines Gutachtens zeigt sich daher nicht in möglichst weitreichenden Behauptungen, sondern in der nachvollziehbaren Trennung zwischen gesicherten Tatsachen, fachlicher Bewertung und technisch nicht beantwortbaren Fragen. 
So ist z.B. die Frage, ob eine Manipulation einer WhatsApp-Datenbank ausgeschlossen werden kann vor dem Hintergrund aller erdenklichen theoretischen Manipulationsmöglichkeiten kaum mit "ja" zu beantworten. Wohl aber, ob der vorliegende Datenbestand technische Auffälligkeiten, Inkonsistenzen oder sonstige Anhaltspunkte enthält, die auf eine nachträgliche Veränderung hindeuten oder mit einer solchen vereinbar sind.


7. Praxisbeispiel: Prüfung eines bestrittenen Chatverlaufs

In einem zivilrechtlichen Verfahren wurde ein vorgelegter WhatsApp-Verlauf von einer Partei als möglicherweise verändert bestritten. Einzelne Screenshots waren vorhanden, das ursprüngliche Mobilgerät konnte jedoch ebenfalls zur Untersuchung übergeben werden.

Nach Dokumentation der Geräteübernahme wurde eine logische Datenextraktion durchgeführt. Die relevante WhatsApp-Datenbank und die zugehörigen Kontaktinformationen wurden gesichert und mit Hashwerten dokumentiert. Anschließend erfolgte eine gezielte Analyse des betreffenden Chats. 

Geprüft wurden unter anderem:

- technische Integrität der Datenbank,

- Zuordnung der Chat-Session,

- interne Teilnehmerkennungen,

- Kennzeichnung gesendeter und empfangener Nachrichten,

- Zeitstempel und Reihenfolgen,

- Eindeutigkeit der Nachrichtenkennungen sowie

- Beziehungen zwischen Nachrichten und Medien.
- Systemumgebung des Mobilgerätes (Jailbreak/Root)
 

Die Ergebnisse wurden zusammen mit der Extraktionsmethode, den verwendeten Werkzeugen und den bestehenden Aussagegrenzen in einem Gutachten dargestellt. Entscheidend war nicht, einen sichtbaren Chatverlauf lediglich zu bestätigen, sondern seine Inhalte mit den primären App-Daten auf dem Originalgerät abzugleichen.

Dieses Vorgehen ermöglicht dem Gericht eine wesentlich fundiertere Beurteilung als die isolierte Vorlage einzelner Bildschirmbilder.


8. Fazit
Wer einen WhatsApp-Chat für ein gerichtliches Verfahren sichern möchte, sollte sich nicht ausschließlich auf einzelne Screenshots verlassen. Screenshots und Chat-Exporte sind sinnvolle ergänzende Darstellungen, enthalten aber nur einen Teil der technisch verfügbaren Informationen.

Eine belastbare Sicherung beginnt beim Erhalt des Originalgeräts und umfasst die dokumentierte Datenextraktion, Integritätssicherung durch Hashwerte, Analyse der primären App-Daten und eine nachvollziehbare Aufbereitung der Ergebnisse. Ebenso wichtig ist die transparente Benennung dessen, was technisch nicht festgestellt werden kann.
 

Eine professionell durchgeführte Sicherung schafft damit keine automatische „Gerichtsgarantie“. Sie bietet dem Gericht jedoch eine deutlich bessere Grundlage, um Herkunft, Vollständigkeit und Aussagewert des WhatsApp-Verlaufs zu beurteilen.

Weitere Informationen finden Sie auf den Seiten WhatsApp- und Chatverläufe beweissicher dokumentieren und Mobilgeräte-Forensik für iOS und Android. Ergänzend erläutert der Beitrag WhatsApp ohne Datenbank-Zugriff, welche sekundären Artefakte untersucht werden können, wenn die primäre Nachrichtendatenbank nicht verfügbar ist.



Kurzprofil des Autors
Christoph Neumann ist IT-Forensiker und Sachverständiger für digitale Beweismittel aus Mainz. Er befasst sich mit der Sicherung, Analyse und Bewertung digitaler Daten im Auftrag von Unternehmen, Gerichten und Behörden.

Bei Fragen, Anregungen oder weiterführende Informationen schreiben Sie mir gerne eine Nachricht: