Ein Export von Social-Media-Nachrichten ist nur dann nützlich, wenn Sie erklären können, was er enthält, was fehlt, wer darauf zugreifen kann und ob er nach der Erfassung verändert wurde. Diese Checkliste behandelt native Exporte, Metadaten, Aufbewahrung, Zugriff und Überprüfung, ohne vorauszusetzen, dass ein einzelner Plattform-Download eine vollständige Aufzeichnung darstellt.

1. Beginnen Sie mit dem Datensatz, den Sie bewahren müssen

Für eine belastbare Grundlage sollten Sie mehr als nur Nachrichtentext bewahren. Die U.S. National Archives and Records Administration (NARA) erklärt, dass ein vollständiger Bundesdatensatz Inhalt, Kontext und Struktur sowie zugehörige Metadaten wie Verfasser und Erstellungsdatum enthalten und zuverlässig sowie authentisch erhalten werden muss (NARA-Leitfaden).

Verwenden Sie dies als Vollständigkeitsprüfung:

  • Inhalt: der Export der Nachricht oder Unterhaltung.
  • Kontext: Konto, Profil, Beteiligte, Zeitraum und Grund der Erfassung.
  • Struktur: Format und Beziehungen zwischen Dateien, Ordnern, Anhängen und Nachrichtendatensätzen.
  • Metadaten: Angaben wie Verfasser und Erstellungsdatum sowie der von Ihnen dokumentierte Exportumfang und Zeitstempel.

Behandeln Sie für diese Checkliste den heruntergeladenen Export als die zu bewahrende Kopie und prüfen Sie anschließend, ob er diese Elemente enthält. NARA nennt plattformspezifische APIs, Web-Erfassung, manuelle Methoden und Exportfunktionen der Plattform als mögliche Erfassungsmethoden. Wenn ein Anbieter keinen vollständigen Datensatz exportieren kann, bleibt die Organisation laut NARA für die Umsetzung der Erfassungsanforderungen verantwortlich (NARA-Leitfaden).

Wenn Ihr Aufbewahrungsplan auch öffentliche Social-Media-Inhalte umfasst, sichert SocialGuardian automatisch Beiträge, Stories und Videos von großen Plattformen. Laut Website umfasst die Sicherung Medien und Metadaten; ein vollständiger Archivexport ist jederzeit verfügbar. SocialGuardian ansehen

2. Konten, Verantwortliche und Aufbewahrung vor dem Export erfassen

Erstellen Sie vor der Datenanforderung für jedes Netzwerk und jedes Profil eine Zeile. Erfassen Sie:

  • Netzwerk und Profil-Handle oder URL
  • Kontoinhaber oder zuständige Person
  • Geschäftszweck und relevanter Nachrichtenumfang
  • Angeforderter Zeitraum
  • Exportmethode und Format
  • Anforderungsdatum, Zustellungsdatum und Zugriffsverantwortlicher
  • Speicherort und Aufbewahrungsregel
  • Bekannte Ausschlüsse, Verzögerungen oder Hinweise auf gelöschte Inhalte

Die Plattform allein entscheidet nicht, ob eine Nachricht zu einem regulierten Datensatz gehört. FINRA erklärt, dass die Pflichten zur Aufbewahrung von Social-Media-Aufzeichnungen davon abhängen, ob es sich um eine geschäftliche Kommunikation handelt, nicht allein von der Plattform. Diese Analyse hängt auch nicht vom Gerät oder der Technologie ab, einschließlich eines privaten Geräts (FINRA-Mitteilung 11-39).

Auch die Aufbewahrung ist keine einheitliche Zahl. Zum Beispiel:

Regel oder Grundsatz Aussage der zitierten Quelle Verwendung in der Übersicht
FINRA-Aufzeichnungen von Broker-Dealern Bestimmte Aufzeichnungen müssen mindestens drei Jahre aufbewahrt werden; die ersten zwei Jahre müssen leicht zugänglich sein. Prüfen Sie, ob die Kommunikation unter die geltende Aufbewahrungsregel fällt.
Dokumentation nach der HIPAA Security Rule Erforderliche Dokumentation wird sechs Jahre ab ihrer Erstellung oder ab dem letzten Inkrafttreten aufbewahrt, je nachdem, welcher Zeitpunkt später liegt. Prüfen Sie vor Anwendung dieser Frist, ob das Element eine erforderliche Dokumentation ist.
DSGVO-Erwägungsgrund 39 Die Speicherung sollte auf ein striktes Minimum begrenzt und angemessen geschützt sowie vertraulich behandelt werden. Legen Sie eine notwendige Frist und Zugriffskontrollen fest, statt alles unbegrenzt aufzubewahren.

Die FINRA-Frist ist in der Mitteilung 11-39 festgelegt, die HIPAA-Anforderung findet sich in 45 CFR 164.316, und die Formulierungen zu Speicherung und Sicherheit stehen in DSGVO-Erwägungsgrund 39. Dies sind Quellenbeispiele, keine allgemeingültige Aufbewahrungsrichtlinie. NIST empfiehlt, forensische Verfahren erst anzuwenden, nachdem Management und Rechtsberatung zu den geltenden Gesetzen und Vorschriften konsultiert wurden (NIST SP 800-86).

Lassen Sie ein System, das elektronische Kommunikation automatisch löscht oder entfernt, nicht Ihre einzige Aufzeichnungskontrolle sein: FINRA zufolge würde eine solche Technologie die Aufbewahrung der Kommunikation verhindern (FINRA-Mitteilung 11-39).

3. Nachrichten und Kontodaten über dokumentierte native Abläufe exportieren

Verwenden Sie den offiziellen Ablauf der jeweiligen Plattform und speichern Sie die Anforderungsdetails zusammen mit den resultierenden Dateien.

Instagram

Auf dem Desktop starten Sie einen offiziellen Export über Mehr > Einstellungen > Meta-Konto > Deine Informationen und Berechtigungen > Deine Informationen exportieren > Export erstellen. Instagram erklärt, dass Sie bestimmte Informationen, einen Zeitraum, das Format, eine Benachrichtigungs-E-Mail-Adresse und die Medienqualität auswählen können, bevor Sie den Export starten (Instagram-Hilfe).

Planen Sie das Zustellungsfenster ein: Instagram zufolge ist ein fertiger Export vier Tage verfügbar, während es bis zu 30 Tage dauern kann, bis ein Exportlink eintrifft. Auf der Hilfeseite steht außerdem, dass gelöschte Informationen möglicherweise nicht erscheinen und der Export passwortgeschützt sowie nur für den Kontoinhaber zugänglich ist (Instagram-Hilfe). Notieren Sie das Anforderungsdatum und das Datum, an dem Sie die Dateien tatsächlich heruntergeladen haben.

Facebook

Auf dem Desktop lautet der offizielle Weg von Facebook Profilbild > Einstellungen und Privatsphäre > Einstellungen > Meta-Konto > Deine Informationen und Berechtigungen > Deine Informationen exportieren > Export erstellen. Facebook ermöglicht die Auswahl von HTML oder JSON; laut Hilfeseite ist HTML in einer ZIP-Datei für Browser geeignet und JSON maschinenlesbar (Facebook-Hilfe).

Auf derselben Hilfeseite steht, dass fertige Exporte vier Tage verfügbar bleiben und der Export passwortgeschützt ist. Facebook weist außerdem darauf hin, dass Kategorien unterschiedlich lange gespeichert werden und gelöschte Informationen oder Inhalte im Export nicht erscheinen (Facebook-Hilfe; Verfügbarkeit von Facebook-Daten). Behandeln Sie das Ergebnis als zu prüfenden Kontoinformationsexport und nicht als Beleg dafür, dass jede historische Nachricht vorhanden ist.

LinkedIn

Der offizielle Desktop-Weg von LinkedIn lautet Ich > Einstellungen und Datenschutz > Datenschutz > Deine Daten herunterladen. LinkedIn zufolge können Sie bestimmte Kategorien oder einen größeren Download auswählen: Ein bestimmter Datentyp kann innerhalb weniger Minuten eintreffen, ein größerer Download innerhalb von 24 Stunden, und der Downloadlink bleibt 72 Stunden verfügbar (LinkedIn-Hilfe).

Es gibt zwei wichtige Einschränkungen. LinkedIn erklärt, dass die Downloadfunktion auf Mobilgeräten nicht verfügbar ist und nur die personenbezogenen Daten des anfordernden Mitglieds liefert, nicht die Daten anderer Mitglieder (LinkedIn-Hilfe). Halten Sie beide Einschränkungen im Aufbewahrungsdatensatz fest.

WhatsApp

Das gespeicherte offizielle Verfahren gilt für Android: Chat öffnen > Weitere Optionen > Mehr > Chat exportieren > Ohne Medien oder Medien einschließen > Freigabemethode auswählen (WhatsApp-Hilfe).

WhatsApp erklärt, dass ein exportierter Chatverlauf eine Textdatei und keine Sicherungsdatei ist und nicht wieder importiert werden kann. Wenn Sie Medien einschließen auswählen, werden die zuletzt gesendeten Medien als Anhänge hinzugefügt. Bewahren Sie den Textexport und die Anhänge gemeinsam auf und bezeichnen Sie das Ergebnis erst nach einer Prüfung seines Umfangs als vollständiges Medienarchiv (WhatsApp-Hilfe).

Google Takeout und andere Kontoarchive

Google beschreibt Takeout als Möglichkeit, ein Archiv zur Aufbewahrung von Aufzeichnungen oder zur Übertragung von Daten zu erstellen. Die Archiverstellung kann laut Google wenige Minuten bis mehrere Tage dauern. Sie können Dateityp und maximale Archivgröße auswählen; überschreiten die ausgewählten Daten diese Größe, werden mehrere Archive erstellt (Google Takeout).

Google warnt außerdem, dass eine Datendatei möglicherweise keine Änderungen enthält, die zwischen der Downloadanforderung und der Archiverstellung vorgenommen wurden (Google Takeout). Dokumentieren Sie die Zeitpunkte von Anforderung und Archiverstellung und bewahren Sie jeden Archivteil auf.

TikTok und Plattformen ohne hier dokumentierten Ablauf

Dieses Recherchepaket legt keinen offiziellen TikTok-Exportweg und keine Aussage zum Umfang von TikTok-Direktnachrichten fest. Übernehmen Sie keinen Instagram-, Facebook- oder LinkedIn-Weg für TikTok. Dokumentieren Sie stattdessen die aktuell dokumentierte Exportoption der Plattform, sofern eine verfügbar ist; andernfalls halten Sie Erfassungsmethode und Einschränkung fest. NARA nennt APIs, Web-Erfassung, manuelle Methoden und Exportfunktionen der Plattform als mögliche Methoden. Die Wahl hängt von der Plattformkonfiguration und den organisatorischen Anforderungen ab (NARA-Leitfaden).

Brauchen Sie die umgebenden Social-Media-Aufzeichnungen organisiert, während Sie Nachrichtenexporte dokumentieren? SocialGuardian führt Instagram, TikTok, YouTube, X, Facebook, LinkedIn, Twitch und Pinterest auf und erklärt, Medien sowie Metadaten zu sichern. Einrichtungsoptionen ansehen

4. Original, Kontext und Zugriffsdatensatz bewahren

Bewahren Sie die gelieferten Originaldateien auf. Überschreiben Sie sie nicht, während Sie eine besser lesbare Arbeitskopie erstellen. Speichern Sie zusammen mit dem Export ein Manifest mit:

  • Plattform, Profil-Handle oder URL und zuständiger Person
  • Angefordertem Umfang und Zeitraum
  • Zeitstempel der Anforderung und des Downloads
  • Dateinamen, Formaten und Anzahl der Archivteile
  • Einstellung für enthaltene Medien oder Anhänge
  • Hinweisen zum Zustellungsfenster und Passwortschutz
  • Fehlenden Kategorien, Warnungen zu gelöschten Inhalten oder anderen Einschränkungen
  • Speicherort und Personen oder Rollen mit Zugriffsberechtigung

Dies ist die praktische Anwendung von NARAs Standard für Inhalt, Kontext, Struktur und Metadaten (NARA-Leitfaden).

Screenshots können eine manuelle Erfassungsmethode sein, aber die gespeicherten Belege etablieren einen Screenshot allein nicht als vollständigen Nachrichtendatensatz. Bewahren Sie den nativen Export auf, sofern verfügbar, erhalten Sie den umgebenden Kontext und kennzeichnen Sie jede manuelle Erfassung als Methode mit dokumentierter Einschränkung, statt sie standardmäßig als vollständig zu bezeichnen.

Der dokumentierte Produktumfang von SocialGuardian betrifft die umgebenden Social-Media-Inhalte: Laut Website sichert der Dienst automatisch Beiträge, Stories und Videos, umfasst Medien und Metadaten und ermöglicht jederzeit den Export eines vollständigen Archivs. Hier gibt es keinen Beleg dafür, dass private Nachrichten exportiert werden. Trennen Sie daher den Nachrichtenexport-Ablauf oben von dieser Produktbeschreibung (SocialGuardian).

5. Vollständigkeit und unveränderte Dateien prüfen

Führen Sie für jeden Export dieses Prüfblatt aus:

  1. Vergleichen Sie angefordertes Netzwerk, Profil, Kategorien und Zeitraum mit dem gelieferten Umfang.
  2. Zählen Sie jeden Archivteil und jeden Anhang und vermerken Sie fehlende oder nicht lesbare Dateien.
  3. Öffnen Sie die gelieferte HTML-, JSON- oder Textausgabe und bestätigen Sie, dass sie lesbar ist.
  4. Prüfen Sie das Manifest anhand des angegebenen Zustellungsfensters und der Einschränkungen der Plattform.
  5. Dokumentieren Sie Warnungen zu gelöschten Inhalten sowie zu Änderungen zwischen Anforderung und Archiverstellung.
  6. Bewahren Sie den Originalexport getrennt von jeder Prüfungskopie auf.
  7. Berechnen Sie für jede bewahrte Datei oder jedes Archiv einen Hash und speichern Sie den Wert im Manifest.
  8. Berechnen Sie den Hash bei Prüfung oder Übertragung erneut und untersuchen Sie einen geänderten Wert.

NIST definiert eine Hashfunktion als Algorithmus, der einen numerischen Wert berechnet, der eine Datendatei oder elektronische Nachricht repräsentiert und vom gesamten Inhalt dieser Datei oder Nachricht abhängt (NIST-Glossar zur Hashfunktion). Dadurch eignet sich ein Hash zur Prüfung, ob sich ein gespeicherter Export verändert hat; er beantwortet jedoch nicht, ob der ursprüngliche Export vollständig war.

Die Vollständigkeitsprüfung ist wichtig, weil Instagram erklärt, dass gelöschte Informationen möglicherweise nicht erscheinen, Facebook sagt, dass gelöschte Informationen oder Inhalte nicht erscheinen, und Google warnt, dass Änderungen zwischen Downloadanforderung und Archiverstellung fehlen können. Dokumentieren Sie jede Lücke und eskalieren Sie sie, statt einen unvollständigen Export stillschweigend als vollständig zu behandeln (Instagram-Hilfe; Verfügbarkeit von Facebook-Daten; Google Takeout).

6. Aufbewahrungs-, Zugriffs- und Hold-Kontrollen anwenden

Verwenden Sie die Übersicht aus Schritt 2, um die Regel anzuwenden, die tatsächlich für die Kommunikation gilt. Beschränken Sie den Zugriff auf die im Manifest erfassten Personen oder Rollen und bewahren Sie den Grund für jede Ausnahme oder rechtliche Aufbewahrungssperre auf. Die Quellen stützen folgende Governance-Prüfungen:

  • FINRA erklärt, dass der Geschäftszweck der Kommunikation maßgeblich ist und die zitierte Broker-Dealer-Regel verlangt, bestimmte Aufzeichnungen mindestens drei Jahre aufzubewahren; die ersten zwei Jahre müssen leicht zugänglich sein (FINRA-Mitteilung 11-39).
  • Die zitierte HIPAA-Anforderung der Security Rule besagt, dass erforderliche Dokumentation sechs Jahre ab Erstellung oder ab dem letzten Inkrafttreten aufzubewahren ist, je nachdem, welcher Zeitpunkt später liegt (45 CFR 164.316).
  • DSGVO-Erwägungsgrund 39 besagt, dass der Speicherzeitraum auf ein striktes Minimum begrenzt und personenbezogene Daten angemessen sicher sowie vertraulich verarbeitet werden sollten (DSGVO).

NARA empfiehlt eine Arbeitsgruppe für Social-Media-Aufzeichnungen mit Mitarbeitenden aus Records Management, Social Media, IT, Datenschutz und Informationssicherheit, Rechtsberatung sowie Öffentlichkeitsarbeit (NARA-Leitfaden). Übertragen Sie diese Funktionen oder ihre Entsprechungen auf Zuständigkeiten für Eigentümerschaft, Prüfung, Zugriff und Eskalation. Wenden Sie die Regel erst an, nachdem das zuständige Team und die Rechtsberatung bestätigt haben, dass sie für die Daten und den Gerichtsstand geeignet ist.

7. Plattformübergreifende Checkliste zur Nachrichtenaufbewahrung

Kopieren Sie dies in Ihr Aufbewahrungsticket:

  • Jedes Netzwerk, jeden Profil-Handle oder jede URL, die zuständige Person und den Geschäftszweck auflisten.
  • Die aufzubewahrenden Nachrichtenkategorien und den Zeitraum festlegen.
  • Den dokumentierten nativen Export oder eine andere dokumentierte Erfassungsmethode auswählen.
  • Anforderungszeit, Zustellungszeit, Format, Medieneinstellung und Zustellungsfenster dokumentieren.
  • Den Originalexport sowie alle Archivteile und Anhänge bewahren.
  • Inhalt, Kontext, Struktur und zugehörige Metadaten bewahren.
  • Einschränkungen zu gelöschten Inhalten, mobiler Verfügbarkeit, Nur-eigene-Daten, Textformat oder Zeitpunkten dokumentieren.
  • Die gelieferten Dateien öffnen und prüfen.
  • Für jede Originaldatei oder jedes Archiv einen Hash berechnen und speichern.
  • Zugriff beschränken und die zugriffsverantwortliche Person dokumentieren.
  • Die bestätigte Aufbewahrungsregel und jede Sperre anwenden.
  • Einen unvollständigen Export an die zuständige Stelle für Aufzeichnungen, Sicherheit, Datenschutz oder Recht eskalieren.

Ein Compliance-Prozess benötigt sowohl den Datensatz des Nachrichtenexports als auch den umgebenden Social-Media-Datensatz. Verwenden Sie SocialGuardian für die dokumentierten Beiträge, Stories, Videos, Medien, Metadaten und den vollständigen Archivexport und bewahren Sie anschließend Ihr Nachrichtenexport-Manifest neben den relevanten Aufzeichnungen auf. Jetzt starten

FAQ

Was ist der Unterschied zwischen der Sicherung und der Archivierung von Social-Media-Nachrichten?

Verwenden Sie den Export als zu bewahrende Kopie und prüfen Sie ihn anschließend auf Inhalt, Kontext, Struktur und Metadaten. Wenn ein Anbieter keinen vollständigen Datensatz exportieren kann, kann eine zusätzliche Erfassung erforderlich sein; NARA erklärt, dass die Organisation für die Umsetzung der Erfassungsanforderungen verantwortlich bleibt (NARA-Leitfaden).

Wie exportiert man Instagram-Direktnachrichten für Compliance-Zwecke?

Verwenden Sie auf dem Desktop Mehr > Einstellungen > Meta-Konto > Deine Informationen und Berechtigungen > Deine Informationen exportieren > Export erstellen. Wählen Sie Informationen, Zeitraum, Format, Benachrichtigungs-E-Mail-Adresse und Medienqualität. Dokumentieren Sie die vier Tage Verfügbarkeit, die mögliche Wartezeit von 30 Tagen, den Passwortschutz und die Einschränkung durch gelöschte Informationen (Instagram-Hilfe).

Kann man Facebook-Messenger-Nachrichten herunterladen?

Facebook dokumentiert einen Kontoinformationsexport in HTML oder JSON über Profilbild > Einstellungen und Privatsphäre > Einstellungen > Meta-Konto > Deine Informationen und Berechtigungen > Deine Informationen exportieren > Export erstellen. Prüfen Sie die gelieferten Kategorien, statt anzunehmen, dass jede historische Nachricht vorhanden ist: Facebook erklärt, dass Kategorien unterschiedlich lange gespeichert werden und gelöschte Inhalte nicht erscheinen (Facebook-Hilfe; Verfügbarkeit von Facebook-Daten).

Wie exportiert man LinkedIn-Nachrichten oder Kontodaten?

Verwenden Sie auf dem Desktop Ich > Einstellungen und Datenschutz > Datenschutz > Deine Daten herunterladen. LinkedIn zufolge können bestimmte Kategorien innerhalb weniger Minuten, ein größerer Download innerhalb von 24 Stunden eintreffen und der Link bleibt 72 Stunden verfügbar. Die Funktion ist auf Mobilgeräten nicht verfügbar und liefert nur die Daten des anfordernden Mitglieds, nicht die Daten anderer Mitglieder (LinkedIn-Hilfe).

Öffnen Sie unter Android den Chat, wählen Sie Weitere Optionen > Mehr > Chat exportieren, anschließend Ohne Medien oder Medien einschließen, und wählen Sie eine Freigabemethode. WhatsApp erklärt, dass das Ergebnis eine Textdatei und keine wieder importierbare Sicherung ist; das Einschließen von Medien fügt die zuletzt gesendeten Medien als Anhänge hinzu (WhatsApp-Hilfe). Bewahren Sie Export und Einschränkungen im Manifest auf.

Ermöglicht TikTok den Download von Direktnachrichten und Kontodaten?

Dieses Evidenzpaket legt keinen TikTok-Exportweg und keinen Umfang für Direktnachrichten fest. Leiten Sie keinen solchen Weg von einer anderen Plattform ab. Prüfen Sie die aktuelle TikTok-Dokumentation und dokumentieren Sie Methode und Grenzen; NARA nennt APIs, Web-Erfassung, manuelle Methoden und Exportfunktionen der Plattform als mögliche Erfassungsmethoden (NARA-Leitfaden).

Reichen Screenshots aus, und welche Metadaten sollten bewahrt werden?

Die gespeicherten Informationen nennen manuelle Methoden als mögliche Erfassungsmethode, belegen aber nicht, dass Screenshots allein einen vollständigen Datensatz darstellen. Bewahren Sie den nativen Export auf, sofern verfügbar, und erhalten Sie Inhalt, Kontext, Struktur sowie zugehörige Metadaten wie Verfasser und Erstellungsdatum (NARA-Leitfaden).

Wie lange sollten Nachrichten aufbewahrt werden, und wie prüft man eine Sicherung?

Wenden Sie die für die Kommunikation bestätigte Regel an. Die genannten Beispiele umfassen mindestens drei Jahre für bestimmte FINRA-Broker-Dealer-Aufzeichnungen, sechs Jahre für erforderliche HIPAA-Dokumentation und das Prinzip einer strikten Mindestaufbewahrung nach der DSGVO. Vergleichen Sie zur Prüfung den Umfang mit den gelieferten Dateien, dokumentieren Sie Plattformgrenzen, bewahren Sie die Originale auf und speichern Sie Hashes; NIST erklärt, dass ein Hash vom gesamten Inhalt der Datei oder Nachricht abhängt (FINRA-Mitteilung 11-39; 45 CFR 164.316; DSGVO; NIST-Glossar zur Hashfunktion).