Versehentlich kann es passieren, dass einzelne WhatsApp-Nachrichten oder komplette Chatverläufe gelöscht werden. Sie können nicht aus einem Papierkorb zurückgeholt werden, wie gelöschte Dateien auf einem PC. Dennoch können sie wiederhergestellt werden, was insbesondere dann wichtig ist, wenn sie zur Beweissicherung in Fällen von Cyberkriminalität dienen sollen. In solchen Fällen können professionelle IT-Forensiker mit der Wiederherstellung der Nachrichten beauftragt werden.
Wie Smartphone-Nutzer selbst gelöschte WhatsApp-Nachrichten wiederherstellen können
Smartphone-Nutzer, die WhatsApp-Nachrichten gelöscht haben, können diese Nachrichten mitunter selbst wiederherstellen. Es kommt darauf an, wie lange es her ist, dass diese Nachrichten gelöscht wurden. Es bestehen kaum Chancen bei selbstlöschenden Nachrichten, die nach dem festgelegten Zeitraum automatisch verschwinden: Obwohl sie in einem vor ihrem Verschwinden angefertigten Backup enthalten sind, werden sie beim Wiederherstellen dieses Backups laut WhatsApp erneut gelöscht. In WhatsApp können selbstlöschende Nachrichten für individuelle Chats oder als Standardoption für neue Chats aktiviert werden.
Ein Chat-Backup erleichtert die Wiederherstellung gelöschter Nachrichten.
Es muss jedoch vor der Löschung einer Nachricht erstellt worden sein. Nicht jeder Handynutzer erstellt solche Chat-Backups.
Da es sich um selbstlöschende Nachrichten handeln kann oder kein Chat-Backup erstellt wurde, können die gelöschten Nachrichten nicht immer wiederhergestellt werden. Sollen allerdings die gelöschten WhatsApp-Nachrichten als Beweismittel vor Gericht genutzt werden, da ein Fall von Cyberkriminalität vorliegt, kann eine forensische Smartphone-Analyse durch einen IT-Forensiker hilfreich sein.
Möglichkeiten zur Wiederherstellung gelöschter Nachrichten
Smartphone-Nutzer können gelöschte WhatsApp-Nachrichten auf verschiedene Weise wiederherstellen:
- Wenn eine Nachricht vor dem Löschen zitiert wurde, ist sie im Antwortfeld noch sichtbar. Ob sie wiederhergestellt werden kann, hängt vom Verhalten der anderen Chatteilnehmer ab.
- Bei vielen Android-Geräten ab Android 11 lässt sich ein Benachrichtigungsverlauf nutzen. Ist dieser rechtzeitig aktiviert und die Nachrichten Vorschau zugelassen, können dort unter Umständen Teile gelöschter Textnachrichten eingesehen werden.
- Am kompliziertesten ist die Wiederherstellung des WhatsApp-Backups. Das letzte Backup lässt sich wiederherstellen, wenn WhatsApp deinstalliert und dann wieder neu installiert wird. Die Nachricht muss im Backup noch enthalten sein.
- Ist auf dem Smartphone kein systemseitiger Verlauf vorhanden, können Apps von Drittanbietern eine Alternative sein, um gelöschte Nachrichten wiederherzustellen. Die eingehenden Nachrichten werden in einer Protokollansicht gespeichert.
Wenn das Wiederherstellen von WhatsApp-Nachrichten an seine Grenzen stößt
Handynutzer können nicht alle WhatsApp-Nachrichten wiederherstellen. Das betrifft Sprachnachrichten, Fotos und Videos. Sie erscheinen nicht im Benachrichtigungsverlauf und können daher nicht ausgelesen werden.
Der Inhalt wird im Benachrichtigungsverlauf nicht protokolliert. Lediglich der Hinweis, dass es sich um eine Sprachnachricht, ein Foto oder ein Video handelt, erscheint im Protokoll.
Beispielsweise mit der Software iMyFone ChatsBack ist das selektive Durchsuchen von WhatsApp-Backups möglich. WhatsApp muss dafür nicht deinstalliert werden. Dieses Programm eignet sich insbesondere zum Auffinden einzelner gelöschter Nachrichten.
Risiken beim Wiederherstellen von WhatsApp-Nachrichten
Wer WhatsApp-Nachrichten auf seinem Smartphone wiederherstellen möchte, sollte nur Apps nutzen, die aus vertrauenswürdigen Quellen stammen. Zugriffsrechte sind kritisch zu prüfen. Häufig werden Nachrichten gelöscht, um die Privatsphäre zu schützen.
Es ist ebenfalls zu beachten, dass Absender Nachrichten oft absichtlich löschen, um ihre Privatsphäre zu wahren. Es gibt keine rechtlichen Bestimmungen, die das Lesen gelöschter Nachrichten auf dem eigenen Smartphone verbieten. Wer ohne Erlaubnis auf ein gesperrtes fremdes Smartphone zugreift, um Nachrichten auszulesen, kann sich wegen Ausspähens von Daten (§ 202a StGB) strafbar machen. Allerdings kann das Mitlesen gelöschter Nachrichten das Vertrauen zwischen den Nutzern belasten.
Nicht immer können gelöschte Nachrichten zurückgeholt werden. Das ist bei Android-Geräten ebenso wie bei iOS-Geräten der Fall. Systemeinschränkungen bei iOS verhindern das Tracken von Benachrichtigungen.
Wiederherstellung von WhatsApp-Nachrichten in der Smartphone-Forensik
In Fällen von Cyberkriminalität kommt es auf digitale Beweise an. Eine der ergiebigsten Quellen von digitalen Beweisen ist WhatsApp mit mehr als 3 Milliarden aktiven Nutzern.
IT-Forensiker können unter bestimmten Voraussetzungen gelöschte WhatsApp-Nachrichten wiederherstellen. Ob dies gelingt, hängt von verschiedenen technischen Faktoren ab.
Nicht immer sind gelöschte Nachrichten unwiederbringlich verloren. Nicht nur Textnachrichten können in der Smartphone-Forensik wiederhergestellt werden. Oft ist auch die Wiederherstellung von gelöschten Fotos, Videos und Kontakten bei WhatsApp und anderen Messenger-Diensten möglich.
Die Chancen, dass die gelöschten Nachrichten wiederhergestellt werden können, sind abhängig vom Zeitpunkt, wann sie gelöscht wurden, denn alte Speicherbereiche können mit neuen Daten überschrieben werden. Daher kommt es gerade bei der aktiven Nutzung eines Smartphones darauf an, möglichst keine Zeit zu verlieren.
Die Ende-zu-Ende-Verschlüsselung, die von Messenger-Diensten genutzt wird, schützt die Datenübertragung. Die Daten liegen jedoch auf den Geräten oft zugänglich oder sogar entschlüsselt vor. Die Smartphone-Forensik setzt hier an. Sie umgeht die Verschlüsselung nicht.
Nutzung von Cloud-Backups in der Smartphone-Forensik
Viele Smartphone-Nutzer sichern ihre Nachrichten in einer Cloud wie Google Drive oder iCloud. Wurden die Nachrichten auf dem Smartphone gelöscht, können sie noch in der Cloud vorhanden sein.
Um die Cloud-Daten zu analysieren, kommt es auf eine sorgfältige rechtliche Prüfung und technisches Know-how an.
WhatsApp-Nachrichten unterliegen im Gericht der freien Beweiswürdigung, insbesondere im Zivilprozess nach § 286 ZPO. Ein einfacher Screenshot kann jedoch leicht in Frage gestellt werden. Forensisch gesicherte Daten mit Metadaten haben einen deutlich höheren Beweiswert. Es handelt sich um eingebettete Informationen, die technische Parameter und den Entstehungskontext erläutern. Bei Chatnachrichten sind das beispielsweise:
- Zeitstempel zu Erstellung und Bearbeitung
- Telefonnummer bzw. Konto des Absenders
- Geräteinformationen
- Kameraeinstellungen
- Software-Details
- Bearbeitungshistorie
Mediendateien werden von WhatsApp in speziellen Ordnern organisiert. Sie können mit speziellen Tools extrahiert werden.
Hürden bei der Wiederherstellung gelöschter WhatsApp-Nachrichten
Nicht immer ist es für IT-Forensiker möglich, gelöschte WhatsApp-Nachrichten wiederherzustellen. IT-Forensiker müssen verschiedene Hürden bewältigen. Solche Hürden sind Sperrmechanismen wie PINs, komplexe Passwörter, Gesichtserkennung und Fingerabdrucksensoren.
Daten werden durch starke Verschlüsselungen effektiv geschützt. Viele Inhalte sind nur durch Entsperrung zugänglich. Die Arbeit wird auch durch System- und Sicherheitsupdates erschwert. Ob sich WhatsApp-Nachrichten wiederherstellen lassen, hängt vom jeweiligen Gerät und der vorhandenen Version des Betriebssystems ab.
Weiterhin müssen die Datenschutzbestimmungen und die Persönlichkeitsrechte beachtet werden. Daten unbeteiligter Dritter dürfen nicht immer ausgewertet und dokumentiert werden.
Privatpersonen sollten keine eigenständigen Wiederherstellungsversuche vornehmen, wenn die Nachrichten als Beweismaterial vor Gericht genutzt werden sollen. Fragwürdige Software kann die Daten unwiederbringlich zerstören, sodass eine Datenrettung nicht mehr möglich ist.
