Wie das Dokument entsteht

Diese Seite beschreibt, wie ChatExport ein Dokument erzeugt und was sich daraus tatsächlich ableiten lässt. Die zweite Hälfte ist die wichtigere: was das Programm nicht wiederherstellen kann und was in diesen Fällen im Dokument übrig bleibt. Ein Dokument, das seine Grenzen selbst benennt, ist mehr wert als eines, in dem die Gegenseite sie findet.

Es gibt zwei Quellen, und sie sind nicht gleich stark. Ein iPhone-Backup ist eine Datenbank, die Apples eigene Software geschrieben hat. Ein WhatsApp-Export ist ein Protokoll, das WhatsApp auf Anforderung erstellt hat. Alles Folgende gilt für das Backup, sofern nicht anders vermerkt, und der Abschnitt über WhatsApp-Exporte benennt genau, wo der Unterschied liegt.

Woher der Text kommt

Die Nachrichten stammen aus der Nachrichten-Datenbank, die Apples eigene Software in das Backup auf Ihrem PC geschrieben hat. Nichts wird abgetippt, abfotografiert oder aus einem Bild eines Bildschirms zurückgelesen.

ChatExport findet diese Datenbank im Backup über ihren festen Pfad HomeDomain/Library/SMS/sms.db, in jeder Ordnerstruktur, die Apple bisher benutzt hat.
Das Schreibprotokoll der Datenbank, sms.db-wal, wird mitkopiert und auf der Kopie angewendet, nie in Ihrem Backup. Genau an diesem Schritt verschwinden sonst die neuesten Nachrichten stillschweigend aus einem Export.
Das Backup selbst wird nie beschrieben. ChatExport öffnet es nur lesend und arbeitet auf einer eigenen Arbeitskopie in einem temporären Ordner. Nach dem Lesen ist das Backup Byte für Byte so, wie Apples Software es geschrieben hat, und in seinem Ordner kommt nichts hinzu, auch keine Hilfsdateien.
Der Aufbau dieser Datenbank hat sich zwischen den iOS-Versionen mehrfach geändert. Das Programm erkennt, welchen Aufbau es vor sich hat, und stellt sich darauf ein. Deshalb öffnet sich auch ein Backup von einem Telefon, das Sie längst nicht mehr haben. iOS 11 bis zur aktuellen Version.
Zeitstempel, Zustell- und Lesezeiten, Reaktionen, Antworten, Bearbeitungen und die Einträge zu Anhängen stehen in denselben Datensätzen wie der Text. Sie werden gelesen, nicht erschlossen.

Wenn die Quelle stattdessen ein WhatsApp-Export ist

Die zweite Quelle ist die Datei, die WhatsApp bei „Chat exportieren“ schreibt: entweder eine .zip mit den Medien neben dem Protokoll oder eine reine .txt ohne sie. Dasselbe Programm liest sie und baut daraus dasselbe Dokument, aber als Beweismittel ist das schwächer als ein Backup, und das Dokument sagt es, statt beide Quellen gleich aussehen zu lassen.

Das Dokument nennt seine Quelle. Jeder Export aus einer WhatsApp-Datei trägt zwei zusätzliche Zeilen im Kopf: den Namen dieser Datei und deren SHA256. Ein Dokument aus einem iPhone-Backup tut dasselbe eine Ebene tiefer: seine Seite „Integrität des Dokuments“ führt die SHA-256 der Nachrichtendatenbank genau so auf, wie das Backup sie speichert. Beide Arten von Dokument lassen sich damit auf die Datei zurückführen, aus der sie gelesen wurden.
Zwei Prüfsummen, zwei verschiedene Aussagen. Die aus dem nächsten Abschnitt betrifft die Datei, die ChatExport geschrieben hat, und sagt, dass sie seitdem unverändert ist. Die Quell-Prüfsumme betrifft die Datei, die WhatsApp geschrieben hat, und sagt, dass dieses Dokument genau aus ihr entstanden ist. Bewahren Sie die Exportdatei unverändert auf, so wie Sie einen Backup-Ordner aufbewahren würden.
Die Datei enthält keine Zeitzone. Ihre Uhrzeiten werden in der Zeitzone des Computers gelesen, auf dem der Import läuft. Der Importbildschirm sagt das, bevor Sie irgendetwas exportieren, und die Titelseite nennt die Zone. Fand die Unterhaltung anderswo statt, sind die gedruckten Uhrzeiten die dieses Computers und nicht die des Telefons.
Die Datei sagt nicht, wer sie exportiert hat. In einem Protokoll sehen beide Seiten gleich aus, also fragt ChatExport, welche der beteiligten Personen Sie sind, und ohne Antwort geht es nicht weiter. Zu raten, wer mehr oder wer zuerst geschrieben hat, läge oft genug daneben, um als Beweismittel unbrauchbar zu sein.
Zeilen über die Gruppe selbst entfallen und werden gezählt. Jemand tritt bei, ein Name ändert sich, ein verpasster Anruf, der Hinweis auf die Verschlüsselung: Sie tragen eine Uhrzeit, aber keinen Absender. Sie werden ausgelassen, ihre Anzahl wird gezählt, und der Importbildschirm zeigt diese Zahl. Sie stillschweigend wegzulassen hieße, einen Teil der Datei vor demjenigen zu verbergen, der sich darauf stützt.

Wie die Reihenfolge im Datum bestimmt wird

Ein WhatsApp-Export verrät nichts über das Telefon, das ihn erstellt hat. „03.04.2026“ ist also je nach dessen Einstellung der 3. April oder der 4. März, und die falsche Lesart verschiebt jedes Datum im Dokument. Die Entscheidung fällt einmal, über alle Zeitstempel der Datei zugleich, und der Importbildschirm zeigt sowohl die Entscheidung als auch das, was sie entschieden hat.

Was entscheidet	Was auf dem Bildschirm steht
Eine vierstellige Jahreszahl am Anfang, wie in 2026-04-03	Sicher, die Datei schreibt das Jahr zuerst.
Ein Bestandteil über 12, irgendwo in der Datei	Sicher, ein Datum in der Datei entscheidet es.
Die Reihenfolge der Datei selbst. Ein Export beginnt bei der ältesten Nachricht, also läuft nur eine Lesart der Daten vorwärts in der Zeit	Sicher, nur diese Lesart läuft vorwärts in der Zeit.
Nichts davon, was vorkommt, wenn die Unterhaltung in einen einzigen Monat fällt	Angenommen, Tag vor Monat. Nichts in der Datei entscheidet es.

Die letzte Zeile ist der Grund für alles davor. Eine Deutung, die niemand überprüfen kann, hat in einem Dokument für ein Verfahren nichts verloren. Deshalb steht der Unterschied zwischen „aus der Datei gelesen“ und „angenommen“ vor dem Export auf dem Bildschirm, und zwar mit diesen Worten.

Was die SHA256-Prüfsumme abdeckt

Sobald das Dokument fertig und auf die Platte geschrieben ist, liest das Programm diese Datei zurück und berechnet Byte für Byte eine SHA256-Prüfsumme davon. Jedes Format bekommt eine, nicht nur PDF: eine CSV-Datei, die bei einer Kanzlei landet, verdient dieselbe Behandlung.

Die Prüfsumme steht auf dem Abschlussbildschirm, mit einer Schaltfläche zum Kopieren.
Sie wird außerdem als <Datei>.sha256 neben den Export geschrieben, in dem Format, das certutil -hashfile unter Windows und sha256sum -c anderswo bereits verstehen. Jede Seite kann die Datei später ohne dieses Programm nachrechnen.
Sie deckt die gesamte Datei ab. Ändern Sie irgendwo darin ein einziges Zeichen, passt die Prüfsumme nicht mehr.

Sie belegt also genau eines: dass dies die Datei ist, die aus dem Export hervorgegangen ist. Über das, was auf dem Telefon passiert ist, belegt sie nichts. Sie ist ein Siegel auf einem Dokument, keine Zeugin einer Unterhaltung.

Weil die Prüfsumme erst aus dem fertigen Dokument berechnet wird, kann sie nicht in dem Dokument stehen, das sie beschreibt. Deshalb steht sie auf dem Bildschirm und in der kleinen Datei daneben, und deshalb lohnt es sich, sie beim Einreichen zu notieren.

Ein zweiter Export hat eine andere Prüfsumme, und das ist richtig so

Exportieren Sie dieselbe Unterhaltung zweimal aus demselben Backup, haben die beiden Dateien nicht dieselbe Prüfsumme. Jede Titelseite hält fest, wann genau dieses Dokument entstanden ist, also unterscheiden sich die beiden in dieser Zeile. Ein einziges abweichendes Zeichen genügt.

Das ist kein Mangel. Die Prüfsumme war nie ein Kennzeichen für eine Unterhaltung. Sie kennzeichnet eine Datei. Der Wert eines zweiten Exports liegt darin, dass er sich gleich liest, weil er aus demselben Backup stammt. Deshalb ist es sinnvoll, den Backup-Ordner zusammen mit dem Dokument aufzubewahren, statt zu erwarten, dass zwei Exporte übereinstimmen.

Eine zweite Prüfsumme zeigt zurück auf das Backup

Die Prüfsumme oben beantwortet eine Frage: ob sich die Datei nach dem Schreiben verändert hat. Die Seite „Integrität des Dokuments“ beantwortet die andere, nämlich woher das Dokument kommt. Sie führt die SHA-256 der Nachrichtendatenbank genau so auf, wie das Backup sie speichert, und nennt das Schreibprotokoll getrennt, wenn das Backup eines enthielt, das noch nicht eingearbeitet war. Daneben stehen Gerätename, iOS-Version und Sicherungsdatum.

Wer dasselbe Backup besitzt, kann diese Prüfsummen nachrechnen und bestätigen, dass das Dokument aus genau diesen Dateien entstanden ist, ohne dieses Programm. Weil die Dateien so gehasht werden, wie das Backup sie speichert, lassen sich die Zahlen eines verschlüsselten Backups ohne dessen Passwort reproduzieren. Dieselbe Seite hält im Dokument selbst fest, dass das Backup nur lesend geöffnet und nicht verändert wurde.

Zeitzonen

Die Datenbank speichert jede Nachricht als Zeitpunkt, gezählt ab 2001, ohne eine Zeitzone daran. Das Programm rechnet jeden dieser Zeitpunkte in die Ortszeit des Computers um, auf dem der Export läuft, und die Titelseite benennt diese Zone einmal, in der Form Europe/Berlin (UTC+02:00). An den Nachrichten selbst stehen dann nur noch Uhrzeiten, ohne den Versatz in jeder Zeile zu wiederholen.

Daraus folgen zwei Dinge, und beide weiß man besser vorher als von der Gegenseite.

Dieselbe Unterhaltung, auf zwei unterschiedlich eingestellten Computern exportiert, zeigt unterschiedliche Uhrzeiten. Eine kurz vor Mitternacht gesendete Nachricht kann unter einem anderen Datum stehen, weil die Tagestrenner aus derselben Ortszeit gebildet werden wie die Uhrzeiten.
Die Reihenfolge ändert sich nie. Nachrichten werden in der Reihenfolge des gespeicherten Zeitpunkts gelesen, keine Zeitzoneneinstellung kann einen Verlauf umsortieren.

Der CSV-Export behält an jedem einzelnen Zeitstempel den vollen Versatz. Das ist das Format für den Fall, dass eine Unterhaltung über eine Zeitumstellung läuft und es auf die Minute ankommt.

Die Titelseite hält außerdem fest, wann der Export selbst ausgeführt wurde, auf die Minute genau, in derselben Zone.

Woher die Nachrichtennummern kommen

Bei eingeschalteter Nummerierung trägt jede Nachricht im Dokument eine Nummer, #1 bis #N, in der Reihenfolge des Sendens. Die Gerichtsansicht schaltet sie von sich aus ein, zusammen mit den übrigen überprüfbaren Angaben. Die Chat-Ansicht lässt sie aus, solange Sie sie nicht anfordern.

Die Nummerierung läuft durch das ganze Dokument und beginnt nicht auf jeder Seite neu. „#143“ bezeichnet auf Seite 2 dieselbe Nachricht wie auf Seite 40.
Eine Antwort druckt die Nummer der Nachricht, auf die sie sich bezieht („als Antwort auf #87“), sofern diese Nachricht im selben Export enthalten ist.
Die Gerichtsansicht setzt die Nummer in die Protokollzeile. Die Chat-Ansicht hängt sie an den Rand neben die Sprechblase, damit die Unterhaltung selbst genau so aussieht, wie sie aus dem Backup kommt.

Eine Einschränkung entscheidet darüber, wie eine solche Nummer zu zitieren ist. Die Nummer ist eine Position in diesem Dokument, kein Kennzeichen, das das Telefon mit sich führt. Exportieren Sie einen engeren Zeitraum, bekommt dieselbe Nachricht eine andere Nummer. Eindeutig wird eine Fundstelle also erst zusammen mit einer bestimmten Datei, und das ist der zweite Grund, deren Prüfsumme zu notieren. „Nachricht #47 des Exports, dessen SHA256 mit 3f9a beginnt“ bezeichnet genau eine Sache.

Namen und die Nummern dahinter

Die Kontaktnamen stammen aus dem Adressbuch im Backup selbst, aus der Datei AddressBook.sqlitedb, die Apple in jedes Backup schreibt. Die Rufnummer oder Adresse an einer Nachricht wird damit abgeglichen, und im Dokument steht der Name.

Ein Name auf einem Telefon ist das, was dessen Besitzer eingetippt hat. Die Rufnummer oder E-Mail-Adresse ist der Teil, den eine Leserin mit etwas anderem abgleichen kann. Deshalb führt die Titelseite die Beteiligten immer mit der Rufnummer neben dem Namen auf, in der Chat-Ansicht wie in der Gerichtsansicht.
Die Gerichtsansicht setzt die Rufnummer zusätzlich an jede einzelne Nachricht. Die Chat-Ansicht tut das nicht, solange Sie es nicht einschalten.
Passt kein Kontakt, wird die blanke Rufnummer oder Adresse gedruckt. Das Programm erfindet keine Namen, und ein Backup ohne lesbares Adressbuch zeigt schlicht überall Rufnummern.
Welche Nummer dem Besitzer des Telefons gehört, kann die Datenbank nicht sagen, denn ausgehende Nachrichten tragen überhaupt keine Nummer. Diese eine kommt aus der Info.plist des Backups oder Sie tragen sie ein. Liefert keines von beidem sie, nennt die Titelseite den Besitzer ohne Nummer, statt eine zu raten.

Was sich nicht wiederherstellen lässt

Die Wiederherstellung hat harte Grenzen. Hier stehen sie, jeweils mit dem, was übrig bleibt. Denn „der Wortlaut ist weg, der Vermerk über eine gesendete und wieder zurückgenommene Nachricht nicht“ ist der Unterschied zwischen einem Dokument, das hält, und einem, das nicht hält.

Der Fall	Was im Dokument bleibt
Eine Nachricht, die in den letzten rund 30 Tagen gelöscht wurde, ab iOS 16	Wiederherstellbar. iOS verschiebt sie in den Ordner „Zuletzt gelöscht“, statt sie zu löschen, und dieser Ordner steckt im Backup. Der Schalter ist ab Werk aus, weil diese Nachrichten im Verlauf, den das Telefon heute zeigt, nicht mehr stehen. Eingeschaltet erscheinen sie an ihrem Platz, gekennzeichnet mit dem Datum der Löschung, sofern iOS eines vermerkt hat, und auf der Titelseite gesondert gezählt.
Eine Nachricht, die beim Erstellen des Backups schon vom Telefon verschwunden und älter als dieses Fenster war, oder unter einem iOS ohne diesen Ordner gelöscht wurde	Nichts. Sie steht nicht in der Datenbank, also nicht im Backup, und keine Software liest, was nicht da ist. Im Dokument bleibt auch keine Lücke sichtbar, weil nichts übrig ist, das man kennzeichnen könnte.
Der Wortlaut einer vom Absender zurückgenommenen Nachricht	Die Worte sind auf beiden Telefonen weg und niemand holt sie zurück. Der Vermerk, dass zu dieser Minute etwas gesendet und wieder zurückgenommen wurde, bleibt. Das Dokument behält die Zeile und schreibt genau das hin, statt die Stelle zu schließen, als wäre dort nie etwas gewesen.
Ein früherer Wortlaut einer bearbeiteten Nachricht, den iOS nicht aufbewahrt hat	Wo iOS frühere Fassungen gespeichert hat, druckt die Option für die Bearbeitungshistorie jede davon unter den aktuellen Wortlaut, mit der Uhrzeit der Ersetzung. Wo keine gespeichert wurde, kann das Dokument nur festhalten, dass die Nachricht bearbeitet wurde.
Eine Unterhaltung, die nur in der iCloud liegt und in keinem lokalen Backup auf diesem PC	Nichts zu lesen. Das Programm liest einen Backup-Ordner auf Ihrer eigenen Platte und meldet sich nirgends an. Erstellen Sie mit Apples Software ein lokales Backup, dann ist alles darin lesbar.
Ältere Nachrichten, die nie im Backup lagen, weil „Nachrichten in iCloud“ sie in der Cloud gehalten hat oder „Nachrichten sichern“ auf 30 Tage oder 1 Jahr stand	Nichts, und das ist die Lücke, die überhaupt keine Spur hinterlässt: die Unterhaltung beginnt einfach später, als Sie sie in Erinnerung haben, und im Transkript steht nirgends, warum. Beide Einstellungen werden aus dem Backup gelesen und nicht geraten, und der Export-Bildschirm sagt es Ihnen, bevor Sie irgendetwas exportieren. Sind beide Enden des abgedeckten Zeitraums bekannt, zeigt der Bildschirm auch diese Daten, zum Abgleich mit Ihrer eigenen Erinnerung; einen halben Zeitraum zeigt er nie, weil der den falschen Schluss über die andere Hälfte nahelegen würde. Bei einem gewöhnlichen Backup erscheint nichts davon.
Ein Anhang, den das Backup nicht enthält	Der Dateiname, gedruckt und als fehlende Datei gekennzeichnet. Nichts wird ersetzt, und kein Platzhalter gibt sich als das Bild aus.
Videos und Sprachnachrichten als etwas, das sich abspielen lässt	Sie stehen an der Stelle, an der sie gesendet wurden, mit Dateiname, Größe und Uhrzeit, auf Wunsch zusätzlich gesammelt in einem Verzeichnis am Ende des Dokuments. Ein PDF spielt kein Video ab, und etwas anderes vorzugeben würde das Dokument vollständiger aussehen lassen, als es ist.
Der Zeitpunkt, zu dem eine WhatsApp-Nachricht bearbeitet oder gelöscht wurde	Der Export hält fest, dass es geschehen ist, nie wann. Das Dokument markiert beides und lässt die Uhrzeit leer, statt die Sendezeit einzusetzen und damit eine Bearbeitungszeit zu drucken, die niemand je festgehalten hat. Aus einem Löschhinweis wird eine zurückgezogene Nachricht ohne Text, damit sie als Rückzug gelesen wird und nicht als Worte des Absenders.
Zustell- und Lesebestätigungen, Reaktionen und die Zuordnung von Antworten in einem WhatsApp-Verlauf	Nichts. WhatsApp schreibt sie nicht in die Exportdatei, deshalb fehlen diese Teile im Dokument, statt leer zu erscheinen. Bei iPhone-Nachrichten sind sie alle vorhanden, weil die Datenbank sie festhält.
Messenger, Signal, Telegram und jede andere App	Werden überhaupt nicht gelesen. Die zwei Quellen sind die Nachrichten-Datenbank des iPhones (SMS, MMS, RCS und iMessage) und WhatsApps eigene Exportdatei. Alles Weitere führt seinen Verlauf in eigenen Formaten, und schon eine davon sauber zu unterstützen ist eigene Arbeit.

Die beiden Schalter zur Wiederherstellung, gelöschte Nachrichten und Bearbeitungshistorie, sind in beiden PDF-Layouts ab Werk aus. Sie ändern, welche Nachrichten im Dokument stehen, und nicht nur, wie viel jede einzelne zeigt. Sie stillschweigend einzuschalten würde das Dokument von dem Telefon abweichen lassen, aus dem es stammt.

In welcher Sprache das Dokument geschrieben ist

In der von vierzehn, die Sie wählen, und die Wahl ist unabhängig von der Sprache des Programms: Deutsch, Englisch, Polnisch, Französisch, Spanisch, Italienisch, Niederländisch, Portugiesisch in der brasilianischen und in der europäischen Form, Tschechisch, Rumänisch, Schwedisch, Ukrainisch und Russisch. Sie können auf Englisch arbeiten und dem Familiengericht ein deutsches Dokument vorlegen.

Die Nachrichten selbst werden nie übersetzt. Sie stehen genau so im Dokument, wie sie geschrieben wurden, in welcher Sprache auch immer die beiden geschrieben haben. Ein Export, dessen Beweismaterial durch eine Übersetzungsmaschine gelaufen wäre, wäre ein anderes Dokument als das auf dem Telefon. Dieses Programm erzeugt so etwas nicht.
Die Wahl betrifft den Rahmen. Titelblatt, Integritätserklärung, Beschreibung dessen, was exportiert und was weggelassen wurde, Statistik, die Bezeichnungen neben jedem Detail und die Schreibweise von Datum und Uhrzeit. Jede Sprache wurde für dieses Ganze geschrieben, und deshalb sind es vierzehn und nicht fünfzig: eine Sprache kommt erst auf die Liste, wenn im Rahmen nichts mehr in einer anderen stehen bleibt.

Was die Gerichtsansicht einschaltet

Mit der Gerichtsansicht wird jede Angabe eingeschaltet, die im Backup ohnehin vorhanden ist: vollständige Zeitstempel mit Sekunden, das Datum an jeder Nachricht statt nur an der ersten des Tages, Rufnummern neben den Namen, Zustell- und Lesezeiten, soweit das Backup sie vermerkt hat, die Nachrichtennummerierung sowie den ursprünglichen Dateinamen und die Größe als Bildunterschrift unter jedem Foto. Die Chat-Ansicht lässt das aus, weil ein Dokument zum Lesen nicht dasselbe ist wie eines zum Nachprüfen. Keines von beiden ändert eine einzige Nachricht.

Was diese Seite nicht ist

Sie beschreibt, was die Software tut. Sie ist kein Versprechen darüber, was ein Gericht berücksichtigt. ChatExport gibt wieder, was im Backup steht. Ob ein bestimmtes Dokument in einem bestimmten Verfahren zugelassen wird, hängt vom Recht, vom Verfahren und vom Gericht ab. Das ist die zweite Frage, und sie beantwortet Ihre Anwältin oder Ihr Anwalt, nicht ein Programm.

Kontakt

Wenn etwas auf dieser Seite Ihre Frage nicht genau genug beantwortet, fragen Sie nach: support@getchatexport.com.