← Microsoft 365 Collaboration Administration

Beweissicherung: Was die App zeigt, ist nicht der Bestand

Ein Kollege findet einen Chatverlauf in Teams nicht mehr und meldet ihn als gelöscht. Eine Woche später liefert eine eDiscovery-Suche genau diese Nachrichten. Im selben Haus passiert regelmäßig das Gegenteil. Beides ist erwartbar: Laut Dokumentation geben Nachrichten, die in der Teams-App sichtbar sind, nicht zuverlässig wieder, ob sie aus Compliance-Sicht aufbewahrt oder endgültig gelöscht sind. In diesem Modul lernst du, in welchem Postfachtyp welcher Teams-Inhalt tatsächlich liegt, warum eine vom Nutzer gelöschte Nachricht erst nach 21 Tagen in den Ordner SubstrateHolds wandert und eine Ein-Tages-Löschregel bis zu 16 Tage braucht, warum eine sorgfältig gebaute Exchange-Aufbewahrung Teams-Nachrichten zu null Prozent abdeckt, was die endgültige Löschung aussetzt — und warum ein Schattenpostfach als erfasst gemeldet werden kann, ohne dass die Richtlinie dort wirkt.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Zwei Auskünfte, beide falsch

Eine Untersuchung fragt nach einem Chatverlauf. Ein Kollege öffnet Teams, findet die Nachrichten nicht mehr und meldet: gelöscht. Eine Woche später liefert eine eDiscovery-Suche genau diese Nachrichten. Im selben Haus passiert regelmäßig das Gegenteil: Nachrichten sind in der App noch sichtbar und in einer Suche längst nicht mehr auffindbar.

Beides ist erwartbar, und die Dokumentation sagt es in einem Satz, der über diesem Modul stehen könnte: Nachrichten, die in der Teams-App sichtbar sind, geben nicht zuverlässig wieder, ob sie aus Compliance-Sicht aufbewahrt oder endgültig gelöscht sind. Die App ist eine Anzeige, kein Bestand.

LernzielDu kannst sagen, in welchem Postfach ein Teams-Inhalt tatsächlich liegt, welche Aufbewahrungsorte welche Inhalte abdecken, was die endgültige Löschung aussetzt — und warum eine Auskunft über einen Bestand nur aus eDiscovery kommen darf, nie aus der Anwendung.

eDiscovery-Vorbehalt — Eine Anordnung, die verhindert, dass Inhalte endgültig gelöscht werden, solange sie besteht. Sie hebt Löschungen nicht auf, die ein Nutzer sieht — sie setzt nur die endgültige Löschung aus und hält die Inhalte für die Suche verfügbar.

Wo Teams-Inhalte wirklich liegen

Teams speichert Nachrichten primär in einem eigenen, Azure-gestützten Chatdienst. Für Compliance-Zwecke wird eine Kopie in Exchange-Postfächern abgelegt — in versteckten Ordnern, die weder Nutzern noch Administratoren zum direkten Zugriff gedacht sind, sondern der Suche über eDiscovery dienen.

UserMailbox: Nachrichtendaten für Teams-Nutzer in der Cloud. Bei einem Chat bekommt jede beteiligte Person eine Kopie in ihr eigenes Postfach.
MailUser: Nachrichtendaten für Teams-Nutzer, deren Postfach lokal liegt.
GroupMailbox: Nachrichtendaten für Standardkanäle — also das Postfach der Microsoft-365-Gruppe hinter dem Team.
SubstrateGroup: Nachrichtendaten für geteilte Kanäle.

Andere Postfachtypen — etwa das Raumpostfach eines Teams-Konferenzraums — werden für Teams-Aufbewahrungsrichtlinien nicht unterstützt. Wer einen Bestand erhebt, muss also wissen, welcher Objekttyp hinter jedem Beteiligten steht; die Teilnehmerliste einer Unterhaltung allein genügt nicht.

Die Kopie beim BeitrittWird jemand einem bestehenden Chat hinzugefügt, wird laut Dokumentation eine Kopie aller bisher geteilten Nachrichten in sein Postfach übernommen. Das Erstelldatum ändert sich dabei nicht. Eine Person, die gestern dazukam, trägt damit einen Verlauf von vor drei Jahren in ihrem Postfach — und der unterliegt ihren Aufbewahrungsregeln.

Der Weg in die endgültige Löschung

Zwischen dem Löschen durch einen Nutzer und dem endgültigen Verschwinden liegen mehrere Stationen mit eigenen Fristen. Sie erklären die Diskrepanz aus dem Einstiegsfall vollständig.

Nutzer löscht die Nachricht — sie verschwindet sofort aus der App↓Erst nach 21 Tagen wandert sie in den Ordner SubstrateHolds↓Dort bleibt sie mindestens 1 Tag↓Ein Zeitgeberauftrag löscht sie beim nächsten Lauf endgültig — typischerweise nach 1 bis 7 Tagen

SubstrateHolds ist ein weiterer versteckter Ordner, der in jedem Benutzer- und Gruppenpostfach existiert und vorläufig gelöschte Elemente aufnimmt, bevor sie endgültig verschwinden. Entscheidend für jede Untersuchung: Bis zur endgültigen Löschung aus diesem Ordner bleiben die Nachrichten über eDiscovery durchsuchbar.

Der Primärspeicher bleibt dabei der Azure-gestützte Chatdienst; die Postfachkopie dient der Compliance. Läuft eine Aufbewahrungsfrist ab, wird der Löschbefehl an diesen Chatdienst übermittelt, der ihn an die Client-Anwendung weiterreicht. Verzögerungen in dieser Kommunikation oder Zwischenspeicherung erklären laut Dokumentation, warum Nutzer eine gelöschte Nachricht für kurze Zeit noch sehen. Auch hier gilt also: Was in der App steht, ist eine Momentaufnahme der Anzeige.

Warum eine Ein-Tages-Regel 16 Tage brauchtDie Dokumentation rechnet ein Beispiel vor: Eine Richtlinie, die nach 1 Tag löschen soll, kann bis zu 16 Tage brauchen, bis eine Nachricht endgültig gelöscht ist und in eDiscovery nicht mehr erscheint. Mehrere Prozesse mit Fristen von 1 bis 7 Tagen laufen dafür nacheinander ab.

Zwischenstand

Kurzcheck

Eine Nutzerin hat vor fünf Tagen eine Chatnachricht gelöscht. Für den betreffenden Vorgang soll jetzt Beweis gesichert werden. Wo steht die Nachricht?

Noch in ihrem regulären versteckten Ordner — der Umzug nach SubstrateHolds erfolgt erst nach 21 Tagen.
Bereits endgültig gelöscht, weil die Löschung durch die Nutzerin sofort wirksam wird.
In SubstrateHolds, wohin vom Nutzer gelöschte Nachrichten unmittelbar verschoben werden.

Treffer. Richtig. Die Dokumentation nennt ausdrücklich 21 Tage, bis eine vom Nutzer gelöschte Nachricht in den Ordner SubstrateHolds wandert. Durchsuchbar ist sie in beiden Fällen.

Was eine Teams-Aufbewahrung nicht umfasst

Eine Aufbewahrungsrichtlinie für Teams deckt Nachrichten ab — und eben nicht alles, was in Teams passiert. Die Lücken sind dokumentiert und im Ernstfall genau die Stellen, an denen eine Auskunft auseinanderfällt.

Dateien: Nicht in Teams-Richtlinien enthalten. Sie brauchen eigene Richtlinien mit den Orten Microsoft 365 Group mailboxes & sites oder SharePoint classic and communication sites.
Aufzeichnungen aus Kanalbesprechungen: Zählen zu diesen Dateien und werden über dieselben Orte erfasst.
Aufzeichnungen aus Chat-Besprechungen: Brauchen eine Richtlinie, die das OneDrive-Konto des Organisators als Ort einschließt.
Nicht aufbewahrt: Codeausschnitte, aufgenommene Sprachnotizen aus dem mobilen Client, Miniaturansichten, Ankündigungsbilder und Reaktionen in Form von Emoticons.

Die letzte Zeile verdient Aufmerksamkeit, weil sie im Konfliktfall zählt. Eine Reaktion auf eine Nachricht — die Zustimmung per Emoticon — ist im Gespräch oft der aussagekräftigste Teil und wird nicht aufbewahrt. Wer einen Verlauf für eine Untersuchung sichert, sichert die Texte, nicht die Zustimmungen.

Umgekehrt lohnt der Blick darauf, was sehr wohl mitgesichert wird, weil es oft unterschätzt wird: neben dem Text auch Videoclips, eingebettete Bilder, Tabellen, Hyperlinks, Verweise auf andere Teams-Nachrichten und -Dateien sowie Karteninhalte. Chat- und Kanalnachrichten enthalten außerdem die Namen aller Beteiligten der Unterhaltung; bei Kanalnachrichten kommen der Teamname und der Nachrichtentitel hinzu. Auch ein Teil der systemseitig erzeugten Steuerungsnachrichten wird erfasst.

Geteilte und private KanäleGeteilte Kanäle erben die Aufbewahrungseinstellungen ihres übergeordneten Teams. Bei privaten Kanälen hängt der Speicherort davon ab, in welchem Zustand sich der Tenant befindet — er liegt entweder in den Benutzerpostfächern mit einem eigenen Richtlinienort oder in den Gruppenpostfächern wie bei Standardkanälen. Das ist vor jeder Bestandsaufnahme je Tenant zu prüfen, nicht anzunehmen.

Aus einer Nachricht werden mehrere Aufzeichnungen

Eine Nachricht ist für die Beweissicherung selten ein Objekt. Sobald jemand sie bearbeitet, entstehen zwei Spuren mit eigenen Wegen — und beide sind durchsuchbar.

Beim Bearbeiten: Die ursprüngliche Fassung wird nach SubstrateHolds kopiert. Die aktuelle Fassung bleibt am Platz und läuft weiter in ihrer eigenen Frist.
Beim Löschen: Die Nachricht wird nach SubstrateHolds verschoben — aber erst nach 21 Tagen.
Ohne Zutun: Nach Ablauf der Aufbewahrungsfrist wandert die Nachricht nach SubstrateHolds, typischerweise 1 bis 7 Tage nach dem Ablaufdatum.

Ein Beispiel aus der Dokumentation macht das greifbar: Eine Nachricht entsteht an Tag 1, wird an Tag 5 bearbeitet und an Tag 30 gelöscht. Unter einer reinen Aufbewahrung über sieben Jahre ist die ursprüngliche Fassung ab Tag 5 in SubstrateHolds und dort mindestens sieben Jahre durchsuchbar; die bearbeitete Fassung verschwindet an Tag 30 aus der App und folgt ihr nach weiteren 21 Tagen — ebenfalls mit derselben Frist ab Tag 1.

Für eine Auskunft heißt das: Ein Verlauf enthält womöglich mehrere Fassungen derselben Nachricht, und welche davon zählt, ist eine fachliche Frage, keine technische. Die Suche liefert beide — das ist kein Fehler, sondern der Zweck des Verfahrens.

Anrufprotokolle folgen derselben MechanikTeams-Anrufprotokolle werden standardmäßig unbegrenzt aufbewahrt. Sie lassen sich nur über eine eigene Aufbewahrungsrichtlinie löschen und folgen dabei dem Weg einer reinen Löschregel — vereinfacht, weil Nutzer diese Datensätze weder bearbeiten noch löschen können. Wer Aufbewahrungsfristen organisationsweit begrenzen soll, muss diesen Bestand eigens adressieren; er fällt sonst durch jedes Löschkonzept.

Getrennte Welten: Teams und Exchange

Der naheliegende Schluss aus „Teams-Nachrichten liegen in Postfächern“ ist falsch, und er ist der häufigste Konfigurationsfehler in diesem Bereich.

Obwohl die Daten in Postfächern liegen, müssen Teams-Aufbewahrungsrichtlinien laut Dokumentation eigene Orte verwenden — Teams channel messages und Teams chats. Chats und Kanalnachrichten sind nicht in Richtlinien enthalten, die für Exchange-Benutzer- oder Gruppenpostfächer konfiguriert sind. Und umgekehrt gilt genauso: Teams-Richtlinien berühren die übrigen E-Mail-Elemente in denselben Postfächern nicht.

Eine sorgfältig gebaute Exchange-Aufbewahrung deckt Teams-Nachrichten zu null Prozent ab — obwohl sie technisch dieselben Postfächer trifft.
Eine Teams-Richtlinie löscht keine E-Mails, auch wenn sie im selben Postfach liegen.
Für eine vollständige Abdeckung braucht es also mindestens Richtlinien für Teams-Nachrichten, für Postfächer und für Sites und Gruppen.

Der Sonderfall bei Skype-VerlaufKommt ein Skype-for-Business-Chat in Teams an, wird er zu einer Nachricht in einem Teams-Chatverlauf und damit von Teams-Richtlinien erfasst. Wird der Unterhaltungsverlauf dagegen clientseitig in ein Postfach gespeichert, greift dafür eine Richtlinie für Skype for Business — nicht die für Teams.

Was die endgültige Löschung aussetzt

Über allen Fristen steht das erste Aufbewahrungsprinzip: Aufbewahren sticht Löschen. Für Teams-Nachrichten nennt die Dokumentation die aussetzenden Umstände einzeln.

Eine weitere Teams-Aufbewahrungsrichtlinie für denselben Ort, die das Element aufbewahrt.
Ein Litigation Hold auf dem Postfach.
Ein Delay Hold.
Ein eDiscovery-Vorbehalt aus rechtlichen oder ermittelnden Gründen.

Solange ein solcher Vorbehalt auf dem Postfach liegt, gilt der Zustand, der die meisten Missverständnisse erzeugt: Gelöschte Teams-Nachrichten sind in der App nicht mehr sichtbar und über eDiscovery weiterhin auffindbar. Genau dieser Zustand ist beabsichtigt — er trennt die Arbeitsansicht vom Beweisbestand.

Die Löschwirkung über TenantgrenzenLöst eine Aufbewahrungsrichtlinie die Löschung einer Nachricht aus, wird sie im Client für alle Beteiligten der Unterhaltung entfernt — auch für solche aus anderen Organisationen, die womöglich eine längere oder gar keine Aufbewahrungsfrist haben. Deren Kopien in den eigenen Postfächern bleiben jedoch bestehen und bleiben für deren eDiscovery auffindbar. Die Anzeige verschwindet organisationsübergreifend, der Bestand nicht.

Externe Beteiligte: zwei Fälle, zwei Grenzen

Sobald Externe an einer Besprechung oder einem Chat der eigenen Organisation teilnehmen, hängt die Abdeckung davon ab, mit welcher Art von Konto sie kommen.

Gastkonto im eigenen Tenant: Nachrichten werden sowohl im Postfach der eigenen Nutzer gespeichert als auch in einem Schattenpostfach für das Gastkonto. Aufbewahrungsrichtlinien werden für Schattenpostfächer laut Dokumentation nicht unterstützt — auch wenn sie bei organisationsweiten Richtlinien als eingeschlossen gemeldet werden können.
Konto aus einer anderen Microsoft-365-Organisation: Die Nachrichten dieser Person liegen in ihrem Postfach im fremden Tenant. Die eigenen Richtlinien können sie dort nicht löschen; für die eigenen Nutzer derselben Unterhaltung können sie es.

Die erste Zeile ist im Betrieb die gefährlichere, weil sie eine falsche Zusage erzeugt. Ein Bericht kann ein Schattenpostfach als von der Richtlinie erfasst ausweisen, ohne dass die Richtlinie dort wirkt. Wer eine Abdeckung anhand solcher Berichte belegt, belegt eine Meldung, keinen Zustand.

Wenn jemand die Organisation verlässt

Beim Ausscheiden trennt die Plattform deutlich zwischen den Inhaltsarten, und für Nachrichten gibt es einen eigenen Mechanismus.

Verlässt eine Person mit Postfach in Exchange Online die Organisation und wird ihr Konto gelöscht, werden ihre aufbewahrungspflichtigen Chatnachrichten in einem inaktiven Postfach gespeichert. Sie bleiben der Aufbewahrungsrichtlinie unterworfen, die vor der Deaktivierung galt, und ihre Inhalte stehen einer eDiscovery-Suche zur Verfügung.

Die Reihenfolge, die das entscheidetSteht ein Konto unter einer aktiven Teams-Aufbewahrungsrichtlinie und wird sein Postfach gelöscht, wird es laut Dokumentation in ein inaktives Postfach umgewandelt, um die Teams-Daten zu erhalten. Wer diese Daten nicht aufbewahren will, muss das Konto vorher aus der Richtlinie ausschließen und die Wirksamkeit dieser Änderung abwarten — erst danach löschen.

Für Dateien gilt das nicht: Inhalte in SharePoint bleiben beim Ausscheiden unberührt, weil SharePoint als kollaborative Umgebung gilt. Ein OneDrive folgt dagegen seinen eigenen Regeln. Drei Inhaltsarten, drei Verfahren — und nur eines davon erzeugt automatisch ein Objekt, das jemand später wiederfinden muss.

Durchgerechnet: einen Chatverlauf sichern

Was gesichert werden muss, bevor es zu spät ist

Szenario

Eine interne Untersuchung betrifft einen Gruppenchat mit sechs internen Beteiligten, einem Gast aus einer Partnerfirma und einer Person aus einer anderen Microsoft-365-Organisation. Der Chat läuft seit zwei Jahren, es wurden Dateien geteilt und mehrere Besprechungen daraus angesetzt.

Anforderungen

Den Nachrichtenbestand sichern, bevor Fristen ihn erreichen
Benennen, was nicht gesichert werden kann und warum
Keine Aussage auf die Anzeige in der Teams-App stützen

Schritte

Den Vorbehalt zuerst setzen. Jede Erhebung davor läuft gegen laufende Fristen; jede danach ist gegen sie geschützt.
Den Kreis der Postfächer bestimmen: Bei einem Chat liegt eine Kopie in jedem beteiligten Benutzerpostfach. Sechs interne Beteiligte heißen sechs Postfächer.
Prüfen, ob jemand dem Chat erst später beigetreten ist — dessen Postfach enthält trotzdem den vollständigen Verlauf, mit unverändertem Erstelldatum.
Den Gast gesondert behandeln: Seine Nachrichten liegen zusätzlich in einem Schattenpostfach, für das Aufbewahrungsrichtlinien nicht unterstützt werden. Die Kopien in den eigenen Postfächern bleiben davon unberührt und sind der eigentliche Sicherungsgegenstand.
Für die Person aus der fremden Organisation festhalten: Ihre Kopien liegen in ihrem Tenant und sind dem eigenen Zugriff entzogen.
Dateien und Besprechungsaufzeichnungen getrennt erfassen — sie fallen nicht unter Teams-Richtlinien. Aufzeichnungen aus den Besprechungen dieses Chats liegen im OneDrive des jeweiligen Organisators.
Die nicht aufbewahrten Bestandteile benennen: Reaktionen, Codeausschnitte, Sprachnotizen aus dem mobilen Client. Sie werden nicht auftauchen, und das muss vorher gesagt sein.
Jede Aussage aus eDiscovery ziehen, nicht aus der App — beide Richtungen der Abweichung sind dokumentiert.

Merksatz: Ein Chat mit acht Beteiligten ist kein Objekt, sondern mindestens sieben Postfächer, zwei Dateiablagen und eine Lücke im fremden Tenant. Der Vorbehalt steht deshalb am Anfang und nicht am Ende der Erhebung.

Der Preis und die Route

Die Architektur hinter diesem Modul ist nicht kompliziert gemacht, sondern folgt einer Entscheidung: Compliance-Bestand und Arbeitsansicht sind getrennt, damit das eine das andere nicht beeinflusst. Der Preis ist, dass jede Auskunft zwei Quellen hat und nur eine davon zählt — und dass Beschäftigte, die in der App nachsehen, verlässlich zu falschen Schlüssen kommen.

Der zweite Preis ist die Zahl der Orte. Eine vollständige Abdeckung verlangt getrennte Richtlinien für Nachrichten, Postfächer, Sites und persönliche Ablagen; eine vollständige Erhebung verlangt, dass jemand die Beteiligten in Objekttypen übersetzt. Beides ist leistbar, aber keines davon ergibt sich von selbst — und die Lücken melden sich nicht, sie fallen erst im Ernstfall auf.

Für die tägliche Praxis folgt daraus eine unbequeme, aber tragfähige Regel: Jede Aussage über Bestand, Löschung oder Vollständigkeit braucht eine Quelle, und die Anwendung ist nie diese Quelle. Das gilt auch dann — und gerade dann —, wenn die Anwendung das Gegenteil nahelegt und alle Beteiligten sie offen vor sich haben. Wer eine solche Auskunft ohne eDiscovery gibt, hat nicht schneller geantwortet, sondern nur früher.

Vorbehalt vor Erhebung — nicht umgekehrt→Beteiligte in Postfachtypen übersetzen→Dateien und Aufzeichnungen als eigene Orte mitdenken→Nicht aufbewahrte Bestandteile vorab benennen→Jede Aussage aus eDiscovery, keine aus der App

Die App ist Anzeige, nicht Bestand

Das nächste Modul wendet sich der Automatisierung des Lebenszyklus zu: Gruppen, die ablaufen, Besitz, der bestätigt werden muss, und die Frage, was eine Automatik übernehmen darf und was nicht.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität4 Primärquellen · zuletzt geprüft: 2026-09-12