--- title: "Sicherheit und Datenschutz der WhatsApp Business API" description: "Sicherheit der WhatsApp Business API: Cloud-API-Verschlüsselung, 30 Tage Aufbewahrung, lokale Speicherung, Zugriffskontrolle und PII in Vorlagen." canonical: "https://omnichannels.ai/de/blog/whatsapp-business-api-security-privacy/" language: "de" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "compliance" primaryQuery: "whatsapp business api sicherheit und datenschutz" keywords: ["ist whatsapp business api ende-zu-ende verschlüsselt", "whatsapp cloud api datenspeicherung", "whatsapp cloud api lokale speicherung", "whatsapp api dsgvo", "whatsapp business datenschutz", "whatsapp bsp sicherheitsfragebogen", "saudi pdpl whatsapp"] published: "2026-10-10" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 8 answer: "WhatsApp-Nachrichten an ein Unternehmen werden bei der Cloud API mit dem Signal-Protokoll zwischen dem Smartphone des Kunden und der Cloud API verschlüsselt, die Meta im Auftrag des Unternehmens betreibt. Die Cloud API entschlüsselt sie anschließend und leitet sie per HTTPS an das Unternehmen oder dessen Anbieter weiter; zu Ihren eigenen Servern besteht also keine Ende-zu-Ende-Verschlüsselung. Meta gibt an, als Auftragsverarbeiter zu handeln und Nachrichtendaten bis zu 30 Tage aufzubewahren. Anbieter, Systeme und Zugriffskontrollen decken den Rest ab." takeaways: ["Meta gibt an, dass die Cloud API eingehende Nachrichten entschlüsselt und an das Unternehmen weiterleitet und die Verschlüsselungsschlüssel im Auftrag des Unternehmens verwaltet.", "Meta nennt für Nachrichtendaten der Cloud API eine maximale Aufbewahrungsdauer von 30 Tagen und erklärt, bei der Bereitstellung der Cloud API als Auftragsverarbeiter zu handeln.", "Mit lokaler Speicherung kann ein Unternehmen Nachrichteninhalte im ruhenden Zustand in einem gewählten Land halten; Daten in Verwendung werden bei der Cloud API bis zu 60 Minuten international verarbeitet.", "Die Business Messaging Policy von WhatsApp untersagt, Kunden nach vollständigen Zahlungskartennummern, Finanzkontonummern oder nationalen Ausweisnummern zu fragen.", "Das meiste reale Risiko liegt außerhalb von Meta: Speicherung beim Anbieter, Webhook-Endpunkte, Agentenzugriff, Exporte und die PIN, die die Nummernregistrierung schützt."] faq: - q: "Ist die WhatsApp Business API Ende-zu-Ende-verschlüsselt?" a: "Teilweise. Meta gibt an, dass Nachrichten mit dem Signal-Protokoll verschlüsselt zwischen dem Kunden und der Cloud API übertragen werden, die im Auftrag des Unternehmens handelt. Die Cloud API entschlüsselt die Nachricht dann und sendet sie über TLS-geschütztes HTTPS an das Unternehmen. Der verschlüsselte Endpunkt auf Unternehmensseite ist also Metas Cloud API, nicht Ihr eigener Server, und Ihr Anbieter sowie Ihre Systeme verarbeiten lesbare Inhalte." - q: "Nutzt Meta WhatsApp-Business-Nachrichten für Werbung?" a: "Metas Cloud-API-Dokumentation besagt, dass die Cloud API WhatsApp-Nachrichten nicht automatisch nutzt, um die Werbung zu beeinflussen, die eine Person sieht, und dass Meta für das Unternehmen als Auftragsverarbeiter handelt. Unternehmen selbst können die empfangenen Nachrichten für ihr eigenes Marketing nutzen, vorbehaltlich Recht und Datenschutzerklärung; Ihre eigene Richtlinie ist also entscheidend." - q: "Wie lange speichert die WhatsApp Cloud API Nachrichtendaten?" a: "Meta nennt für Nachrichtendaten eine maximale Aufbewahrungsdauer von 30 Tagen, etwa für Funktionen wie die erneute Übertragung, und erklärt, dass Nutzerkennungen innerhalb von 30 Tagen nach der letzten Statusaktualisierung einer Nachricht gelöscht werden, sofern nichts anderes angewiesen ist. Ihr Anbieter und Ihre eigenen Systeme können Daten wesentlich länger speichern; legen Sie die Aufbewahrung dort gesondert fest und dokumentieren Sie sie." - q: "Können WhatsApp-Nachrichtendaten in Saudi-Arabien oder den VAE bleiben?" a: "Meta bietet pro Geschäftsrufnummer eine Einstellung für lokale Speicherung, die Nachrichteninhalte im ruhenden Zustand in einem festgelegten Land hält, während die Verarbeitung in Meta-Rechenzentren bis zu 60 Minuten international erfolgt. Unterstützte Regionen sind in Metas Registrierungsdokumentation aufgeführt und ändern sich im Lauf der Zeit; prüfen Sie die aktuelle Liste. Daten, die Ihr Anbieter hält, sind eine separate Frage an ihn." - q: "Welche Sicherheitszertifizierungen hat die WhatsApp Cloud API?" a: "Metas Datenschutzseite gibt an, dass für die Cloud API SOC-2-Type-II- und ISO-27001-Berichte vorliegen, und verweist für die Dokumentation auf das Meta Business Messaging Compliance Center. Diese gelten nur für Metas Dienst. Ihr Messaging-Anbieter, Ihr CRM und Ihr Hosting brauchen jeweils eine eigene Bewertung; fordern Sie bei jedem Anbieter direkt Nachweise an." sources: - title: "Datenschutz und Sicherheit — WhatsApp Cloud API, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security" - title: "Über die Plattform: Verschlüsselung — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/about-the-platform" - title: "Lokale Speicherung — Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/local-storage" - title: "WhatsApp Business Messaging Policy — WhatsApp" url: "https://whatsappbusiness.com/policy/" - title: "Meta-Bedingungen für die WhatsApp Business Platform — Meta" url: "https://www.facebook.com/legal/Meta-Terms-for-WhatsApp-Business-Platform" --- # Sicherheit und Datenschutz der WhatsApp Business API Canonical: https://omnichannels.ai/de/blog/whatsapp-business-api-security-privacy/ Language: de Publisher: OmniChannels.ai by BroadNet Technologies Dieser Leitfaden richtet sich an CTOs, Sicherheitsverantwortliche, Datenschutzbeauftragte und Compliance-Leiter, die ein WhatsApp-Business-API-Programm freigeben oder die Frage eines Kunden dazu beantworten müssen. Sie verstehen danach, wo Daten verschlüsselt und wo sie lesbar sind, wer sie wie lange hält, welche Kontrollen in Ihrer Hand liegen und was Sie einen Messaging-Anbieter vor Vertragsabschluss fragen sollten. ## Ist die WhatsApp Business API Ende-zu-Ende-verschlüsselt? Nicht so wie private Chats. Meta gibt an, dass Nachrichten bei der Cloud API mit dem Signal-Protokoll verschlüsselt zwischen dem Kunden und der Cloud API übertragen werden, die im Auftrag des Unternehmens handelt. Die Cloud API entschlüsselt sie und leitet sie über TLS-geschütztes HTTPS an das Unternehmen weiter; bei ausgehenden Nachrichten läuft es umgekehrt. In der Praxis heißt das: - **Zwischen dem Smartphone des Kunden und Metas Cloud API:** Verschlüsselung mit dem Signal-Protokoll. - **Innerhalb der Cloud API:** Der Dienst kann Nachrichten zur Verarbeitung lesen; laut Meta sind ruhende Daten verschlüsselt, und die Cloud API verwaltet die Schlüssel im Auftrag des Unternehmens. - **Zwischen der Cloud API und Ihrem Anbieter oder Ihren Servern:** TLS bei der Übertragung, danach der Schutz, den Ihr Anbieter und Sie anwenden. Die ehrliche Aussage gegenüber Kunden lautet also „bei der Übertragung verschlüsselt und bis zu unserem Dienstleister durch die Verschlüsselung von WhatsApp geschützt“, nicht „nur Sie und der Kunde können es lesen“. Meta erklärt außerdem, dass es dort, wo Datenschutzgesetze diese Begriffe verwenden, bei der Bereitstellung der Cloud API als **Auftragsverarbeiter** beziehungsweise Dienstleister für das Unternehmen handelt. ## Wo liegen die Daten und wie lange? Daten existieren an mindestens drei Orten, jeweils mit eigener Aufbewahrung. Erfassen Sie alle drei, bevor Sie ein Programm freigeben. | Ort | Was gespeichert wird | Aufbewahrung (laut Veröffentlichung) | Wer kontrolliert | |---|---|---|---| | Meta Cloud API | Nachrichteninhalt, Medien, Kennungen | Nachrichtendaten bis zu 30 Tage; Kennungen innerhalb von 30 Tagen nach der letzten Statusaktualisierung gelöscht, sofern nichts anderes angewiesen ist | Meta, als Auftragsverarbeiter | | Messaging-Anbieter oder Posteingangsplattform | Konversationen, Kontakte, Vorlagen, Berichte, Logs | Per Vertrag und Anbietereinstellungen festgelegt | Anbieter, nach Ihren Weisungen | | Ihre Systeme | CRM-Datensätze, Exporte, Data Warehouses, Backups | Ihre Richtlinie | Sie | Meta verarbeitet Cloud-API-Verkehr in seinen Rechenzentren. Benötigen Sie Nachrichteninhalte im ruhenden Zustand in einem bestimmten Land, bietet Meta die **lokale Speicherung**, eine Einstellung für jede Geschäftsrufnummer. Ist sie aktiviert, können Nachrichteninhalte bei der Verwendung weiterhin international verarbeitet werden, bei der Cloud API bis zu 60 Minuten, und liegen danach nur noch in der gewählten Region. Sie lässt sich nur ein- oder ausschalten, solange die Nummer nicht registriert ist, und unterstützte Regionen stehen in Metas Registrierungsdokumentation; bestätigen Sie die Verfügbarkeit für Ihr Land, bevor Sie sich darauf verlassen. Die lokale Speicherung betrifft nur Metas Seite. Fragen Sie Ihren Anbieter gesondert, wo er Konversationen und Backups speichert. ## Welche Vorschriften gelten? Das hängt davon ab, wo Sie und Ihre Kunden sitzen. Im GCC legen das Datenschutzgesetz der VAE (Personal Data Protection Law) und das saudische Datenschutzgesetz (Personal Data Protection Law), beaufsichtigt von der SDAIA, Regeln zu rechtmäßiger Verarbeitung, Einwilligung, Zweckbindung und grenzüberschreitenden Übermittlungen fest; Sektoraufsichten für Banken, Gesundheit und Telekommunikation können weitere hinzufügen. Kunden in der EU oder im Vereinigten Königreich bringen die DSGVO ins Spiel. Metas Dokumentation stellt klar, dass Cloud-API-Kunden ihre eigenen Pflichten nach Datenschutzrecht erfüllen müssen. Verstehen Sie diesen Abschnitt als Orientierung, nicht als Rechtsberatung. Lassen Sie Juristen klären, welche Gesetze für Ihre konkreten Datenflüsse gelten. ## Wer sollte Zugriff haben, und wie? Fehler bei der Zugriffskontrolle verursachen mehr Vorfälle als Kryptografie. Sichern Sie diese Ebenen ab: 1. **Meta Business Portfolio.** Halten Sie den WhatsApp Business Account (WABA) in Ihrem eigenen Portfolio, erzwingen Sie die Zwei-Faktor-Authentifizierung für Admins und entfernen Sie ausgeschiedene Personen zeitnah. 2. **PIN der Bestätigung in zwei Schritten.** Die sechsstellige PIN schützt die Registrierung Ihrer Nummer. Bewahren Sie sie in Ihrem Passwortmanager auf, nicht im Postfach eines Dienstleisters. Abonnieren Sie Metas Sicherheits-Webhook, der PIN-Änderungen und Versuche meldet, die Bestätigung in zwei Schritten auszuschalten. 3. **API-Tokens.** Verwenden Sie System-User-Tokens mit nur den nötigen Berechtigungen, bewahren Sie sie in einem Secrets Manager auf und rotieren Sie sie, wenn sich Personal oder Dienstleister ändern. 4. **Webhook-Endpunkt.** Akzeptieren Sie nur HTTPS, prüfen Sie die Payload-Signatur von Meta mit Ihrem App-Secret und protokollieren Sie vollständige Payloads nie in gemeinsam genutzten Konsolen. 5. **Agentenzugriff.** Geben Sie Agenten rollenbasierten Zugriff auf die Warteschlangen, die sie bedienen, beschränken Sie den Massenexport und protokollieren Sie, wer was angesehen oder exportiert hat. 6. **Dienstleisterzugriff.** Wissen Sie, welche Mitarbeitenden des Anbieters auf Ihre Konversationen zugreifen können, nach welchem Verfahren und wie der Zugriff protokolliert wird. ## Wie gehen Sie mit PII in Vorlagen und Chats um? Erheben Sie das Minimum, und niemals, was die Richtlinie verbietet. Die Business Messaging Policy von WhatsApp besagt, dass Unternehmen vollständige Zahlungskartennummern, Finanzkontonummern, Personalausweisnummern oder andere sensible Kennungen weder weitergeben noch Menschen dazu auffordern dürfen. Praktische Regeln: - **Vorlagen:** Vermeiden Sie sensible Daten in Variablen. Verwenden Sie „Ihre Bestellung mit den Endziffern 4821“ statt vollständiger Kontodaten; Vorlagenparameter sind Nachrichteninhalt und werden wie jede andere Nachricht gespeichert. - **Zahlung und Identität:** Senden Sie einen CTA-URL-Button auf eine sichere Webseite, statt Angaben im Chat zu erfassen. - **OTPs:** Nutzen Sie Authentifizierungsvorlagen und kurze Gültigkeit; siehe unseren [Leitfaden zur OTP-Sicherheit](/de/blog/otp-authentication-messages-guide/). - **Medien:** Behandeln Sie von Kunden gesendete Bilder und Dokumente standardmäßig als sensibel und wenden Sie darauf Aufbewahrungsregeln an. - **Exporte:** CSV-Exporte von Konversationen oder Berichten sind die Daten, die sich am leichtesten verlieren lassen. Beschränken und protokollieren Sie sie. ## Was sollten Sie einen WhatsApp-API-Anbieter fragen? Nutzen Sie diese Checkliste im Einkauf. Verlangen Sie Nachweise, keine Adjektive. 1. Wem gehören der WABA und das Meta Business Portfolio, in dem er liegt, und können wir wegmigrieren? 2. Wo werden Konversationen, Medien und Backups gespeichert, und in welchen Ländern? 3. Wie lautet die Standardaufbewahrung, und können wir die Löschung nach Datentyp konfigurieren? 4. Welche unabhängigen Sicherheitsbewertungen oder Zertifizierungen halten Sie? Fordern Sie Berichte oder Zertifikate samt Geltungsbereich an. 5. Wie werden Mitarbeiterzugriffe, Admin-Aktionen und Exporte protokolliert, und können wir diese Logs einsehen? 6. Wie werden API-Tokens und die PIN der Bestätigung in zwei Schritten gespeichert, und wer kann sie nutzen? 7. Welche Unterauftragsverarbeiter setzen Sie ein, und wie werden wir über Änderungen informiert? 8. Wie sieht Ihr Verfahren zur Meldung von Vorfällen aus, und welche Fristen gelten? 9. Nutzen Sie unsere Nachrichtendaten, um KI-Modelle zu trainieren? Metas Plattformbedingungen beschränken dies, wenn ein Unternehmen einen KI-Anbieter beauftragt. 10. Können wir eine Auftragsverarbeitungsvereinbarung unterzeichnen, die die für uns geltenden Gesetze widerspiegelt? ## Praxisbeispiel: Die Freigabe bei einem Versicherer in Abu Dhabi Ein synthetisches Beispiel. „Falcon Assurance“ möchte Schadenstatus per WhatsApp senden. Das Sicherheitsteam erfasst die Datenflüsse: Meta Cloud API, ein Posteingangsanbieter und das Schadensystem. Es bestätigt Metas Rolle als Auftragsverarbeiter und die Aufbewahrung von 30 Tagen, prüft, ob die lokale Speicherung für das eigene Land verfügbar ist, und fragt den Anbieter nach Speicherorten und Unterauftragsverarbeitern. Die Beteiligten legen fest, dass Schadens-Vorlagen nur Schadennummern nennen, niemals Kennungen von Versicherungsnehmern oder Bankdaten; Zahlungen laufen über einen CTA-URL-Button zu ihrem Portal. Agenten sehen nur die Warteschlange ihrer Region, Exporte erfordern die Freigabe durch Vorgesetzte, und die PIN liegt im Unternehmens-Tresor. Die Freigabe erfolgt in Form eines dokumentierten Datenflusses und eines Risikoregisters, nicht als einzelnes Ja oder Nein. ## Häufige Fehler und ehrliche Grenzen - **Kunden sagen, Chats seien „Ende-zu-Ende-verschlüsselt bis zu uns“.** Formulieren Sie präzise. - **Nur Meta bewerten.** Anbieter und Ihre eigenen Systeme halten die langlebigsten Daten. - **Einem Dienstleister WABA und PIN überlassen.** Das erschwert Kontrolle und Migration. - **Keine Aufbewahrungsregel für den Posteingang.** „Für immer“ ist ebenfalls eine Entscheidung, und oft eine schlechte. - **Sich zu sehr auf Zertifizierungen verlassen.** Prüfen Sie deren Geltungsbereich; sie decken nicht Ihre Konfiguration ab. ## So unterstützt Sie OmniChannels.ai OmniChannels.ai, die Plattform von BroadNet Technologies, bindet Unternehmen über Meta Embedded Signup an die [WhatsApp Business API](/de/channels/whatsapp-business-api/) an. Dabei wird das WhatsApp-Business-Konto im eigenen Meta-Portfolio des Unternehmens angelegt. Vorlagen werden in einer Vorschau geprüft und bis zur Genehmigung verfolgt, sodass Teams vor dem Versand kontrollieren können, welche Daten jede Vorlage enthält. BroadNet ist nach ISO/IEC 27001:2022 und ISO/IEC 27018 zertifiziert, verfügt über eine SOC 2 Type II-Attestierung und arbeitet DSGVO-konform. API-Authentifizierung und Webhooks sind auf der Seite für [Entwickler](/developers/) öffentlich dokumentiert. [Kontaktieren Sie uns](/de/contact/), um Ihre Sicherheitsfragen zu besprechen.