Moderne Anhänge im eDiscovery

Nein, standardmäßig nicht. Jedes US-Bundesgericht, das seit 2021 unmittelbar über die Frage entschieden hat, hat festgestellt, dass ein Hyperlink auf eine in der Cloud gespeicherte Datei kein herkömmlicher Anhang ist und dass verlinkte Dateien die Dokumentenfamilien-Beziehung der übergeordneten Nachricht nicht erben. Dieser Grundsatz gilt, weil die massenhafte Auflösung von Links als technisch nicht umsetzbar oder unverhältnismäßig eingestuft wurde, nicht weil verlinkte Dateien unerheblich wären. Sie bleiben auf gezielte Anforderung hin herausgabepflichtig, und der Grundsatz kippt vollständig in dem Moment, in dem Sie in einem ESI-Protokoll etwas anderes vereinbaren. Zwei produzierende Parteien haben das bereits auf die teure Weise gelernt.

Ein moderner Anhang (auch Cloud-Anhang, verlinkter Anhang oder Pointer genannt) ist eine URL in einer E-Mail, einem Teams-Beitrag oder einer Slack-Nachricht, die auf eine in SharePoint, OneDrive, Google Drive oder Box liegende Datei verweist. Die Bytes reisen nie mit der Nachricht mit. Was die empfangende Person erhalten hat, war ein Verweis und eine Berechtigung, und weil die Zieldatei nach dem Versand des Links weiterhin lebt und bearbeitbar bleibt, existiert das tatsächlich geteilte Dokument möglicherweise nicht mehr, wenn jemand es einsammelt.

Was er nicht ist

Ein moderner Anhang ist kein herkömmlicher Anhang. Ein herkömmlicher Anhang ist eine Kopie: zum Sendezeitpunkt eingefroren, in der Nachricht transportiert und mit ihr durch eine Eltern-Kind-Beziehung verbunden, die jede Review-Plattform versteht. Ein moderner Anhang ist ein Verweis ohne eingefrorene Kopie und ohne inhärente Familienbeziehung — genau die Lücke, über die die Rechtsprechung seit fünf Jahren streitet.

Er ist auch nicht dasselbe wie ein Link auf eine öffentliche Webseite. Ein Link auf einen Nachrichtenartikel oder die Preisseite eines Anbieters liegt außerhalb Ihres Besitzes, Ihrer Verwahrung und Ihrer Kontrolle und löst deshalb keine Produktionspflicht aus. Der Test, der einen Link zum modernen Anhang macht, ist, ob die verlinkte Datei in einem System liegt, das die produzierende Partei kontrolliert. Und er ist auch keine Kurznachrichten-Datenquelle, auch wenn beide zusammen auftreten, weil dieselben ESI-Protokolle inzwischen beides regeln und Slack- und Teams-Nachrichten die höchste Dichte an modernen Anhängen aufweisen.

Schließlich löst es das Problem nicht, das gesamte Drive einzusammeln. Die Sammlung des Dateispeichers eines Custodians liefert Ihnen die Dateien; sie sagt Ihnen nicht, welche Nachricht auf welche Datei verwiesen hat — und genau diese Zuordnung fordert die anfordernde Partei.

Was die Gerichte entschieden haben

Der rote Faden ist nicht, dass verlinkte Dateien unwichtig wären. Er ist, dass die Gerichte es durchgängig abgelehnt haben, produzierenden Parteien die massenhafte Rekonstruktion von Familien aufzuerlegen, solange die Technik das nicht leisten kann, und die Parteien stattdessen zu einem gezielten Austausch gedrängt haben. Meta Pixel formuliert diese Trennung am klarsten: Das Protokoll sagt, es gibt keine Familien, und davon getrennt bearbeiten die Parteien angemessene konkrete Anforderungen, sobald sie auftreten.

StubHub ist der Fall, den Sie lesen sollten, bevor Sie irgendetwas unterschreiben. StubHub vereinbarte ein Protokoll, das Kind-Dateien einschließlich Hyperlinks auf interne Dokumente definierte, stellte dann fest, dass die Erfüllung nicht möglich war, und verstieß ab der ersten Produktion gegen die Anordnung. Das Gericht änderte das Protokoll und lehnte Sanktionen ab, benannte aber deutlich die Ursache des Schadens: Der Nachteil “wurde durch StubHubs törichte Entscheidung verursacht, der Hyperlink-Anforderung überhaupt zuzustimmen”. Eine Vereinbarung verwandelt eine technische Grenze in eine Gerichtsanordnung, gegen die Sie bereits verstoßen.

Die Cerebras-Vorlage

James v. Cerebras Systems (N.D. Cal., 7. Juli 2026) ist das erste vereinbarte ESI-Protokoll, das moderne Anhänge und die Governance generativer KI-Review in einer einzigen Anordnung behandelt, und seine Hyperlink-Klauseln sind das am besten kopierbare Material, das derzeit aktenkundig ist:

• Verlinkte Dokumente sind für die Anhangsproduktion keine Mitglieder der Dokumentenfamilie.
• Die anfordernde Partei benennt konkrete produzierte Dokumente, die relevante Links enthalten, und fordert diese Dateien an — begrenzt auf 100 einschlägige, nicht privilegierte Hyperlinks für die gezielte Sammlung.
• Die produzierende Partei hat 14 Tage, um die Version herauszugeben, wie sie zum Zeitpunkt der Sammlung bestand, oder — wo möglich — die Version, wie sie beim Versand des Hyperlinks bestand.

Diese Verteilung ist der Kern. Die anfordernde Seite trägt die Kosten der Entscheidung, was zählt; die produzierende Seite trägt die Kosten des Abrufs. Keiner Seite wird die Alles-standardmäßig-Sammlung abverlangt, die dieses Thema unlösbar gemacht hat. Dieselbe Anordnung setzt außerdem die Validierung der KI-Review auf ein Konfidenzniveau von 95% für die Null-Set-Stichprobe bei einer Elusionsrate von höchstens 3% und verlangt Kurznachrichten-Daten in Konversationsblöcken von mindestens 24 Stunden — behandelt im Eintrag eDiscovery.

Was die Werkzeuge tatsächlich können

Die rechtliche Antwort steht hinreichend fest. Die operative Antwort ist die Stelle, an der Teams weiterhin Schaden nehmen, weil beide großen Suites moderne Anhänge einsammeln und beide dabei Grenzen haben, die leicht zu übersehen sind.

Microsoft Purview eDiscovery sammelt Cloud-Anhänge auf der Stufe eDiscovery Premium ein, die Microsoft 365 E5 oder das Add-on E5 Compliance voraussetzt und pro Custodian lizenziert wird, dessen Daten Sie sammeln. Es kann die Live-Version, die zum Zeitpunkt des Teilens bestehende Version oder alle Versionen einsammeln und gruppiert die verlinkte Datei über eine gemeinsame GroupID sowie eine Eigenschaft Is modern attachment mit ihrer übergeordneten Nachricht.

Der Haken: Die geteilte Version existiert nur, wenn Sie das vorher konfiguriert haben. Standardmäßig sammelt der Ablauf die aktuelle Live-Version. Um die tatsächlich versandte Version wiederzuerlangen, braucht es ein Aufbewahrungslabel, das automatisch auf Cloud-Anhänge angewendet wird und beim Teilen eine Momentaufnahme der Kopie erzeugt. War dieses Label nicht aktiv, bevor das Teilen stattfand, wurde die versandte Version nie aufbewahrt, und keine Sammlungseinstellung holt sie zurück.

Die dokumentierten Grenzen von Purview, Stand der Revision vom 11. Juni 2026:

Auch die Custodian-Zuordnung läuft rückwärts: Die verlinkte Datei wird dem Custodian der Nachricht zugeordnet, nicht der Person, der die Datei gehört. Teilt Nutzer A eine Datei aus dem OneDrive von Nutzer C mit Nutzer B, und sammeln Sie aus dem Postfach von Nutzer B, landet die Datei unter Nutzer B.

Google Vault exportiert verlinkte Drive-Dateien über die Option Export linked Drive files bei Gmail-Exporten. Es liefert ausschließlich die aktuelle Version: Vault hat kein Äquivalent zur Version zum Sendezeitpunkt, wie es Purviews Momentaufnahme per Aufbewahrungslabel bietet. Öffentliche Hyperlinks wie veröffentlichte Google-Sites-Seiten und absendbare Google-Forms-Links lassen sich nicht exportieren, ebenso wenig manche Alt-Formate von Drive-Links und Links in verschlüsselten Nachrichten. Die exportierten Dateien kommen getrennt von ihren übergeordneten Nachrichten an, sodass die Zuordnung vor der Review nachgelagert aus dem exportierten Drive-Links-Mapping wiederhergestellt werden muss.

Wie Sie das vor der Sammlung verhandeln

Regeln Sie das im ESI-Protokoll, bevor ein einziger Custodian eingesammelt wird:

1. Halten Sie die Familienregel ausdrücklich fest. Schreiben Sie hinein, dass verlinkte Dateien keine Mitglieder der Dokumentenfamilie sind, in der Formulierung von Meta Pixel / Cerebras. Schweigen ist schlechter als jede der beiden Antworten, weil es den Streit auf einen Zeitpunkt verschiebt, zu dem Sie bereits produziert haben.
2. Legen Sie den gezielten Anforderungsmechanismus mit Zahl und Frist fest. Cerebras gibt Ihnen 100 Hyperlinks und 14 Tage. Wählen Sie zum Verfahren passende Werte, aber wählen Sie Werte: “angemessene Anforderungen” ohne Obergrenze reproduziert das Massensammlungsproblem unter anderem Namen.
3. Benennen Sie, welche Version geschuldet ist. Die zum Sammlungsdatum oder die zum Sendedatum. Versprechen Sie das Sendedatum nur, wenn die Aufbewahrungskennzeichnung für Cloud-Anhänge in den betroffenen Sites bereits lief, als die Nachrichten versandt wurden. Prüfen Sie das Konfigurationsdatum, nicht das Richtliniendokument.
4. Nehmen Sie die Ausnahmen auf, die Sie tatsächlich haben. Übernehmen Sie die realen Grenzen Ihrer Plattform ins Protokoll: die 50-Link-Obergrenze, verschlüsselte Nachrichten, zitierte Teile von Weiterleitungen, geteilte Teams-Kanäle. “Soweit technisch machbar” ist eine Formulierung, über die Sie streiten müssen; eine Aufzählung ist eine, auf die Sie zeigen können.
5. Machen Sie die Obergrenze wechselseitig. In einem Verfahren mit zwei dokumentenstarken Seiten wird die anfordernde Partei bei der Widerklage zur produzierenden Partei.
6. Machen Sie den Machbarkeitstest vor der Unterschrift. Nehmen Sie eine Stichprobe von einigen hundert Nachrichten im Umfang, lassen Sie sie durch die Plattform laufen, die Sie tatsächlich einsetzen werden, und zählen Sie, wie viele Links auf eine Datei auflösen, die Sie produzieren können. Diese Zahl ist Ihre Verhandlungsgrundlage, nicht das Datenblatt des Anbieters.

Häufige Fehler

• Hyperlink-als-Anhang vereinbaren, ohne es zu testen. Das ist exakt das Versagen in StubHub, und das Verständnis des Gerichts erstreckte sich nicht auf die Vereinbarung selbst. Schutz: Behandeln Sie jede Hyperlink-Klausel als technische Zusage, die vor der Unterschrift eine Stichprobensammlung erfordert — auf derselben Stufe wie die Zustimmung zu einem Produktionsformat.
• Annehmen, die versandte Version sei wiederherstellbar. Sowohl Purview als auch Vault liefern standardmäßig die aktuelle Live-Version, und Purviews Momentaufnahme zum Sendezeitpunkt existiert nur dort, wo ein Aufbewahrungslabel vorausschauend angewendet wurde. Schutz: Aktivieren Sie die Aufbewahrungskennzeichnung für Cloud-Anhänge als dauerhafte Kontrolle der Hold-Bereitschaft, nicht als Schritt zum Sammlungszeitpunkt: Dann ist die Frage bereits entschieden.
• Einen sauberen Sammlungsbericht für einen vollständigen halten. Die 50-Link-Obergrenze, die Kappung bei 2.048 URL-Zeichen und der Ausschluss zitierter Teile verwerfen Links, ohne einen Fehler zu melden. Schutz: Markieren Sie in der Verarbeitung Nachrichten mit mehr als 50 Links und leiten Sie sie in die manuelle Review; gleichen Sie die Linkzahl im Nachrichtentext gegen die tatsächlich aufgelösten Links ab.
• Das Postfach sichern, aber nicht die Datei. Ein Hold auf dem Postfach eines Custodians friert keine verlinkte Datei ein, die im OneDrive einer anderen Person liegt, und Purviews Custodian-Zuordnung sagt Ihnen nicht, wem sie wirklich gehörte. Schutz: Fassen Sie den Legal Hold über Dateispeicherorte und nicht nur über Custodians, und bewahren Sie die Site-Collections auf, aus denen die betroffenen Teams tatsächlich teilen.
• Verlinkte Dateien produzieren, die nie auf Privilegien geprüft wurden. Eine verlinkte Datei kommt herein, weil ihr übergeordnetes Dokument auf einen Suchbegriff passte — laut Purview-Dokumentation auch dann, wenn die Datei selbst nicht gepasst hätte, und sogar wenn sie außerhalb der Compliance-Grenze liegt. Schutz: Führen Sie den Bestand verlinkter Dateien als eigene Population mit eigenen Suchbegriffen durch die Privilegien-Review, bevor er in den Produktionssatz einfließt.

Verwandt

• eDiscovery — der umgebende Prozess, die EDRM-Stufen und der Rest des Cerebras-Protokolls
• Legal-Hold-Prozess — wo die Aufbewahrung von Cloud-Anhängen entschieden werden muss
• Privilegien-Review — der Filter, den verlinkte Dateien standardmäßig umgehen
• Microsoft Purview eDiscovery — die Sammlungsseite für Microsoft-365-Tenants
• Relativity — wo die rekonstruierten Familien für die Review landen