Instagram DM API: So sendest und automatisierst du Instagram-DMs

Von Nemanja Divjak, Gründer von Chat3315. Oktober 202611 Min. Lesezeit

Gläserne Tafeln aus abstraktem Code, durch leuchtende Linien mit orangefarbenen und weißen Chatblasen verbunden

Ein Produkt namens „Instagram DM API“ gibt es nicht. Wer danach sucht, meint den Nachrichtenteil der Instagram Platform von Meta: die Endpunkte, mit denen eine App Instagram-Direktnachrichten empfängt, beantwortet und eine private Antwort an Personen schickt, die einen Beitrag kommentiert haben. Er sitzt auf der Graph API, nutzt dieselben Zugriffstokens wie Veröffentlichung und Kommentare und bringt Regeln mit, die das meiste von dem bestimmen, was du bauen kannst.

Dieser Leitfaden richtet sich an Entwicklungsteams und technisch versierte Marketer, die Instagram-DMs aus eigenem Code senden oder automatisieren wollen. Er zeigt, wie die API aufgebaut ist, was ein Konto und eine App brauchen, bevor die erste Nachricht rausgeht, welche Zeitregeln gelten und was die API nicht tut, egal wie du fragst. Am Ende steht ein kurzer, ehrlicher Abschnitt dazu, wann sich eine Schicht wie Chat33 lohnt, statt alles selbst zu bauen.

Einen breiteren Überblick über die Plattform jenseits von Nachrichten findest du zuerst in unserem Leitfaden zur Instagram Graph API.

Was die Instagram DM API eigentlich ist

Meta stellt Instagram-Nachrichten über zwei Zugänge bereit, die größtenteils zum selben Ziel führen:

Instagram API with Instagram Login. Die Kontoinhaber melden sich direkt bei Instagram an. Eine Facebook-Seite ist nicht beteiligt. Die Aufrufe gehen an graph.instagram.com.
Instagram-Nachrichten über Facebook Login (früher als Messenger Platform for Instagram dokumentiert). Eine Person, die eine mit dem Instagram-Konto verknüpfte Seite verwaltet, meldet sich über Facebook an, und die App arbeitet mit Seiten-Zugriffstokens auf graph.facebook.com.

Beide liefern dieselben Kernbausteine: eine Send API, um Nachrichten in eine Unterhaltung zu schicken, eine Conversations API, um Verläufe und Nachrichten zu lesen, Webhooks, die neue Nachrichten und Kommentare an deinen Server melden, und private Antworten auf Kommentare. Als Nachrichtentypen gibt es Text, Bilder und andere Medien, Schnellantworten, Buttons und generische Vorlagen (Karten im Stil von Produktkarten), jeweils im Rahmen der Grenzen des Typs.

Welchen Zugang du wählst, hängt vor allem von deinen Nutzenden ab. Creator und kleine Unternehmen, die hauptsächlich auf Instagram leben, bevorzugen meist Instagram Login, weil keine Seite und kein Business Manager nötig sind. Unternehmen, die ohnehin alles über Meta-Business-Tools laufen lassen oder auch Facebook Messenger in derselben App wollen, landen oft bei Facebook Login.

Anforderungen an das Konto

Bevor ein API-Aufruf zählt, muss das Instagram-Konto selbst die Voraussetzungen erfüllen:

Es muss ein professionelles Konto sein, also Business oder Creator. Persönliche Konten werden für Nachrichten nicht unterstützt. Der Wechsel ist in der Instagram-App kostenlos, und unser Vergleich von Business- und Creator-Konto hilft bei der Wahl.
Mit Facebook Login muss es mit einer Facebook-Seite verknüpft sein, und die anmeldende Person braucht auf dieser Seite eine Rolle, die das Verwalten von Nachrichten erlaubt.
Der Nachrichtenzugriff für verbundene Tools muss erlaubt sein. Instagram hat unter den Nachrichteneinstellungen eine Option, mit der verbundene Apps auf Nachrichten zugreifen dürfen. Ist sie aus, bleiben deine Webhooks still, und niemand sieht den Grund. Prüf das zuerst, wenn du Fehler suchst.

Welche Berechtigungen du brauchst

Jede Funktion gehört zu einer Berechtigung, die die Kontoinhaber beim Verbinden deiner App erteilen. Die Namen unterscheiden sich je nach Login-Typ.

Was du tun willst	Instagram Login	Facebook Login
Basisprofil und Medien	`instagram_business_basic`	`instagram_basic`, `pages_show_list`
DMs lesen und senden	`instagram_business_manage_messages`	`instagram_manage_messages`, `pages_manage_metadata`
Kommentare lesen, antworten, private Antworten	`instagram_business_manage_comments`	`instagram_manage_comments`

Apps mit Facebook Login brauchen oft zusätzlich business_management, und in Metas Dokumentation zu Private Replies steht für diese Funktion pages_messaging. Meta benennt und gruppiert Berechtigungen immer wieder um (die Scopes für Instagram Login ersetzten Ende 2024 und Anfang 2025 ältere business_*-Namen). Nimm die Tabelle also als Ausgangspunkt und gleiche sie mit der aktuellen Berechtigungsreferenz auf developers.facebook.com ab, bevor du etwas einreichst.

App Review und Advanced Access

Jede Berechtigung hat zwei Zugriffsstufen. Mit Standard Access kann deine App eine Berechtigung nur für Konten nutzen, die eine Rolle in der App haben: du, deine Entwickelnden und deine Tester. Das reicht, um alles zu bauen und zu testen.

Um eine Berechtigung auf dem Konto anderer zu nutzen, brauchst du Advanced Access, also einen bestandenen App Review für diese Berechtigung. Der Review verlangt eine funktionierende App, ein Screencast, das jede Berechtigung von Anfang bis Ende im Einsatz zeigt (meist beginnend mit dem Login und dem Verbinden des Kontos), und eine schriftliche Begründung, wofür du sie brauchst. Meist ist zusätzlich eine Business-Verifizierung nötig.

Plan dafür Zeit ein. Reviews können in Tagen zurückkommen oder sich über Wochen ziehen, und eine Ablehnung beim ersten Versuch ist üblich. Die häufigsten Gründe sind ein Screencast, der Schritte überspringt, oder ein Anwendungsfall, den die Prüfenden nicht nachstellen können. Bis der Review durch ist, funktioniert dein Produkt für deine Testkonten und für niemanden sonst.

Webhooks: So erfährst du von neuen Nachrichten

Die API ist ereignisgesteuert. Du fragst nicht ständig nach neuen DMs. Du registrierst eine Webhook-URL, bestätigst sie einmal mit einer Challenge, die Meta schickt, und abonnierst Felder wie messages und comments (dazu weitere für Postbacks, Reaktionen und Gelesen-Ereignisse).

Ab dann schickt Meta für jedes Ereignis einen POST an deinen Endpunkt. In der Praxis zählen ein paar Dinge:

Prüf die Signatur jeder Anfrage mit deinem App Secret, bevor du ihr vertraust.
Antworte schnell mit einem 200 und erledige die eigentliche Arbeit in einer Warteschlange. Langsame oder fehlerhafte Endpunkte werden erneut aufgerufen und können bei Dauerproblemen deaktiviert werden.
Rechne mit Duplikaten und Echos. Deine eigenen ausgehenden Nachrichten können als Echo-Ereignisse zurückkommen, und Wiederholungen können dasselbe Ereignis zweimal senden. Dedupliziere deshalb über die Nachrichten-ID.

Kommentar-Webhooks sind die Grundlage der Kommentar-zu-DM-Automation: Ein Kommentar kommt an, dein Code prüft ihn auf ein Keyword und sendet eine private Antwort.

Das 24-Stunden-Nachrichtenfenster

Diese Regel prägt alles andere. Wenn eine Person dein Konto anschreibt, öffnet sich ein 24-Stunden-Fenster. Darin kann deine App ihr Nachrichten senden, auch werbliche. Jede neue Nachricht der Person startet die Uhr neu. Ist das Fenster zu, werden Standardnachrichten abgelehnt, bis sie wieder schreibt.

Eine Ausnahme solltest du kennen: das HUMAN_AGENT-Tag. Damit kann eine echte Person aus deinem Team bis zu 7 Tage nach der letzten Nachricht der Person antworten, wenn ein Mensch wirklich mehr Zeit braucht. Es ist kein Freibrief für Automation. Deine App braucht die von Meta per App Review freigegebene Human-Agent-Funktion, und die Nachricht muss tatsächlich von einem Menschen kommen. Automatische Nachfassnachrichten mit dem Tag verstoßen gegen die Richtlinien.

Unser Artikel zum 24-Stunden-Nachrichtenfenster geht tiefer darauf ein, was das Fenster öffnet und zurücksetzt und wie du Nachfassaktionen planst, die trotzdem ankommen.

Private Antworten auf Kommentare

Eine private Antwort ist eine DM als Reaktion auf einen Kommentar. So funktioniert ein Beitrag nach dem Muster „Kommentiere ANLEITUNG und ich schicke dir den Link per DM“, und dafür gelten eigene Regeln:

Eine Nachricht pro Kommentar. Du bekommst genau eine private Antwort. Die Unterhaltung geht nur weiter, wenn die Person antwortet, und ihre Antwort öffnet ein normales 24-Stunden-Fenster.
Innerhalb von 7 Tagen nach dem Kommentar bei Beiträgen, Reels und Anzeigen. Kommentare unter Livestreams bekommen nur eine private Antwort, solange der Live läuft.
Sie geht nur an die kommentierende Person und wird über die Kommentar-ID adressiert, nicht über ihre Nutzer-ID.

Weil du nur einen Versuch hast, muss diese eine Nachricht die Arbeit machen. Die meisten guten Kommentar-zu-DM-Abläufe stellen darin eine Frage, mit einem Button, wo die Verbindung ihn erlaubt, damit die Person einen einfachen Grund hat zu antworten und das Fenster zu öffnen. Wenn du auch die öffentliche Seite willst: Eine separate öffentliche Antwort unter dem Kommentar ist erlaubt und zeigt anderen, dass DMs rausgehen.

Instagram-Kommentar-zu-DM in Chat33

Keyword-Auslöser für Kommentare, private Antworten, Varianten für öffentliche Antworten und DM-Automationen über die offizielle Instagram-API, eingerichtet in einem visuellen Editor.

Ratenlimits

Meta veröffentlicht Limits pro Konto für Nachrichten, und sie ändern sich. Schau also auf die aktuelle Seite zu den Ratenlimits, bevor du etwas dimensionierst. Zum Zeitpunkt des Schreibens umfassen die dokumentierten Limits für professionelle Instagram-Konten grob 300 Send-API-Aufrufe pro Sekunde für Text und Links, etwa 10 pro Sekunde für Audio oder Video, 2 pro Sekunde für die Conversations API und 750 private Antworten pro Stunde für Kommentare unter Beiträgen und Reels. Die Send API kann außerdem gedrosselt werden, wenn zu viele Nachrichten an einen einzelnen Thread gehen.

Für die meisten Konten sind diese Zahlen großzügig. Kritisch wird es bei einem viralen Beitrag mit Tausenden Keyword-Kommentaren in einer Stunde, und genau dann willst du eine Warteschlange, die private Antworten zeitlich streckt, statt in einem Schub zu scheitern.

Was die API nicht kann

Diese Liste ist wichtiger als die Funktionsliste, denn hier sitzt irreführendes Marketing:

Keine Kalt-DMs. Du kannst niemanden anschreiben, der nie mit dem Konto interagiert hat. Es gibt keinen Endpunkt, um eine Unterhaltung mit beliebigen Nutzenden zu beginnen.
Kein Massenversand außerhalb des Fensters. Eine Rundnachricht an alle, die dir im letzten Monat geschrieben haben, ist mit Standardnachrichten nicht möglich.
Kein Auslöser für neue Follower. Die API meldet nicht, wenn dir jemand folgt, deshalb lässt sich „jedem neuen Follower eine DM schicken“ mit der offiziellen API nicht bauen.
Keine persönlichen Konten und kein Zugriff auf fremde Posteingänge oder Follower-Listen.
Kein Folgen, Liken oder andere Aktionen im Namen des Kontos.

Verspricht ein Tool eines davon, nutzt es nicht die offizielle API. Es meldet sich als du an, und das ist der schnellste Weg zu einem eingeschränkten Konto. Unser Leitfaden zu den Automationsregeln erklärt den Unterschied genauer.

Selbst bauen oder eine Schicht nutzen

Direkt auf Metas API zu bauen ist gut machbar. Der Aufwand steckt weniger im Send-API-Aufruf selbst als in allem drumherum: eine Meta-App, Login und Token-Erneuerung, verschlüsselte Token-Speicherung, ein Webhook-Empfänger mit Signaturprüfung und Deduplizierung, eine Warteschlange für Ratenlimits, Fensterverfolgung pro Unterhaltung, App Review für jede Berechtigung und das Mitziehen bei auslaufenden API-Versionen. Für ein Team, das tief angepasstes Verhalten braucht, kann sich diese Investition lohnen.

Wenn du eigentlich DMs automatisieren oder Instagram-Nachrichten in dein eigenes Produkt einbinden willst, bringt dich eine Schicht, die den Review schon hinter sich hat, schneller ans Ziel. Chat33 ist eine Möglichkeit. Es verbindet Instagram- und Facebook-Konten über die offizielle API und bietet darüber eine REST API, einen Nachrichten-Webhook und einen MCP-Server:

Flows API. Erstelle, ändere und aktiviere Kommentar-zu-DM- und DM-Keyword-Automationen als Graph aus Knoten. Dieselben Automationen öffnen sich im visuellen Editor.
Inbox API. Liste Unterhaltungen auf, lies Nachrichten und antworte. Eine Antwort außerhalb des 24-Stunden-Fensters kommt als klarer Fehler window_closed zurück.
Comments API. Liste Kommentare zu einem Beitrag auf und antworte öffentlich oder mit der einen privaten Antwort.
Nachrichten-Webhook. Jede eingehende DM wird als signiertes message.received-Ereignis an deine URL geschickt, damit dein eigener Bot sie beantworten kann.
MCP-Server. Lässt KI-Assistenten wie Claude Automationen auflisten, Unterhaltungen lesen und antworten, mit OAuth-Anmeldung. Die Einrichtung steht auf der MCP-Seite.

Aufrufe gehen an https://chat33.io/api/v1 mit einem API-Schlüssel im Header x-api-key. Eine Antwort auf eine Unterhaltung sieht so aus:

curl -X POST https://chat33.io/api/v1/conversations/CONVERSATION_ID/reply \
  -H "x-api-key: sk_live_..." \
  -H "Content-Type: application/json" \
  -d '{"message": "Thanks for reaching out! Here is the link you asked for."}'

Und so sieht das Ereignis aus, das dein Server bekommt, wenn jemand eine DM schickt:

{
  "event": "message.received",
  "id": "evt_...",
  "createdAt": "2026-10-15T09:30:00.000Z",
  "data": {
    "platform": "instagram",
    "channel": { "id": "ch_...", "name": "yourbrand" },
    "conversationId": "conv_...",
    "message": { "id": "msg_...", "text": "price?", "attachments": [], "sentAt": "2026-10-15T09:30:00.000Z" },
    "contact": { "id": "ct_...", "externalId": "...", "name": "Jane", "username": "jane", "optedOut": false },
    "replyWindowEndsAt": "2026-10-16T09:30:00.000Z"
  }
}

Die Meta-Regeln gelten darunter weiter: keine Kalt-DMs, eine private Antwort pro Kommentar und Antworten nur innerhalb des Fensters. Eine Schicht nimmt dir die Technik ab, nicht die Plattformregeln. Inbox- und Kommentar-Scopes sind pro API-Schlüssel optional zuschaltbar, und die vollständige Referenz steht auf der Entwicklerseite und in der OpenAPI-Spezifikation.

Wenn du Tools dafür vergleichst, findest du in unserem Leitfaden zu ManyChat-Alternativen eine Checkliste speziell für den API-Zugang.

Häufige Fragen

Gibt es eine offizielle Instagram DM API?

Ja, als Teil von Metas Instagram Platform. Es ist kein eigenes Produkt: Nachrichten sind eine Reihe von Endpunkten und Webhooks, verfügbar über die Instagram API with Instagram Login oder über Facebook Login mit einer verknüpften Seite. Beide setzen ein professionelles Instagram-Konto voraus.

Kann ich über die API eine DM an jedes Instagram-Konto senden?

Nein. Die API erlaubt nur, Personen anzuschreiben, die zuerst mit dem Konto interagiert haben, etwa durch eine DM, einen Kommentar (eine private Antwort) oder eine Antwort auf eine Story. Für Kaltakquise gibt es keinen Endpunkt.

Brauche ich eine Facebook-Seite, um die Instagram DM API zu nutzen?

Mit der Instagram API with Instagram Login nicht. Bei Facebook Login schon, weil diese Variante über die mit dem Instagram-Konto verknüpfte Seite läuft.

Wie lange dauert der App Review?

Eine feste Antwort gibt es nicht. Manche Einreichungen laufen in Tagen durch, andere brauchen Wochen mit ein oder zwei Ablehnungen dazwischen. Ein vollständiges Screencast mit dem ganzen Login und jeder Berechtigung im Einsatz ist der größte Faktor, den du selbst in der Hand hast.

Kann ich das HUMAN_AGENT-Tag für automatische Nachfassnachrichten nutzen?

Nein. Das Tag gibt es, damit ein Mensch innerhalb von 7 Tagen nach der letzten Nachricht der Person antworten kann, und Meta muss die Human-Agent-Funktion für deine App freigeben. Es für automatische oder werbliche Nachrichten zu nutzen, verstößt gegen die Richtlinien.

Kann die API eine DM auslösen, wenn mir jemand folgt?

Nein. Die offizielle API kennt kein Follow-Ereignis, deshalb kann kein seriöses Tool neuen Followern automatisch eine DM schicken. Kommentar-Keywords, DM-Keywords und Story-Antworten sind die Auslöser, die es gibt.

Ist die Instagram DM API kostenlos?

Meta berechnet die API-Aufrufe nicht. Die Kosten sind der Entwicklungsaufwand für Bau und Wartung der Integration plus der App Review. Tools auf Basis der API berechnen das Produkt rund um die API, nicht den Zugang zu Metas Endpunkten.