Als wäre die Zeit eingefroren: iPhone-Neustartschutz ausgehebelt

Der automatische Neustart länger gesperrter iPhones sollte Ermittlern den Zugriff auf beschlagnahmte Geräte erschweren. Nun behauptet Magnet Forensics, genau diese Schutzmaßnahme umgehen zu können. Das Unternehmen hinter GrayKey hat dafür einen sogenannten Evidence Preservation Mode entwickelt. Dieser soll einen einmal erreichten Gerätezustand erhalten, selbst wenn das iPhone später neu startet oder die Stromversorgung verliert.

Die GrayKey-Box im Einsatz | Bilder: Magnet Forensics

Apple hatte den automatischen Neustart 2024 eingeführt. Ein iPhone, das 72 Stunden lang nicht entsperrt wurde, wechselt dabei durch einen Neustart wieder in den sogenannten Before-First-Unlock-Zustand, kurz BFU. Nach dem Einschalten muss zunächst der Gerätecode eingegeben werden. Bestimmte Daten sind in diesem Zustand stärker abgeschirmt und für forensische Werkzeuge schwerer zugänglich. Wir hatten damals bereits über die unerwarteten Neustarts beschlagnahmter Geräte berichtet.

GrayKey hält den günstigeren Zustand fest

Magnet Forensics will diesen Wechsel nun verhindern beziehungsweise seine Folgen neutralisieren. Der Preservation Mode soll den After-First-Unlock-Zustand, kurz AFU, festhalten. In diesem Zustand war das iPhone seit dem letzten Start bereits einmal entsperrt. Dadurch können bestimmte Daten leichter zugänglich sein.

Nach Angaben aus einem internen Schulungsvideo deaktiviert die Lösung zudem Funkverbindungen wie WLAN, Bluetooth und Mobilfunk. Ermittler sollen zunächst lediglich Modell und installierte iOS-Version sehen können. Die eigentlichen Daten bleiben demnach verborgen, bis eine entsprechende Freigabe vorliegt.

Wie Magnet den AFU-Zustand technisch konserviert, bleibt offen. Eine Sicherheitsforscherin des Hasso-Plattner-Instituts hält es für möglich, dass GrayKey gewissermaßen die Zeit auf dem iPhone anhält. Denkbar sei, dass die interne Zeitmessung manipuliert oder bestimmte Systemaufgaben gestoppt werden, die nach Ablauf festgelegter Fristen Daten unzugänglich machen oder löschen. Bestätigt ist dieser Mechanismus bislang nicht.

Schutzfunktion wird Teil eines Wettrüstens

Eine bewusste Abschaltung bleibt davon grundsätzlich zu unterscheiden: Nach einem vollständigen Neustart verlangt das iPhone erneut den Gerätecode. Gerade bei erhöhtem persönlichem Risiko gewinnt damit auch eine lange Gerätepassphrase an Bedeutung. Für die meisten Nutzer dürfte ein spezialisierter forensischer Angriff kein typisches Alltagsszenario sein. Für Personen mit konkretem Risiko kann dagegen entscheidend sein, wie viele sensible Daten überhaupt dauerhaft auf dem Gerät liegen.

Dass Behörden und Sicherheitsfirmen immer wieder Wege um Apples Schutzmechanismen suchen, ist nicht neu. Bereits früher kamen GrayKey-Systeme bei US-Behörden zum Einsatz. Ebenso zeigte eine 2025 geschlossene Schwachstelle im eingeschränkten USB-Modus, dass auch Schutzfunktionen gegen forensische Werkzeuge selbst zum Angriffspunkt werden können.