GrayKey will die 72-Stunden-Sicherheitsuhr des iPhone anhalten

Magnet Forensics hat laut einem von 404 Media beschafften Video GrayKey Preserve und einen Evidence Preservation Mode entwickelt. Beide sollen den Zustand After First Unlock erhalten, der Forensikwerkzeugen besseren Zugriff auf bestimmte Daten bietet, selbst wenn ein iPhone neu startet oder die Stromversorgung verliert.

GrayKey will den Telefonzustand über einen Neustart retten

Seit iOS 18.1 startet Apple ein iPhone nach 72 Stunden ohne Entsperrung automatisch neu. Das Gerät kehrt dadurch zu Before First Unlock zurück. In diesem Zustand bleiben mehr sensible Daten verschlüsselt und Angriffe auf den Gerätecode sind meist schwieriger. Der Schutz erschwert Polizeiarbeit, wenn ein beschlagnahmtes Telefon auf einen richterlichen Beschluss oder freie Laborkapazität wartet.

Das geleakte Schulungsvideo beschreibt ein separates Gerät namens GrayKey Preserve und einen neuen Modus für bestehende GrayKey-Hardware. Magnet behauptet, beide könnten den Zustand After First Unlock trotz eines späteren Neustarts bewahren. Nach dem ersten Zugriff soll das Werkzeug außerdem Mobilfunk, Wi-Fi und Bluetooth abschalten und verhindern, dass bestimmte Daten wie kürzlich gelöschte Fotos oder iMessages verfallen.

Der Wettlauf verlagert sich vom Knacken des Telefons zum Anhalten der Zeit

Die operative Änderung ist entscheidend. Laut Beschreibung muss die Polizei den Inhalt des Telefons nicht sofort lesen. Das Werkzeug kann zunächst den verfügbaren Zustand sichern und nur Gerätemodell sowie iOS-Version anzeigen, während Ermittler auf die rechtliche Genehmigung zur Durchsuchung warten.

Für die Gerätesicherheit ist das eine weitere Runde zwischen Apple und Forensikanbietern. Der automatische Neustart verkürzte die Zeit, in der ein beschlagnahmtes Gerät in einem leichter zugänglichen Zustand bleibt. GrayKey behauptet nun, diese Frist bereits bei der Sicherstellung des Telefons technisch neutralisieren zu können.

Der Mechanismus bleibt geheim und ein unabhängiger Test fehlt

Der Bericht von 404 Media war bei der Prüfung nur teilweise zugänglich und basiert auf einem geleakten Video. Das Video erklärt den technischen Mechanismus nicht. Unklar bleibt auch, welche iOS-Versionen betroffen sind und ob die Fähigkeit in realen Ermittlungen eingesetzt wurde. Die Aussage zur Beständigkeit nach einem Neustart stammt somit von Magnet und nicht aus einem unabhängigen Labor.

Die Sicherheitsforscherin Jiska Classen vermutet laut Bericht, dass das Werkzeug die Uhr des Telefons manipulieren oder Aufgaben zum Löschen abgelaufener Daten deaktivieren könnte. Das ist eine fachliche Hypothese und keine nachgewiesene Beschreibung des Exploits. Magnet bestätigt auf seiner öffentlichen Produktseite Funktionen gegen automatische Neustarttimer, nennt aber keine technischen Details.

Apples Reaktion zeigt, ob es ein Exploit oder nur ein Vorsprung ist

Drei Signale werden die Lage klären: eine unabhängige Reproduktion, eine genaue Liste unterstützter Geräte und iOS-Versionen sowie eine mögliche Korrektur von Apple. Beruht die Lösung auf einem bestimmten Fehler, kann ein Update den Weg schließen. Wird der Zustand anders erhalten, muss Apple womöglich den Übergang zwischen AFU und BFU selbst verändern.

Für Nutzer gibt es darauf keine einfache Antwort in den Einstellungen. Zeitnahe iOS-Updates, ein starker Gerätecode und das Bewusstsein, dass physischer Zugriff auf ein entsperrtes Telefon Spezialwerkzeugen eine deutlich bessere Ausgangslage gibt, bleiben die praktischen Schutzmaßnahmen.

Liliths Urteil

Apple hat im Beweismittellager eine Uhr auf 72 Stunden gestellt. GrayKey will die Zeiger anhalten können, doch bis ein unabhängiges Labor den Trick zerlegt, sehen wir nur die Aufnahme des Zauberers selbst.