Smartphone Forensik: Was Hardware-Nutzer wissen müssen

Ein gestohlenes Firmenhandy, ein Unfallhergang, der sich nicht rekonstruieren lässt, oder ein Verdacht auf Datendiebstahl im Unternehmen: In all diesen Fällen landet früher oder später ein Smartphone auf dem Tisch eines Spezialisten. Was dort passiert, ist für die meisten Hardware-Interessierten eine Art Blackbox. Dabei steckt hinter der digitalen Spurensicherung am Mobilgerät eine Menge faszinierender und gleichzeitig ernüchternder Technik.

Was ein Smartphone tatsächlich speichert

Moderne Smartphones sind keine einfachen Kommunikationsgeräte mehr. Ein aktuelles Android-Flaggschiff oder ein iPhone der aktuellen Generation schreibt pausenlos Daten in den internen Flash-Speicher: GPS-Koordinaten mit Zeitstempel, WLAN-Verbindungshistorien, App-Nutzungsdaten, Sensorwerte des Beschleunigungsmessers, Anrufmetadaten und weit mehr. Selbst wenn ein Nutzer eine Nachricht löscht, verbleibt der Datensatz in vielen Fällen noch Wochen im Speicher, bis er von neuen Daten überschrieben wird.

Das liegt am Verhalten von NAND-Flash-Speichern. Diese schreiben nicht direkt in eine bereits beschriebene Zelle, sondern markieren alte Daten zunächst nur als ungültig. Das Betriebssystem gibt dem Speichercontroller über den sogenannten TRIM-Befehl den Auftrag, diese Zellen zu leeren. Ob und wann das tatsächlich passiert, hängt vom Controller, der Last und der Speicherkonfiguration ab. Für Forensiker bedeutet das: Es gibt ein Zeitfenster, in dem gelöschte Daten noch auslesbar sind.

Die drei Ebenen der Datenextraktion

In der professionellen Praxis unterscheidet man grundsätzlich zwischen drei Extraktionsmethoden, die jeweils unterschiedliche Hardware-Kenntnisse und Werkzeuge erfordern:

• Logische Extraktion: Der Klassiker. Das Gerät wird über USB verbunden, und ein Softwaretool wie Cellebrite UFED oder Oxygen Forensic Detective liest die Daten über die offiziellen Schnittstellen des Betriebssystems aus. Schnell, einfach, aber begrenzt. Gelöschte oder verschlüsselte Bereiche bleiben unsichtbar.
• Dateisystem-Extraktion: Tiefer als die logische Methode, aber noch immer abhängig von Software-Zugriffsrechten. Über spezielle Protokolle wie das Apple File Conduit oder ADB mit Root-Zugriff lassen sich vollständige Verzeichnisstrukturen sichern. Rund 60 bis 70 Prozent aller forensischen Untersuchungen enden auf dieser Ebene.
• Physische Extraktion: Der direkteste Zugriff auf den Chip selbst. Dabei wird entweder JTAG genutzt, ein standardisiertes Debug-Interface auf Leiterplattenebene, oder der Speicherchip wird physisch ausgelötet und in einem speziellen Reader ausgelesen. Letzteres nennt sich Chip-Off-Forensik und erfordert Kenntnisse in Mikrolöttechnik sowie passende BGA-Werkzeuge.

Verschlüsselung als technische Hürde

Seit Android 6.0 ist die vollständige Geräteverschlüsselung Pflicht für neue Geräte, Apple setzt sie seit dem iPhone 3GS in Hardware um. Das Secure Enclave-Konzept, das Apple ab dem A7-Chip eingeführt hat, speichert den kryptografischen Schlüssel in einem isolierten Koprozessor, der selbst bei direktem Chip-Zugriff keinen Klartext preisgibt. Die Verschlüsselung ist eng mit der Geräte-UID verknüpft, einer in der Fertigung eingebrannten 256-Bit-Kennung.

Professionelle Smartphone Forensik setzt an dieser Stelle auf andere Wege: Schwachstellen im Bootloader, bekannte Exploits in älteren iOS- oder Android-Versionen oder sogenannte Brute-Force-Angriffe auf die PIN, die durch Hardware-Module mit spezialisierten FPGAs beschleunigt werden. Ein vierstelliger PIN kann so in wenigen Stunden geknackt werden, ein sechsstelliger numerischer Code dauert je nach System bereits mehrere Tage.

Welche Werkzeuge konkret zum Einsatz kommen

Der Markt für forensische Hardware ist überschaubar, aber spezialisiert. Cellebrite, ein israelisches Unternehmen, dominiert mit seinem UFED-System den professionellen Bereich. Preise für vollständige Lizenzen beginnen bei 15.000 Euro und reichen weit darüber hinaus. Daneben existieren Open-Source-Alternativen wie das Android-Tool ADB kombiniert mit Autopsy oder der Forensic Toolkit von AccessData.

Für die Chip-Off-Methode benötigt man zusätzlich:

• Eine Heißluftlötstation mit präziser Temperatursteuerung, typisch 300 bis 380 Grad Celsius für BGA-Packages
• Einen NAND-Flash-Programmer wie den RT-BGA63-01 oder vergleichbare Adapter
• Software zur Rekonstruktion des Dateisystems aus dem Rohabbild, da der Speichercontroller die Daten meist über mehrere Chips verteilt und proprietär organisiert

Letzterer Punkt ist entscheidend: Ohne den passenden Speichercontroller und dessen proprietäres ECC-Korrekturschema ist das ausgelesene Rohabbild oft unlesbar. Einige Controller-Hersteller wie Qualcomm oder MediaTek verschlüsseln zusätzlich auf Chip-Ebene.

Was das für normale Smartphone-Nutzer bedeutet

Die meisten Menschen werden nie Ziel einer forensischen Untersuchung. Trotzdem lohnt ein Blick auf die eigene Datenhygiene. Wer sein Gerät verkauft oder entsorgt, sollte wissen, dass ein einfaches Zurücksetzen auf Werkseinstellungen keine vollständige Datenlöschung garantiert. Vor allem bei Geräten, die noch kein standardmäßig verschlüsseltes Dateisystem verwendet haben, können Restdaten wiederhergestellt werden.

Konkret empfiehlt sich folgendes Vorgehen vor der Geräteabgabe:

• Geräteverschlüsselung aktivieren, falls nicht bereits aktiv
• Gerät vollständig mit Zufallsdaten befüllen, zum Beispiel durch das Kopieren großer Videodateien bis der Speicher voll ist
• Anschließend Werksreset durchführen

Bei iPhones übernimmt die Hardware-Verschlüsselung in Kombination mit dem Löschen des kryptografischen Schlüssels diese Aufgabe zuverlässig. Nach einem ordentlichen Reset über die Einstellungen sind die Daten praktisch nicht mehr rekonstruierbar, weil der Schlüssel im Secure Enclave vernichtet wird und damit alle verschlüsselten Blöcke zu sinnlosem Rauschen werden.

Forensik als Spiegel der Hardware-Architektur

Was digitale Spurensicherung am Ende zeigt, ist der direkte Zusammenhang zwischen Hardware-Design und Datensicherheit. Die Entscheidung eines Herstellers, einen dedizierten Sicherheitsprozessor zu integrieren oder auf kostengünstige Controller ohne Hardwareverschlüsselung zu setzen, hat unmittelbare Folgen für die Spurenresistenz eines Geräts. Günstige Android-Geräte unter 150 Euro weisen hier häufig erhebliche Schwächen auf, weil die Controller keine vollständige AES-256-Verschlüsselung auf Hardwareebene unterstützen.

Für Hardware-Enthusiasten ist Smartphone-Forensik deshalb weit mehr als ein Nischenthema für Ermittler. Sie ist ein praxisnaher Testfall dafür, was Chip-Architekturen, Speichercontroller und Sicherheitskonzepte tatsächlich leisten. Und sie zeigt, dass die Qualität eines Geräts sich nicht nur in Benchmarks misst, sondern auch darin, was nach dem letzten Einschalten noch übrig bleibt.