Dem Unternehmen Magnet Forensics, das hinter dem iPhone-Entsperrwerkzeug Graykey für Ermittlungsbehörden steckt, ist es offenbar gelungen, eine von Apple seit iOS 18 verwendete (und mit iOS 18.1 verschärfte) Sicherheitsfunktion zu unterlaufen – oder zumindest hinauszuzögern. Dabei geht es um den automatischen Reboot der Geräte, der sie in einen abgesicherten Modus („Before First Unlock“) versetzt, in dem sie nur schwer über die USB-C-Schnittstelle angegriffen werden können. Wie das US-Investigativmedium 404 Media unter Berufung auf ein Firmenvideo meldet, scheint Magnet Forensics eine Methode gefunden zu haben, den eigentlich nach 72 Stunden startenden „Inactivity Reboot“ zu überlisten. Werden iPhones drei Tage lang nicht entsperrt, starten sie sich automatisch neu. Nach dem Reboot gilt das Apple-Gerät dann als nahezu dicht, was eine größere Hürde für Polizeibehörden, Geheimdienste oder Diebe darstellt, die Geräte zu entriegeln.

Als Apple die Funktion eingeführt hatte, gab es Kritik an dem Konzern. Ermittlern gelingt es oft nicht, die Geräte im Zeitraum von 72 Stunden zu öffnen, sei es wegen fehlender richterlicher Anordnungen oder anderer Gründe. Damit wird ihnen auch mit spezialisierten Geräten wie jenen von Magnet Forensics der Zugriff erheblich erschwert. Laut 404 Media hat Magnet Forensics deshalb ein neues Spezialgerät namens Graykey Preserve entwickelt, zudem eine Funktion namens „Evidence Preservation Mode“ für bestehende Hacking-Werkzeuge geschaffen.

In dem Video wird behauptet, die Funktion sei ein „absoluter Gamechanger“ für die iOS-Forensik. Neben der Verzögerung des Inactivity Reboot soll auch die automatische Löschung weiterer Daten wie Ortsangaben im Cache oder im Gerätepapierkorb abgelegter Fotos und iMessage-Nachrichten verhindert werden.

Angeblich sei es gelungen, die Daten „unendlich lange“ zu erhalten. Die Funktion für Graykey könnte schon eine ganze Weile verfügbar sein, ohne dass dies an die Öffentlichkeit gelangte: Laut 404 Media stammt das Video von Anfang 2025. Technische Details zur Umsetzung fehlen, es gibt allerdings Hinweise dazu. So aktiviert Graykey Preserve unter anderem den Flugmodus und kappt damit Bluetooth, WLAN und Mobilfunk. Zudem soll der sogenannte „After First Unlock“-Modus, der Zugriff auf Daten über USB-C ermöglicht, auch bei einem Reboot „egal aus welchen Gründen“ erhalten bleiben.

Weder Apple noch Magnet Forensics haben den Bericht kommentiert. iPhone-Sicherheitsexpertin Jiska Classen, Professorin am Hasso-Plattner-Institut in Potsdam, vermutet, dass es Magnet Forensics auf eine unbekannte Art gelingt, die iPhone-Uhr zu manipulieren und somit die „Zeit anhalten“ oder zumindest verlangsamen zu können. Damit verhindert Graykey offenbar, dass von Apple gesetzte Zeitlimits für die Löschung und den Reboot ablaufen. Immerhin: Nutzer dürften das alles umgehen können, indem sie ihr Gerät vollständig herunterfahren, bevor es beschlagnahmt wird.

(bsc)