Beschädigtes Smartphone forensisch auslesen: Welche Möglichkeiten gibt es?
Ein physisch beschädigtes Smartphone kann eine forensische Extraktion verhindern, obwohl die gespeicherten Daten selbst noch vorhanden sind. Ob sie wieder erreichbar werden, entscheidet sich meist nicht am Speicherchip, sondern am Zustand der übrigen Originalhardware.
Fachlich geprüft von Jan Petermann, Gründer & Geschäftsführer smartmodVeröffentlicht am
Wann wird Hardware zum Problem für die Forensik?
Forensische Extraktionssysteme setzen ein Gerät voraus, das startet, über seine Schnittstelle kommuniziert und – je nach Verfahren – in einen bestimmten Betriebsmodus versetzt werden kann. Fällt eine dieser Voraussetzungen aus, scheitert die Extraktion, bevor sie begonnen hat.
Das Problem liegt dann nicht in der Software des Extraktionssystems, sondern in der Hardware des Beweismittels. Die Daten können vollständig vorhanden sein – sie sind nur über den regulären Weg nicht erreichbar.
Welche Schäden verhindern eine reguläre Extraktion?
Flüssigkeit
Eindringende Flüssigkeit verursacht Kurzschlüsse und löst Korrosion aus, die auch nach dem Trocknen weiterarbeitet – besonders bei Salzwasser oder verunreinigten Flüssigkeiten.
Korrosion
Korrosion unterbricht Leiterbahnen und Lötstellen, häufig unter Abschirmblechen und Bauteilen, wo sie von außen nicht sichtbar ist.
Brand und Hitze
Hitze beschädigt Bauteile, Lötverbindungen und die Leiterplatte selbst. Entscheidend ist, ob die daten- und kryptografierelevanten Komponenten die Temperatur überstanden haben.
Mechanische Zerstörung
Gebrochene oder verbogene Logicboards, abgerissene Bauteile, zerstörte Steckverbinder. In mehrlagigen Platinen können innere Leiterbahnen reißen, ohne dass es außen sichtbar ist.
Fehler in der Spannungsversorgung
Kurzschlüsse auf Versorgungsleitungen (Power Rails) oder defekte Power-Management-Bausteine verhindern, dass das Gerät überhaupt startet.
Defekte Schnittstellen
Beschädigte USB-C- oder Lightning-Buchsen, Flexkabel oder Schnittstellenbausteine: Das Gerät startet unter Umständen, baut aber keine Datenverbindung zum Extraktionssystem auf.
Warum funktioniert einfaches „Speicher auslesen“ bei modernen Smartphones häufig nicht?
Aktuelle iPhones und Android-Smartphones verschlüsseln die Nutzerdaten standardmäßig. Die Schlüssel werden aus gerätegebundenem Schlüsselmaterial und – je nach Datenklasse – dem Sperrcode abgeleitet. Das gerätegebundene Material ist in einem Sicherheitsbereich des Systems verankert: bei Apple in der Secure Enclave, bei Android in einer hardwaregestützten Schlüsselverwaltung.
Wird der Flash-Speicher ausgelötet und außerhalb des Geräts ausgelesen, liegt deshalb in der Regel nur verschlüsselter Inhalt vor. Der Schlüssel, der ihn lesbar machen würde, bleibt im Originalsystem zurück.
Welche Rolle spielt die Originalhardware?
Weil der Datenzugriff an das Originalsystem gebunden ist, ist dessen Erhalt bei modernen Smartphones meist die Voraussetzung jeder weiteren Arbeit. Die daten- und kryptografierelevanten Komponenten – typischerweise der Hauptprozessor mit seinem Sicherheitsbereich und der Flash-Speicher – müssen funktionsfähig bleiben und im ursprünglichen Verbund arbeiten.
Ein Austausch des kompletten Logicboards löst das Problem nicht: Mit dem Board wären genau die Komponenten weg, an die die Daten gebunden sind.
Vor jedem Eingriff
Was ist Board-Level-Rekonstruktion?
Board-Level-Rekonstruktion bezeichnet die Wiederherstellung benötigter Funktionen direkt auf der ursprünglichen Geräteplatine. Ziel ist nicht ein alltagstaugliches Gerät, sondern ein Zustand, in dem die Originalhardware wieder für eine forensische Extraktion erreichbar ist.
Diagnose
Mikroskopische Untersuchung und elektrische Messung – Kurzschlüsse, Versorgungsspannungen, unterbrochene Verbindungen.
Leiterbahn- und Lötstellenreparatur
Wiederherstellung unterbrochener Verbindungen durch Microsoldering.
Tausch nicht datenrelevanter Bauteile
Etwa im Bereich der Spannungsversorgung oder der Schnittstelle – die daten- und kryptografierelevanten Komponenten bleiben unangetastet.
BGA-Rework
Aus- und Wiedereinlöten von Bauteilen, deren Kontakte als Lotkugeln unter dem Gehäuse liegen.
Komponenten-Transplantation
Ist die ursprüngliche Platine nicht mehr zu retten, können die daten- und kryptografierelevanten Originalkomponenten – soweit technisch möglich – auf eine intakte Trägerplatine desselben Modells übertragen werden.
Wann kommen Chip-Off, ISP oder andere Verfahren in Betracht?
Hardwarenahe Verfahren wie Chip-Off, In-System-Programming (ISP) oder JTAG greifen direkt auf den Speicher oder auf Debug-Schnittstellen zu. Sie sind bei älteren oder unverschlüsselten Geräten, bei einfachen Mobiltelefonen, bei Speicherkarten und bei eingebetteten Systemen etabliert.
Bei aktuellen, verschlüsselten Smartphones liefern sie aus den oben genannten Gründen meist nur verschlüsselte Rohdaten. Welches Verfahren im Einzelfall in Frage kommt, hängt von Gerät, Softwarestand und Schadensbild ab – eine pauschale Empfehlung gibt es nicht.
Was passiert nach erfolgreicher Rekonstruktion?
Ist die benötigte Funktion wiederhergestellt – etwa die Bootfähigkeit oder die Datenkommunikation –, wird das Gerät dem forensischen Extraktionsworkflow zugeführt: im Labor des Auftraggebers oder, nach Absprache, im rekonstruierenden Labor.
Hardware-Rekonstruktion und forensische Extraktion sind unterschiedliche Arbeitsschritte. Eine erfolgreiche Rekonstruktion garantiert keinen Datenzugriff: Ob Gerätesperren oder Verschlüsselung überwunden werden können, hängt von Modell, Betriebssystemversion, Gerätezustand und den verfügbaren forensischen Verfahren ab.
Die durchgeführten Hardwareeingriffe sollten fallbezogen dokumentiert werden, damit nachvollziehbar bleibt, in welchem Zustand das Beweismittel übernommen, bearbeitet und übergeben wurde.
Welche Informationen benötigt das Labor für eine Ersteinschätzung?
Gerät
Hersteller und Modell, soweit bekannt.
Schadensbild
Flüssigkeit, Brand, mechanische Zerstörung, elektrischer Defekt – und seit wann.
Aktueller Zustand
Reagiert das Gerät auf Strom, zeigt das Display etwas, wird es am Rechner oder am Extraktionssystem erkannt?
Bisherige Maßnahmen
Trocknungs-, Reparatur-, Datenrettungs- oder Extraktionsversuche.
Fotos
Des Geräts und – falls bereits geöffnet – des Boards. Keine personenbezogenen Ermittlungsunterlagen, soweit sie für die technische Einschätzung nicht erforderlich sind.
Fristen
Läuft eine Frist, gehört sie in die erste Nachricht.
Kurz beantwortet.
Kann ein Smartphone mit Wasserschaden forensisch ausgelesen werden?
Häufig ja, vor allem wenn es schnell in ein Labor kommt. Korrosion schreitet nach dem Kontakt mit Flüssigkeit weiter fort, und Einschalt- oder Ladeversuche können zusätzliche Kurzschlüsse verursachen. Ob die für die Extraktion benötigten Funktionen wiederhergestellt werden können, zeigt erst eine Board-Level-Diagnose.
Hilft es, das Logicboard eines beschädigten Smartphones gegen ein funktionierendes zu tauschen?
Nein. Bei modernen Smartphones sind die Daten an Komponenten des Originalboards gebunden. Mit einem Ersatzboard startet zwar wieder ein Gerät, aber ohne Zugriff auf die ursprünglichen Daten.
Quellen
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
- Apple: Apple Platform Security: Data Protection overview
- Android Open Source Project: File-based encryption
Passt dazu.
Forensic Device Recovery
Board-Level-Rekonstruktion beschädigter Mobilgeräte für die forensische Extraktion.
Mehr erfahrenChip-Off in der Smartphone-Forensik
Möglichkeiten und Grenzen des Verfahrens bei verschlüsselten Geräten.
Mehr erfahrenIT-Forensik & digitale Beweissicherung
Forensische Sicherung und Analyse intakter Datenträger und Mobilgeräte.
Mehr erfahrenWir prüfen, ob das Gerät rekonstruierbar ist.
Für eine erste technische Einschätzung genügen wenige Angaben zu Gerät und Schadensbild.
Wasserweg 8–10 · 60594 Frankfurt am Main