Chip-Off in der Smartphone-Forensik: Möglichkeiten und Grenzen
Chip-Off ist eines der bekanntesten hardwarenahen Verfahren der Mobilgeräte-Forensik. Bei aktuellen, verschlüsselten Smartphones stößt es an eine grundsätzliche Grenze: Der Speicherchip enthält die Daten, aber nicht den Schlüssel.
Fachlich geprüft von Jan Petermann, Gründer & Geschäftsführer smartmodVeröffentlicht am
Was bedeutet Chip-Off?
Chip-Off bezeichnet das Auslöten des Speicherbausteins – bei Smartphones meist eMMC oder UFS – und das Auslesen seines Rohinhalts mit einem externen Lesegerät. Das Ergebnis ist ein physisches Abbild des Speichers, das anschließend dekodiert und ausgewertet wird.
Der Eingriff ist invasiv: Nach dem Auslöten ist das Gerät in seinem ursprünglichen Zustand nicht mehr betriebsfähig, solange der Baustein nicht wieder eingesetzt wird.
Wann wird Chip-Off eingesetzt?
Unverschlüsselte Speicher
Ältere Smartphones und einfache Mobiltelefone ohne durchgängige Verschlüsselung.
Speicherkarten und eingebettete Systeme
Speicherkarten, USB-Sticks und Geräte, deren Speicher nicht an einen Sicherheitsbereich des Prozessors gebunden ist.
Nicht mehr betreibbare Geräte
Geräte, die so zerstört sind, dass sie nicht mehr betrieben werden können – sofern keine Verschlüsselung dem Auslesen entgegensteht.
Warum reicht Chip-Off bei modernen Smartphones häufig nicht aus?
Aktuelle iPhones und Android-Geräte verschlüsseln die Nutzerdaten standardmäßig. Android setzt auf aktuellen Geräten dateibasierte Verschlüsselung (File-Based Encryption) ein; Apple verschlüsselt über Data Protection mit Schlüsseln, die von der Secure Enclave verwaltet werden.
Ein per Chip-Off gewonnenes Abbild enthält in diesem Fall zwar die verschlüsselten Daten, aber nicht das gerätegebundene Schlüsselmaterial. Ohne dieses lässt sich der Inhalt nicht entschlüsseln.
Verschlüsselung und Bindung an Originalkomponenten
Die Schlüssel zur Entschlüsselung werden aus einem im Gerät verankerten Hardwareschlüssel und – je nach Datenklasse – dem Sperrcode abgeleitet. Der Hardwareschlüssel ist so ausgelegt, dass er den Sicherheitsbereich des Prozessors nicht verlässt und nicht ausgelesen werden kann.
Praktisch bedeutet das: Speicher und Prozessor bilden eine Einheit. Nur im Zusammenspiel dieser Originalkomponenten können die Daten wieder zugänglich werden.
Unterschied zwischen Chip-Off und Board-Level-Rekonstruktion
Chip-Off
Löst den Speicher aus dem System heraus und liest ihn isoliert aus. Ergebnis: ein Rohabbild – bei verschlüsselten Geräten Chiffrat.
Board-Level-Rekonstruktion
Stellt die benötigten Funktionen des Originalsystems wieder her, sodass das Gerät mit seinen eigenen Schlüsseln arbeitet. Ergebnis: ein Gerät, das wieder einem forensischen Extraktionsworkflow zugeführt werden kann.
ISP, JTAG und andere hardwarebasierte Verfahren
Beim In-System-Programming (ISP) wird der Speicher direkt auf der Platine kontaktiert, ohne ihn auszulöten. JTAG nutzt Test- und Debug-Schnittstellen des Prozessors für den Zugriff auf den Speicher. Beide Verfahren sind weniger invasiv als Chip-Off, setzen aber voraus, dass die jeweilige Schnittstelle zugänglich ist.
Für die Verschlüsselung gilt dasselbe wie bei Chip-Off: Auch ein per ISP oder JTAG gewonnenes Abbild eines verschlüsselten Speichers ist ohne das Schlüsselmaterial des Originalsystems nicht lesbar. Bei vielen aktuellen Smartphones sind Debug-Schnittstellen im Auslieferungszustand zudem deaktiviert.
Wann ist die Rekonstruktion der Originalhardware sinnvoller?
Immer dann, wenn das Gerät seine Daten verschlüsselt und die daten- und kryptografierelevanten Komponenten noch intakt sind. Dann ist nicht das Auslesen des Speichers das Ziel, sondern ein funktionsfähiges Originalsystem, das einem Extraktionssystem wieder zur Verfügung steht.
Chip-Off kann in diesen Fällen sogar kontraproduktiv sein: Wird der Speicherbaustein ausgelötet, wird die Einheit mit dem Prozessor aufgelöst – ein späterer Weg über das Originalsystem wird dadurch erschwert.
Fazit
Chip-Off bleibt ein wertvolles Verfahren für unverschlüsselte Speicher, ältere Geräte und eingebettete Systeme. Bei modernen, verschlüsselten Smartphones ist dagegen in der Regel der Erhalt des Originalsystems entscheidend: Die Board-Level-Rekonstruktion stellt die benötigten Funktionen wieder her, die Extraktion erfolgt anschließend mit etablierten forensischen Verfahren. Welches Vorgehen im Einzelfall richtig ist, klärt eine technische Diagnose des konkreten Geräts.
Kurz beantwortet.
Kann man den Speicherchip eines iPhones auslöten und auslesen?
Technisch ja, forensisch verwertbar in der Regel nicht. Die Daten auf aktuellen iPhones sind verschlüsselt, und das Schlüsselmaterial ist an die Secure Enclave des Originalprozessors gebunden. Das ausgelesene Abbild enthält deshalb nur verschlüsselte Daten.
Wann ist Chip-Off in der Mobilgeräte-Forensik noch sinnvoll?
Bei Speichern ohne gerätegebundene Verschlüsselung – etwa bei älteren Mobiltelefonen, Speicherkarten und manchen eingebetteten Systemen. Ob das auf ein konkretes Gerät zutrifft, hängt von Modell und Softwarestand ab.
Quellen
- Apple: Apple Platform Security: Secure Enclave
- Android Open Source Project: File-based encryption
- NIST: SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics
Passt dazu.
Forensic Device Recovery
Board-Level-Rekonstruktion beschädigter Mobilgeräte für die forensische Extraktion.
Mehr erfahrenBeschädigtes Smartphone forensisch auslesen
Welche Schäden die Extraktion verhindern und was dann möglich ist.
Mehr erfahrenVerschlüsselung und Datenrettung
BitLocker, FileVault, Smartphones und selbstverschlüsselnde SSDs.
Mehr erfahrenWir prüfen, ob das Gerät rekonstruierbar ist.
Für eine erste technische Einschätzung genügen wenige Angaben zu Gerät und Schadensbild.
Wasserweg 8–10 · 60594 Frankfurt am Main