Forensische Extraktion bei beschädigten iPhones
Bei einem beschädigten iPhone entscheidet der Zustand der Originalhardware darüber, ob eine forensische Extraktion überhaupt möglich wird. Die Daten sind verschlüsselt, und der Schlüssel existiert nur im Zusammenspiel der Originalkomponenten.
Fachlich geprüft von Jan Petermann, Gründer & Geschäftsführer smartmodVeröffentlicht am
Warum Hardwarezustand und Datenzugriff zusammenhängen
iPhones verschlüsseln sämtliche Nutzerdaten. Die Schlüssel werden von der Secure Enclave verwaltet, einem abgeschotteten Sicherheitsbereich im Hauptprozessor. Das zugrunde liegende Schlüsselmaterial verlässt diesen Bereich nicht und ist an genau diesen Prozessor gebunden.
Für die Forensik folgt daraus: Die Daten werden nur über das funktionierende Originalsystem wieder lesbar. Ein iPhone, das nicht mehr startet oder nicht kommuniziert, ist deshalb zunächst ein Hardwareproblem – kein Problem des Extraktionssystems.
Typische Schäden
Flüssigkeit und Korrosion
Kurzschlüsse und fortschreitende Korrosion, häufig unter Abschirmblechen und im Bereich der Steckverbinder.
Mechanische Schäden
Bei vielen neueren Modellen ist das Logicboard zweilagig aufgebaut. Stürze oder Verbiegen können die Verbindung zwischen den Ebenen unterbrechen, ohne dass äußerlich viel zu sehen ist.
Brand und Hitze
Beschädigte Bauteile und Lötverbindungen; entscheidend ist der Zustand von Prozessor und Flash-Speicher.
Fehler in der Spannungsversorgung
Kurzschlüsse auf Versorgungsleitungen oder defekte Power-Management-Bausteine – das Gerät startet nicht.
Defekte Schnittstellen
Lightning- bzw. USB-C-Anschluss oder zugehörige Schnittstellenbausteine: Das Gerät läuft unter Umständen, wird aber vom Extraktionssystem nicht erkannt.
Warum ein Logicboard-Tausch die Daten nicht löst
Wird das beschädigte Logicboard gegen ein funktionsfähiges Ersatzboard getauscht, startet zwar wieder ein iPhone – aber mit fremdem Prozessor, fremder Secure Enclave und fremdem Speicher. Mit den ursprünglichen Daten hat dieses Gerät nichts mehr zu tun.
Für eine forensische Extraktion ist ein Board-Tausch deshalb wertlos. Entscheidend ist, dass die ursprünglichen daten- und kryptografierelevanten Komponenten erhalten bleiben.
Erhalt der relevanten Originalkomponenten
Datenrelevant sind vor allem der Hauptprozessor mit Secure Enclave und der Flash-Speicher. Diese Komponenten müssen erhalten bleiben und im ursprünglichen Verbund betrieben werden.
Ist die Originalplatine nicht mehr zu retten, können diese Komponenten in schweren Fällen – je nach Modell zusammen mit weiteren an das System gekoppelten Bauteilen – auf eine intakte Trägerplatine desselben Modells übertragen werden. Das erfordert hohe Präzision beim BGA-Rework und ist nicht in jedem Fall möglich.
Board-Level-Rekonstruktion
Die Board-Level-Rekonstruktion setzt am Originalboard an: Diagnose unter dem Mikroskop, Messung der Versorgungsspannungen, Lokalisierung von Kurzschlüssen, Reparatur unterbrochener Leiterbahnen und Tausch defekter, nicht datenrelevanter Bauteile. Ziel ist kein alltagstaugliches Gerät, sondern ein Zustand, in dem das iPhone wieder startet und kommuniziert.
Wiederherstellung von Power und Datenkommunikation
Spannungsversorgung
Das Gerät muss stabil versorgt werden und den Startvorgang vollständig durchlaufen.
Datenkommunikation
Die Verbindung über Lightning oder USB-C muss funktionieren, damit das Extraktionssystem das Gerät erkennt.
Stabilität
Das Gerät muss für die Dauer der Extraktion zuverlässig laufen – bei großen Datenmengen unter Umständen über Stunden.
Weitere Funktionen
Ob darüber hinaus etwa ein funktionierendes Display benötigt wird, hängt vom vorgesehenen Extraktionsverfahren ab.
Übergabe an den forensischen Extraktionsworkflow
Nach der Rekonstruktion wird das Gerät dem Extraktionsworkflow zugeführt – im Labor des Auftraggebers mit dessen Systemen oder, nach Absprache, im rekonstruierenden Labor. Die durchgeführten Hardwareeingriffe werden fallbezogen dokumentiert und mit übergeben.
Grenzen bei Sperrcode und Verschlüsselung
Eine erfolgreiche Rekonstruktion bedeutet nicht automatisch Zugriff auf die Daten. Ist der Sperrcode bekannt, entschlüsselt das Gerät seine Daten nach dem Start selbst. Ohne bekannten Sperrcode kann ein Zugriff abhängig von Modell, iOS-Version, Gerätezustand und den verfügbaren forensischen Verfahren dennoch möglich sein; ob das bei einem konkreten Gerät zutrifft, lässt sich erst nach Prüfung bestimmen.
Keine Eingabeversuche auf Verdacht
Technische Ersteinschätzung
Für eine erste Einschätzung genügen wenige Angaben: Modell, Schadensbild, aktueller Zustand – Reaktion auf Strom, Display, Erkennung am Rechner oder Extraktionssystem –, bisherige Maßnahmen und, soweit vorhanden, Fotos des Geräts bzw. des geöffneten Boards.
Bis zur Einschätzung
Kurz beantwortet.
Kann ein iPhone mit gebrochenem Logicboard noch forensisch ausgelesen werden?
Unter Umständen ja. Entscheidend ist, ob Prozessor und Flash-Speicher unbeschädigt sind. Sind sie intakt, lassen sich unterbrochene Verbindungen auf Board-Level teils reparieren, oder die Originalkomponenten werden auf eine intakte Trägerplatine desselben Modells übertragen. Eine belastbare Aussage ist erst nach einer Diagnose möglich.
Warum hilft es nicht, ein beschädigtes iPhone mit einem neuen Logicboard zu reparieren?
Weil die Daten an Prozessor und Secure Enclave des Originalboards gebunden sind. Ein iPhone mit neuem Logicboard startet zwar, hat aber keinen Zugriff auf die ursprünglichen Daten.
Passt dazu.
Forensic Device Recovery
Board-Level-Rekonstruktion beschädigter Mobilgeräte für die forensische Extraktion.
Mehr erfahrenChip-Off in der Smartphone-Forensik
Warum das Auslöten des Speichers bei verschlüsselten Geräten selten weiterhilft.
Mehr erfahrenBeschädigtes Smartphone forensisch auslesen
Schadensbilder, Verfahren und was das Labor für eine Einschätzung braucht.
Mehr erfahrenWir prüfen, ob das Gerät rekonstruierbar ist.
Für eine erste technische Einschätzung genügen wenige Angaben zu Gerät und Schadensbild.
Wasserweg 8–10 · 60594 Frankfurt am Main