Sie haben Ihr iPhone schon zu 98 Prozent ausgelesen, geben Sie uns nur kurz die PIN

Die Vernehmungsmasche, auf die fast jeder hereinfällt, der reale Unterschied zwischen einem warmen und einem kalten Telefon, und warum Ihr Geburtsdatum als Code das Erste ist, was ein Ermittler eintippt.

Ein Lehrer, Mitte 40, unterrichtet seit 20 Jahren Deutsch und Geschichte. Eines Morgens stehen 2 Beamte vor seiner Tür, weil ein Schüler etwas behauptet hat. Nur behauptet. Es wird sich Monate später als haltlos herausstellen, aber das weiß an diesem Morgen niemand, und es interessiert an diesem Morgen auch niemanden. Was zählt, ist der Durchsuchungsbeschluss in der Hand des einen Beamten und der Asservatenbeutel in der Hand des anderen. In diesen Beutel wandert sein iPhone. Entsperrt, weil er gerade noch seine Mails gelesen hatte. Damit wandert sein ganzes Leben in den Beutel: die Fotos seiner Kinder, die Chats mit seiner Frau, die Nachricht an den besten Freund über die Trennung, von der die Schule nichts wusste, die Suchanfragen um 3 Uhr nachts, die Notiz mit den Passwörtern, das halbe Jahrzehnt an Standortdaten, das lückenlos verrät, wo er jeden Dienstagabend war. Er bekommt das Gerät 14 Monate später zurück. Das Verfahren wird eingestellt. Sein Leben hatte zu diesem Zeitpunkt längst jeder gelesen, der wollte.

Ich habe solche Geräte ausgewertet. 25 Jahre lang, gerichtlich bestellt, bis ich diese Tätigkeit im vergangenen Jahr beendet habe. Ich saß auf der anderen Seite des Tisches, an dem über Menschen entschieden wird, deren Telefon offen vor mir lag. Und ich sage Ihnen aus dieser Erfahrung heraus: Was wir heute in der Hosentasche tragen, ist kein Telefon. Es ist das vollständigste Geständnis, das ein Mensch je über sich selbst ablegt, freiwillig, jeden Tag, ohne es zu merken.

Bevor wir anfangen, eine Grenze

Ich verabscheue Kriminalität. Ich verabscheue Gewalt. Ich hinterfrage jede Straftat bis auf den Knochen, das ist mein Beruf gewesen. Dieser Beitrag richtet sich ausdrücklich nicht an jene, die das Wissen darin nutzen wollen, um ihre kriminelle Energie zu verfeinern. Ich kann nicht verhindern, dass sie mitlesen, das ist mir bewusst, und ich schreibe es trotzdem, weil die anderen das Wissen dringender brauchen.

Dieser Beitrag richtet sich an die Menschen im Iran, die für eine Nachricht an die falsche Person mit ihrem Leben bezahlen. An die Wissenschaftlerin, deren unveröffentlichte Daten ein Vermögen wert sind. An den Forscher, den investigativen Journalisten, die Quelle, die ihn anruft, an alle, die in Regierung oder Verwaltung Verantwortung tragen, an jede Person des öffentlichen Lebens, die ins Visier gerät, weil sie ins Visier geraten soll. Und er richtet sich an Sie, ganz gleich, wer Sie sind. Denn es kann jeden treffen, und auch das sage ich aus Erfahrung. Sie müssen nur mit dem falschen Menschen in Kontakt stehen, von dem Sie nicht einmal wissen, womit er sein Geld verdient. Oder es reicht ein schlechter Tag, etwas Alkohol, ein unbedachter Kommentar in den sozialen Netzwerken. Und schon wird Ihr Smartphone beschlagnahmt.

Hier sehe ich eine Grenze überschritten. Aber dazu später, kalt und in der nötigen Schärfe.

Das ganze Leben, in einem Gerät, das in eine Hand passt

Reden wir darüber, was tatsächlich auf so einem Gerät liegt, denn die meisten Menschen haben es sich nie bewusst gemacht.

Da sind die offensichtlichen Dinge. Die Fotos, zehntausende, jedes mit Datum, Uhrzeit und Koordinaten versehen. Die Chats über sämtliche Dienste hinweg, oft Jahre zurück. Die E-Mails, die Notizen, der Kalender, der jeden Termin der letzten Dekade kennt. Der Browserverlauf. Die Gesundheitsdaten. Aber das ist nur die Oberfläche.

Darunter liegt das, was die Menschen einander schicken, wenn sie glauben, niemand schaue zu. Intime Bilder zwischen Partnern, das, was man heute Sexting nennt. Ich musste mir diese Bilder ansehen, je nach Fall, das gehörte zur Auswertung. Und ich will ehrlich sein über das, was dabei mit mir geschah, weil es der Kern dieses ganzen Textes ist. Was ich da sah, war nie nur ein Bild. Es war ein Mensch. Aus den Fotos, den Nachrichten, den Suchanfragen, den nächtlichen Notizen, den gelöschten und wiederhergestellten Fragmenten setzte sich vor mir eine Person zusammen, vollständiger, als sie sich selbst je gesehen hatte. Ich war am Ende in der Lage, ein psychologisches Profil anzulegen, so detailliert, dass jeder Psychiater vor Neid erblasst wäre. Nicht weil ich besonders begabt wäre. Sondern weil das Gerät alles aufbewahrt, was ein Mensch ihm anvertraut, und der Mensch ihm alles anvertraut.

Das hat mir damals zu denken gegeben, und es gibt mir bis heute zu denken. Denn die Kehrseite dieser Tiefe ist auch ihr einziger Trost.

Es gab Fälle, in denen genau diese Datenfülle einen Unschuldigen gerettet hat. Ich erinnere mich an Verfahren, in denen die Gesundheits-App eines iPhones zum Entlastungszeugen wurde. Die App protokolliert Schritte, Treppen, Herzfrequenz, oft minutengenau. Wenn ein Tatvorwurf einen Menschen zu einer bestimmten Uhrzeit an einem bestimmten Ort verortet, zum Beispiel filmend in einer Bank während eines Überfalls, dann lässt sich das mit dem stillen Protokoll im Gerät abgleichen. Zeigte das Telefon zur Tatzeit einen ruhigen Puls und kurz darauf das Muster eines Menschen, der gemächlich eine Treppe hinaufsteigt, während die Anklage ihn mitten in einer Gewalttat sehen wollte, dann passte das nicht zusammen. Es ist kein Beweis im strengen Sinn, das wäre unredlich zu behaupten. Der Mensch hätte sein Telefon verleihen können. Es ist ein Indiz. Aber ich habe mit solchen Indizien Anklagen entkräftet und Menschen aus der Mühle geholt, in die sie nie hätten geraten dürfen. Dasselbe Gerät, das einen vollständig entblößt, kann einen auch vollständig entlasten. Es kommt nur darauf an, in wessen Hände es gerät und in welchem Zustand.

Warm oder kalt, das ist die ganze Wahrheit

Wenn Sie aus diesem Text genau einen technischen Begriff mitnehmen, dann diesen Unterschied. Er entscheidet alles. Forensiker reden von zwei Zuständen, und sie haben dafür Abkürzungen, die hölzern klingen und dennoch über Ihr Schicksal bestimmen.

Ein Smartphone, das seit dem letzten Einschalten noch kein einziges Mal entsperrt wurde, befindet sich im Zustand Before First Unlock, kurz BFU. Kalt. In diesem Zustand liegen die Schlüssel, mit denen die Daten verschlüsselt sind, selbst noch verschlüsselt im Sicherheitschip des Geräts. Die Dateien sind einzeln eingesperrt. Ohne das richtige Passwort kommt da kaum jemand hinein, und mit kaum jemand meine ich auch die teuersten Werkzeuge der Welt.

Sobald Sie den Code aber ein einziges Mal eingeben, kippt das Gerät in den Zustand After First Unlock, AFU. Warm. Jetzt liegen die Schlüssel im Arbeitsspeicher. Sie können danach wieder sperren, so oft Sie wollen, das Gerät bleibt warm, bis es neu startet oder ausgeht. Und ein warmes Gerät ist ein offenes Buch mit einem dünnen Vorhang davor.

Die Forensik-Branche weiß das genau und sagt es ihren Kunden auch. Cellebrite, der Marktführer für solche Werkzeuge, gibt seinen Ermittlern den schlichten Rat, ein beschlagnahmtes iPhone, das noch eingeschaltet ist, unbedingt eingeschaltet zu halten. Man weiß, was man da in der Hand hat. Man weiß auch, was einem entgleitet, sobald das Ding kalt wird.

Übersetzt in Ihren Alltag heißt das eine simple, fast banale Wahrheit. Wird Ihr Gerät warm erwischt, also entsperrt oder seit dem Hochfahren einmal entsperrt, steht die Tür weit offen. Wird es kalt erwischt, ausgeschaltet oder seit dem Hochfahren nie angefasst, dann kämpft selbst ein staatlicher Angreifer nur noch gegen zwei Dinge: gegen die Hardware in Ihrem Gerät und gegen die Stärke Ihres Passworts. Über die Hardware reden wir gleich. Über das Passwort reden wir ausführlich, weil es der Punkt ist, an dem die meisten Menschen sich selbst verraten.

Der Anruf, auf den fast jeder hereinfällt

Es gibt eine Masche, und sie funktioniert, weil sie auf die anständigste Eigenschaft des Menschen zielt, auf seinen Wunsch, dass alles schnell vorübergeht und wieder gut wird.

Der Anruf klingt etwa so. Wir haben Ihr iPhone bereits zu 98 Prozent ausgelesen. Es fehlt nur noch ein kleiner Rest. Wenn Sie uns jetzt einfach die PIN geben, sparen wir uns beide eine Menge Zeit, und Sie könnten Ihr Gerät vielleicht schon heute zurückbekommen. Manchmal ist es freundlich verpackt, manchmal kommt es als beiläufige Bitte, kurz zu entsperren, weil es dann ja schneller gehe. Manchmal steht ein Beamter neben Ihnen und sagt, kommen Sie, das macht es für alle leichter.

Fallen Sie nicht darauf herein. Niemals.

Wenn ein Gerät tatsächlich zu 98 Prozent ausgelesen wäre, bräuchte niemand mehr Ihre PIN. Die Zahl ist erfunden, sie ist ein Hebel, und der Hebel zielt auf Ihre Hoffnung. In Wahrheit sitzen die Ermittler vor einem kalten Gerät, das ihnen nichts gibt, und die einzige Abkürzung in Ihr Leben führt über Ihren eigenen Mund. Genau deshalb fragen sie. Sie fragen, weil sie es selbst nicht können.

Und hier kommt der Teil, den jeder kennen sollte, der in Deutschland lebt. Als beschuldigte Person müssen Sie Ihre PIN nicht herausgeben. Niemand darf Sie zwingen, ein Passwort zu nennen, denn das wäre eine aktive Selbstbelastung, und davor schützt Sie ein alter, harter Grundsatz unseres Rechts: niemand ist verpflichtet, sich selbst zu belasten. Aus Ihrem Schweigen darf Ihnen kein Nachteil entstehen. Das ist kein Trick und keine Grauzone, das ist geltendes Recht.

Es gibt allerdings eine Lücke, und sie ist der Grund, warum ich gleich noch über Fingerabdruck und Gesichtserkennung reden werde. Der Bundesgerichtshof hat bestätigt, dass die Ermittler Ihnen den Finger zwangsweise auf den Sensor legen dürfen. Den Finger auflegen ist eine Duldung, eine körperliche Maßnahme, vergleichbar mit einer Blutprobe. Die PIN nennen wäre eine Aussage. Das eine müssen Sie dulden, das andere niemals tun. Merken Sie sich diesen Unterschied, er ist Gold wert. Ein starkes Passwort, das nur in Ihrem Kopf existiert, ist juristisch und technisch die bessere Festung als jeder Fingerabdruck, den man Ihnen abnötigen kann.

Das erste Passwort, das ich immer probiert habe

Jetzt verrate ich Ihnen etwas über meine eigene Arbeit, das unbequem ist, weil es so simpel ist.

Wenn ich ein gesperrtes Gerät vor mir hatte und einen Verdächtigen, dessen Akte ich kannte, dann habe ich nicht mit Hochtechnologie angefangen. Ich habe mit seinem Geburtsdatum angefangen. Ein Mensch, geboren am 13. April 1985, wählt als logisch denkendes Wesen natürlich niemals 130485 als Code. So ein Mensch hält sich für zu klug dafür. Und genau diese Menschen waren meine sichersten Treffer. Es ist fast schon ein Naturgesetz. Der Mensch glaubt, das Naheliegende sei zu naheliegend, um gefährlich zu sein, und nimmt es deshalb. Ich habe mit den Geburtsdaten der Verdächtigen, ihrer Kinder, ihrer Partner mehr Geräte geöffnet, als mir lieb ist zuzugeben.

Der zweite Fehler ist noch größer, und er ist der eigentliche Grund, warum dieser Abschnitt Sie wachrütteln soll. Der Otto Sapiens, jene Unterart des Homo Sapiens, die alles zu wissen meint, weil sie ein Hörbuch zur Hälfte gehört hat, neigt zu einer fatalen Bequemlichkeit. Er verwendet ein Passwort. Eines. Für alles. Für das soziale Netzwerk mit dem fotografischen Schwerpunkt, für die E-Mail, für den Online-Handel, für das Bankkonto, und ja, auch für das iPhone selbst.

Hier haben wir Ermittler immer angesetzt, und ich sage das ohne jeden Stolz, eher mit einem kalten Schauer im Rückblick. Ich habe mir zuerst angesehen, welche Passwörter diese Person irgendwo im Netz verwendet, in einem geleakten Datensatz, in einem alten Dienst, in einer schlecht gesicherten Datenbank, aus der Millionen Zugangsdaten im Umlauf sind. Und sehr oft hatte ich damit auch gleich das Passwort zum Gerät oder zu der Plattform, in die ich hineinmusste. Ein Schlüssel für alle Türen, vom Besitzer selbst angefertigt. Es gibt keinen eleganteren Weg, einem Fremden den Zugang zum eigenen Leben zu schenken.

Daraus folgt die erste konkrete Handlung, die Sie heute noch vornehmen sollten, bevor Sie weiterlesen. Niemals dasselbe Passwort zweimal. Niemals das Geburtsdatum, nicht Ihres, nicht das Ihrer Kinder. Eine lange Passphrase für das Gerät, etwas, das nur in Ihrem Kopf wohnt und nirgends sonst. Ein 4-stelliger Zahlencode fällt gegen jede ordentliche Hardware in Sekunden. Eine lange, hochentropische Passphrase macht den Unterschied zwischen einer Stunde und einem Jahrhundert.

PIN nein, Finger ja, und warum das alles entscheidet

Diesen rechtlichen Unterschied habe ich oben angerissen, er ist aber so wichtig, dass er einen eigenen, klaren Block verdient. Er ist der praktische Kern dieses ganzen Textes.

In Deutschland gilt der Grundsatz, dass niemand verpflichtet ist, sich selbst zu belasten. Als beschuldigte Person müssen Sie Ihre PIN, Ihr Passwort, Ihre Passphrase niemals herausgeben. Das Nennen eines Codes ist eine aktive Aussage, und zu einer Aussage kann Sie niemand zwingen. Aus Ihrem Schweigen darf Ihnen kein Nachteil entstehen. Das ist keine Grauzone, das ist gefestigtes Recht.

Anders sieht es bei der Biometrie aus, und hier liegt die Falle. Der Bundesgerichtshof hat am 13. März 2025 bestätigt, dass die Ermittler Ihnen den Finger zwangsweise auf den Sensor legen dürfen, gestützt auf § 81b Absatz 1 in Verbindung mit den §§ 94 folgende der Strafprozessordnung. Den Finger auflegen ist nämlich keine Aussage, sondern eine bloße Duldung, rechtlich vergleichbar mit der Abnahme eines Fingerabdrucks oder einem Lichtbild. Für die Gesichtserkennung per Face ID gilt nach derselben Logik aller Voraussicht nach dasselbe, und warum das so ist und wo dennoch ein feiner, wichtiger Unterschied liegt, dazu kommt gleich ein eigener Abschnitt.

Daraus folgt eine glasklare praktische Regel. Wer ein iPhone mit Gesichtserkennung oder einen Sensor mit Fingerabdruck als alleinigen Schutz nutzt, hat eine Tür eingebaut, die man ihm gegen seinen Willen öffnen kann. Wer dagegen ein starkes Passwort im Kopf trägt und die Biometrie im Ernstfall deaktiviert, der hält den einzigen Schlüssel, den niemand erzwingen darf. Bei jedem aktuellen iPhone genügt ein schnelles, mehrfaches Drücken der Seitentaste, um Face ID sofort abzuschalten und den Passcode zu erzwingen. Merken Sie sich diesen Griff.

Ein Blick über den Atlantik zeigt, dass dieser Konflikt überall tobt. In den Vereinigten Staaten wird die Herausgabe eines Passcodes überwiegend als zeugnisartige Aussage gewertet und damit vom Schutz gegen Selbstbelastung erfasst. Die biometrische Entsperrung dagegen beurteilen die Gerichte uneinheitlich, dazu gleich der konkrete Gerichtsstreit. Die Rechtslage ist in Bewegung, in Deutschland wie in den USA. Was bleibt, ist der Kern: Ein Passwort in Ihrem Kopf ist juristisch stärker geschützt als jeder Finger, den man Ihnen auflegen kann.

Ist Face ID sicherer als der Fingerabdruck? Die Antwort ist ein klares Jein

Du fragst dich vielleicht, ob die Gesichtserkennung nicht doch sicherer ist als der Fingerabdruck, gerade weil man zum Entsperren bewusst ins Gerät schauen muss. Die Frage ist klug, und die Antwort lautet: in einer ganz bestimmten Hinsicht ja, rechtlich aber nein. Ich nehme beide Seiten auseinander, weil hier viel Halbwissen kursiert.

Zuerst die technische Seite, und hier hat Face ID tatsächlich einen unterschätzten Schutz eingebaut. Er heißt Aufmerksamkeitserkennung, im englischen Original „Require Attention for Face ID”, und er ist im Auslieferungszustand aktiv. Bei eingeschalteter Aufmerksamkeitserkennung entsperrt das iPhone nur, wenn die Augen geöffnet und auf das Display gerichtet sind. Apple beschreibt das in der eigenen Dokumentation unmissverständlich: Das Gerät öffnet sich ausschließlich, wenn man es bewusst ansieht. Daraus folgt, was Hollywood seit Jahren falsch zeigt. Das iPhone einer schlafenden Person vors Gesicht zu halten, funktioniert nicht. Das iPhone einer bewusstlosen Person zu missbrauchen, funktioniert nicht. Und das in Krimis so beliebte Bild, in dem man das Telefon einem Toten vors Gesicht hält und es springt auf, funktioniert ebenfalls nicht, solange die Aufmerksamkeitserkennung aktiv ist, denn ein Toter richtet seinen Blick nicht auf das Display. Auch ein Foto, ein Video oder eine zweidimensionale Maske scheitern, weil die TrueDepth-Kamera ein dreidimensionales Tiefenmodell des Gesichts erstellt und kein flaches Bild akzeptiert.

Das ist ein realer Vorteil gegenüber dem Fingerabdruck. Einen schlafenden oder bewusstlosen Menschen kann man mit dem Finger entsperren, der Finger braucht kein Bewusstsein. Das Gesicht mit aktiver Aufmerksamkeitserkennung verlangt den wachen, hinschauenden Menschen. So weit dein Gedanke, und er stimmt.

Jetzt die rechtliche Seite, und hier kippt der vermeintliche Vorteil. Sobald ein Mensch wach ist und gezwungen wird, hinzusehen, greift der technische Schutz nicht mehr, denn die Augen sind offen und der Blick fällt aufs Gerät. Genau deshalb ist die spannende Frage, ob die Ermittler einen wachen Beschuldigten zwingen dürfen, sein Gesicht vor das Telefon zu halten und die Augen zu öffnen. In Deutschland hat der BGH die Frage für Face ID nicht ausdrücklich entschieden, sein Beschluss vom 13. März 2025 betraf den Fingerabdruck. Aber er hat § 81b der Strafprozessordnung ausdrücklich als technikoffene Grundlage gelesen, und die Fachwelt geht nahezu einhellig davon aus, dass die Gesichtserkennung als ähnliche Maßnahme genauso erfasst ist. Das bloße Halten des Geräts vor das Gesicht ist eine Duldung, kein aktives Mitwirken, und fällt damit unter dieselbe Logik wie der erzwungene Finger. Der feine Unterschied bleibt nur theoretisch: Müsste der Beschuldigte aktiv die Augen öffnen oder bewusst auf das Display blicken, ließe sich argumentieren, dass dies bereits eine erzwungene Mitwirkung wäre, die der Grundsatz der Selbstbelastungsfreiheit verbietet. Bis ein Gericht das klärt, sollte sich niemand darauf verlassen.

In den USA tobt genau darüber ein offener Streit zwischen den Bundesgerichten. Im Fall United States gegen Payne entschied der 9. Bundesberufungsgerichtsbezirk im Jahr 2024, dass die erzwungene biometrische Entsperrung keine zeugnisartige Aussage sei, weil sie keine geistige Leistung verlange, ein Polizist der California Highway Patrol hatte dem Beschuldigten den Daumen aufs Gerät gedrückt. Ein Jahr später, im Fall United States gegen Brown, entschied der Bundesberufungsgerichtsbezirk für den District of Columbia genau gegenteilig: Das biometrische Entsperren sei sehr wohl zeugnisartig und vom 5. Verfassungszusatz geschützt, weil es Kenntnis und Kontrolle über das Gerät offenbare. Dieser Widerspruch zwischen zwei Bundesgerichten ist reif für den Obersten Gerichtshof. Beim Passcode dagegen sind sich die US-Gerichte weitgehend einig: Er ist Inhalt des Kopfes und geschützt.

Über allem schwebt in Europa ein Urteil, das den Rahmen absteckt. Der Europäische Gerichtshof entschied am 4. Oktober 2024 in der Rechtssache Landeck, ausgelöst durch einen österreichischen Fall, in dem die Polizei nach einem Fund von 85 Gramm Cannabis erfolglos versuchte, ein sichergestelltes Telefon zu entsperren, ohne Genehmigung, ohne Dokumentation, ohne den Betroffenen zu informieren. Die Große Kammer stellte klar: Schon der Zugriff auf die Daten eines Mobiltelefons ist ein schwerer, unter Umständen besonders schwerer Eingriff in die Grundrechte, und bereits die Entsperrung selbst zählt dazu. Ein solcher Zugriff ist nicht auf schwere Kriminalität beschränkt, verlangt aber zwingend eine vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle, die Wahrung der Verhältnismäßigkeit und die nachträgliche Information des Betroffenen. Das ist die europäische Leitplanke, an der sich auch deutsche Gerichte messen lassen müssen.

Was heißt das alles praktisch für dich? Verlasse dich nicht auf die Aufmerksamkeitserkennung als Schutz gegen den Staat, denn gegen einen wachen, festgehaltenen Menschen läuft sie ins Leere. Verlasse dich auf sie sehr wohl als Schutz gegen den Dieb, den eifersüchtigen Partner, den neugierigen Bekannten, der dir das Gerät im Schlaf vors Gesicht hält, denn da wirkt sie zuverlässig. Und wenn dein Bedrohungsmodell den Staat einschließt, gilt dieselbe Regel wie beim Fingerabdruck, nur noch eine Stufe schärfer: Schalte die Gesichtserkennung im Ernstfall ab und vertraue allein auf ein langes Passwort. Der Griff dafür, das mehrfache schnelle Drücken der Seitentaste, erzwingt sofort den Passcode und sperrt Face ID, bis du den Code eingibst. Das ist die eine Bewegung, die im entscheidenden Moment zählt.

Was Cellebrite und seine Brüder wirklich können

Reden wir über die Werkzeuge, denn um sie ranken sich Mythen in beide Richtungen. Die einen halten sie für allmächtig, die anderen für Bluff. Beides ist falsch.

Cellebrite ist eine israelische Firma, ihr Werkzeug heißt heute Inseyets, früher UFED. Es ist die meistgenutzte forensische Extraktionsmaschine der Welt, im Einsatz bei über 7.000 Behörden, mit fast 3 Millionen Untersuchungen pro Jahr. Im Mai 2026 hat das Unternehmen in einem vielsagenden Blogbeitrag verkündet, die sogenannte Access Gap sei geschlossen, man biete nun Zugriff auf die neuesten iPhone-Modelle in beiden Zuständen, warm wie kalt. Das ist Verkaufsprosa, und an genau dieser Stelle muss man als Praktiker den Unterschied machen, den die Marketingabteilung absichtlich verwischt. Cellebrite selbst nennt eine Zahl, die zeigt, warum der Sperrzustand für die Ermittler so brennend ist: Nach ihrem eigenen Branchenbericht für 2026 kommen 56 Prozent aller Geräte gesperrt im Labor an, in Nordamerika sogar 75 Prozent.

Was stimmt: Im warmen Zustand, AFU, ist ein aktuelles iPhone tatsächlich angreifbar. Cellebrite hat hier nachgelegt, neue Methoden entwickelt, und wenn man ein iPhone warm in die Hände bekommt, holt man eine Menge heraus. Es gibt eine Funktion mit dem Namen Instant Passcode Retrieval, die den Passcode eines warmen Geräts automatisch ermittelt und damit den Zugriff von begrenzt auf das vollständige Dateisystem hebt. Die Uhr läuft dabei gegen den Besitzer, denn dieser Countdown beginnt mit dem ersten Entsperren, und genau deshalb predigt Cellebrite seinen Ermittlern, ein warmes Gerät so schnell wie möglich anzuschließen.

Hier ein Detail, das man kennen sollte, weil es einen verbreiteten Irrtum ausräumt. Ermittler stecken ein beschlagnahmtes Telefon gern in eine sogenannte Faraday-Tasche, einen abschirmenden Beutel, der jede Funkverbindung kappt. Das soll verhindern, dass der Besitzer das Gerät aus der Ferne löscht. Es funktioniert auch für diesen Zweck. Aber, und das ist der Punkt, die Faraday-Tasche verhindert nicht den internen, von der Hardware erzwungenen Neustart nach 72 Stunden, von dem gleich die Rede sein wird. Kein Funkloch der Welt hält diesen Zähler an. Die Abschirmung schützt den Besitzer, ohne dass die Ermittler es wollten.

Was die Firma verschweigt, steht zwischen den Zeilen ihrer eigenen Dokumente und in den Matrizen, die immer wieder durchsickern. Im kalten Zustand, BFU, sieht die Sache völlig anders aus. Selbst wenn eine BFU-Extraktion gelingt, liefert sie nach Cellebrites eigener älterer Dokumentation theoretisch nur Systemdaten, der Großteil des Nutzerlebens bleibt verschlüsselt. Eine akademische Untersuchung der Universitas Indonesia hat das nachgemessen. Die Forscher verglichen Datei für Datei, per Hashwert, was sich aus einem kalten iPhone holen ließ, gegen das vollständige Dateisystem. Das Ergebnis lag bei 63,48 Prozent Übereinstimmung, 338.062 von 532.509 Dateien. Klingt nach viel, ist es aber nicht, denn die fehlenden gut 36 Prozent sind genau der Teil, der zählt: die sensiblen App-Daten, die Chats, das Eingemachte. Im kalten Zustand bleibt das unerreichbar.

Damit Sie eine Vorstellung von der schieren Wucht dieser Werkzeuge im warmen Zustand bekommen: Eine zweite Untersuchung derselben Universität verglich die drei großen Forensik-Suiten an einem iPhone 11 Pro. Cellebrites UFED zog 8.539 einzelne Artefakte aus dem Gerät, das Konkurrenzprodukt XRY kam auf 6.542, AXIOM auf 4.220. Ein Artefakt ist dabei nicht eine Datei, sondern ein rekonstruierter Datenpunkt, eine gelöschte Nachricht, ein Standorteintrag, ein Browserverlauf-Fragment. Achttausend solcher Punkte aus einem einzigen warmen Telefon ist keine Übertreibung, es waren exakt 8.539. Das ist die Tiefe, die ein offenes Gerät preisgibt.

Es gibt eine alte Schwachstelle namens checkm8, einen Fehler tief im Startchip älterer iPhones, der unpatchbar ist, weil er im Silizium sitzt. Ein Hardwarefehler lässt sich nicht per Update reparieren, er bleibt, solange das Gerät existiert. Mit checkm8 konnte man selbst kalte Geräte vollständig auslesen, und für die betroffenen Modelle gilt das bis heute. Die gute Nachricht für aktuelle Geräte: checkm8 greift nur von der A5- bis zur A11-Chipgeneration, also vom iPhone 4S bis zum iPhone X. Alles ab dem iPhone XS, alles ab dem Jahr 2018, ist gegen diesen Angriff immun. Ein iPhone 16 Pro oder ein iPhone 17 steht da längst außen vor. Wer also noch ein altes iPhone aus der Zeit bis 2017 als sicheres Gerät betrachtet, irrt sich fundamental. Genau diese alten Modelle sind im kalten Zustand offen wie ein Scheunentor.

Der klarste reale Beleg gegen das große Versprechen stammt vom Februar 2026. Das iPhone einer Reporterin der Washington Post landete beim forensischen Labor des FBI, dem Computer Analysis Response Team. Diese Leute haben Werkzeuge, von denen die örtliche Kriminalpolizei nur träumt. Sie scheiterten. Das Gerät gab seine Daten nicht her. Das ist der Maßstab, nicht die Hochglanzbroschüre.

Und nun der eine Punkt, an dem ich ehrlich sein muss, auch wenn er nicht in die simple Erzählung passt. Das forensisch härteste Gerät der Welt ist nicht das iPhone. Es ist ein Google Pixel, auf dem ein gehärtetes Betriebssystem namens GrapheneOS läuft. Die durchgesickerten Cellebrite-Matrizen führen dieses System als einzige Plattform, gegen die das Werkzeug seit dem Jahr 2022 nichts ausrichtet, kalt wie warm. Eine Matrix vom Oktober 2025 legt sogar nahe, dass Cellebrite den Zugriff auf entsperrte GrapheneOS-Geräte verloren hat, also selbst im warmen Zustand scheitert. Wer das Maximum an Schutz will und bereit ist, Bequemlichkeit und einige Dienste dafür aufzugeben, der greift dorthin. Für die meisten Menschen aber, die kein Betriebssystem von Hand aufspielen werden, bleibt das aktuelle iPhone die beste praktikable Festung am Markt. Mit einer Bedingung, auf die ich am Ende zurückkomme.

Die Rangordnung der Geräte, knallhart sortiert

Damit Sie nicht mit einem Gefühl, sondern mit einer Reihenfolge aus diesem Abschnitt gehen, sortiere ich die Geräteklassen so, wie ein Forensiker sie am Auswertetisch erlebt. Von der weichsten zur härtesten.

Ganz unten liegen die billigen Android-Geräte mit MediaTek-Chip. Sie haben keinen dedizierten Sicherheitschip, kein sogenanntes Secure Element, und ihr Startbereich ist anfällig für unpatchbare Fehler. Im kalten Zustand bleibt als einzige Verteidigung ein starkes Passwort, alles andere ist offen. Ich komme im nächsten Abschnitt auf ein Beispiel, das Ihnen die Sprache verschlagen wird.

Darüber stehen Samsung-Geräte mit Knox Vault. Knox Vault ist ein echter, eigener Sicherheitsbaustein, ein manipulationssicheres Subsystem mit eigenem Prozessor und eigenem Speicher, physisch getrennt vom Hauptchip, gehärtet sogar gegen Angriffe mit Laser oder Spannungsmanipulation. Das ist eine ernsthafte zweite Mauer, und sie hebt ein modernes Galaxy weit über die MediaTek-Klasse. Die Schwäche liegt in der Konfiguration. Eine Funktion namens Secure Startup verknüpft den Hauptschlüssel überhaupt erst fest mit Ihrer PIN, und sie ist nicht bei jedem aktiv. Und die automatische Rückkehr in den kalten Zustand, die das iPhone von selbst erledigt, ist bei Samsung optional und im Auslieferungszustand abgeschaltet. Sie müssen die Festung selbst scharf stellen.

Auf gleicher Höhe, in der oberen Liga, stehen das aktuelle iPhone und ein Pixel mit dem Original-Android von Google. Beide haben einen echten Sicherheitschip, Apples Secure Enclave, Googles Titan. Beide sind im kalten Zustand stark, im warmen Zustand angreifbar. Das iPhone hat den entscheidenden Vorteil, von dem der nächste Abschnitt handelt: Es stellt sich selbst kalt.

Und ganz oben, allein, steht das Pixel mit GrapheneOS. Bei der Installation dieses Systems werden eigene Schlüssel in den Titan-Chip geschrieben und der Startbereich unter diesen Schlüsseln neu verriegelt. Dazu kommt ein Speicherschutz, der das Layout bei jedem Start zufällig anordnet und damit die Angriffe erschwert, mit denen Spionagesoftware ohne Zutun des Nutzers eindringt. Das ist die Maschine, an der sich die teuersten Werkzeuge die Zähne ausbeißen.

45 Sekunden, und ein Krypto-Vermögen ist weg

Lassen Sie mich konkret werden, denn abstrakt klingt das alles harmlos. Im März 2026 veröffentlichte das Sicherheitsteam Donjon, das zur Krypto-Firma Ledger gehört, einen Befund, der die ganze Bequemlichkeit der billigen Geräteklasse in einem einzigen Bild zusammenfasst.

Die Forscher nahmen ein handelsübliches Android-Telefon mit MediaTek-Chip, ein Nothing CMF Phone 1, und steckten es per USB-Kabel an einen Laptop. Sie brauchten kein Schadprogramm, keine App, keine Internetverbindung, nicht einmal ein eingeschaltetes Android. Das Gerät war im kalten Zustand, theoretisch die sichere Festung. Nach 45 Sekunden hatten sie die PIN, hatten den Speicher entschlüsselt, und, das ist der Teil, der wehtut, sie hatten die Seed-Phrasen aus den Krypto-Wallets ausgelesen, die geheimen Wiederherstellungssätze, mit denen man ein gesamtes Krypto-Vermögen an sich reißen kann. Betroffen waren mehrere bekannte Wallets. 45 Sekunden, ein Kabel, fertig.

Der Fehler steckt in der Startkette des MediaTek-Chips und trägt die Kennung CVE-2025-20435. MediaTek ist kein Nischenhersteller, dessen Chips stecken nach Marktforschern in rund einem Drittel aller verkauften Smartphone-Chipsätze weltweit. MediaTek lieferte den Reparatur-Code im Januar 2026 an die Gerätehersteller, dieser konkrete Fehler ist also behebbar. Aber er steht für ein strukturelles Problem. Eine Geräteklasse ohne echten Sicherheitschip hat keine zweite Verteidigungslinie. Fällt die erste, fällt alles, und sie fällt in unter einer Minute. Wer ein Krypto-Vermögen oder wirklich sensible Daten schützen will, kauft kein MediaTek-Gerät. Punkt.

Apples stille Waffe, die den Ermittlern den Schlaf raubt

Apple hat im Oktober 2024 eine Funktion eingeführt, leise, ohne große Ankündigung, die in der Forensik wie eine Bombe einschlug. Sie heißt Inactivity Reboot und steckt seit iOS 18.1 in jedem aktuellen iPhone.

Das Prinzip ist so einfach wie elegant. Der Sicherheitschip im iPhone zählt mit, wie lange das Gerät nicht mehr erfolgreich entsperrt wurde. Erreicht dieser Zähler 72 Stunden, startet das iPhone von ganz allein neu. Und mit dem Neustart fällt es vom warmen Zustand zurück in den kalten, von AFU zurück in BFU, von offen zurück in verschlüsselt. Ein beschlagnahmtes Gerät, das 3 Tage lang in der Asservatenkammer liegt, verriegelt sich also selbst, ohne dass sein Besitzer irgendetwas tun müsste. In der ersten Version, iOS 18.0, lag der Zähler noch bei 7 Tagen. Mit iOS 18.1 senkte Apple ihn auf 72 Stunden, kommentarlos.

Entdeckt wurde diese Funktion nicht etwa von Sicherheitsforschern, sondern von ratlosen Ermittlern in Detroit, deren eingelagerte iPhones in der Beweismittelkammer plötzlich und scheinbar grundlos neu starteten. Ein internes Behördendokument vermutete allen Ernstes, die Geräte würden sich gegenseitig drahtlose Signale zum Neustart zusenden, eine Art Aufstand der Maschinen im Beweismittelraum. Die Wahrheit war profaner und für Apple weit eleganter. Es war ein Zähler. Die deutsche Sicherheitsforscherin Jiska Classen vom Hasso-Plattner-Institut hat die Funktion später vollständig zerlegt und nachgewiesen, dass ein Angreifer bereits die Kontrolle über den Kern des Systems bräuchte, nur um diesen einen Neustart zu verhindern. Also genau jenen Zugriff, den er sich mit dem Neustart eigentlich erst verschaffen will. Ein Schloss, das sich nur mit dem Schlüssel öffnen lässt, den es selbst einschließt, und diesmal arbeitet diese Schleife für Sie.

Dazu kommt der USB Restricted Mode, der die Datenleitung am Anschluss kappt, sobald das Gerät länger als 1 Stunde gesperrt war. Als Anfang 2025 eine Lücke mit der Kennung CVE-2025-24200 auftauchte, die genau diesen Schutz aushebelte und laut Apple in einem extrem ausgefeilten Angriff gegen einzelne, gezielt ausgewählte Personen missbraucht wurde, kam der Notfall-Patch mit iOS 18.3.1 binnen weniger Tage, am 10. Februar 2025. Diese Formulierung, hochgezielter Angriff gegen einzelne Personen, ist Apples vorsichtige Umschreibung für genau die Werkzeuge, um die es in diesem ganzen Text geht. Apple verteidigt diese Linie mit einer Härte, die man bei einem börsennotierten Konzern selten sieht.

Es gibt schließlich noch den Lockdown Mode, einen Riegel für Menschen mit echtem Bedrohungsprofil. Apple gibt an, dass bis heute kein Gerät erfolgreich mit Spionagesoftware kompromittiert wurde, auf dem dieser Modus zum Zeitpunkt des Angriffs aktiv war. Das ist keine Garantie der Unknackbarkeit, es ist eine Aussage über das, was bisher nicht beobachtet wurde, und ich nenne sie hier bewusst genau so vorsichtig. Das Security Lab von Amnesty International bestätigt diese Linie, und Citizen Lab, das forensische Labor der Universität Toronto, hat sogar mindestens 2 Fälle dokumentiert, in denen der Lockdown Mode einen laufenden Angriff aktiv blockierte und den Nutzer sogar warnte, darunter ein Angriff mit Pegasus. Apple zahlt bis zu 2 Millionen Dollar Belohnung an jeden, der diesen Modus aushebelt. Wer in Wissenschaft, Journalismus oder Politik arbeitet und ins Visier geraten könnte, schaltet diesen Modus ein und nimmt den Komfortverlust in Kauf.

Ein letztes Wort zu Apple, und es ist kein reines Lob. Es gibt eine Funktion namens erweiterter Datenschutz, die auch das Backup in der Cloud Ende-zu-Ende verschlüsselt. Sie ist hervorragend, aber sie ist nicht überall verfügbar, und das aus einem Grund, der Sie hellhörig machen sollte. Apple hat diese Funktion für neue Nutzer im Vereinigten Königreich im Februar 2025 zurückgezogen, nachdem die britische Regierung per Gesetz eine Hintertür verlangt hatte. Im Oktober 2025 verlangte London erneut Zugang. Das zeigt, dass selbst der härteste Konzern dem Druck eines Staates nicht beliebig standhält. Verschlüsselung ist kein technisches Faktum allein, sie ist auch ein politisches Schlachtfeld.

Wenn der Staat selbst zum Einbrecher wird

Bis hierher ging es um die Beschlagnahme, also um den Fall, dass jemand Ihr Gerät physisch in die Hand bekommt. Es gibt eine zweite, unheimlichere Klasse von Angriffen, bei denen niemand Ihr Telefon anfassen muss. Sie heißen Staatstrojaner und kommerzielle Spionagesoftware, und sie sind kein Stoff für Verschwörungstheoretiker. Sie sind dokumentiert, eingeklagt und teils gerichtlich bestätigt.

Der bekannteste Name ist Pegasus von der israelischen NSO Group. Eine kalifornische Jury hat das Unternehmen am 6. Mai 2025 zu 167.254.000 Dollar Strafschadenersatz und weiteren 444.719 Dollar zum Ausgleich des konkreten Schadens verurteilt, weil es im Jahr 2019 rund 1.400 Nutzer eines bekannten Messengers gehackt hatte, über eine einzige Schwachstelle mit der Kennung CVE-2019-3568, die keinen einzigen Klick des Opfers erforderte. Man nennt das einen Zero-Click-Angriff. Das Telefon klingelt, und schon ist es infiziert, ob Sie abnehmen oder nicht. Unter den Opfern waren Journalisten, Anwälte, Aktivisten, Regierungskritiker in 51 Ländern, darunter 456 Menschen in Mexiko, 100 in Indien, 69 in Marokko. Gerichtsdokumente brachten ans Licht, dass die Spionagesoftware nicht etwa von den Regierungskunden installiert wurde, sondern von der Firma selbst. Ein Richter reduzierte die Strafe im Oktober 2025 auf 4 Millionen Dollar und sprach ein Verbot aus, NSO legte Berufung ein. Die Botschaft bleibt: Hier wurde ein ganzer Industriezweig vor Gericht gezerrt und für schuldig befunden.

Es gibt jüngere Fälle. Eine Software namens Graphite, hergestellt von der Firma Paragon, die unter anderem ein ehemaliger israelischer Ministerpräsident und ein früherer Kommandeur der berüchtigten Cyber-Einheit 8200 mitgegründet haben, traf Anfang 2025 rund 90 Nutzer eines bekannten Messengers, darunter wieder Journalisten und Vertreter der Zivilgesellschaft in über 2 Dutzend Ländern. Citizen Lab bestätigte forensisch die Infektion italienischer Journalisten, namentlich genannt wurden unter anderem die Reporter eines Investigativmediums. Der zugehörige iPhone-Angriff lief über einen präparierten Link, nutzte eine Lücke mit der Kennung CVE-2025-43200 und wurde von Apple erst mit iOS 18.3.1 geschlossen. Das italienische Parlament bestätigte im Juni 2025 den Einsatz durch die eigene Regierung. Und im April 2026 bestätigte der Direktor der US-Einwanderungsbehörde ICE erstmals offen, diese Software einzusetzen. Diese Werkzeuge wandern, das ist die eigentliche Nachricht. Was heute gegen einen Kartellboss eingesetzt wird, steht morgen gegen einen Journalisten bereit.

Und Deutschland? Auch hier wird mitgelesen, und zwar mit eigenem Werkzeug. Das Bundeskriminalamt verfügt über mehrere Trojaner: eine Eigenentwicklung namens RCIS, die seit 2016 zugelassen ist und in der Entwicklung rund 5,77 Millionen Euro verschlungen hat, das zugekaufte FinSpy der Firma FinFisher, und seit 2019 zeitweise auch Pegasus. Über FinFisher gibt es eine bittere Pointe: Ein Gericht stellte fest, dass das BKA 325.666 Euro an die Firma zahlte für ein Werkzeug, das nie erfolgreich eingesetzt wurde, und FinFisher ist heute insolvent. Diese Trojaner greifen die Kommunikation direkt am Gerät ab, bevor sie verschlüsselt wird oder nachdem sie entschlüsselt wurde, weshalb auch der beste Messenger nichts nützt, wenn das Gerät selbst kompromittiert ist.

Die offizielle Statistik des Bundesamts für Justiz zeigt für das Jahr 2023 genau 104 richterliche Anordnungen zur sogenannten Quellen-Telekommunikationsüberwachung, von denen 62 tatsächlich durchgeführt wurden, gegenüber 49 im Vorjahr. Bei der weitergehenden Online-Durchsuchung, die das ganze Gerät erfasst, waren es 26 Anordnungen und 6 Durchführungen. Die Zahlen steigen. Anlass war meist der Verdacht auf Drogendelikte. Das Bundesverfassungsgericht hat die Staatstrojaner-Gesetze am 7. August 2025 zwar in weiten Teilen für verfassungsgemäß erklärt, aber den Einsatz bei leichteren Straftaten ausdrücklich beanstandet. Das ist die richtige Richtung, doch das Werkzeug ist in der Welt, und es wird benutzt.

Gegen diese Klasse von Angriffen hilft kein Ausschalten, denn sie kommen, während Sie das Gerät benutzen. Hier hilft nur, das Gerät aktuell zu halten, den Lockdown Mode einzuschalten, wenn Sie gefährdet sind, und im Zweifel die wirklich sensible Kommunikation gar nicht erst auf ein vernetztes Gerät zu legen.

Das verwanzte Auto, und warum ich Ihnen ausgerechnet das erzähle

Es gibt einen Weg an Ihr Passwort, der eleganter ist als jedes forensische Werkzeug und der ohne Ihr Gerät auskommt. Man schaut Ihnen einfach beim Eintippen zu.

Ermittler verwanzen Fahrzeuge. Sie öffnen das Auto eines Verdächtigen unbemerkt, oft nachts, und platzieren Technik im Innenraum. Ein Mikrofon, das jedes Wort aufnimmt. Und, das ist der Punkt, der die meisten Menschen überrascht, eine Kamera, klein genug, um in einer Leseleuchte zu verschwinden, im Dachhimmel, in einer Ablage. Diese Kamera filmt nicht für ein Geständnis. Sie filmt Ihre Hände. Sie filmt, wie Sie an der Ampel Ihr Telefon entsperren, und sie filmt die Ziffern, die Sie dabei tippen. So kommt man an ein Passwort, sehr schnell, ohne jede Hochtechnologie. Der teuerste Cellebrite-Apparat ist überflüssig, wenn eine Linse im Dachhimmel den Code schon mitgeschnitten hat.

Damit man ins Auto kommt, braucht es einen Schlüssel oder einen Code, und genau hier wird es interessant. Moderne Fahrzeuge sind gegen Diebstahl so gut gesichert, dass sie auch den Staat aussperren. Deshalb hat die Justizministerkonferenz im November 2024 einen Beschluss gefasst, der die Autohersteller verpflichten soll, auf Anordnung einen Zweitschlüssel oder Zugangscode herauszugeben, damit Ermittler unbemerkt ins Fahrzeug gelangen und es verwanzen können. Ich bin hier zur Genauigkeit verpflichtet, weil dieser Text auch als Fachbeitrag erscheint: Eine solche Mitwirkungspflicht ist in Deutschland bislang nicht geltendes Gesetz, sie ist eine Forderung der Länder an das Bundesjustizministerium. Was es heute schon gibt, ist die Praxis, und es gibt Hersteller, die im Rahmen einer Anordnung kooperieren, während andere sich querstellen. Die Richtung ist klar, und sie zeigt nicht zu Ihren Gunsten.

Verwanzt werden nicht nur Autos. Wohnungen werden verwanzt, Kameras an Hauseingängen ausgewertet, Türklingeln mit Kamera, von denen heute fast jede zweite hängt, liefern ein lückenloses Protokoll, wer wann kommt und geht. Ich lasse hier bewusst alles offen, denn die Liste der Orte, an denen ein Auge sitzen kann, ist länger, als Ihnen lieb ist, und länger, als ich hier ausbuchstabiere.

Und jetzt der Teil, bei dem ich fair sein muss, weil alles andere unredlich wäre. Ich habe solche Leseleuchten gebaut. Technik, die in einer Lampe verschwindet und aufzeichnet. Ich plane, das wieder anzubieten. Warum erzähle ich Ihnen das, mitten in einem Text, der Sie vor genau dieser Technik warnt?

Weil ich neutral bin. Ich bin Geschäftsmann, und ich biete an, was notwendig ist. Der Unternehmensgegenstand meiner Gesellschaft ist unverändert die Wissenschaft und Forschung im Bereich der kriminalistischen Forensik, die Erstellung von Sachverständigengutachten, die Ermittlungsunterstützung von Behörden und die allgemeine Informationstechnologie. Es wäre nicht fair, Ihnen die Gefahr zu zeigen und zu verschweigen, dass ich selbst auf dieser Seite der Werkbank stehe. Ich entscheide, für welches Land ich arbeite, und ich entscheide, welche Kunden ich annehme. Neutralität und Loyalität sind ein Grundpfeiler meines Lebens, das ist für mich geschriebenes Gesetz, und daran halte ich mich. Für Deutschland habe ich vor Jahrzehnten einen Eid abgelegt.

Aus diesem System bin ich raus, das weiß jeder, der mich kennt. Das Kasperletheater mache ich nicht mehr mit, und dafür gibt es nicht einen Grund, sondern mehrere. Ich lasse sie hier stehen, ohne sie aufzuzählen.

Jeder hat ein Recht auf Privatsphäre, und genau deshalb schreibe ich diesen Text. Anfang der zweitausender Jahre habe ich in einem Bereich der Kriminalität gearbeitet, dessen Art und Weise ich zutiefst verachte: sexuelle Gewalt und Missbrauch an Kindern. Ich musste Dinge sehen, die kein Mensch ohne Narben übersteht. Ich habe damals aktiv Zugänge geöffnet, AOL-Konten, TrueCrypt-Container, ja, Sie lesen richtig, und mit jeder Auswertung kamen 10 neue Fälle hinzu. Wer einmal an diesem Tisch gesessen hat, der weiß, dass die Technik in diesem Text kein Spielzeug ist. Sie hat zwei Schneiden. Sie entlarvt den Täter, und sie entblößt den Unschuldigen. Mein ganzes Anliegen ist, dass Sie wissen, auf welcher Seite der Linse Sie sitzen, bevor es jemand anderes für Sie entscheidet.

Jetzt kommt der Satz, der vielen wehtun wird, und ich stelle ihn bewusst in den Raum. Es gibt keinen Chat, den Sie nicht selbst programmiert haben und der wirklich sicher ist. Keinen.

Das klingt nach Schwarzmalerei, bis man sich ansieht, was gerade passiert ist. Meta, der Konzern hinter dem fotografischen sozialen Netzwerk, hat zum 8. Mai 2026 die Ende-zu-Ende-Verschlüsselung für die Direktnachrichten in Instagram abgeschaltet. Das ist kein Gerücht, das steht in den eigenen Hilfeseiten des Konzerns. Verschlüsselte Nachrichten auf Instagram werden seit diesem Datum nicht mehr unterstützt. Wer dort heute schreibt, dessen Nachrichten kann der Konzern lesen, auswerten, und auf Anfrage an Behörden in aller Welt herausgeben. Die Begründung lautete, es hätten ohnehin nur sehr wenige Menschen die Verschlüsselung genutzt. Das ist die zynischste aller Begründungen, denn die Verschlüsselung war nie der Standard, sondern musste mühsam pro Gespräch aktiviert werden, weshalb sie kaum jemand fand. Bemerkenswert ist auch der Zeitpunkt, nur 11 Tage vor dem Inkrafttreten eines US-Gesetzes, das Plattformen zur schnellen Entfernung bestimmter Inhalte verpflichtet, was ohne Einblick in die Inhalte gar nicht möglich wäre. Man darf die Punkte selbst verbinden.

Stellen wir die Lage nüchtern nebeneinander. Signal verschlüsselt standardmäßig und gilt als Goldstandard. Apples iMessage verschlüsselt zwischen Apple-Geräten. WhatsApp und der Messenger desselben Meta-Konzerns verschlüsseln vorerst noch, was angesichts der Instagram-Entscheidung ein schwacher Trost ist. Telegram verschlüsselt von Haus aus überhaupt nicht durchgängig, sondern nur in einem optionalen Geheimmodus, den fast niemand benutzt. Und Instagram, seit dem 8. Mai, gar nicht mehr.

Eine Industrie, die von Ihren Geheimnissen lebt

Warum erzähle ich Ihnen das so ausführlich? Weil hinter all dem kein Zufall steht, sondern ein Markt. Ein riesiger, wachsender, hungriger Markt.

Der Atlantic Council, eine angesehene Denkfabrik, hat in einem Bericht vom September 2025 die Überwachungsindustrie kartiert und kam auf 561 Firmen in 46 Ländern. Allein im Jahr 2024 wurden 43 neue solcher Firmen gegründet. Und hier die Zahl, die mich am meisten beschäftigt: Die größten Geldgeber dieser Industrie sitzen seit 2024 nicht mehr in Israel, sondern in den Vereinigten Staaten, deren Zahl der Investoren von 11 auf 31 sprang, dreimal so viele wie im nächstgrößeren Land. Diese Firmen beschäftigen Heerscharen von Mitarbeitern, viele davon ehemalige Angehörige militärischer Spezialeinheiten und Geheimdienste. Die Verflechtung ist strukturell, nicht zufällig. Wer jahrelang für einen Nachrichtendienst Telefone geknackt hat, gründet danach eine Firma, die genau das verkauft.

Es geht um sehr viel Geld. Der Markt allein für die Software, die solche Angriffe abwehren soll, wird auf rund 3,2 Milliarden Dollar geschätzt, und das ist nur die Verteidigungsseite. Die NSO Group, der Pegasus-Hersteller, wurde zwischenzeitlich mit rund 2 Milliarden Dollar bewertet. Eine Industrie dieser Größe sucht sich ihre leichtesten Ziele zuerst. Und ein unverschlüsselter Chat ist das leichteste Ziel von allen. Deshalb der Satz, den ich in den Raum gestellt habe und den ich hier wiederhole: Es gibt keinen Chat, den Sie nicht selbst programmiert haben und der wirklich sicher ist.

Die Cloud ist die offene Hintertür

Sie können Ihr Gerät zur Festung machen und trotzdem alles verlieren, wenn Sie eine einzige Sache übersehen. Das Backup in der Cloud.

Es nützt nichts, ein iPhone zu besitzen, das im kalten Zustand niemand öffnet, wenn gleichzeitig eine vollständige, unverschlüsselte Kopie Ihres Geräts auf einem Server liegt, den ein Konzern verwaltet und den eine Behörde per Anordnung herausverlangen kann. Dann hat man Ihre Festung gar nicht nötig, man geht durch die offene Hintertür. Eine gerichtliche Anordnung an Apple oder Google genügt, und die ganze schöne Verschlüsselung auf dem Gerät war umsonst, weil die Kopie offen woanders liegt.

Dasselbe gilt für das Passwort selbst. Sobald der Sicherheitschip umgangen ist, wie es bei der MediaTek-Klasse in 45 Sekunden geschah, steht zwischen dem Angreifer und Ihren Daten nur noch die Stärke Ihrer PIN. Ein 4-stelliger Code ist dann in Sekunden ausprobiert, alle 10.000 Möglichkeiten. Eine lange Passphrase aus Buchstaben, Zahlen und Zeichen dagegen sprengt jede Rechenzeit.

Deshalb meine klare Empfehlung. Machen Sie Ihr Backup auf einen verschlüsselten Mac oder, wenn es denn sein muss, einen verschlüsselten PC. Oder machen Sie gar kein Backup, wenn Sie die Daten nicht zwingend brauchen. Schalten Sie bei Apple den erweiterten Datenschutz ein, der auch das Cloud-Backup Ende-zu-Ende verschlüsselt, sofern er in Ihrer Region verfügbar ist. Und schalten Sie den Zugriff auf Ihre Cloud von fremden Geräten aus grundsätzlich ab, allein aus Prinzip. Ein digitaler Datenschutzexperte hat es treffend gesagt: Wer seine exportierten Chats anschließend zur Sicherheit wieder in die Cloud hochlädt, der lädt die unverschlüsselte Rohfassung genau dorthin, wo er sie nie haben wollte.

Vom Ungetüm im Rechenzentrum zur Hosentasche

Lassen Sie mich kurz abschweifen, denn dieser Vergleich beschäftigt mich, seit ich angefangen habe, über die schiere Menge dessen nachzudenken, was wir mit uns herumtragen.

In meinen ganz jungen Jahren stand ich einmal im Leibniz-Rechenzentrum, vor einer gigantischen Maschine. Ein ganzer Saal voller Technik, ein Rechner, der ein Vermögen kostete und einen Klimaraum für sich brauchte. Das 10-fache der Rechenleistung dieses ganzen Saals tragen Sie heute in Ihrer Hosentasche, und ich bin sicher, dass das noch untertrieben ist. Zur selben Zeit, in meinen Anfangsjahren, als ich einen Telekommunikationssatelliten der Deutschen Post dazu benutzte, kostenlos in die USA zu telefonieren, besaß ich ein Festplattenlaufwerk, auf das ich stolz war. Es war ungefähr 16 Zentimeter breit, 40 Zentimeter lang, 9 Zentimeter hoch, ein schweres, summendes Gerät. Der Preis war exorbitant. Der Speicher, den mir dieses Ungetüm zur Verfügung stellte, betrug 20 Megabyte.

20 Megabyte. Heute schließe ich bei einem Anbieter einen Vertrag für künstliche Intelligenz ab und bekomme im April 2026 5 Terabyte Cloudspeicher dazu, ohne Aufpreis, für den Gegenwert eines guten Abendessens im Monat. 5 Terabyte sind rund 250.000 Mal so viel wie mein damaliges Ungetüm. Der erste kommerzielle Festplattenspeicher der Welt, die IBM RAMAC von 1956, fasste 5 Megabyte, wog eine Tonne und kostete pro Megabyte ein kleines Vermögen. Ein heutiges Cloud-Abo der oberen Klasse mit 30 Terabyte entspricht der Speicherkapazität von rund 6 Millionen dieser RAMAC-Ungetüme.

Und die Rechenleistung erst. Der Apollo Guidance Computer, der die Astronauten zum Mond und zurück steuerte, lief mit 0,043 Megahertz und besaß weniger Arbeitsspeicher, als heute in einer einzigen Textnachricht steckt. Ein modernes iPhone taktet rund 100.000 Mal höher und trägt millionenfach mehr Speicher. Ein anerkannter Vergleich kommt zu dem Schluss, dass ein iPhone die rund 120-millionenfache Rechenleistung jenes Mondcomputers hat. Sie könnten mit dem Gerät in Ihrer Tasche rein rechnerisch 120 Millionen Apollo-Missionen gleichzeitig zum Mond steuern.

Warum erzähle ich das? Nicht aus Nostalgie. Sondern weil diese unfassbare Verdichtung der Grund für die ganze Gefahr ist. Früher war ein Mensch über tausend Orte verteilt: ein Brief in der Schublade, ein Foto im Album, ein Tagebuch unter der Matratze, ein Geheimnis nur im eigenen Kopf. Heute liegt all das an einem einzigen Ort, in einem Gerät, das in eine Hand passt und das man Ihnen in einer Sekunde aus dieser Hand nehmen kann. Die Bequemlichkeit, die uns das schenkt, ist dieselbe Bequemlichkeit, die uns vollständig durchschaubar macht.

Wo ich die Grenze überschritten sehe

Jetzt der Teil, bei dem ich kalt werde, weil heißer Zorn hier nichts hilft.

Wir haben ein Grundgesetz. Es schützt unsere Wohnung, unsere eigenen vier Räume, ausdrücklich und unmissverständlich. Es schützt unser Recht, für uns zu bleiben. Und über allem steht ein Prinzip, das in jeder einzelnen staatlichen Maßnahme gewahrt sein muss: die Verhältnismäßigkeit. Eine Maßnahme muss geeignet sein, sie muss erforderlich sein, und sie muss angemessen sein. Mit Kanonen schießt man nicht auf Spatzen, das ist kein Sprichwort, das ist Verfassungsrecht.

Und genau hier sehe ich eine Grenze überschritten, Tag für Tag. Wenn wegen einer Beleidigung in den sozialen Netzwerken, wegen eines unbedachten Worts gegen einen Politiker, eine Hausdurchsuchung stattfindet und ein Smartphone beschlagnahmt wird, dann steht das in keinem Verhältnis. Seit 2021 gibt es einen eigenen Straftatbestand für die Beleidigung von Personen des politischen Lebens, mit Strafdrohung von bis zu 3 Jahren, und er wird seither auch ohne Strafantrag verfolgt. Die Folge ist eine Flut von Verfahren. Allein gegen einen einzigen Minister liefen zwischen 2021 und 2024 über 800 Strafanzeigen wegen Ehrdelikten, gegen eine andere Spitzenpolitikerin über 500. Der bekannteste Fall ist ein Bild, das einen Minister als Schwachkopf betitelte und in einer Hausdurchsuchung mündete. Ein einziges Mal jemanden öffentlich beschimpft zu haben, sollte vielleicht keine Durchsuchung der Wohnung nach sich ziehen, bei der nebenbei das ganze digitale Leben des Betroffenen in einem Beutel verschwindet.

Ich will fair bleiben, denn die andere Seite der Medaille existiert auch. Im Fall einer bekannten Politikerin, die übelst beschimpft wurde, gab das Bundesverfassungsgericht ihr recht und stellte klar, dass auch im Netz nicht alles erlaubt ist. Hetze ist keine Meinung. Der Schutz der Ehre ist ein echtes Gut. Aber zwischen dem Schutz vor einer Hetzkampagne und der Hausdurchsuchung wegen eines einzelnen groben Worts liegen Welten, und genau diese Unterscheidung verlangt die Verhältnismäßigkeit. Wenn der beleidigende Beitrag längst als Bildschirmfoto gesichert ist, dann braucht niemand die Wohnung des Betroffenen auf den Kopf zu stellen und sein Telefon über Monate auszuwerten. Über die Frage, wann eine Handy-Beschlagnahme bei einer bloßen Beleidigung überhaupt zulässig ist, habe ich an anderer Stelle hier im Blog ausführlich geschrieben, und ich verweise jeden dorthin, den es im Detail interessiert.

Mir bleibt an dieser Stelle die kalte Feststellung. Ich finde es traurig, was hier geschieht. Und ich fordere, ungebrochen, dass jene Organe zur Verantwortung gezogen werden, die solche unverhältnismäßigen Maßnahmen anordnen und durchführen. Wer das System ein, zwei, drei Jahrzehnte von innen erlebt hat, der weiß, dass es anfällig ist für Fehler. Ich dulde solche Fehler nicht, ich habe sie nie geduldet, weder in der Justiz, für die ich gearbeitet habe, noch jetzt, wo ich von außen darauf schaue. Menschen mussten das volle Programm erleiden, Hausdurchsuchung, Beschlagnahme, Diskreditierung, und am Ende stand bei vielen von ihnen nichts als heiße Luft. Das ist kein Kollateralschaden. Das ist ein Versagen, und es hat Namen, auch wenn ich sie hier nicht nenne.

Ein kurzes Wort zu jenem Konzern aus Redmond

Eine Sache noch, bevor ich zum praktischen Schluss komme, und sie verdient eigentlich einen eigenen Beitrag, den ich noch schreiben werde.

Ich empfehle heute keinem Menschen mehr einen Windows-PC, wenn es um den Schutz seiner Daten geht. Was ich mit jenem Konzern aus Redmond in den vergangenen Jahrzehnten erlebt habe, lässt mich bis heute den Kopf schütteln. Die Telemetrie, die sich kaum abschalten lässt. Die Funktionen, die Bildschirminhalte mitschneiden und als Komfort verkauft werden. Die Beharrlichkeit, mit der Daten den Rechner verlassen, ob man will oder nicht. Ein Mac fährt sauberer, ein Linux-System fährt am saubersten. Doch die ganze Geschichte, das ganze jahrzehntelange Kopfschütteln, hebe ich mir für einen eigenen Text auf, denn sie sprengt diesen hier. Nur so viel als Cliffhanger: Wer glaubt, sein Betriebssystem arbeite ausschließlich für ihn, der hat die letzten zehn Jahre verschlafen.

Ausgeschaltet ist sicher, alles andere ist eine Frage von Minuten

Kommen wir zurück zu dem Lehrer vom Anfang, dessen iPhone entsperrt im Beutel verschwand. Sein Fehler war kein moralischer, er hatte nichts getan. Sein Fehler war ein technischer, und er ist der einzige, der zählt. Sein Gerät war warm.

Daraus folgt die ganze Lehre dieses Textes, und sie passt in einen einzigen Satz. Das iPhone ist sicher, und es bleibt sicher, wenn es ausgeschaltet ist. Im kalten Zustand, mit einem starken Passwort, ist das aktuelle iPhone nach allem, was öffentlich belegbar ist, gegen die teuersten Werkzeuge der Welt praktisch verschlossen. Im warmen Zustand, mit einem Wisch-Code, ist dasselbe Gerät ein offenes Buch. Es ist nicht die Marke, die entscheidet. Es ist der Zustand, und über den Zustand entscheiden Sie.

Deshalb gibt es am Ende nur eine Empfehlung, und sie besteht aus drei einfachen Gewohnheiten.

Lassen Sie Ihr Handy ausgeschaltet, wenn Sie es im Fahrzeug zurücklassen. Bei schweren Delikten oder wenn Waffen im Spiel sind, geschieht eine Festnahme schon einmal mitten auf der Landstraße, durch ein Spezialkommando, und dann ist es nicht mehr schwer, ein entsperrtes Gerät zu öffnen. Ein ausgeschaltetes Gerät dagegen schweigt.

Schalten Sie Ihr Handy vor dem Schlafengehen aus. Die meisten Menschen nutzen es als Wecker, vorher entsperrt, und morgens macht es zur immergleichen Zeit einen großen Knall, und das Telefon ist offen und der Mensch ist verwundbar. Wer es ausschaltet, beginnt den Tag kalt und sicher. Und ich empfehle dasselbe für die Computer. Den Mac immer herunterfahren, niemals nur in den Ruhezustand, und den Zugriff von außen, das Booten über fremde Datenträger, deaktivieren. Ein Gerät im Ruhezustand ist ein warmes Gerät.

Und das Allererste, was Sie tun, wenn Sie ein neues iPhone in die Hand nehmen, bevor Sie auch nur ein Foto machen: Vergeben Sie ein starkes Passwort. Keinen 4-stelligen Zahlencode. Keine Geburtsdaten. Eine lange Passphrase, die nur in Ihrem Kopf existiert. Schalten Sie die Entsperrung per Fingerabdruck und Gesicht ab, wenn Ihr Bedrohungsprofil es verlangt, denn den Finger kann man Ihnen auflegen, das Passwort in Ihrem Kopf nicht.

Ich selbst lebe danach, und es passt zu meinem Leben. Ich bin nicht mehr wichtig, ich muss nicht rund um die Uhr erreichbar sein. Ich schalte mein Handy ab und zu ein, sehe nach, was in der Welt geschieht, lese meine Nachrichten, und dann schalte ich es wieder aus und lebe mein Leben. Meine Rechner sind aus, wenn ich sie nicht brauche. Wenn ich das Haus verlasse, dann mit ausgeschaltetem Gerät. Das ist nicht Paranoia. Ich begehe keine Straftaten und werde es nie tun. Ich nehme schlicht ein Recht wahr, das mir zusteht, das Recht, dass meine intimsten Dinge bei mir bleiben.

Sie tragen Ihr ganzes Leben in dieser einen Hand. Es geht hier nicht um Paranoia. Es geht um Ihr höchstes Gut. Und das schützt niemand für Sie. Das schützen Sie nur selbst, mit einem Finger auf dem Ausschalter.

Quellen

• Amnesty International. (2025, Mai). Ruling against NSO Group in WhatsApp case a momentous win. https://www.amnesty.org/en/latest/news/2025/05/ruling-against-nso-group-in-whatsapp-case-a-momentous-win/
• American Bar Association. (2025). Compelled Biometrics and Fifth Amendment Rights. https://www.americanbar.org/groups/litigation/resources/newsletters/criminal/compelled-biometrics-fifth-amendment-rights/
• Apple. (2025). Informationen zur fortschrittlichen Face-ID-Technologie. Apple Support, HT102381. https://support.apple.com/de-de/102381
• Atlantic Council. (2025). Mythical Beasts: Diving into the depths of the global spyware market (2nd ed.). https://www.atlanticcouncil.org/in-depth-research-reports/issue-brief/mythical-beasts-diving-into-the-depths-of-the-global-spyware-market/
• Bundesamt für Justiz. (2025, August 5). Übersicht zur Telekommunikationsüberwachung für das Jahr 2023. Pressemitteilung. https://www.bundesjustizamt.de/
• Bundesgerichtshof. (2025, März 13). Beschluss 2 StR 232/24: Zwangsweises Auflegen des Fingers zur Smartphone-Entsperrung. Besprechung bei Legal Tribune Online. https://www.lto.de/recht/nachrichten/n/2str23224-bgh-auflegen-finger-entsperren-handy-ermittlungen-dateien
• Cellebrite. (2026). The Access Gap Is Closed: What Cellebrite Can Unlock in 2026. https://cellebrite.com/en/blog/the-access-gap-is-closed-what-cellebrite-can-unlock-in-2026/
• Citizen Lab. (2025, März 19). A First Look at Paragon’s Proliferating Spyware Operations (Report No. 183). https://citizenlab.ca/research/a-first-look-at-paragons-proliferating-spyware-operations/
• Dreyenberg. (2025, Juni 5). BGH ermöglicht Zwangsentsperrung von Smartphones per Fingerabdruck. https://dreyenberg.com/blog/bgh-ermoeglicht-zwangsentsperrung-von-smartphones-per-fingerabdruck
• Europäischer Gerichtshof (Große Kammer). (2024, Oktober 4). Urteil in der Rechtssache C-548/21, Bezirkshauptmannschaft Landeck, ECLI:EU:C:2024:830. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0548
• Federalist Society. (2026, Januar 8). Do Compelled Biometrics Violate the Fifth Amendment? A Deepening Split Among Lower Courts. https://fedsoc.org/commentary/fedsoc-blog/do-compelled-biometrics-violate-the-fifth-amendment-a-deepening-split-among-lower-courts
• Harwahyu, R., et al. (2024). Locked iOS Device: Data Availability on Before First Unlock (BFU). Indian Journal of Computer Science and Engineering, 15(3). https://www.ijcse.com/docs/INDJCSE24-15-03-045.pdf
• Heise online. (2024, November 29). Justizminister: Polizei soll Zweitschlüssel fürs Verwanzen von Autos bekommen. https://www.heise.de/news/Justizminister-Polizei-soll-Zweitschluessel-fuers-Verwanzen-von-Autos-bekommen-10183384.html
• Ledger Donjon. (2026). MediaTek boot chain vulnerability (CVE-2025-20435). https://internationalfintech.com/ledgers-donjon-hacker-lab-discovers-critical-mediatek-vulnerability-potentially-affecting-25-of-android-phone-users/
• MacRumors. (2026, Mai 8). Instagram DMs Lose End-to-End Encryption Starting Today. https://www.macrumors.com/2026/05/08/instagram-end-to-end-encryption/
• Quarkslab. (2025). First analysis of Apple’s USB Restricted Mode bypass (CVE-2025-24200). https://blog.quarkslab.com/first-analysis-of-apples-usb-restricted-mode-bypass-cve-2025-24200.html
• Sinaga, et al. (2026). Comparative evaluation of artifact extraction performance in digital forensic tools: Cellebrite UFED, MSAB XRY, and Magnet AXIOM. Journal of Forensic Sciences. https://onlinelibrary.wiley.com/doi/10.1111/1556-4029.70320
• TechCrunch. (2024, November 14). New Apple security feature reboots iPhones after 3 days, researchers confirm. https://techcrunch.com/2024/11/14/new-apple-security-feature-reboots-iphones-after-3-days-researchers-confirm/
• Troutman Pepper Locke. (2025, Mai 15). US v. Brown: D.C. Circuit Rules on Compelled Biometric Unlocking of Cellphones. https://www.troutman.com/insights/us-v-brown-district-of-columbia-circuit-rules-on-compelled-biometric-unlocking-of-cellphones/
• Verfassungsblog. (2024). Ehre, wem Kritik gebührt? § 188 StGB und die Grenzen des Ehrschutzes von Politikern. https://verfassungsblog.de/ehre-wem-kritik-gebuhrt/