Blockierungsmodus: FBI scheitert am iPhone einer Journalistin

Apples sogenannter Blockierungsmodus ist für Ausnahmesituationen gedacht. Er richtet sich an Personen, die gezielt von hochentwickelten digitalen Angriffen bedroht sind. Ein aktueller Fall aus den USA zeigt nun, dass diese Schutzfunktion nicht nur auf dem Papier existiert. Selbst Ermittler des Federal Bureau of Investigation konnten ein beschlagnahmtes iPhone nicht auslesen, weil der Blockierungsmodus aktiv war. Der Vorfall betrifft eine Journalistin der Washington Post und wirft grundlegende Fragen auf  zu den Themen digitale Forensik, Pressefreiheit und zu den technischen Grenzen staatlicher Ermittlungen auf.

Durchsuchung im Zusammenhang mit Leak-Ermittlungen

Anfang Januar durchsuchten FBI-Beamte die Wohnung der Washington-Post-Reporterin Hannah Natanson. Die Maßnahme erfolgte im Rahmen von Ermittlungen zu möglichen Leaks vertraulicher Informationen. Natanson berichtet seit Jahren über politische Themen und war unter anderem an der preisgekrönten Berichterstattung zum Sturm auf das US-Kapitol beteiligt. Im Zuge der Durchsuchung beschlagnahmten die Ermittler mehrere elektronische Geräte, darunter ein MacBook Pro sowie ein iPhone 13. Solche Sicherstellungen gelten bei Verfahren dieser Art als üblich, da digitale Endgeräte als potenzielle Quellen für Kommunikation, Metadaten oder Dokumente betrachtet werden.

Forensische Analyse bleibt erfolglos

Entscheidend ist, was nach der Beschlagnahmung geschah. Das FBI setzte sein spezialisiertes Computer Analysis Response Team (CART) ein, um die Daten des iPhones auszuwerten. Laut den vorliegenden Gerichtsunterlagen scheiterte dieser Versuch jedoch vollständig. Als Begründung wird ausdrücklich der aktivierte Blockierungsmodus genannt. In dem von der US-Regierung eingereichten Dokument heißt es, dass es CART aufgrund dieser Sicherheitsfunktion nicht möglich gewesen sei, Daten aus dem Gerät zu extrahieren. Der Hinweis findet sich in einer Stellungnahme, mit der sich die Behörden gegen eine Rückgabe der Geräte aussprechen.

Zeitlicher Ablauf laut Aktenlage

Die entsprechende Gerichtsakte wurde rund zwei Wochen nach der Durchsuchung eingereicht. Daraus lässt sich ableiten, dass es den Ermittlern in diesem Zeitraum nicht gelungen ist, das iPhone zu entsperren oder verwertbare Daten zu sichern. Ob es später doch noch zu einem Zugriff kam, ist öffentlich nicht dokumentiert. Nach dem derzeit bekannten Stand blieb das Gerät jedoch zumindest über Wochen hinweg für die forensische Analyse unzugänglich.

Was der Blockierungsmodus technisch bewirkt

Der Blockierungsmodus wurde von Apple mit iOS 16 eingeführt und steht auch unter iPadOS, watchOS und macOS zur Verfügung. Er reduziert die Angriffsfläche des Systems drastisch, indem zahlreiche Funktionen eingeschränkt oder vollständig deaktiviert werden.

Dazu zählen unter anderem:

• das Blockieren der meisten Nachrichtenanhänge
• Einschränkungen moderner Web-Technologien
• FaceTime-Anrufe ausschließlich von bekannten Kontakten
• keine Datenverbindungen zu Zubehör oder anderen Geräten im gesperrten Zustand
• die Deaktivierung von Konfigurationsprofilen und Gerätemanagement

Diese Maßnahmen zielen darauf ab, komplexe Angriffsketten zu unterbrechen, wie sie etwa von staatlicher Spyware genutzt werden.