Ich stelle mal einen Sachverhalt hier als Beitrag online, der seit Ende letzter Woche die Runde im Internet macht und auf die ein Leser im Diskussionsbereich hingewiesen hat. Ein US-Amerikaner wurde auf einem Flughafen einer Kontrolle seines Handys unterzogen. Das vom Gerätebesitzer zum Entsperren genannte Passwort löschte aber den Inhalt des GrapheneOS-Geräts. Nun sieht sich der Amerikaner einer Anklage "wegen Vernichtung von Beweisen" gegenüber.
Der Sachverhalt in kurz
Nachfolgender Tweet fasst den (dystopischen) Sachverhalt in wenigen Worten zusammen. Ein Reisender wurde am Flughafen von Atlanta von Bundesbeamten der US CBP (US Customs and Border Protection) angehalten. Der Vorfall ereignete sich bereits am 24. Januar 2025 am Hartsfield-Jackson Atlanta International Airport.
Der US-Bürger mit Namen Samuel Tunick war gerade von einer Reise in die Dominikanische Republik zurückgekehrt, als er bei der Einreise zur Befragung angehalten wurde. Die Beamten zwangen den Mann sein Handy (ohne richterliche Anordnung) zu entsperren.
Das Ganze ist in den USA seit der Präsidentschaft Trumps der Regelfall, die US-Beamten versuchen Social Media Profile und Geräteinhalte auf kompromittierendes Material zu durchsuchen. Europäische Geschäftsreisen und Manager werden daher seit geraumer Zeit von ihren Firmen mit Burner-Phones und sauberen Notebooks für Reisen in die USA ausgestattet. So soll sichergestellt werden, dass bei Durchsuchungen durch US-Beamte keine vertraulichen oder persönlichen Daten in deren Hände fallen.
GrapheneOS und die Duress PIN
Die betreffende Person aus obigem Fall hatte ein Google Pixel-Smartphone dabei, auf welchem GrapheneOS installiert war. GrapheneOS ermöglicht die Festlegung eines sogenannten Duress PIN oder Passworts. Wird dieses Duress-Passwort oder -PIN am Gerät eingegeben, löscht GrapheneOS den Geräteinhalt komplett. Das ist eine spezielle Sicherheitsfunktion.
Das Gerät wurde per PIN gelöscht
Die Beamten verlangten das Handy von Samuel Tunick und teilten dem US-Bürger nach dessen Protest mit, dass sie keinen Durchsuchungsbefehl für das Gerät benötigen. Da der Mann ein Pixel-Smartphone mit GrapheneOS und einem konfigurierten Duress PIN dabei hatte, nannte er diese PIN. Als die PIN zum Entsperren eingetippt wurde, flackerte der Bildschirm kurz und die Daten auf dem Gerät wurden, wie vorgesehen, vollständig und unwiederbringlich gelöscht.
Die juristischen Folgen
Der Fall zeigt, in welch dystopischen Rechtsverhältnissen die USA sich bewegen. Statt dass der Staat einem Bürger eine Schuld beweisen muss, um diesen anzuklagen und ggf. zu verurteilen, müssen die Beschuldigten ihre Unschuld beweisen. Auf US-Bundesebene gibt es wohl einen entsprechenden Paragraphen, der die Zerstörung von Beweisen für eine anstehende Durchsuchung verbietet, der jetzt gegen den US-Bürger zur Anwendung kommt.
Im betreffenden Fall wurde der US-Bürger auf Bundesebene wegen Sachbeschädigung zur Verhinderung einer Beschlagnahme angeklagt. Durch diese Anklage wurde der Sachverhalt überhaupt erst öffentlich. The Guardian hatte den Sachverhalt am 23. Juli 2026 in diesem Artikel angesprochen.
Christophe Boutry, Experte für Cybersicherheit und Überwachung, sagt "Das ist besorgniserregend – und vermittelt den Eindruck, dass [GrapheneOS] von vornherein kriminell ist". Sowohl Boutry als auch Bill Budington, leitender Technologe bei der Electronic Frontier Foundation, gaben an, noch nie einen ähnlichen Fall gesehen zu haben.
Ein möglicher Hintergrund: Die Bundesbehörden hatten den Reisenden wegen seiner angeblichen Verbindung zur Bewegung gegen "Cop City" auf eine Terrorismus-Beobachtungsliste gesetzt.
Was sich hinter "Cop City" verbirgt? Das ist ein 109 Millionen Dollar teures Polizeiausbildungszentrum, das im Frühjahr 2026 eröffnet wurde. Die Polizei von Atlanta erklärte, das Zentrum sei für eine Ausbildung auf „Weltklasseniveau" und zur Gewinnung neuer Polizeibeamter notwendig.
Es gab aber wohl erbitterten Widerstand gegen dieses Vorhaben von einer Vielzahl lokaler und nationaler Organisationen sowie von Demonstranten. Gründe waren Bedenken hinsichtlich der Militarisierung der Polizei und der Rodung von Wäldern in Zeiten der Klimakrise für das Vorhaben "Cop City".
Warum das Verfahren für Europa relevant ist
Man könnte nun achselzuckend "es ist ein Sack Reis in China umgefallen" argumentieren und zur Tagesordnung übergehen. Wer als Europäer nicht in die USA reist, den juckt auch eine Durchsuchung bei der (nicht erfolgten) Einreise nicht. Aber der Fall bekommt zwei sehr spezielle Implikationen.
Die US-Administration versucht Big-US-Tech mit Hinweisen auf unfaire Praktiken und Zensur in Europa Wettbewerbsvorteile zu verschaffen und drängt die EU-Kommission zur Abschaffung von Digital Service Act (DSA) & Co. Es soll also der Willkür Tür und Tor geöffnet werden.
Und es gibt ja noch das Transatlantic Data Transfer Protection Framework (DPF), das Abkommen zwischen der EU und den USA, welches den Transfer persönlicher Daten von EU-Bürgern in die USA regelt. Die von EU-Firmen verwendete Software von US-Firmen führt ja dazu, dass die Daten dem Zugriff durch US-Behörden unterliegen – egal, ob diese auf Servern liegen, die in Europa stehen. Das Thema souveräne europäische Cloud wird so zur Farce.
Ich hatte Ende Juni 2026 im Beitrag Wurde das US-EU Transatlantic Datentransfer-Abkommen gerade pulverisiert? diese Problematik angesprochen. Die obige Willkür zum Zugriff auf Daten zeigt, wessen Geistes Kind das gesamte US-Justizsystem ist. Der Angemessenheitsbeschluss der EU-Kommission, der die Basis für den Einsatz von M365 oder der US-Cloud ist, ist nicht mehr zu halten. heise hat den Sachverhalt die Tage im Beitrag Datentransfer in die USA: Warum das DPF nicht mehr zu retten ist angesprochen. Der obige Fall ist Wasser auf die Mühlen, um den DPF zu kippen.
MVP: 2013 – 2016
Das ist noch ein weitere Punkt auf meiner langen Liste, warum ich niemals in die USA reisen werde. Da kann sich mein Arbeitgeber auf den Kopf stellen, ich habe gut Gründe das zu verweigern. Hier sind Grundrechte tangiert und diese können nicht gegeneinader abgewogen werden. Daher ist es besonders wichtig die US Kraken aka Big Tech und die US Geheimdienste vor die Türe zu weisen. Was die VdL da veranstaltet ist grotesk und grenzt an Landesverat. Ich kann nur alle Ingenieure dazu aufrufen, sich zu wehren. Nutzt keine US Technologie und keine US Unternehmen. Nutzt freie Software statt proprietärer US Software. Zeigt Microsoft, Google, Apple und co. die rote Karte.
"Der Fall zeigt, in welch dystopischen Rechtsverhältnissen die USA sich bewegen. Statt dass der Staat einem Bürger eine Schuld beweisen muss, um diesen anzuklagen und ggf. zu verurteilen, müssen die Beschuldigten ihre Unschuld beweisen."
Das übliche Framing hier mal wieder….
Der Reisenden war sehr wohl bewusst was er tat und hat damit "mögliche" Beweise vernichtet – wie soll der Staat das denn nun nachweisen, wenn alles weg ist?
Sorry, er hat es billigend in Kauf genommen, und Dummheit schützt vor Strafe nicht, dann sollte man sich vorher schlau machen ;)
Was wäre denn passiert, wenn der den normalen PIN zur Entsperrung nicht herausgegeben hätte – ist doch mal viel interessanter als der übertriebene Aufschrei jetzt
Ist kein Framing, hätte er keine PIN rausgegeben wäre er auf der Stelle verhaftet worden. Zumal er vorher wohl mehrfach einen Anwalt verlangt hat, was aber abgelehnt wurde. Was eigentlich illegal wäre. Die Behörden berufen sich jetzt aber darauf, dass er am Flughafen ja noch nicht IN den USA ist und dementsprechend er nicht die gleichen Rechte hat wie sie normal gelten. Das Ganze geht auf eine leicht "übersehbare" Entscheidung des Supreme Court zurück, die besagt, dass alles was sich innerhalb von 100 Meilen zu einer Grenze befindet (und da fallen auch Flughäfen drunter) in Sonderbefugnisse der Grenzbehörden fallen und somit gewisse Gesetze einfach nicht gelten, gewisse Verfassungszusätze eingeschlossen.
Da gibt es drüben bei ArsTechnica einen interessanten Artikel zu, den ich hier jetzt einfach mal frech verlinke: https://arstechnica.com/gadgets/2026/07/activist-charged-with-felony-after-giving-border-agent-duress-code-that-wiped-his-phone/
Framing. Klar. Was bist du? Bezahlter Troll?
Fakt ist das die aktuelle US Administration nicht nur die Digitale Welt vollständig beherrschen will. Und dieser Fall ist nur ein weiterer. Wir hätten schon vor Jahren bzw Jahrzehnten mit eigener Infrastruktur beginnen müssen.
Der Boden an Irrsinn ist noch lange nicht erreicht.
"Auf US-Bundesebene gibt es wohl einen entsprechenden Paragraphen, der die Zerstörung von Beweisen für eine anstehende Durchsuchung verbietet, der jetzt gegen den US-Bürger zur Anwendung kommt."
Ich fürchte, der Paragraph kommt nicht nur gegen US-Bürger zur Anwendung …
Den gibt es in DE auch… Das ist einer der wohl standardmäßigen Paragraphen die existieren.
Das Problem ist die Auslegung. Und viele Leute kapieren es anscheinend auch nicht das das selbe hier auch passieren kann.
Hier in DE heißt es ja auch "du kannst nicht inhaftiert/gezwungen werden deine PIN rauszugeben", aber "Wenn der Beschuldigte die Passwörter nicht herausgibt und auf freiem Fuß bleibt, besteht die Gefahr, dass er über andere Geräte per Fernzugriff (Cloud-Wipe, Remote-Löschung) die Beweise auf den beschlagnahmten Festplatten oder dem Handy unwiderruflich löscht."(§ 112 Abs. 2 Nr. 3 Strafprozessordnung) -> zack, inhaftiert.
Wir sind hier nicht besser aufgestellt vom Recht her.
Der einzige unterschied ist das wir keine solcher Politiker haben… Ach warte… § 188 StGB
Ach, und das US-Beamte scheinbar jederzeit Dein Eigentum durchsuchen und auf ggf. privateste Daten ohne einen Beschluss eines Richters (und das ist schon wenig) zugreifen können, ist mit einer freiheitlichen Grundordnung vereinbar?
Du hast ein fudamental falsches Verständnis davon, was ein durch die Bürger legitimierter Staat ist. Deswegen verstehst Du offensichtlich auch nicht, dass eine Duress-PIN eine legitime Selbstverteidigung gegen einen Staat ist, der so etwas auch nicht mehr versteht und außer Kontrolle geraten ist. Und außer Kontrolle geraten ist due USA zweifelsohne.
Verbesserungsvorschlag an GraphenOS: Die Eingabe des Duress PIN öffnet ein zweites "sauberes" Profil und löscht das Hauptprofil im Hintergrund. Handy ist entsperrt und durchsucht aber keine echten Daten wurden preisgegeben. Win-Win sozusagen…
Bleibt als Erkenntnis, dass man für die Duress-PIN vielleicht einen weiteren Modi einbauen sollte und zwar einen, der das Gerät nicht nur löscht, sondern danach in einen Fake Modus versetzt, so dass die Löschung nicht erkennbar ist.
Sozusagen eine US-PIN für den US-Modus.
Gute Idee. Kipp doch Mal nen Feature Request bei Graphene ein ;)
Nö.
Es ergibt sich daraus folgende Vorgehensweise, wenn man in die USA reist:
1. eigens Handy zu Hause lassen
2. In den USA ein Wegwerfhandy kaufen und dort nutzen
3. Vor Verlassen der USA dieses Wegwerfhandy inkl. SIM physisch zerstören und entsorgen.
Und du kennst die Gesetzgebung aller Länder, in die du reist oder mal reisen wirst und bereitest dich dann jedesmal so vor? Das Problem ist ja keineswegs eines, was nur die USA betrifft.
So eine Fake Profil hätte den Vorteil, dass du es jederzeit in jedem Szenario leicht anwenden könntest. Das betrachte ich schon als einen entscheidenden Vorteil.
Allerdings müsste man so ein Profil wohl individuell selbst gestalten, damit es glaubwürdig bleibt, was natürlich den Aufwand deutlich höher treibt als nur eine Duress-PIN zu vergeben.
Oder einfach keinerlei Daten auf dem Handy selbst speichern, sondern nur auf einem gesondert geschützten Cloudspeicher (der natürlich NICHT bei einem US-Anbieter gehostet wird).
Und dann passiert das: https://xkcd.com/538/