Das IT-Forensikunternehmen Magnet Forensics hat Berichten von 404 Media zufolge mit GrayKey Preserve eine Methode entwickelt, die den automatischen Neustart von iPhones bei Inaktivität aushebelt. Das Werkzeug werde mindestens seit Anfang 2025 eingesetzt, wie ein datiertes Video der Plattform belege.
Die GrayKey-Technologie wird bereits von über 1.200 Behörden in 40 Ländern genutzt. Eine breite Einführung von GrayKey Preserve könnte das Kräfteverhältnis zwischen Strafverfolgungsbehörden und Herstellern von IT-Sicherheitslösungen zugunsten der Ermittler verschieben.
Dauerhafter Zugriff trotz Apples 72-Stunden-Frist
Apple führte die Funktion Inactivity Reboot im Jahr 2024 mit der Betriebssystemversion iOS 18 ein. Nach 72 Stunden ohne vorherige Entsperrung startet ein iPhone automatisch neu und wechselt in den sichereren Zustand vor der ersten Entsperrung (Before First Unlock, BFU).
Nach einer Entsperrung befindet sich das Gerät hingegen im weniger sicheren Zustand nach der ersten Entsperrung (After First Unlock, AFU), in dem forensische Werkzeuge leichter Daten auslesen können.
Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. iOS-Sicherheits-Ratgeber jetzt kostenlos herunterladen
GrayKey Preserve setzt an dieser Schnittstelle an und friert das iPhone im AFU-Modus ein. Dieser Zustand bleibt den Berichten zufolge selbst nach einem Neustart, dem manuellen Ausschalten oder einem vollständigen Stromverlust bestehen.
Ergänzend dazu bietet Magnet Forensics einen Beweissicherungsmodus für reguläre GrayKey-Geräte an, der von iOS automatisch gelöschte Daten wie Standortverläufe, iMessages und gelöschte Bilder wiederherstellt.
In einem internen Schulungsvideo bezeichnete ein Mitarbeiter des Unternehmens die Neuerung als seit Jahren gewünschten Wendepunkt für die iOS-Forensik und erklärte, dass sich relevante Gerätedaten damit unbegrenzt und über beliebige Zeiträume sichern ließen.
Technische Hypothesen und ungeklärte Faktoren
Die exakte technische Funktionsweise von GrayKey Preserve ist bisher unklar. Es existieren Hinweise auf die Nutzung des Flugmodus sowie die systematische Blockierung von Funkverbindungen wie WLAN, Bluetooth und Mobilfunk. Ermittler sollen auf dem gesicherten Gerät zunächst ausschließlich das Modell und die installierte iOS-Version einsehen können.
Die Sicherheitsforscherin Jiska Classen vom Hasso-Plattner-Institut vermutet als mögliche Ursache eine gezielte Manipulation der internen iOS-Systemuhr durch Verlangsamung oder Anhalten der Zeit sowie einen Eingriff in System-Timer oder Löschprozesse. Eine Bestätigung für diese Annahmen liegt bislang nicht vor.
Wer sich mit der komplexen Fachsprache rund um sein iPhone-System schwer tut, findet in diesem digitalen Kompendium einfache Antworten. Das Gratis-Lexikon erklärt die 53 wichtigsten Begriffe klar und verständlich. Kostenloses iPhone-Lexikon hier sichern
Weder Magnet Forensics noch Apple antworteten auf Anfragen im Rahmen der Berichterstattung. Zwar hat Apple frühere Sicherheitslücken historisch oft rasch geschlossen, doch über den tatsächlichen Einsatzumfang von GrayKey Preserve durch Polizeibehörden, konkrete Fallzahlen sowie die Wirksamkeit auf der neuesten iPhone-Software herrscht weiterhin Unklarheit.
Historischer Konflikt um Behördenzugriffe
Ermittlungswerkzeuge wie GrayKey, deren Hardware-Einheiten historisch rund 15.000 US-Dollar kosteten, bewegen sich in einem langjährigen Spannungsfeld. Die juristische Auseinandersetzung zwischen Apple und den US-Ermittlungsbehörden reicht bis in das Jahr 2016 zurück, als nach dem Anschlag von San Bernardino ein Rechtsstreit um den Zugriff auf ein gesperrtes iPhone entbrannte.
Eine im Jahr 2025 geschlossene Schwachstelle im eingeschränkten USB-Modus verdeutlichte zudem, dass von Herstellern implementierte Schutzmechanismen selbst wiederholt zur Angriffsfläche werden.
Ob GrayKey Preserve in der Praxis zu einer dauerhaften Umgehung führt, wird sich an forensischen Befunden messen lassen: Ein Anstieg von mehr als 20 % bei AFU-Zugriffen nach Ablauf der 72-Stunden-Marke in forensischen Fachzeitschriften oder Gerichtsakten innerhalb der nächsten 12 Monate würde die praktische Wirksamkeit der Methode belegen.