Graykey Preserve: Wie ein Forensik-Tool den iPhone-Neustart nach 72 Stunden umgehen soll

Der iPhone Inactivity Reboot einfach erklärt

Der Inactivity Reboot, auf Deutsch Neustart nach Inaktivität, ist eine Sicherheitsfunktion von iOS. Apple hat sie mit iOS 18 eingeführt und mit iOS 18.1 verschärft. Die Funktion arbeitet unsichtbar im Hintergrund. Es gibt keinen Schalter in den Einstellungen, und die meisten iPhone-Nutzer bemerken sie nie, weil sie ihr Gerät täglich entsperren.

Wann startet das iPhone automatisch neu?

Ein iPhone startet automatisch neu, wenn es 72 Stunden lang, also drei Tage, nicht entsperrt wurde. Entscheidend ist nur der Sperrzustand. Ob das iPhone am Ladekabel hängt, ob es mit dem Internet verbunden ist oder ob Mobilfunk verfügbar ist, spielt für den Timer keine Rolle. Das hat Magnet Forensics in einem eigenen Fachbeitrag zum Inactivity Reboot selbst beschrieben.

Für Sie als Nutzer heißt das: Wer sein iPhone jeden Tag benutzt, merkt vom Neustart nach 72 Stunden nichts. Wirksam wird der Schutz erst, wenn das Gerät liegen bleibt. Das ist zum Beispiel der Fall, wenn ein iPhone gestohlen wurde, verloren gegangen ist oder beschlagnahmt wurde.

AFU und BFU: die zwei Zustände eines iPhones

Um zu verstehen, warum der iPhone-Neustart so wichtig ist, muss man zwei Begriffe aus der iPhone-Forensik kennen: AFU und BFU. Sie beschreiben, wie gut die Daten auf dem Gerät gerade geschützt sind.

Der automatische Neustart nach 72 Stunden bringt ein iPhone also vom AFU-Zustand zurück in den BFU-Zustand. Einfach gesagt: Das Gerät verriegelt sich nach drei Tagen ohne Nutzung selbst wieder vollständig. Genau diesen Wechsel soll Graykey Preserve verhindern.

Lässt sich der Neustart nach 72 Stunden deaktivieren?

Nein. Den automatischen Sicherheitsneustart können Sie beim iPhone weder abschalten noch verlängern oder verkürzen. Es gibt dafür keinen Schalter in den Einstellungen. Wenn Ihr iPhone nach drei Tagen neu startet, obwohl Sie es nicht benutzt haben, ist das also kein Fehler, sondern der 72-Stunden-Neustart, der genau so arbeiten soll. Nach dem Neustart geben Sie einmal Ihren Gerätecode ein, danach funktionieren Face ID und Touch ID wieder wie gewohnt.

Was passiert technisch beim Inaktivitäts-Neustart?

Der Inaktivitäts-Neustart, wie die Funktion auf Deutsch auch genannt wird, ist tief im System verankert. Sicherheitsforscher fanden die Funktion im Kern des Betriebssystems, im Zusammenspiel mit dem Keybag und dem Schlüsselspeicher der Secure Enclave. Der Keybag ist eine Art Behälter für kryptografische Schlüssel auf dem iPhone. Nach dem Neustart sind die Schlüssel, die im AFU-Zustand im Arbeitsspeicher lagen, nicht mehr vorhanden. Erst die erneute Eingabe des Gerätecodes gibt sie wieder frei.

iPhone startet von selbst neu: Ist das der Inactivity Reboot?

Wenn Ihr iPhone während der normalen Nutzung von allein neu startet, ist das in aller Regel nicht der Inactivity Reboot. Der automatische Sicherheitsneustart greift nur, wenn ein iPhone drei Tage lang gesperrt war und nicht entsperrt wurde. Häufige Ursachen für einen unerwarteten Neustart im Alltag sind dagegen:

• ein gerade installiertes oder halb installiertes iOS-Update,
• ein schwacher oder gealterter Akku, der bei Lastspitzen die Spannung nicht hält,
• sehr wenig freier Speicherplatz,
• eine fehlerhafte App oder ein Softwarefehler im System.

Prüfen Sie in diesem Fall zuerst, ob iOS aktuell ist, wie es um den Akkuzustand steht und ob genug Speicher frei ist. Startet das iPhone weiter regelmäßig von selbst neu, hilft der Apple-Support weiter.

Warum Apple den Neustart nach 72 Stunden eingeführt hat

Apple hat sich zum Zweck der Funktion nicht im Detail geäußert. Die Wirkung ist aber klar: Daten, die länger als drei Tage ungenutzt auf einem gesperrten iPhone liegen, werden wieder in den bestmöglich geschützten Zustand gebracht. Das schützt nicht nur vor Behörden, sondern vor allem vor Dieben. Ein gestohlenes iPhone kann nicht einfach monatelang in einer Schublade liegen, bis ein Angreifer eine Lücke gefunden hat. Nach spätestens drei Tagen ist es wieder im BFU-Zustand.

Für die meisten Menschen ist der iPhone Inactivity Reboot deshalb in erster Linie ein Diebstahlschutz. Wer sein Smartphone in der Bahn verliert oder im Urlaub bestohlen wird, profitiert davon, ohne etwas einstellen zu müssen.

Wie Graykey Preserve den iPhone-Neustart umgehen soll

Wie genau Graykey Preserve funktioniert, ist nicht öffentlich bekannt. Das Video zeigt keine vollständige technische Beschreibung. Es gibt aber einige Hinweise aus dem Bericht und eine erste Einschätzung einer bekannten iPhone-Sicherheitsforscherin.

Was das geleakte Video zeigt

• Flugmodus: Graykey Preserve aktiviert unter anderem den Flugmodus des iPhones. Damit sind Bluetooth, WLAN und Mobilfunk getrennt.
• AFU-Zustand bleibt erhalten: Der AFU-Zustand soll auch dann erhalten bleiben, wenn das iPhone aus irgendeinem Grund doch neu startet, zum Beispiel wegen Speicherwartung oder Stromverlust.
• Zeitlich unbegrenzt: Die Daten sollen sich laut Video „unendlich lange" erhalten lassen.
• Keine automatische Löschung: Neben dem Neustart soll auch die automatische Löschung weiterer Daten verhindert werden. Genannt werden zwischengespeicherte Ortsangaben, Fotos im Ordner für zuletzt gelöschte Objekte und iMessage-Nachrichten.

„Zeit anhalten": die Vermutung von Jiska Classen

Jiska Classen ist Professorin am Hasso-Plattner-Institut in Potsdam und eine der bekanntesten Fachleute für iPhone-Sicherheit. Sie hatte den Inactivity Reboot nach seiner Einführung selbst untersucht. Ihre Vermutung zu Graykey Preserve: Magnet Forensics gelingt es auf eine bisher unbekannte Weise, die Uhr des iPhones zu manipulieren. Damit ließe sich die Zeit auf dem Gerät anhalten oder zumindest verlangsamen.

Das würde erklären, warum der Neustart nicht ausgelöst wird. Wenn für das iPhone keine Zeit vergeht, laufen auch die 72 Stunden nie ab. Dasselbe gilt für andere Zeitgrenzen, die Apple gesetzt hat, etwa für das endgültige Löschen von Daten. Laut Classen ist es außerdem denkbar, dass das Werkzeug die Systemaufgaben abschaltet, die Daten nach einer bestimmten Zeit verfallen lassen. Belegt ist beides nicht. Sicher ist nur: Mit dieser Methode wären die Ermittler im Prinzip wieder dort, wo sie vor der Einführung des Inactivity Reboot standen.

Was nicht bestätigt ist

Bei aller Aufregung ist Vorsicht angebracht. Die Quelle ist ein internes Schulungs- oder Firmenvideo, keine unabhängige Untersuchung. Weder Apple noch Magnet Forensics haben den Bericht kommentiert. Es ist nicht bekannt, für welche iPhone-Modelle und welche iOS-Versionen die Methode funktioniert, ob Apple die Lücke bereits geschlossen hat oder ob sie überhaupt so zuverlässig arbeitet, wie das Video behauptet. Alle Aussagen in diesem Beitrag zu Graykey Preserve beruhen auf diesem Bericht und sind entsprechend vorläufig.

iPhone-Sicherheit: Was Sie selbst tun können

Die gute Nachricht: Die wichtigsten Schutzmaßnahmen für ein iPhone sind schnell eingerichtet und kosten nichts. Sie schützen vor allem bei Verlust und Diebstahl. Eine Garantie gegen professionelle Forensik-Werkzeuge gibt es nicht. Die folgenden sechs Punkte erhöhen die iPhone-Sicherheit aber deutlich. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt eine Gerätesperre und regelmäßige Updates als Grundschutz für Smartphones.

Daten nach zehn Fehlversuchen löschen

Unter Face ID & Code können Sie festlegen, dass das iPhone nach zehn falschen Code-Eingaben alle Daten löscht. Das schützt vor dem Durchprobieren von Codes. Der Nachteil: Wer das aktiviert, braucht unbedingt eine aktuelle Datensicherung, denn auch ein Kind, das mit dem Telefon spielt, kann die Löschung auslösen.

Blockierungsmodus: Schutz für besonders gefährdete Menschen

Der Blockierungsmodus ist ein besonders strenger Schutzmodus von iOS. Apple hat ihn für Menschen entwickelt, die gezielt angegriffen werden könnten, etwa Journalisten, Aktivisten oder Menschen in sensiblen Positionen. Im Blockierungsmodus schränkt das iPhone viele Funktionen ein, um die Angriffsfläche zu verkleinern. Laut Apple werden dann unter anderem kabelgebundene Verbindungen zu Computern und Zubehör blockiert, solange das iPhone gesperrt ist. Für den normalen Alltag ist der Modus zu streng. Wer aber beruflich mit besonders vertraulichen Informationen arbeitet, sollte ihn kennen.

Firmenhandy sicher einrichten: Checkliste für Unternehmen und Selbstständige

Für Firmen reicht es nicht, wenn jeder Mitarbeiter sein iPhone nach eigenem Gefühl einrichtet. Sicherheit entsteht durch einheitliche Regeln, die jeder kennt und die regelmäßig geprüft werden. Die folgende Checkliste hilft Ihnen, die Smartphone-Sicherheit im Unternehmen Schritt für Schritt zu verbessern.

1. Bestand erfassen: Welche Smartphones gibt es im Unternehmen, wer nutzt sie, und welche Daten liegen darauf? Ohne diese Übersicht lässt sich nichts gezielt schützen.
2. Gerätecode festlegen: Legen Sie eine Mindestanforderung für den Gerätecode fest. Kurze Zahlencodes und einfache Muster sollten auf Firmenhandys nicht erlaubt sein.
3. Updates regeln: Bestimmen Sie, dass Sicherheitsupdates zeitnah installiert werden, und prüfen Sie das regelmäßig. Ein iPhone mit veralteter Software ist ein unnötiges Risiko.
4. Diebstahlschutz einschalten: Aktivieren Sie auf allen Geräten den Schutz für gestohlene Geräte und die Ortungsfunktion. So lässt sich ein verlorenes Gerät orten, sperren oder aus der Ferne löschen.
5. Daten trennen: Private und berufliche Daten sollten getrennt bleiben. Firmenkonten, Kundendaten und interne Chats gehören nicht in private Apps.
6. Datenmenge begrenzen: Legen Sie fest, welche Dokumente und Verläufe überhaupt auf dem Smartphone gespeichert werden dürfen. Alte Daten werden regelmäßig gelöscht.
7. Notfallplan schreiben: Was passiert, wenn ein Firmenhandy verloren geht? Wer wird informiert, welche Zugänge werden gesperrt, wann wird das Gerät aus der Ferne gelöscht? Ein kurzer schriftlicher Ablauf spart im Ernstfall wertvolle Zeit.
8. Mitarbeiter einweisen: Die beste Einstellung nützt wenig, wenn niemand weiß, warum sie wichtig ist. Eine kurze, verständliche Einweisung gehört dazu.

Mobile Device Management: Firmenhandys zentral verwalten

Ab einigen Geräten lohnt sich ein Mobile Device Management, kurz MDM. Das ist eine Software, mit der ein Unternehmen seine Smartphones zentral verwaltet. Damit lassen sich Code-Regeln, Updates und Einstellungen für alle Geräte gleichzeitig vorgeben. Geht ein Firmenhandy verloren, kann es aus der Ferne gesperrt oder gelöscht werden. Welche Lösung passt, hängt von der Zahl der Geräte und vom Bedarf ab.

BYOD: Wenn Mitarbeiter ihr privates iPhone nutzen

Bei BYOD, „Bring Your Own Device", nutzen Mitarbeiter ihr eigenes Smartphone auch für die Arbeit. Das spart Geräte, erhöht aber das Risiko. Private Apps, Familienfotos und Firmendaten liegen dann auf demselben iPhone. Wer BYOD erlaubt, braucht klare Regeln: Welche Firmendaten dürfen auf das private Gerät, welcher Gerätecode ist Pflicht, und was passiert, wenn das Gerät verloren geht oder der Mitarbeiter das Unternehmen verlässt?

Verlorenes Firmenhandy: auch die DSGVO kennt 72 Stunden

Nicht nur Apple rechnet mit 72 Stunden. Auch die Datenschutz-Grundverordnung (DSGVO) setzt diese Frist. Geht ein Firmenhandy mit personenbezogenen Daten verloren, kann das eine Datenschutzverletzung sein. Diese muss nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden, außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Verstöße gegen die Pflichten zur Datensicherheit und zur Meldung können nach Art. 83 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Ein gut abgesichertes, verschlüsseltes Gerät mit starkem Code kann die Bewertung des Risikos deutlich verändern. Ob im Einzelfall eine Meldepflicht besteht, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einem Rechtsanwalt.

Welche Daten auf einem Smartphone besonders schützenswert sind

Nicht alle Daten auf einem iPhone sind gleich sensibel. Besonders schützenswert sind E-Mail-Postfächer, weil sich darüber oft Passwörter für andere Dienste zurücksetzen lassen. Dazu kommen Chatverläufe mit Kunden und Kollegen, gespeicherte Passwörter und Zugänge, Fotos von Dokumenten, Standortdaten und Kontakte. Der Bericht zu Graykey Preserve zeigt, dass auch scheinbar gelöschte Inhalte wie Fotos im Ordner für zuletzt gelöschte Objekte oder zwischengespeicherte Ortsangaben eine Rolle spielen können. Löschen Sie deshalb nicht nur, sondern leeren Sie auch den Papierkorb in den Fotos und in anderen Apps.

Smartphone-Sicherheit mit INFOMATCH: von der Einschätzung bis zur Einrichtung

Der Fall Graykey Preserve zeigt, wie schnell sich die Lage bei der Smartphone-Sicherheit ändern kann. Die meisten Unternehmen und Selbstständigen haben keine Zeit, jede neue Meldung zu verfolgen und ihre Geräte danach zu prüfen. Genau dafür gibt es den Bereich IT & Sicherheit bei INFOMATCH.

Dazu gehören auch sicher eingerichtete Smartphones mit GrapheneOS für alle, die mehr Kontrolle über ihr Gerät wollen. Wer viel unterwegs arbeitet, findet passende Lösungen im Service für digitale Nomaden. Die Zusammenarbeit ist einfach:

1. Sie schildern kurz, welche Geräte Sie nutzen und was Sie schützen wollen.
2. Sie bekommen eine kostenlose erste Einschätzung.
3. Wenn Sie möchten, folgt ein schriftliches Angebot. Erst dann entscheiden Sie.

Vieles lässt sich auf Wunsch online einrichten, egal wo Sie gerade arbeiten. Den ersten Kontakt führen Sie per E-Mail oder über das Kontaktformular. Auf Wunsch geht es danach über einen Messenger weiter, mit dem Sie sich wohlfühlen. Für die erste Anfrage reicht auch ein Künstlername.

Begriffe zur iPhone-Forensik kurz erklärt

Rund um Graykey Preserve fallen viele Fachbegriffe. Hier die wichtigsten in einfachen Worten.