iPhone-Forensik: Das 72-Stunden-Fenster zwischen AFU und BFU

Das iPhone Ihres Mandanten wird sichergestellt. Was passiert in den nächsten 72 Stunden – und warum entscheidet dieses Zeitfenster oft über die forensische Auswertbarkeit?

AFU vs. BFU: Zwei Zustände, zwei sehr unterschiedliche Möglichkeiten

Moderne iPhones kennen für die forensische Sicherung zwei grundlegend verschiedene Zustände. Welcher davon beim Zeitpunkt der Sicherstellung vorliegt, bestimmt massgeblich, was im Anschluss überhaupt noch ausgelesen werden kann.

AFU – After First Unlock

Das Gerät wurde seit dem letzten Neustart mindestens einmal entsperrt. Bestimmte Verschlüsselungsschlüssel liegen im Arbeitsspeicher. Forensische Tools haben in diesem Zustand deutlich bessere Möglichkeiten, auf Daten zuzugreifen.

BFU – Before First Unlock

Der Zustand nach einem Neustart, in dem das Gerät noch nicht einmal entsperrt wurde. Die Verschlüsselungsschlüssel sind eingeschlossen. Je nach Gerätemodell und iOS-Version haben forensische Tools hier deutlich eingeschränktere Möglichkeiten – teilweise bis zur vollständigen Blockade.

Was iOS 18 verändert hat

Seit iOS 18 startet ein iPhone nach 72 Stunden ohne Entsperrung automatisch neu – und wechselt damit von AFU in BFU. Still. Ohne Warnung. Das forensische Fenster ist real und eng.

Für die Praxis heisst das: Ab dem Moment der Sicherstellung läuft eine Uhr. Wer ein als AFU sichergestelltes Gerät 72 Stunden liegen lässt, bevor zeitnah eine forensische Verbindung hergestellt wird, riskiert den unbemerkten Wechsel in einen Zustand, in dem deutlich weniger ausgewertet werden kann.

Für die Beweiswürdigung: Die richtigen Fragen

Diese Punkte sind keine Theorie – sie sind konkrete Ansatzpunkte für die Beweiswürdigung in laufenden Verfahren:

• Sicherstellungs-Zeitpunkt: Wann genau wurde das Gerät übernommen?
• Zustand bei Sicherstellung: War das Gerät in AFU oder BFU? Wurde das dokumentiert?
• Zeitnahe Verbindung: Wurde innerhalb des 72-Stunden-Fensters mit dem Gerät kommuniziert?
• Tool und Version: Mit welchem forensischen Tool, welcher Software-Version wurde gearbeitet?
• Lückenlose Dokumentation: Ist die Chain of Custody – vom Moment der Sicherstellung bis zur Auswertung – protokolliert?

Unsere Rolle: Forensische Zweitmeinung mit operativer Erfahrung

Wir prüfen behördliche IT-Forensik-Berichte auf methodische Sauberkeit nach ISO/IEC 27037 – inklusive der Frage, ob das 72-Stunden-Fenster korrekt gewahrt und dokumentiert wurde. Unsere operative Erfahrung aus der Kriminalpolizei fliesst in jedes Mandat ein.

Wenn Sie als Strafverteidiger ein digitales Gutachten überprüfen oder ein eigenes Gegengutachten brauchen, sprechen Sie mit uns – vertraulich und mit klarer Aussage zur technischen Substanz.