Am Wochenende war bei RESQ wieder eine deutsche Strafverfolgungsbehörde zur Schulung vor Ort. Der Grund ist eine Realität, die in Ermittlungsverfahren immer häufiger zuschlägt: Smartphones sind heute keine „Speicher mit Daten“ mehr, sondern Sicherheitsplattformen.

In der Praxis treffen Behörden oft auf Asservate, die nicht einfach „gesperrt“ sind, sondern physisch beschädigt: Sturz, Verformung, Flüssigkeit, Hitze oder unsachgemäße Eingriffe. Und genau hier entscheidet sich, ob ein Fall technisch eine Perspektive hat: nicht durch „Probieren“, sondern durch Architekturverständnis, saubere Diagnose und rekonstruktives Arbeiten.

Die Schulung hatte daher einen klaren Fokus: Plattformen verstehen und korrekt handlen – damit ein Gerät, das im Ist-Zustand nicht mehr stabil funktioniert, wieder in einen technisch belastbaren Zustand gebracht werden kann.

Viele haben noch das alte Bild im Kopf: Speicher ausbauen, dumpen, fertig. Genau das ist bei heutigen Smartphones in der Regel nicht mehr das richtige Denkmuster. Der entscheidende Unterschied: Nutzdaten liegen typischerweise durchgängig verschlüsselt vor.

Das heißt: Ein Speicherabbild kann physisch existieren – ohne dass daraus automatisch verwertbare Inhalte entstehen. Denn die Daten sind nicht als Klartext vorhanden, sondern brauchen den korrekten Entschlüsselungskontext der Plattform.

Und dieser Kontext ist nicht „eine Datei“ oder „ein Passwort, das man kopiert“. Er ist Bestandteil der Sicherheitsarchitektur und an das konkrete Gerät gebunden.

Moderne Verschlüsselung ist hardwareseitig verankert. Je nach Hersteller und Generation sind mehrere Komponenten auf dem Logicboard Teil der Sicherheitsidentität. Vereinfacht gesagt: CPU und je nach Aufbau weitere Security-/Encryption-Komponenten enthalten gerätespezifische Schlüsselinformationen, die unique sind und nicht nachgebildet werden können.

Aus genau diesem Grund spielt logische Kopplung heute eine zentrale Rolle: Bestimmte Bausteine sind nicht beliebig austauschbar, ohne dass die Plattform ihre originale Sicherheitsidentität verliert. Ein Teil kann elektrisch „passen“ – und trotzdem die Voraussetzung zerstören, dass Nutzdaten im Nachgang sinnvoll zugänglich sind.

Darum ging es in der Schulung nicht um oberflächliche „Reparaturregeln“, sondern um die realen Konsequenzen moderner Architektur: Was ist gekoppelt? Was ist identitätsrelevant? Welche Schritte sind reversibel – und welche nicht?

Der praktische Ablauf ist deshalb klar: Wenn ein Asservat physisch oder elektrisch kompromittiert ist, muss zuerst die Plattform rekonstruiert werden. Das bedeutet nicht „schön reparieren“, sondern: in einen stabilen, reproduzierbaren Betriebszustand bringen.

Stabil heißt: saubere Versorgung, kontrolliertes Bootverhalten, keine zufälligen Resets, keine instabilen Zustände unter Last. Nur dann arbeitet der Sicherheitskontext konsistent – und nur dann entsteht überhaupt die technische Grundlage, auf der nachgelagerte Prozesse sinnvoll greifen können.

Diese Denkweise erspart in Ermittlungsrealität sehr viel Frust: Wer versucht, den Schritt „Stabilisierung“ zu überspringen, landet häufig nicht bei „schneller“, sondern bei Stillstand oder Folgeschäden.

Wir sind in der Schulung bewusst tief in aktuelle Board- und Sicherheitsarchitekturen gegangen. Nicht theoretisch, sondern so, dass es in der Praxis hilft: Diagnose-Logik, Plattform-Realität und das Verständnis für Schritte, die die Sicherheitsidentität erhalten.

Auch die Vorbereitung von Trägerboards und die systematische Vorgehensweise bei komplexen Schadenbildern war Teil der Inhalte. Denn in harten Fällen entscheidet nicht „Mut“, sondern ein sauberer Ablauf und das Verständnis für Kopplungen.

Ein Schwerpunkt war dabei auch die Frage, warum Transplantationsfähigkeit in bestimmten Architekturen nicht „Nice to have“ ist, sondern die logische Konsequenz daraus, dass Schlüsselkontexte unique sind und an die Originalplattform gebunden bleiben müssen.

Wir sind zudem intensiv auf moderne Samsung-Architekturen eingegangen: Sicherheitskopplungen, Verschlüsselungsmechanismen und die praktische Frage, wie man aktuelle Samsung-Sandwich-Boards korrekt trennt, reworked und wieder stabil aufbaut, ohne unnötige Risiken zu erzeugen.

Genau bei diesen Plattformen zeigt sich besonders deutlich: Wer die Kopplungen nicht versteht, arbeitet blind. Wer die Kopplungen versteht, kann gezielt diagnostizieren, rekonstruieren und Plattformen wieder in einen Zustand bringen, der technisch belastbar ist.

Als greifbare Referenz für die beschriebenen Zusammenhänge ist hier ein dokumentierter Fall eingebunden: eine Logicboard-Transplantation an einem iPhone 14 Pro. Solche Fälle zeigen, warum moderne Plattformen nicht mehr in „Austauschlogik“ gedacht werden dürfen und warum Kopplungen heute die Spielregeln definieren.

Hier das Video als Referenz:
https://youtu.be/1t_agLDES38