Wie russische (und belarussische) Sicherheitskräfte Zugang zu Ihrem Smartphone erhalten

Stellen Sie sich vor: Irgendwo in Moskau im September 2025 versammelten sich Menschen in Jacken. Sie tranken Kaffee, blätterten durch Präsentationen und diskutierten sehr ernsthaft, wie man ins Handy kommt (ja, genau in das Handy der Person, die diese Zeilen gerade liest). Die Konferenz hieß Moscow Forensics Day, ein jährliches Treffen von Experten für digitale Forensik, bei dem Experten von Handelsunternehmen und, was wichtig ist, vom russischen Untersuchungsausschuss eingeladen werden.

Die Organisatoren dachten, dass sonst niemand zusah. Doch das Memorial Human Rights Center fand die Aufnahme gemeinfrei. Fast zehn Stunden offene Berichte. Die Medien haben es studiert. Wir erzählen Ihnen noch einmal, was jetzt wichtig ist.

Die Hauptnachricht: Es gibt keinen Durchbruch

Fangen wir mit dem Guten an. Die russischen Sicherheitskräfte verfügen über kein magisches Gerät, das jedes iPhone in einer Sekunde öffnet. Der Mythos eines allmächtigen Staates, der alles sieht und immer alles sieht, ist genau das: ein Mythos. Aber das bedeutet nicht, dass du dich entspannen kannst. Weil die auf der Konferenz diskutierten Methoden real sind und bereits angewendet werden.

Cellebrite steht ihnen nicht zur Verfügung – aber der alte Bestand ist noch vorhanden

Das wichtigste Werkzeug zum Hacken von Smartphones weltweit ist das israelische Unternehmen Cellebrite. Es war ihre Ausrüstung, mit der das FBI das Telefon des Mannes öffnete, der Trump in 40 Minuten erschoss. Olga Tushkanova, Leiterin der Abteilung des Forschungsinstituts für Forensik des Untersuchungsausschusses der Russischen Föderation, gab auf der Konferenz unverblümt zu: Neue Versionen können nicht gekauft werden – Cellebrite verließ den russischen Markt bereits 2021.

Aber es ist noch zu früh, um sich zu entspannen: Sie haben noch die alte Ausrüstung. Und der FSB hat sie bereits gegen einen Anti-Kriegs-Aktivisten eingesetzt, den Autor des Telegrammkanals "Protest Moskauer Staatliche Universität". Das ist also kein vollständiger Sieg – sondern ein vorübergehender Vorteil.

Dein Gesicht ist der Schlüssel. Und sie können sie nutzen

Das ist wirklich unangenehm. Im Jahr 2025 entwickelte das Untersuchungskomitee eine neue Methodik zur Arbeit mit den Handys von Häftlingen. Einer der Eingriffe klingt banal, funktioniert aber wie ein Albtraum: Der forensische Wissenschaftler kann dich bitten, dein Handy ins Gesicht zu bringen und es per Face ID zu entsperren.

Kein Hacking. Es ist nur so, dass dein Gesicht als Schlüssel benutzt wird – ohne deine Zustimmung.

Was zu tun ist: Wechsel zu einem digitalen Passwort statt biometrischer Daten. Vor allem, wenn man zu einer Kundgebung geht, die Grenze überquert oder einfach das Gefühl hat, dass die Situation unkontrollierbar werden kann. Die Verweigerung, Ihr Passwort preiszugeben, ist Ihr verfassungsmäßiges Recht, das sogar der Oberste Gerichtshof der Russischen Föderation als legal anerkannt hat.

Hashcat: Ein Werkzeug für alle

Um verschlüsselte Archive, Dokumente und Dateien zu knacken, verwenden russische Experten alle dasselbe Programm, Hashcat. Es ist Open Source, kostenlos und sehr effizient: Es durchläuft Millionen von Passwortoptionen pro Sekunde mit der Kraft von Grafikkarten.

Es zeigt schnell ein schwaches Passwort. "Cat2004" ist kein Passwort, sondern ein Nachruf auf Ihre Privatsphäre.

Was zu tun ist: Lange Passwörter für Archive (ab 20 Zeichen sind ein anderes Thema), ein Passwortmanager für alles andere. Und wo möglich, auf Passkeys umsteigen. Über sie wurde auf der Konferenz überhaupt nicht gesprochen, weil Kriminologen noch nicht wissen, was sie damit anfangen sollen.

macOS ist keine Festung, aber fast

Ein Redner versprach, "den Mythos von Apples Uneinnahmelichkeit zu entkräften." Spoiler: Es hat nicht wirklich funktioniert. Ja, theoretisch kann man einen Passwort-Hash aus macOS-Systemdateien extrahieren und versuchen, ihn mit Hashcat zu erraten. Aber das erfordert Root-Zugriff. Und wenn du die Festplattenverschlüsselung aktiviert hast (FileVault) und einen modernen Mac mit einem Apple Silicon-Chip, fällt das Ganze auseinander. Der Sprecher selbst gab dies zu, als er mit Fragen befragt wurde.

Android-8-Charaktere = 10.000 Jahre Hacking

Das ist kein Clickbait. Ein Experte von ACELab sagte ehrlich: Moderne Androiden verwenden den Scrypt-Algorithmus, der so viel RAM benötigt, dass selbst ein achtstelliges Passwort etwa zehntausend Jahre hält, falls es rohe Gewalt gibt. Keine Grafikkarte schafft das.

Daher besteht die Hauptaufgabe der Sicherheitskräfte nicht darin, das Telefon technisch zu zerstören, sondern Sie zu zwingen, es selbst zu öffnen. Daher der Druck, die Verhöre, die erzwungenen Biometrien.

Was sie am Telefon finden, wird der Ermittler erreichen

Wenn der forensische Experte nach dem Entsperren des Telefons gespeicherte Passwörter von Gmail, iCloud oder Google Drive findet, sollte er nicht selbst dorthin gehen. Nach den neuen Regeln ist er verpflichtet, den Ermittler darüber zu informieren, der bereits entscheiden wird, was mit diesem Fund geschehen wird.

Das ist nicht der Schutz Ihrer Daten. Das ist einfach die Übertragung der Verantwortung auf eine andere Person in Uniform.

Was zu tun ist: Speichere keine Passwörter in Notizen, Textdateien oder Korrespondenz. Ein Passwortmanager ist keine Paranoia, sondern grundlegende Hygiene. Proton Pass, Bitwarden, 1Password – was auch immer.

Belarus dreht sich auch um dich

Auf der Konferenz wurde betont, dass die belarussischen und russischen Strafverfolgungsbehörden eng zusammenarbeiten und Methoden und Werkzeuge austauschen. Was heute in Moskau verwendet wird, erscheint morgen in Minsk.

Kurz gesagt: Was jetzt zu tun ist

• Ersetze Face ID durch einen digitalen Code – besonders vor einer potenziell riskanten Situation
• Installiere einen Passwortmanager — Proton Pass, Bitwarden, 1Password
• Speichere keine Passwörter in Notizen und Instant Messengern
• Verschlüsselung aktivieren – auf dem iPhone ist es standardmäßig aktiviert, auf Android prüfen Sie die Einstellungen
• Verwenden Sie lange Passwörter für Archive und wichtige Akten
• Geh zu Passkeys Wo möglich (Google, Apple ID)
• Denken Sie daran: Du bist nicht verpflichtet, dein Passwort weiterzugeben. Das ist Ihr Recht – selbst nach der russischen Verfassung

Pass auf dich und dein Handy auf.

Das Material wurde auf Grundlage der Analyse der Aufzeichnung der Moskauer Forensiktag-Konferenz 2025 erstellt, Veröffentlicht Meduza.