Exploit-basierte Extraktion im Ausschaltzustand: BFU – Before First Unlock
Die BFU-Phase gehört zu den anspruchsvollsten Bereichen der mobilen Forensik. Sie beschreibt den Zustand eines Geräts, bevor es nach einem Neustart erstmals entsperrt wurde – und damit einen Zeitpunkt, an dem viele Nutzerdaten noch besonders stark geschützt sind.
Was bedeutet BFU?
BFU steht für Before First Unlock. Das Gerät wurde gestartet, aber der Entsperrcode wurde noch nicht eingegeben.
Warum ist es relevant?
Viele Schlüssel und Datenbereiche sind in dieser Phase nicht oder nur eingeschränkt verfügbar.
Forensischer Fokus
Ziel ist die rechtssichere Sicherung verfügbarer Artefakte ohne Veränderung oder unzulässige Eingriffe.
Was ist exploit-basierte Extraktion?
Bei einer exploit-basierten Extraktion wird eine bekannte technische Schwachstelle genutzt, um in einem eng begrenzten forensischen Rahmen auf bestimmte Gerätedaten oder Systembereiche zuzugreifen. Im BFU-Zustand ist dieser Ansatz besonders komplex, weil moderne Geräte ihre Daten stark verschlüsseln und viele Schlüssel erst nach der ersten erfolgreichen Entsperrung im System verfügbar werden.
In der Praxis bedeutet das: Selbst wenn ein Gerät eingeschaltet ist, sind große Teile der Nutzerdaten weiterhin kryptografisch geschützt. Forensische Werkzeuge können je nach Gerät, Betriebssystemversion, Patchstand und rechtlicher Ausgangslage nur begrenzte Informationen sichern. Ergänzend ist auch der Patchstand relevant – etwa wenn Android ohne Sicherheitsupdates betrieben wird.
BFU vs. AFU: Der entscheidende Unterschied
| Merkmal | BFU – Before First Unlock | AFU – After First Unlock |
|---|---|---|
| Gerätezustand | Neu gestartet, noch nicht entsperrt | Mindestens einmal nach Neustart entsperrt |
| Schlüsselverfügbarkeit | Stark eingeschränkt | Mehr Schlüsselbereiche im Speicher verfügbar |
| Datenzugriff | Begrenzt, oft nur ausgewählte Artefakte | Je nach Sperrzustand häufig umfangreicher |
| Forensische Bedeutung | Hoher Schutz, geringe Angriffsfläche | Mehr Analyseoptionen, aber weiterhin rechtlich gebunden |
Welche Daten können im BFU-Zustand relevant sein?
Welche Informationen im BFU-Zustand verfügbar sind, variiert erheblich. Häufig stehen eher technische Metadaten und systemnahe Artefakte im Vordergrund, während besonders sensible Nutzerdaten verschlüsselt bleiben. Bei Mobilgeräten überschneidet sich diese Bewertung häufig mit Fragestellungen der Android-Datenrettung und der gerätespezifischen Analyse.
- Geräteinformationen und Basis-Metadaten
- Bestimmte Systemlogs oder Diagnosedaten
- Netzwerk- und SIM-bezogene Hinweise
- Teilweise App- oder Konfigurationsartefakte
- Nachrichteninhalte und private Kommunikation
- Fotos, Dokumente und App-Datenbanken
- Schlüsselbund- und Konto-Geheimnisse
- Viele nutzerbezogene Datencontainer
Forensische Anforderungen und rechtliche Grenzen
Exploit-basierte Verfahren dürfen nur in einem klar legitimierten Rahmen eingesetzt werden – etwa durch richterliche Anordnung, ausdrückliche Einwilligung, Incident-Response-Mandat oder interne Unternehmensfreigabe. Entscheidend sind Nachvollziehbarkeit, Verhältnismäßigkeit und eine saubere Beweiskette.
Dokumentation
Jeder Schritt muss reproduzierbar und prüfbar dokumentiert werden.
Berechtigung
Ohne rechtliche Grundlage ist eine Extraktion unzulässig.
Chain of Custody
Übergaben, Zustände und Hashwerte gehören zur Beweissicherung.
Risikobewertung
Technische Eingriffe können Daten verändern oder Beweise gefährden.
Typische Herausforderungen in der Praxis
- Patchstand: Aktuelle Sicherheitsupdates schließen bekannte Schwachstellen oft schnell.
- Gerätevarianz: Modell, Chipsatz, Secure Enclave, TEE oder Bootloader beeinflussen die Möglichkeiten.
- Verschlüsselung: Moderne Dateisysteme trennen Schlüsselklassen und schützen Daten granular.
- Beweiswert: Ergebnisse müssen validierbar, vollständig dokumentiert und methodisch vertretbar sein.
Einordnung für Unternehmen und Ermittlungen
Für Unternehmen, Incident-Response-Teams und Ermittlungsstellen ist BFU vor allem eine Frage der Erwartungshaltung. Nicht jedes Gerät lässt sich umfassend sichern, und nicht jede technische Möglichkeit ist rechtlich oder beweissicher sinnvoll. Eine professionelle Bewertung berücksichtigt daher Gerätetyp, Dringlichkeit, Rechtsgrundlage, Datenbedarf und mögliche Folgeschäden. Bei besonders sensiblen Fällen ist eine vertrauliche Datenrettung mit dokumentierten Prozessen besonders wichtig.
Empfohlene Vorgehensweise
Erst rechtliche Grundlage klären, dann Gerät sichern, Zustand dokumentieren und anschließend eine geeignete forensische Strategie auswählen.
Fazit
Exploit-basierte Extraktion im BFU-Zustand ist ein hochspezialisierter Teilbereich der mobilen Forensik. Sie bewegt sich im Spannungsfeld aus technischer Machbarkeit, starker Geräteverschlüsselung und strengen rechtlichen Anforderungen. Entscheidend ist nicht allein, ob Daten technisch erreichbar sind, sondern ob die Methode legitim, nachvollziehbar und beweissicher ist.
Professionelle BFU-Bewertung statt riskanter Schnellschüsse
Eine saubere forensische Analyse beginnt mit Zustandserfassung, Rechtsprüfung und methodischer Planung – nicht mit unkontrollierten Eingriffen am Gerät.
