iPhone-Forensik kompakt erklärt
Die zwei Welten der iPhone-Forensik: BFU und AFU
Bei der forensischen Analyse eines iPhones ist entscheidend, ob sich das Gerät im Zustand BFU oder AFU befindet. Beide Zustände bestimmen maßgeblich, welche Daten zugänglich sind, welche Methoden sinnvoll sind und wie realistisch eine Auswertung ist.
BFU: Before First Unlock
BFU bedeutet „Before First Unlock“ – also vor dem ersten Entsperren nach einem Neustart.
- Gerät wurde neu gestartet
- Passcode wurde seitdem nicht eingegeben
- Viele Datenklassen sind stark verschlüsselt
- Forensischer Zugriff ist deutlich eingeschränkt
AFU: After First Unlock
AFU bedeutet „After First Unlock“ – also nach dem ersten Entsperren seit dem letzten Neustart.
- Passcode wurde bereits eingegeben
- Mehr Schlüssel befinden sich im Speicher
- Mehr Daten können potenziell analysiert werden
- Forensische Chancen sind oft besser
Kurz gesagt: BFU ist der besonders geschützte Zustand direkt nach einem Neustart. AFU ist der Zustand nach der ersten erfolgreichen Entsperrung – und forensisch häufig deutlich ergiebiger.
Warum der Zustand des iPhones so wichtig ist
Apple schützt Nutzerdaten mit einer Kombination aus Hardware-Sicherheitsfunktionen, Verschlüsselung und passcodebasierten Schlüsseln. Für die digitale Forensik für iPhones bedeutet das: Der technische Zustand des Geräts entscheidet darüber, ob Daten nur sehr begrenzt oder deutlich umfangreicher auswertbar sind.
Besonders relevant ist dabei der Moment nach einem Neustart. Solange das iPhone nicht entsperrt wurde, bleiben viele Schlüssel geschützt. Erst nach der ersten Eingabe des Codes werden bestimmte Datenbereiche nutzbar – allerdings nicht grenzenlos und immer abhängig von iOS-Version, Gerätemodell, Sicherheitsstatus und vorhandenen Berechtigungen.
BFU: maximale Sicherheit, minimale Zugriffsmöglichkeiten
Im BFU-Zustand ist ein iPhone besonders stark abgesichert. Das Gerät wurde zwar eingeschaltet, aber seit dem letzten Neustart noch nicht erfolgreich entsperrt. Viele forensisch interessante Daten sind dann durch Schlüssel geschützt, die ohne Passcode nicht verfügbar sind.
Typische Merkmale im BFU-Zustand
- Das iPhone zeigt nach einem Neustart die Passcode-Abfrage.
- Biometrische Entsperrung per Face ID oder Touch ID ist noch nicht verfügbar.
- Benutzerdaten sind weitgehend verschlüsselt.
- Forensische Werkzeuge können häufig nur Basisinformationen erfassen.
Für Ermittlungen, interne Untersuchungen oder Datenrettung kann BFU eine erhebliche Hürde darstellen. Der Zustand ist aus Datenschutzsicht sinnvoll, erschwert aber die technische Analyse. Welche Möglichkeiten bleiben, hängt stark von Gerät, iOS-Version, Konfiguration und rechtlichem Rahmen ab.
AFU: mehr Analysepotenzial nach dem ersten Entsperren
Im AFU-Zustand wurde das iPhone seit dem letzten Neustart mindestens einmal erfolgreich entsperrt. Dadurch sind bestimmte kryptografische Schlüssel im System verfügbar. Das kann den Unterschied ausmachen, ob eine forensische Sicherung nur sehr eingeschränkt oder deutlich umfassender möglich ist.
Typische Chancen im AFU-Zustand
- Mehr App-Daten können potenziell gesichert und ausgewertet werden.
- Eine logische oder dateisystemnahe Analyse ist eher möglich.
- Benutzerbezogene Artefakte können besser zugänglich sein.
- Forensische Tools wie bei der mobilen Forensik mit Magnet AXIOM und Cellebrite UFED können mehr Auswertungsmöglichkeiten bieten.
AFU bedeutet jedoch nicht, dass automatisch alle Daten frei verfügbar sind. iOS schützt sensible Informationen weiterhin mit unterschiedlichen Schutzklassen. Außerdem können Gerätesperre, USB-Restriktionen, iCloud-Synchronisation, App-Verschlüsselung und Sicherheitsupdates die Analyse beeinflussen.
BFU vs. AFU im direkten Vergleich
| Kriterium | BFU | AFU |
|---|---|---|
| Zeitpunkt | Nach Neustart, vor erster Entsperrung | Nach erster erfolgreicher Entsperrung |
| Schlüsselstatus | Viele Schlüssel nicht verfügbar | Mehr Schlüssel im System verfügbar |
| Datenzugriff | Stark eingeschränkt | Oft deutlich besser |
| Forensische Relevanz | Hohe Hürde, wenige Artefakte | Mehr Analyse- und Sicherungsmöglichkeiten |
| Praxisbewertung | Sicher, aber schwierig auszuwerten | Forensisch meist wertvoller |
Praktische Bedeutung für Datenrettung und Ermittlungen
In der Praxis entscheidet BFU oder AFU oft über den weiteren Workflow. Bei der Datenrettung von Smartphones und Tablets kann ein entsperrtes oder bereits einmal entsperrtes Gerät deutlich bessere Chancen bieten. Bei einer forensischen Untersuchung muss der Zustand sauber dokumentiert werden, damit Ergebnisse nachvollziehbar und belastbar bleiben.
Wichtig für die Praxis
Der aktuelle Zustand sollte vor jeder Maßnahme dokumentiert werden: Gerät an oder aus, gesperrt oder entsperrt, Neustart erkennbar, iOS-Version und sichtbare Hinweise.
Wichtig für die Sicherheit
Ein unbedachter Neustart kann ein Gerät von AFU zurück in BFU versetzen und dadurch verfügbare Analysechancen erheblich reduzieren.
Fazit: BFU und AFU sind Schlüsselbegriffe der iPhone-Forensik
BFU und AFU beschreiben nicht nur zwei technische Zustände, sondern zwei völlig unterschiedliche Ausgangslagen für die iPhone-Forensik. Während BFU maximale Datensicherheit und minimale Zugriffsmöglichkeiten bedeutet, eröffnet AFU häufig deutlich bessere Chancen für Sicherung, Analyse und Rekonstruktion.
Professionelle iPhone-Forensik benötigt den richtigen Blick auf den Gerätezustand
Ob BFU oder AFU: Eine belastbare Analyse beginnt mit einer sauberen Bestandsaufnahme, dokumentierten Schritten und geeigneten forensischen Werkzeugen. Nur so lassen sich technische Möglichkeiten realistisch einschätzen und Ergebnisse nachvollziehbar sichern.
