iPhone 17 Pro: Forensiker rekonstruieren gelöschte View-Once-Medien

Einem am 1. September 2026 veröffentlichten Bericht der brasilianischen Polícia Federal (PF) zufolge ist es IT-Forensikern gelungen, als flüchtig eingestufte Kommunikationsdaten auf einem iPhone 17 Pro umfassend wiederherzustellen.

Die Untersuchung konzentrierte sich auf das Mobiltelefon des ehemaligen Eigentümers der Banco Master, Vorcaro, das im Rahmen der „Operation Compliance Zero“ beschlagnahmt worden war. Die Analyse belegt, dass sogenannte View-Once-Medien sowie spezifische Betriebssystemfunktionen die dauerhafte Löschung von Daten massiv einschränken können.

Rekonstruktion trotz View-Once-Funktion

Im Zentrum der forensischen Untersuchung standen fünf Nachrichten, die am 17. November 2025 – unmittelbar vor der Festnahme des Beschuldigten – über die Funktion zur Einmalansicht („View-Once“) an Alexandre de Moraes gesendet wurden. Entgegen der weitläufigen Annahme, dass solche Medien nach dem Betrachten unmittelbar und rückstandslos vom Gerät verschwinden, konnten die Ermittler diese Inhalte rekonstruieren.

Die Experten der Polícia Federal stellten fest, dass View-Once-Medien die Datei nicht sofort physisch vom Datenträger löschen. Vielmehr verbleiben die Informationen im Speicher, bis sie durch neue Daten überschrieben werden. Der Erfolg einer Wiederherstellung ist somit maßgeblich vom Zeitfaktor und der nachfolgenden Aktivität auf dem Gerät abhängig.

Da Vorcaro die Nachrichten am Vorabend seiner Festnahme am 18. November 2025 verschickte und das Gerät kurz darauf beschlagnahmt wurde, blieb der ursprüngliche Datenzustand weitgehend erhalten.

Wer sich mit der Sicherheit seiner mobilen Daten befasst, sollte die technischen Hintergründe seines Geräts genau kennen. Dieses kostenlose Lexikon erklärt die 53 wichtigsten iPhone-Begriffe verständlich und hilft Ihnen, die Apple-Fachsprache sicher zu beherrschen. iPhone-Lexikon jetzt kostenlos herunterladen

Einsatz spezialisierter Forensik-Werkzeuge

Für die Untersuchung griffen die Behörden auf eine Kombination aus spezialisierter Hardware und Software zurück. Zum Schutz vor Fernlöschungen oder externen Zugriffen wurde das Gerät in Faraday-Käfigen isoliert. Mittels der Werkzeuge Cellebrite und GrayKey gelang eine Bit-für-Bit-Extraktion des Speichers. Dabei konnte die geräteseitige Verschlüsselung umgangen werden.

Die Analyse der extrahierten Daten erfolgte mit der Software IPED in der Version 4.2.2. Ein wesentlicher Befund der Forensiker war, dass Nachrichten aus verschlüsselten Messenger-Apps auf dem physischen Speicher des Geräts oft in entschlüsselter Form vorliegen. Insgesamt werteten die Ermittler 31.975 Logs und 43.298 Instanzen von App-Nutzungen aus, um die Kommunikationsabläufe lückenlos nachzuvollziehen.

Digitale Spurensuche im temporären Speicher

Ein entscheidender Durchbruch gelang den Ermittlern durch die Analyse des „tmp“-Ordners auf dem iPhone. Es zeigte sich, dass Vorcaro Inhalte in der Notizen-App verfasst, Screenshots davon erstellt und diese anschließend als View-Once-Bilder versendet hatte. Das Betriebssystem erzeugte bei jedem Screenshot eine temporäre PDF-Datei, welche den Inhalt der Kommunikation preisgab.

Durch den Abgleich von Zeitstempeln konnte die PF eine präzise Sequenz rekonstruieren: Zwischen der Erstellung eines Screenshots und dem Versand der Nachricht lagen Intervalle von lediglich 11 bis 32 Sekunden. Insgesamt konnten 52 Notizen identifiziert werden, die an einen Kontakt mit der Bezeichnung „Alexandre de Moraes BRASILIA“ gerichtet waren. In den Texten fanden unter anderem Namen wie Galípolo, Andrei und Paulo Gonet Erwähnung.

Der Schutz der Privatsphäre nach System-Aktualisierungen wird oft unterschätzt, da viele Nutzer die geänderten Einstellungen nicht im Blick haben. Ein erfahrener Apple-Experte zeigt Ihnen in diesem Gratis-Ratgeber, wie Sie Ihre Daten nach einem Update mit wenigen Klicks wirksam absichern. Kostenlosen Update-Ratgeber hier anfordern

Ein IT-Forensiker wies in diesem Zusammenhang darauf hin, dass es oft einfacher sei, Bilddaten wiederherzustellen als die eigentlichen Chat-Verläufe. Während die gesendeten Inhalte des Beschuldigten nahezu vollständig gesichert werden konnten, blieben die Antworten des Empfängers Moraes im Dunkeln, da dessen Mobiltelefon keiner forensischen Analyse unterzogen wurde.

Die Ermittlungsergebnisse unterstreichen die technischen Grenzen von Privatsphäre-Funktionen moderner Smartphones gegenüber professionellen forensischen Extraktionsverfahren.

de | wissenschaft | 70046388 |