WhatsApp-Sicherheit: Polizei rekonstruiert gelöschte Nachrichten mit Forensik-Tools

In einem bedeutenden Erfolg für die digitale Forensik ist es der brasilianischen Bundespolizei (PF) gelungen, eigentlich flüchtige Kommunikationsdaten aus einem iPhone zu rekonstruieren.

Trotz der Verwendung der WhatsApp-Funktion zur Einmalansicht („Visualização única“), die Nachrichten nach dem ersten Lesen automatisch löschen soll, konnten Ermittler gelöschte Inhalte des Verdächtigen Vorcaro wiederherstellen. Zum Einsatz kamen dabei spezialisierte technologische Werkzeuge, welche die Grenzen gängiger App-Sicherheitsfunktionen aufzeigten.

Einsatz spezialisierter Forensik-Software

Für die Datenextraktion aus dem Mobilgerät nutzten die Experten der Bundespolizei die Software-Lösungen Cellebrite und GrayKey. Diese Werkzeuge gelten in Behördenkreisen als Standard für den physischen Zugriff auf verschlüsselte Smartphones. Im vorliegenden Fall ermöglichten sie den Ermittlern den Zugriff auf Systemebenen, die normalerweise für Nutzer und Standard-Anwendungen verborgen bleiben.

Nach der erfolgreichen Extraktion der Rohdaten wurde die Software IPED (Indexador e Processador de Evidências Digitais) eingesetzt, um die Informationsmengen zu organisieren und auszuwerten. Diese Analyse-Plattform ermöglichte es den Beamten, Fragmente von Kommunikationsverläufen sowie Log-Dateien systematisch aufzubereiten und als Beweismittel zu sichern.

Rekonstruktion der Kommunikation mit „Alexandre de Moraes BRASILIA“

Der Fall zeigt, wie komplex die Technik moderner Smartphones ist und wie schnell Nutzer bei Fachbegriffen den Überblick verlieren. Dieses kostenlose Lexikon erklärt Ihnen die 53 wichtigsten Begriffe rund um das iPhone in einfachen Worten. In 10 Minuten die Apple-Sprache verstehen

Ein zentraler Aspekt der Untersuchung war die Kommunikation Vorcaros mit einem Kontakt, der im Telefonbuch des Geräts unter dem Namen „Alexandre de Moraes BRASILIA“ gespeichert war.

Die Bundespolizei konnte insgesamt fünf Nachrichten validieren, die am 17.11.2025 an diesen Kontakt versendet wurden. Diese Kommunikation fand laut den Ermittlungsunterlagen nur einen Tag vor der Festnahme von Vorcaro statt, was der zeitlichen Einordnung der Nachrichten eine besondere Bedeutung verleiht.

Die Rekonstruktion dieser Nachrichten war möglich, da die Ermittler nachweisen konnten, dass WhatsApp trotz der aktivierten Einmalansicht-Funktion Spuren in den Geräte-Logs hinterlässt. Diese Protokolldateien sowie verschiedene temporäre Dateien bildeten die Grundlage für die Wiederherstellung der Gesprächsinhalte.

Sicherheitslücken durch System-Artefakte und Screenshots

Die forensische Untersuchung brachte detaillierte Erkenntnisse darüber ans Licht, wie flüchtige Daten auf dem Gerät verbleiben. Die PF analysierte unter anderem 52 Notizen aus der auf dem iPhone installierten Notizen-App. Dabei stellte sich heraus, dass durch das Anfertigen von Screenshots der WhatsApp-Nachrichten temporäre Dateien erzeugt wurden.

Wer sich mit der Sicherheit seiner mobilen Kommunikation befasst, sollte die grundlegenden Funktionen seines Geräts genau kennen. Dieser Gratis-Ratgeber hilft Einsteigern, ihr iPhone von Beginn an sicher und souverän zu bedienen. Kostenloses iPhone Starterpaket jetzt sichern

Diese Artefakte im Dateisystem ermöglichten es den Beamten, die Inhalte der Nachrichten visuell zu rekonstruieren, selbst wenn die Originalnachricht in der Chat-Anwendung bereits als gelöscht markiert war.

Ein im Bericht dokumentiertes Beispiel verdeutlicht die Präzision der forensischen Rekonstruktion: Die Experten identifizierten einen Screenshot, der um 16:32:31 UTC erstellt wurde. Nur wenige Sekunden später, um 16:33:03 UTC, wurde die entsprechende WhatsApp-Nachricht registriert. Durch diesen Abgleich von Zeitstempeln und temporären Speicherabbildern gelang es der Polizei, eine lückenlose Kette digitaler Beweise zu schmieden.

Die Ergebnisse der brasilianischen Ermittlungsbehörden verdeutlichen, dass softwareseitige Löschfunktionen wie die Einmalansicht von WhatsApp keinen absoluten Schutz vor forensischen Untersuchungen bieten. Solange die Daten auf der Hardware verarbeitet werden, hinterlassen sie Spuren im Betriebssystem oder in den Log-Strukturen, die mit entsprechendem technischen Aufwand ausgelesen werden können.