Hussein K. verurteilt – diese Firma knackte sein iPhone für die Kripo

Update: Am 22. März wurde Hussein K. zu lebenslanger Haft verurteilt. Die Richter stellten eine besondere Schwere der Schuld fest. Sie folgten damit dem Antrag der Staatsanwaltschaft, die ihre Argumentation unter anderem auf die iPhone-Daten des Verurteilten gestützt hatte. Hussein K. landet in der Sicherungsverwahrung. Er kann deshalb nicht nach 15 Jahren freikommen – nach dieser Frist wird üblicherweise geprüft, ob ein Lebenslänglicher entlassen werden kann.

Die Geschichte der Ermittlungen:

An einem Herbsttag im vergangenen Jahr steigt ein Ermittler der Freiburger Kriminalpolizei die Böschung zur Dreisam hinab. Er verharrt am Flusslauf. Dann steigt er wieder hinauf. Er blickt auf sein iPhone, öffnet die Health-App und wartet, bis sie sich endlich aktualisiert.

Von diesem Experiment berichtete ein Kriminalbeamter am 17. Verhandlungstag im Mordprozess gegen Hussein K. Der Geflüchtete aus Afghanistan soll die Studentin Maria L. im Herbst 2016 vergewaltigt und bewusstlos in die Dreisam geworfen haben.

Folgt Motherboard auf Facebook, Instagram, Snapchat und Twitter

K. sagt, er habe im Affekt gehandelt und sei nur kurz am Tatort gewesen. Die Staatsanwaltschaft vermutet, er habe möglichen Opfern aufgelauert und sich länger in der Nähe des Flussbetts aufgehalten. Er habe den Vorsatz gehabt, eine Frau zu vergewaltigen. Diesen Vorsatz wollen die Beamten nachweisen, indem sie die Daten des Versuchshandys mit denen auf K.s Gerät vergleichen.

So ein Nachweis schien lange unmöglich. Denn der mutmaßliche Täter hat den Passcode für sein iPhone 6s nicht verraten. Und iPhones der sechsten Generation galten bislang als unknackbar. Der Freiburger Prozess zeigt jedoch, dass die Polizei neuerdings an fast alle Daten auf mobilen Geräten herankommt – mit Schützenhilfe von Cyber-Forensikern.

Die Geschichte vom geknackten iPhone 6s beginnt kurz nach der Festnahme von K. im Dezember 2016: Die Beamten können sich keine Panne erlauben, denn der Fall befeuert die ohnehin überhitzte Debatte um Geflüchtete. K.s Daten könnten die Argumentation der Staatsanwaltschaft stützen. Doch die sogenannte Soko Cybercrime kann laut eigenen Angaben nur veraltete Modelle bis iPhone 4s öffnen.

So wendet sich die Freiburger Kripo an eine Münchner Firma, wie es in den Presseberichten zum Prozess heißt.

Motherboard hat aus Ermittlerkreisen erfahren, dass es sich um Cellebrite handelt. Das Unternehmen unterhält eine kleine Filiale in der Nähe des Münchner Goetheplatzes, die laut Register im vorvergangenen Geschäftsjahr mehrere Hunderttausend Euro umgesetzt hat. Die Zentrale der Firma sitzt in Israel.

Deutsche Kriminalbeamte haben in der Vergangenheit schon öfter Smartphones von Cellebrite öffnen lassen. Dafür brauchen sie einen richterlichen Beschluss – bei Tötungsdelikten stellen Richter diese normalerweise aus.

Doch als die Freiburger Kripo nach K.s Festnahme anfragt, antwortet Cellebrite laut Angaben der Ermittler: Erst im Herbst 2017 werde man in der Lage sein, das iPhone des Täters zu knacken. Das passt zu einer Motherboard–Recherche in internen Cellebrite-Emails Anfang vergangenen Jahres. Damals war der Stand, dass die IT-Firma nur Versionen bis einschließlich iOS 9 öffnen kann. Zum Zeitpunkt des Verbrechens hatte K. sein Handy vermutlich schon auf iOS 10 upgedatet.

Offenbar sind die IT-Spezialisten schneller als geplant: Schon im Sommer 2017 teilt die Firma den Ermittlern mit, dass sie nun Hussein K.s Betriebssystem knacken kann. Die Polizei schickt das Handy zur Firma und bekommt die Daten zurück. Dort findet die Kripo Bewegungsmuster der Health-App aus der Tatnacht. Diese App ist auf jedem iPhone 6 und jüngeren Modellen vorinstalliert und zählt zurückgelegte Schritte und Treppenstufen.

Bei Hussein registrierte sie um den Todeszeitpunkt Maria L.s zwei Bewegungen: Einen Abstieg und einen Aufstieg. Dazwischen verzeichnet das Handy mehr als eindreiviertel Stunden fast keine Schritte.

Die Staatsanwaltschaft vermutet, dass K. in dieser Zeit zunächst am Fahrradweg neben dem Flusslauf auf mögliche Opfer lauerte. Maria L. begegnete er erst nach einer halben Stunde. Danach soll er sie überwältigt, mehr als eine Stunde missbraucht, bis zur Bewusstlosigkeit gewürgt und dann in den Fluss geworfen haben. Die Daten stützen dieses Szenario aber nur, wenn die Böschung wie eine Treppe registriert wird.

Um diese These zu überprüfen, schickt die Kripo den Beamten für das Experiment an den Fluss. Er wurde so ausgewählt, dass seine Schritte ähnlich lang sind wie die des mutmaßlichen Täters.

Wenige Minuten nachdem er wieder auf der Böschung steht, aktualisieren sich die Daten der Health-App: Sie zeigen Treppensteigen und gleichen dem Bewegungsmuster auf K.s Handy.

Das ist ein starkes Indiz für die These des Staatsanwaltes, dass K. mit Vorsatz und nicht im Affekt gehandelt habe. Die Daten können Einfluss auf ein mögliches Strafmaß nehmen. Das Gericht verkündet das Urteil vermutlich frühestens im März.

Vielleicht war Hussein K.s Smartphone des erste geknackte iPhone 6s, auf das deutsche Behörden zugreifen konnten. Vielleicht auch nicht: Mehrere Landeskriminalämter gaben gegenüber Motherboard an, dass sie mit Cellebrite zusammenarbeiten. Welche Smartphones sie schon knacken ließen und wie viel sie dafür ausgeben, wollten auf Anfrage keine der Behörden mitteilen.

Cellebrite wollte sich auf Anfrage von Motherboard nicht zu Umfang oder Preisgestaltung dieser Dienstleistung äußern. Hinweise finden sich allerdings aus anderen Ländern: Im Herbst 2016 verlangte die Firma laut der Nachrichtenwebsite The Intercept 1.500 US-Dollar von US-Strafverfolgungsbehörden, damit sie ein damals leicht veraltetes iPhone 5 knackt. In den USA gibt das FBI Millionenbeträge für Geräte und Dienstleistungen von Cellebrite aus. Die IT-Firma ist in über 100 Ländern aktiv und arbeitet auch für autoritäre Regime wie die Türkei, die Emirate oder Russland.

Mittlerweile wirbt die Firma ganz offen damit, dass sie die jüngsten Apple iOS-Geräte entschlüsseln kann: iPhones und iPads mit iOS-Versionen 5 bis 11. Auch die neuesten Google Android Geräte wie das Samsung Galaxy oder Modelle von Alcatel, Google Nexus, HTC, Huawei, LG, Motorola und ZTE seien kein Problem.