Apple-Forensik: Macs forensisch sichern und auswerten

Apple-Geräte galten in der Computer-Forensik lange als Randthema. In der Praxis landen MacBooks und iMacs aber immer öfter am Untersuchungstisch: als Arbeitsgerät in Wirtschaftsstrafsachen, als privater Rechner in zivilrechtlichen Auseinandersetzungen oder als Ziel eines Angriffs. Im Folgenden lege ich dar, was die forensische Sicherung und Auswertung von macOS-Systemen heute (Stand: macOS 26 „Tahoe", Apple-Silicon-Generationen M1 bis M5) von der klassischen Vorgehensweise unterscheidet, welche Artefakte macOS liefert und worauf Auftraggeber achten sollten. Auf genau diese Systeme habe ich mich als Sachverständiger spezialisiert und dies mit der GIME-Zertifizierung (GIAC iOS and macOS Examiner) nachgewiesen.

Ausgangslage: Warum Macs anders sind

Seit dem T2-Chip (2018) und erst recht seit Apple Silicon ist die interne SSD eines Mac untrennbar mit dem Gerät verbunden: Die Speicherchips sind verlötet, der Speicher-Controller sitzt im Chip selbst, und sämtliche Daten sind hardwareseitig verschlüsselt - die Schlüssel liegen in der Secure Enclave und verlassen diese nie. Das Ausbauen des Datenträgers und Anschließen an einen Write-Blocker, jahrzehntelang Standard der IT-Forensik, würde bei einem modernen Mac auch zu nichts führen: Außerhalb des Geräts wirkt der Speicherinhalt wie zufälliges Rauschen.

Ein klassisches physisches Image „der Festplatte" gibt es damit nicht mehr. Was bleibt, ist die logische bzw. gezielte Sicherung (targeted acquisition) über das laufende oder in den Recovery-Modus versetzte Gerät - mit dem Benutzerpasswort als zentralem Schlüssel.

Rechtlicher Rahmen in Österreich

Bei der Passwortfrage ist zu unterscheiden: Beschuldigte sind nicht verpflichtet, Zugangscodes bekanntzugeben (niemand muss sich selbst belasten), Dritte können hingegen zur Herausgabe von Daten verpflichtet sein. Gerade weil moderne Macs ohne Passwort praktisch nicht auswertbar sind, entscheidet diese Frage oft über den Erfolg der gesamten Untersuchung. In unternehmensinternen und zivilrechtlichen Konstellationen bildet die Zustimmung des Berechtigten (mitunter auch das Unternehmen als Geräteeigentümer selbst!) die Grundlage - eine saubere, schriftliche Beauftragung ist hier Pflicht.

Für das Gutachten selbst gilt jedenfalls: Befund und Methode sind so festzuhalten, dass der Weg zum Ergebnis nachvollziehbar und überprüfbar bleibt - einschließlich Hashwerten, eingesetzter Werkzeuge und lückenloser Beweismittelkette (Chain of Custody).

Akquisition in der Praxis

Den Target Disk Mode früherer Intel-Macs gibt es auf Apple Silicon nicht mehr. Bewährt haben sich stattdessen:

• Live-Triage am laufenden, entsperrten System - wenn FileVault entsperrt ist, ist jetzt der Moment der Sicherung. Zustandsänderungen werden dokumentiert und bewusst in Kauf genommen; ein späterer „besserer" Zugriff kommt oft nie
• Logische Vollsicherung mit macOS-eigenen Werkzeugen (z.B. RECON ITR, Cellebrite Digital Collector) in ein sparseimage/sparsebundle - dieses Format bewahrt die Apple-spezifischen Metadaten (Extended Attributes, Finder-Tags, Quarantäne-Flags), die beim Umweg über fremde Dateisysteme verloren gehen

Das klassische E01/EWF-Format behält seine Berechtigung dort, wo tatsächlich ein Volume blockweise gesichert werden kann. Entscheidend ist aber weniger das Format als die Nachvollziehbarkeit: Bei einer logischen Sicherung wird je Datei bzw. je Container gehasht statt über ein Gesamtimage - das muss im Gutachten offengelegt und erklärt werden.

Fakt ist aber: Die klassischen Ansätze (eher: Dogmen) der „forensic soundness", deren Kern früher darin lag, das Beweismittel gar nicht erst groß anzufassen, gelten heute - wie bei Smartphones - nicht mehr.

Auswertbare Artefakte

macOS protokolliert im Normalbetrieb außergewöhnlich viel. Für die Begutachtung besonders ergiebig sind:

• Unified Logging - sekundengenaue Systemereignisse von Bildschirmsperre bis USB-Anschluss, allerdings mit begrenzter Vorhaltezeit
• FSEvents - das Dateisystem-Journal verzeichnet Datei-Operationen samt Pfad und Namen, auch von längst gelöschten Dateien
• Spotlight-Metadaten - der Suchindex kennt Inhalte und Attribute von Dateien, die es nicht mehr gibt
• KnowledgeC und Screen Time (auf neueren Systemen zunehmend in Biome abgelöst) - App-Nutzung, Gerätesperren und Aktivitätszeiträume als Nachweis, wer wann was getan hat
• APFS-Snapshots und Time Machine - eingefrorene historische Stände des Systems, oft die einzige Quelle für den Zustand „vorher"
• Keychain, iCloud-Sync und Handoff - Spuren, die auf weitere Geräte und Konten desselben Benutzers verweisen

Fallbeispiel aus der Praxis: Auf einem sichergestellten MacBook war sämtlicher relevanter Inhalt gelöscht - und APFS löscht gründlich, die Inhalte selbst waren nicht wiederherstellbar. Über die FSEvents-Aufzeichnungen ließen sich jedoch die Namen zahlreicher gelöschter Dateien und die Zeiträume der Löschvorgänge eingrenzen. Für das Verfahren war damit belegbar, dass und wann welche Dateien entfernt wurden - in der Beweiswürdigung oft ebenso wertvoll wie der Inhalt selbst.

Fallstricke

Die größten Risiken liegen in der Bedienung, nicht in der Technik. Ein unbedachter Umgang mit APFS-Snapshots kann bei Fehlbedienung einen Rollback auslösen und aktuelle Daten unwiederbringlich überschreiben. Verschlüsselte Volumes ohne Passwort bzw. Volume-Key bleiben praktisch unzugänglich - verwertbar bleibt dann das Umfeld: iCloud-Bestände, Backups, Mail-Server, weitere Geräte desselben Benutzers. iCloud wiederum ist ein Off-Device-Datenbestand bei einem Anbieter im Ausland; ob und wie darauf zugegriffen werden darf, ist eine Rechtsfrage, die vor der Sicherung geklärt gehört.

Häufige Fragen

Mac ausschalten oder laufen lassen?

Läuft das Gerät und ist entsperrt: eingeschaltet lassen und keinesfalls sperren - mit dem Zuklappen oder Ausschalten wird FileVault wirksam und der Zugriff hängt wieder am Passwort. Ist das Gerät bereits aus: ausgeschaltet lassen und nicht anmelden, jeder Anmeldeversuch verändert Spuren (MacBook nicht aufklappen!).

Was ist, wenn das Passwort nicht bekannt ist?

Ohne Passwort oder Recovery-Key ist das Data Volume eines modernen Mac in aller Regel nicht auswertbar - Brute Force scheitert an der Secure Enclave. Umso wichtiger sind vorhandene Passwörter, Recovery-Keys (etwa im Unternehmens-MDM hinterlegt) und alternative Datenquellen wie Backups und iCloud.

Sind gelöschte Dateien am Mac wiederherstellbar?

Die Inhalte oft nicht - APFS und die SSD-Technik löschen wirksam. Metadaten hingegen überleben erstaunlich lange: FSEvents, Spotlight und Snapshots belegen häufig, welche Dateien es gab und wann sie gelöscht wurden. Inhalte können manchmal aus Caches (Zwischenspeicher) oder aus SQLite-Datenbanken teilweise rekonstruiert werden.

Fazit und Handlungsempfehlung

Die Forensik an Apple-Systemen ist kein Ableger der Windows-Forensik, sondern ein eigenes Fachgebiet mit eigener Werkzeugkette, eigenen Artefakten und eigenen Fehlerquellen. Für Kanzleien und Unternehmen heißt das vor allem: früh die richtigen Weichen stellen. Entsperrte Geräte nicht sperren, ausgeschaltete nicht einschalten, verfügbare Passwörter und Recovery-Keys sichern - und die Sicherung jemandem überlassen, der diese Systeme nachweislich beherrscht.

Sie haben einen Fall mit einem Mac, MacBook oder iPhone? Einen Überblick über meine Tätigkeit gibt die Seite Leistungen; für eine erste Einschätzung nehmen Sie Kontakt auf. Wie eine Begutachtung grundsätzlich abläuft, habe ich hier beschrieben.

Der vorliegende Artikel versteht sich als unverbindlich und hat rein informativen Charakter. Er kann eine Begutachtung, die auf eine bestimmte und explizite Situation bezogen ist, niemals ersetzen.