Eine Studie der Universität in South Wales unter Federführung von Prof. Andrew Blyth und Steve Mellings beschäftigt sich mit der Datensicherheit bei der Rücksetzung von Smartphones in den Werkszustand, anhand der Empfehlungen von Blackberry, Apple sowie Android (HTC und Samsung) und die Auswirkung auf die Wiederherstellungsmöglichkeit der hierdurch gelöschten Daten auf dem Gerät. Zur Untersuchungsmethode wurde auf den Geräten vor dem Zurücksetzen in den Werkszustand strukturierte Daten gespeichert, im Anschluß hieran wurden die Smartphones mittels forensischer Software nach Spuren und Rückständen bezüglich der Alt-Daten untersucht.

Das Wachstum des Internets und der Netzwerkgeschwindigkeiten hat neue Möglichkeiten geschaffen um eine Vielzahl an Dokumenten auf mobilen Geräten wie Smartphones oder Tablets zu erstellen und zu speichern. Dies ermöglichte es den Anwendern in einer stärkeren Art und Weise auch mobile produktiv zu arbeiten, was jedoch auch für viele Sicherheitsbedenken innerhalb von Unternehmen gesorgt hat (BYOD).

Unterschiedlichste Apps erlauben den Nutzern zudem ihre hauseigene "IT" zu steuern, sei es die Regulierung der Heizung oder Online Banking Applikationen, das managen der sozialen Profile und Statusnachrichten auf Twitter, Facebook und Google oder ähnlichen sozialen Netzwerken. Untersuchungen zeigen auf, dass eine Vielzahl von persönlichen Informationen auf Smartphones gefunden werden können, die auf dem Gebrauchtmarkt erworben wurden, diese Daten ermöglichen Rückschlüsse auf den Nutzer oder das Nutzerverhalten.

Obwohl es bereits Anwendungsbeispiele für den Einsatz von forensicher Analysesoftware an Smartphones gibt, gibt es jedoch keinerlei beste Einsatzempfehlungen für die ordnungsgemäße und rückstandslose Datenlöschung am Smartphone selbst. Zwar gibt es unzählige Studien für forensische Techniken zur Datenwiederherstellung an bestimmten Betriebssystemen wie Windows, jedoch gab es bislang keinerlei derartige Studie zur rekonstruktionssicheren Datenlöschung beim Zurücksetzen in den Auslieferungszustand am Smartphone.

Dies hat in der Vergangenheit zu vielen Problemen geführt, hinsichtlich der vermeintlichen Leichtigkeit mit der Daten, nach zurücksetzen in den Auslieferungszustand, wiederhergestellt wurden. Ziel der Untersuchung, von verschiedenen 3G / 4G Smartphone Modellen, war es somit Anwendern dieser Geräte Lösungswege aufzuzeigen, wie sie ihre gespeicherten persönlichen Informationen, auf diese Geräten rekonstruktionssicher vernichten können, bevor sie die Alt-Geräte entsorgen oder weiterverkaufen.

Für die Studie wurden 24 Smartphones von verschiedenen Herstellern untersucht und die alle gängigen Betriebssysteme abdecken, hierbei BlackBerry, iOS und Android OS.

 [Tabelle 1 – Fabrikate und Modelle von 3G/4G Geräten ]

Um die Möglichkeit der Wiederherstellungstauglichkeit der einzelnen Geräte zu kennzeichnen wurde die ADISA Bedrohungsmatrix zugrunde gelegt. Diese enthält einen Bedrohungsindikatior und kompromitierende Methodiken unterschiedlicher Kategorien. Diese Kennzeichnungen wurden als Indikator für den forensischen Benchmark zugrunde gelegt.

Risikostufe und Kategorisierung der Kompromitierungstauglichkeit

Methodik

Die Smartphones wurden im Rahmen der Studie auf ordnungsgemäße Funktionalität überprüft, danach wurde der Akku eines jeden Geräts vollständig aufgeladen. Danach wurde eine Factory Reset, also das Zurücksetzen des Smartphones in den Auslieferungszustand durchgeführt:

• Verwendung von standardisiertem forensischem Toolset um ein identisches Abbild der Speicherinhalte zu generieren

• Eine SIM Karte wurde in das Geräte eingelegt, damit eine vollständige 3G / 4G Funktionalität gegeben ist. Einige Geräte verfügten jedoch über einen SIM-Lock, somit wurden nachfolgende Mobilfunkprovider für die Studie verwendet: O2, EE und Vodafone. Im Anschluß wurde das Gerät eingeschaltet und eine WIFI - Netzwerkverbindung hergestellt.

• Daten wurden auf das Gerät aufgespielt unter Verwendung der internen jeweilig spezifischen Geräte-Applikationen:

• Nutzung der internen Kamera, Aufnahme einer Serie von 25 vordefinierten Fotos

• Nutzung der internen Kamera, Aufnahme einer Serie von 5 vordefinierten Videos.

• Erstellung von 10 vordefinierten Kontakten unter Verwendung des jeweiligen Kontaktmanagers des Geräts.

• Erstellung von 10 Terminen mit einer jeweiling Länge von 1 st.

• Erstellung interner SMS / MMS Nachrichten, Serie von 10 vordefinierten Nachrichten die versandt und empfangen wurden

• Verwendung des internenu Telefonbuchs, Serie von 5 vordefinierten Einträgen / Anrufen

• Aufbau einer Browser historie via Wi-Fi und durchführung einer Google Suche mit zwei vordefinierten Suchanfragen

• Aufspielen von wav Audiodateien von einem Computer aufs Smartphone und Abspielen der Dateien zur Konsistenzprüfung

• Nachdem alle Daten aufs Smartphone eingespielt wurden, wurden die Geräte erneut aus- und wieder eingeschaltet.

Direkt hiernach wurden die forensischen Images erstellt und an den erstellten Images wurde im Anschluß überprüft, ob sich alle aufgespielten Gerätedaten im Image wiederfinden.

• Danach wurde an jedes Gerät auf den Auslieferungszustand im Rahmen eines Factory Resets, gemäß den Herstellerrichtlinien, zurückgesetzt.

• Nachdem die Geräte zurückgesetzt wurden, wurde erneut ein forensisches Image an jedem einzelnen Smartphone erstellt und wie folgt analysiert:

• Cellbrite UFED Pyhsikalisch Analyzer Version 3.8.7.7

• Datei-Carving mit Blade Version 1.9.12045.05

Prüfung der Existenz auf folgende Dateitypen:

•  Bilder / Video, Kalendar, Kontakte, Audio, SMS/MMS und Telefonbuch.

Data Mining nach folgenden Dateitypen:

• Bilder / Video, Kalendar, Kontakte, Audio, SMS/MMS und Telefonbuch.

Analyse der nachfolgenden Dateitypen:

• Komprimierte Dateien (GZIP, RAR und ZIP), Dateitypen (PDF und RTF), E-Mail Daten (Outlook und Microsoft Mail), Microsoft Office (2003 und 2007).

• Audiodaten (MP3 und WAV), Videos (Flash, AVI, MPEG und Windows Media), Internet (HTML und XML).

Prozessverlauf der Imageerstellung

Die Imageerstellung wurde an jedem Gerät unter Einhaltung von strikten Regeln generiert. Jedes Gerät wurde unter Einhaltung der forensischen Standards behandelt. Für die Imageerstellung wurde auf Cellbrite UFED (version 2.2.5.4) zurückgegriffen unter Verwendunge des jeweilgen gerätespezifischen Datenschnittstelle. Hiernach wurde über einen USB Anschluß das UFED Gerät an einen PC angeschlossen auf dem Windows 7 lief. Das UFED Gerät wurde als Client betrieben und lieferte die Daten vom Smartphone an die imaging Software auf dem PC (UFED Logical Analyzer 3.8.7.7). Das UFED Gerät wurde mit einem Schreibschutz / Write Blocker betrieben, der verhindert, dass im imaging prozess daten auf das Smartphone geschrieben werden. Wo immer es möglich war, wurden die Geräte physikalisch geimaged und in Fällen in denen dies nicht möglich ware wurde ein logische Image des Geräts erstellt.

Ergebnisse:

Die Daten, die nach zurücksetzen der Android Geräte in den Auslieferungszustand, wiederhergestellt werden konnten umfassen folgende Dateien:

• Telefonbucheinträge und Kontakte

• SMS, MMS und IM.

• Kalender

• Anruflisten

• Bilder / Videos und Musik.

• Apps

Resultat und Fazit

Zusammengefasst lässt sich feststellen, dass durch ein zurücksetzen von Smartphones auf die Werkseinstellungen, bei Smartphones der Hersteller Blackberry und Apple, vormals auf dem Gerät installierte Daten rekonstruktionssicher gelöscht werden. In einem Maße in dem man auch unter Verwendung von forensischen Tools, wie sie bspw. auch seitens der Strafverfolgungsbehörden auch in Deutschland eingesetzt werden, keinerlei Dateifragmente feststellen wird. Eine Wiederherstellungsmöglichkeit, sei sie noch so theoretischer Natur kann hierbei komplett ausgeschlossen werden.

Spekulativ kann man das bessere Abschneiden von Android und Blackberry an der Tatsache festmachen, dass bei beiden Herstellern sowohl die Software, als auch die Hardware spezielle Funktionen auf Chiplevel beherrschen die dafür sorgen, dass die Alt-Daten rückstandslos gelöscht werden und sich nicht wieder herstellen lassen.

Bei Smartphones mit Android Betriebssystemen verhält es sich etwas anders. Hier konnten im Rahmen der Studie auch nach einem Zurücksetzen des Smartphones in den Auslieferungszustand noch Daten rekonstruiert werden.

Ferner wurde festgestellt, dass auch ein mehrfaches zurücksetzen eines Smartphones in den Werkszustand nicht ausreicht um alle Daten restlos zu löschen. Warum das so ist, darüber lässt sich nur spekulieren. Am wahrscheinlichsten erscheint noch die These, dass es sich bei Android Geräten um ein Betriebssystem handelt, was auf sehr unterschiedlichen Hardware Plattformen und Chip-Technologien läuft. Somit sind Android Entwickler nicht in der Lage ihre Software Plattform, bzw. elementare Teile hiervon, in die Hardware Plattform zu integrieren. Hierdurch können auch keine entsprechenden Funktionen implementiert werden, die für eine rückstandsfreie Löschung im Rücksetzungsprozess erforderlich wären.

Anwendungsbeispiele - Rat für Kunden die Ihr Smartphone sicher löschen wollen

Die Frage hinsichtlich der sicheren Datenlöschung von Smartphones steht immer am Ende des Nutzungszyklus eines Geräts. Das grösste Problem hierbei ist jedoch die Frage wie man ob die Daten bei der Ausführung eines Factory resets nun restlos gelöscht sind oder nicht.

1. Bei der Entsorgung von Blackberry und Apple Smartphones kann ein Zurücksetzen auf die Werkseinstellung als durchaus akzeptable Lösung zur sicheren Datenlöschung persönlicher Daten angesehen werden.

2. Bei Android Smartphones empfiehlt es sich nach alternativen und sicheren Formen der Datenlöschung des Smartphones umzusehen, entweder durch spezialisierte Software zur Datenlöschung von Android Smartphones oder durch die physikalische Zerstörung des Geräts selbst.

Der Software Provider bzw. Dienstleister sollte hierbei über eine Haftpflichtversicherung gegen Produktfehler verfügen und das Unternehmen einen detaillierte Möglichkeiten zur Auditierung und Dokumentation des Löschprozesses anbieten.

Bei der physikalischen Zerstörung von Smartphones, gibt es einen umwelt-, gesundheitlich- und sicherheitstechnischen Aspekt den es zwingend zu beachten gilt: Den Akku. Dies sollte bei der Erstellung von Angeboten sowie bei der kundenseitigen Nachfrage berücksichtigt werden. Bevor Sie also auf den Gedanken kommen, selbst Hand an das Smartphone zu legen um dieses im Do-It-Yourself-Verfahren zu zerstören, sollten Sie sich vorher mit Experten unterhalten.

Für höhere Volumen, z.b. bei großflächigen Entsorgungsprojekten im Unternehmens-Bereich, gelten die gleichen logischen Voraussetzungen wie oben beschrieben, jedoch mit dem kleinen Unterschied, dass ein Trackingverfahren der einzelnen Geräte implementiert sein sollte, um sicherzustellen, dass eine Rücksetzung des Werkszustands, bzw. eine Löschung über Drittanbieter, an sämtlichen Geräten durchgeführt wurde und ggf. keines vergessen wurde.

Hierbei empfiehlt es sich auf spezialisierte Unternehmen zurückzugreifen, um eine kontrollierte Sammlung der Geräte zu ermöglichen, diese zu auditieren und im Anschluß die Datenlöschung an allen Geräten durchzuführen. Unabhängig vom Betriebssystem werden diese Geräte unter Verwendung der IMEI Nummer innerhalb dieser Prozesse inventorisiert und in den anschließendem Zertifikat zur sicheren Datenlöschung entsprechend nachvollziehbar dokumentiert.