Tool kann iPhone-Gesundheitsdaten extrahieren

Apple legt großen Wert darauf, wie gut abgesichert die Gesundheitsdaten aus der Health-App auf dem iPhone samt deren iCloud-Backup sind. Dem russischen Forensikspezialisten Elcomsoft ist es gelungen, seinem bekannten Tool Elcomsoft Phone Breaker (EPB) eine Funktion zu spendieren, mit der sich Health-Infos von Apples Servern extrahieren lassen.

Allerdings sind dazu Zugangsdaten des Nutzers (Apple ID plus Passwort) notwendig sowie dessen iPhone-PIN. Sind diese Details vorhanden, bekommt ein User von einem solchen Zugriff aber nichts mit – zudem müssen sich auch keine Geräte des Nutzers im Besitz des Zugreifenden befinden, er kann also "remote" agieren.

Gesundheitsdaten per iCloud synchronisiert

Das Feature steckt in der aktuellen Version von EPB, für das Strafverfolger bis zu 800 Euro in der "Forensic Edition" zahlen müssen. Gesundheitsdaten könnten zu einem "grundlegenden Beweisstück" werden, darunter Herzfrequenz, Schlafgewohnheiten, Fitness, zurückgelegte Schritte und Gehroutinen, schreibt Elcomsoft. EPB könne künftig Gesundheitsdaten von iOS-Geräten aus der Ferne über den iCloud-Account des Nutzers entnehmen. Polizeibehörden nutzen Health-Infos etwas von der Apple Watch schon seit längerem.

In einem Blogeintrag, der bereits vor Weihnachten erschienen ist, erläutert der Hersteller weitere Details. Demnach lagert Apple die Health-Daten in zwei Containern. Der erste sei nur mittels Apple ID und Passwort – alternativ via Authentication Token – auslesbar. Ein zweiter Container sei hingegen besser geschützt, hierfür helfe weder das Passwort noch ein zweiter Faktor, stattdessen müsse der Passcode (PIN) eines hinterlegten, vertrauenswürdigen Gerätes eingegeben werden. Der Passcode entsperrt wiederum das Schlüsselbund, in dem der Verschlüsselungs-Key für die Gesundheitsdaten stecken.

Zwei Container, einer schlechter abgesichert

Wie genau es EPB gelingt, hierüber auf die Health-Infos in iCloud zuzugreifen, gibt Elcomsoft nicht an. Man werde jedenfalls nicht zu einem weiteren vertrauenswürdigen "Gerät". Stattdessen habe man "eine Art Hintertür" entdeckt, die auch dafür sorge, dass die anderen Geräte es nicht bemerkten. Elcomsoft kritisierte, das Apple für Gesundheitsdaten zwei Container verwende und der erste vergleichsweise schlecht abgesichert ist. Allerdings sei nicht klar, warum Apple dies tue.

Elcomsoft spekuliert, dass es sich um Daten handelt, die von älteren Geräten (vor iOS 11) stammten oder bei denen das iCloud-Schlüsselbund nicht aktiv ist. Die Forensikspezialisten empfehlen, mit EPB zu prüfen, welche Informationen in dem alten Container stecken, um zu überprüfen, ob ein Nutzerrisiko besteht. (bsc)