Alle Daten gelöscht: US-Bürger wegen Nutzung einer GrapheneOS-Funktion angeklagt

Ein ungewöhnlicher Rechtsstreit an der US-Grenze

Ein Vorfall am Hartsfield-Jackson Airport in Atlanta sorgt derzeit für Aufsehen in der IT-Sicherheits- und Rechtswelt. Ein US-Bürger sieht sich mit einer Anklage konfrontiert, weil er bei der Einreise in die USA eine spezielle Sicherheitsfunktion seines Smartphones genutzt haben soll. Ziel der Maßnahme war es, den Zugriff der Grenzpolizei auf seine persönlichen Daten zu verhindern. Das eingesetzte Betriebssystem GrapheneOS bietet hierfür eine spezifische Option: das sogenannte Duress-Passwort.

Die Funktionsweise der Duress-PIN

GrapheneOS ist für seinen Fokus auf Datenschutz und Sicherheit bekannt. Eine der Funktionen, die das System bietet, ist die Einrichtung einer Duress-PIN oder eines Duress-Passworts. Wird dieser spezielle Code auf dem Sperrbildschirm eingegeben, entsperrt das Gerät nicht etwa den normalen Nutzerbereich. Stattdessen löscht das Betriebssystem sämtliche auf dem Smartphone gespeicherten Daten unwiderruflich. Diese Funktion ist explizit als Schutzmechanismus konzipiert, um Anwender in Situationen zu schützen, in denen sie unter Zwang zur Herausgabe ihres Passworts aufgefordert werden.

Hintergrund der Kontrolle und Vorwürfe

Der betroffene US-Bürger kehrte am 24. Januar 2025 von einer Auslandsreise zurück, als er von der Grenzpolizei für eine zusätzliche Kontrolle ausgewählt wurde. Die Beamten forderten Zugriff auf sein Smartphone, wobei sie den Verdacht äußerten, auf dem Gerät könnten sich kinderpornografische Inhalte befinden.

Die Verteidigung des Mannes zeichnet jedoch ein anderes Bild. Sie argumentiert, dass die Durchsuchung rechtswidrig war und lediglich als Vorwand diente. Nach Angaben der Anwälte wurde dem Beschuldigten der Zugang zu einem Rechtsbeistand verwehrt, er wurde nicht über seine Rechte belehrt und es lag kein Durchsuchungsbeschluss vor. Die Grenzbehörden rechtfertigten ihr Vorgehen damit, dass der Mann die Grenze noch nicht offiziell überschritten habe, weshalb kein richterlicher Beschluss erforderlich gewesen sei.

Zudem vermutet die Verteidigung politische Motive hinter der Maßnahme. Der Beschuldigte soll Verbindungen zur Protestbewegung „Defend the Atlanta Forest“ haben. Diese Gruppe engagiert sich gegen den Bau eines großflächigen Trainingszentrums für Strafverfolgungsbehörden, das in der Region unter dem Namen „Cop City“ bekannt ist.

Juristische Einordnung: Ein potenzieller Präzedenzfall

Die Staatsanwaltschaft stützt ihre Anklage auf ein US-Gesetz, das die Zerstörung oder Beschädigung von Eigentum unterbinden soll, um eine Beschlagnahmung durch staatliche Stellen zu verhindern. Die Behörden werfen dem Mann vor, durch die gezielte Eingabe des Duress-Passworts die Beweissicherung aktiv vereitelt zu haben.

Experten für IT-Sicherheit zeigen sich überrascht von der juristischen Vorgehensweise. Nach Angaben gegenüber Techcrunch ist dies der erste bekannte Fall, in dem die Nutzung einer Duress-Funktion zu einer strafrechtlichen Anklage geführt hat. Da das betreffende Gesetz in der Vergangenheit nur selten in diesem Kontext angewendet wurde, könnte das Urteil weitreichende Folgen für den Umgang mit verschlüsselten Geräten an US-Grenzen haben.

Empfehlungen für Reisende

Der Fall verdeutlicht die rechtliche Grauzone, in der sich Nutzer von Sicherheitssoftware bei Grenzübertritten bewegen. Sicherheitsexpertin Runa Sandvik weist darauf hin, dass die Behörden die Löschung von Daten als bewusste Vernichtung von Beweismitteln auslegen könnten. Sie empfiehlt daher eine vorsorgliche Datenstrategie: Anstatt sensible Informationen auf einem mitgeführten Gerät zu speichern, sei es sicherer, diese erst nach der Ankunft am Zielort aus einer Cloud oder einem anderen Speicherort abzurufen. Dies minimiere das Risiko, bei einer Kontrolle in den Verdacht der Beweisvereitelung zu geraten.