Cellebrite UFED.

Cellebrite ist ein israelisches Unternehmen fuer Digital Intelligence, besonders bekannt fuer UFED (Universal Forensic Extraction Device) und die Analyse-Suite Physical Analyzer / Inseyets. Hardware und Software ermoeglichen es Strafverfolgung, Nachrichtendiensten und Unternehmens-DFIR-Teams, logische, Dateisystem- und physische Extraktionen von iOS- und Android-Smartphones durchzufuehren, geloeschte Datensaetze wiederherzustellen und Hunderte App-Formate (Chats, Anrufe, Standortdaten, Cloud-Artefakte) zu parsen. Cellebrite unterstuetzt Passcode-Unlock-Workflows (Premium) und erstellt gerichtsfeste Berichte fuer eine luekenlose Chain of Custody.

Ablauf einer Extraktion

flowchart LR
  A[Beschlagnahmtes Geraet] --> B{Zugriffsmethode}
  B -->|Logisch| C[Backup / API-Abruf]
  B -->|Dateisystem| D[Agent oder Exploit]
  B -->|Physisch| E[Bootloader / Chip-off]
  C --> F[UFED-Extraktion]
  D --> F
  E --> F
  F --> G[Physical-Analyzer-Dekodierung]
  G --> H[Carving geloeschter Datensaetze]
  G --> I[Parsing von App-Datenbanken]
  H --> J[Gerichtsfester Bericht]
  I --> J

Die Werkzeuge sind in die Kritik geraten. Im April 2021 veroeffentlichte Moxie Marlinspike von Signal "Exploiting vulnerabilities in Cellebrite" und zeigte, dass UFED und Physical Analyzer Schwachstellen fuer beliebige Codeausfuehrung aufwiesen: Eine speziell praeparierte Datei auf einem gescannten Geraet konnte Code auf dem Windows-Rechner des Untersuchers ausfuehren und so unter Umstaenden vergangene und kuenftige Beweise verfaelschen. Er wies darauf hin, dass die Suite ein FFmpeg-Build aus dem Jahr 2012 mit Dutzenden ungepatchten Schwachstellen mitlieferte und von Apple signierte DLLs ohne Lizenz auslieferte. Cellebrite steht zudem wegen Verkaeufen an autoritaere Regime in der Kritik. Zur Absicherung fuehren Untersucher Extraktionen auf isolierten, validierten Arbeitsstationen durch, bilden vor der Analyse Hashwerte der Images und dokumentieren die Tool-Versionen, um die Verwertbarkeit zu wahren.