Fotos endgültig löschen, bevor Sie Ihr iPhone verkaufen oder in Zahlung geben

TL;DR

Das Löschen eines Fotos auf dem iPhone verschiebt es in ein 30-Tage-Aufbewahrungsalbum. Das Leeren dieses Albums entfernt den Dateiverweis, überschreibt jedoch nicht die Daten auf dem NAND-Flash. Ein Werksreset verschlüsselt das Volume und verwirft den Schlüssel – das ist wirksam gegen einfache Wiederherstellungsversuche. Bei sensiblen Fotos bietet das vorherige Überschreiben der Daten eine zusätzliche Schutzschicht. App-Vaults Datei-Schredder schreibt Zufallsdaten über jede Datei, bevor sie gelöscht wird, und die AES-256-GCM-Verschlüsselung der App stellt sicher, dass selbst ein direkter NAND-Zugriff nur Chiffretext ergibt. Die vollständige Checkliste: sensible Dateien in App-Vault schreddern, „Zuletzt gelöscht“ in Fotos leeren, von iCloud abmelden, alle Inhalte und Einstellungen löschen und prüfen, ob der Hallo-Bildschirm erscheint.

Was „Löschen“ auf dem iPhone tatsächlich bedeutet

Tippen Sie auf das Mülleimer-Symbol eines Fotos, und iOS löscht nichts. Es verschiebt die Datei in das Album „Zuletzt gelöscht“, wo sie 30 Tage bleibt – vollständig sichtbar, vollständig wiederherstellbar und immer noch Speicherplatz belegend. Das ist ein Sicherheitsnetz, keine Sicherheitsfunktion.

Öffnen Sie „Fotos“, gehen Sie zu „Alben“, scrollen Sie zu „Zuletzt gelöscht“, tippen Sie auf „Alle löschen“ – jetzt ist der Dateisystemverweis verschwunden. Das Foto taucht nirgendwo mehr in der Oberfläche auf. Aber die Daten selbst bleiben auf dem NAND-Flash-Speicher des iPhones. iOS markiert diese Blöcke als verfügbar für die Wiederverwendung. Erst wenn der Speichercontroller neue Daten in genau diese Blöcke schreibt, sind die alten Fotodaten physisch nicht mehr vorhanden.

Das ist keine theoretische Besorgnis. Forensische Tools, die von Strafverfolgungsbehörden und Datenrettungsdiensten eingesetzt werden, extrahieren regelmäßig Dateien aus nicht wiederverwendeten NAND-Blöcken auf iPhones, deren Besitzer sie „vollständig gelöscht“ haben. Der Prozess ist bei modernen iPhones schwieriger als bei älteren Modellen, aber die Daten sind vorhanden, bis sie überschrieben oder der Verschlüsselungsschlüssel zerstört wird.

Warum Hardware-Verschlüsselung die Gleichung ändert

Jedes iPhone seit dem 3GS verschlüsselt den NAND-Flash auf Hardware-Ebene. Der Verschlüsselungsschlüssel ist an die eindeutige UID des Geräts gebunden, die bei der Herstellung in den Prozessor eingebrannt und niemals der Software zugänglich gemacht wird. Wenn Sie einen Werksreset („Alle Inhalte und Einstellungen löschen“) durchführen, überschreibt iOS nicht jeden Block – es zerstört die Hierarchie der Dateisystem-Verschlüsselungsschlüssel. Ohne diese Schlüssel sind die Daten auf dem NAND rechnerisch nicht zu entschlüsseln.

Für die überwältigende Mehrheit der Verkäufer ist ein Werksreset ausreichend. Die Daten sind mathematisch hinter einem Schlüssel verschlossen, der nicht mehr existiert.

Aber „rechnerisch nicht machbar“ ist nicht „physikalisch unmöglich“. Ein feindlicher Staat mit Elektronenmikroskop-Zugang zum NAND-Chip könnte theoretisch den rohen Chiffretext direkt auslesen. Die Wahrscheinlichkeit ist gering. Die Konsequenz des Scheiterns – wenn die fraglichen Fotos medizinische Unterlagen, Rechtsdokumente oder journalistisches Quellenmaterial sind – kann hoch genug sein, um einen weiteren Schritt zu rechtfertigen.

Dieser Schritt ist das Überschreiben der Daten vor dem Reset.

Die Überschreibungslücke: Wo App-Vaults Datei-Schredder ansetzt

iOS bietet kein integriertes Werkzeug, um gelöschte Dateiblöcke zu überschreiben. Sobald Sie „Zuletzt gelöscht“ leeren, bleiben diese Blöcke unberührt, bis das Betriebssystem sie wiederverwendet. Wenn Sie das iPhone am nächsten Tag verkaufen, sind die Blöcke mit ziemlicher Sicherheit noch intakt.

App-Vaults Datei-Schredder schließt diese Lücke für Dateien, die sich bereits im Tresor befinden. Bevor eine Datei gelöscht wird, schreibt der Schredder Zufallsdaten über ihre Speicherblöcke und entfernt dann den Dateiverweis. Der ursprüngliche Inhalt wird durch Rauschen ersetzt. Selbst ein forensischer NAND-Auslesevorgang stellt nur die zufälligen Überschreibungsdaten wieder her, nicht das Originalfoto.

Der Schredder arbeitet innerhalb von App-Vaults verschlüsseltem Tresor. Fotos, die sich noch in der iOS-Fotos-App befinden, müssen zuerst in App-Vault verschoben werden – über die Dateiauswahl der App importiert – und dann geschreddert werden. Das ist ein zusätzlicher Schritt, aber der einzige Weg, um sicherzustellen, dass bestimmte Dateien überschrieben und nicht nur dereferenziert werden.

Dateien in App-Vault sind mit AES-256-GCM verschlüsselt, wobei ein einzigartiger 96-Bit-Nonce pro Datei verwendet wird. Der Verschlüsselungsschlüssel wird aus dem Muster des Benutzers über PBKDF2-SHA256 mit 600.000 Iterationen abgeleitet und dann von einem Schlüssel umschlossen, der in der Secure Enclave des iPhones erzeugt wird. Selbst ohne den Überschreibungsschritt liefert ein direkter NAND-Zugriff nur Chiffretext. Der Überschreibungsschritt stellt sicher, dass auch der Chiffretext verschwunden ist.

Die vollständige Checkliste vor dem Verkauf

Führen Sie die folgenden Schritte in dieser Reihenfolge aus. Das Überspringen eines Schrittes hinterlässt eine Lücke.

1. Sensible Fotos in App-Vault verschieben

Öffnen Sie App-Vault. Nutzen Sie die Importfunktion, um Fotos und Videos aus der iOS-Fotos-App in den verschlüsselten Tresor zu ziehen. Dies deckt das Material ab, das Ihnen am meisten Sorgen bereitet – die Dateien, die bei einer Wiederherstellung durch einen Fremden echten Schaden anrichten würden.

Wenn Sie App-Vaults Taschenrechner-Startprogramm als primäre Zugriffsmethode verwenden, ist der Tresor bereits sowohl in der Oberfläche als auch im Speicher von der Fotos-App getrennt. Das Verschieben von Dateien ist ein bewusster Akt, sodass Sie genau wissen, was sich darin befindet.

2. Die Dateien schreddern

Wählen Sie in App-Vault die importierten Fotos aus und führen Sie den Datei-Schredder aus. Die App schreibt Zufallsdaten über jeden Speicherblock der Datei und löscht dann den verschlüsselten Dateiverweis. Dies dauert je nach Dateigröße einige Sekunden pro Datei.

Nach dem Schreddern sind die Dateien aus dem Tresor verschwunden. Sie befinden sich nicht in „Zuletzt gelöscht“. Sie sind in keinem Album. Die Blöcke, die sie enthielten, enthalten nun Zufallsdaten.

3. Verbleibende Fotos aus der iOS-Fotos-App löschen

Gehen Sie die Fotos-App durch und löschen Sie alles andere, was der nächste Besitzer nicht sehen soll. Dazu gehören Screenshots, heruntergeladene Bilder und alle Fotos, die nie in App-Vault verschoben wurden.

Tippen Sie auf „Auswählen“, wählen Sie die Fotos aus, tippen Sie auf das Mülleimer-Symbol. Navigieren Sie dann zu Alben → „Zuletzt gelöscht“ → „Alle löschen“. Dies entfernt die Dateisystemverweise. Die Daten bleiben auf dem NAND, werden aber durch den Werksreset in Schritt 6 unzugänglich gemacht.

4. Von iCloud und Apple-ID abmelden

Gehen Sie zu „Einstellungen“ → [Ihr Name] → „Abmelden“. Geben Sie Ihr Apple-ID-Passwort ein und wählen Sie, ob iCloud-Daten vom Gerät entfernt werden sollen. Dies trennt das iPhone von Ihrem iCloud-Konto, einschließlich iCloud-Fotos, iCloud Drive, Schlüsselbund und „Wo ist?“.

Wenn iCloud-Fotos aktiviert ist, befindet sich Ihre gesamte Fotobibliothek auf den Servern von Apple. Das Abmelden entfernt die lokalen Kopien, berührt aber nicht die Cloud-Bibliothek. Wenn auch die Cloud-Bibliothek gelöscht werden soll, verwalten Sie das separat unter icloud.com, bevor Sie sich abmelden.

5. Alle Inhalte und Einstellungen löschen

Gehen Sie zu „Einstellungen“ → „Allgemein“ → „iPhone übertragen oder zurücksetzen“ → „Alle Inhalte und Einstellungen löschen“. Geben Sie Ihren Code und Ihr Apple-ID-Passwort ein, wenn Sie dazu aufgefordert werden. Das Gerät wird neu gestartet, die Hierarchie der Dateisystem-Verschlüsselungsschlüssel wird zerstört, und der Hallo-Einrichtungsbildschirm erscheint.

Dies ist der Schritt, der die verbleibenden Daten auf dem NAND-Flash rechnerisch unzugänglich macht. Ohne die Verschlüsselungsschlüssel sind die Rohdaten nur Rauschen.

6. Den Hallo-Bildschirm überprüfen

Nach dem Reset sollte das iPhone den „Hallo“-Einrichtungsbildschirm in mehreren Sprachen anzeigen. Wenn das der Fall ist, war der Reset erfolgreich. Wenn es zum Sperrbildschirm oder Home-Bildschirm startet, ist etwas schiefgelaufen – wiederholen Sie Schritt 5.

Richten Sie das Gerät nicht erneut ein. Das wird der nächste Besitzer tun.

Was ist mit iCloud-Backups?

Wenn Sie iCloud-Backup aktiviert haben, könnte eine Kopie Ihrer Fotobibliothek – einschließlich der Fotos, die Sie vom Gerät gelöscht haben – in Ihrem iCloud-Backup vorhanden sein. Der Werksreset berührt das nicht.

Bevor Sie das Telefon verkaufen, gehen Sie zu „Einstellungen“ → [Ihr Name] → „iCloud“ → „Speicher verwalten“ → „Backups“. Wählen Sie das Geräte-Backup aus und löschen Sie es entweder oder deaktivieren Sie Fotos im Backup-Umfang. Dadurch wird sichergestellt, dass das Backup selbst dann keine Fotos enthält, die Sie für gelöscht hielten, wenn jemand später Zugriff auf Ihr iCloud-Konto erhält.

Das eigene verschlüsselte iCloud-Backup von App-Vault ist optional und verwendet einen separaten gerätespezifischen Backup-Schlüssel. Wenn Sie es aktiviert haben, ist das Backup auf den Apple-Servern Chiffretext. App-Vault kann es nicht entschlüsseln – das ist der Sinn der Zero-Knowledge-Architektur. Aber wenn Sie das Gerät vollständig außer Betrieb nehmen, löschen Sie auch das App-Vault-Backup aus iCloud.

Wogegen dieser Prozess nicht schützt

Ehrlichkeit über Grenzen ist eine Stärke, keine Schwäche.

iCloud-seitige Daten. Diese Anleitung deckt das Gerät ab. Wenn Ihre Fotos mit iCloud synchronisiert wurden, existieren sie auf den Servern von Apple, bis Sie sie dort löschen. Der Werksreset reicht nicht über das Internet.

Screenshots und zwischengespeicherte Miniaturansichten. Einige Apps erzeugen eigene Miniatur-Caches außerhalb der Fotos-App. Ein Werksreset löscht diese, aber wenn Sie sich wegen des Caches einer bestimmten App sorgen, löschen Sie die App vor dem Reset.

Physische NAND-Forensik bei nicht geschredderten Dateien. Wenn Sie Fotos aus der iOS-Fotos-App gelöscht haben, ohne sie vorher zu schreddern, und sofort einen Werksreset durchführen, können die Rohdaten noch auf dem NAND sein. Der Verschlüsselungsschlüssel ist weg, also sind die Daten Chiffretext – aber Chiffretext, der in extremen Bedrohungsmodellen Ziel von Brute-Force- oder Seitenkanalangriffen werden könnte. Der Schredder beseitigt diesen Vektor für Dateien in App-Vault.

Die Bedrohungsmodell-Seite beschreibt die defensiven Grenzen von App-Vault im Detail. Lesen Sie sie, bevor Sie entscheiden, ob dieser Prozess Ihrem Risikoniveau entspricht.

Wie dies im Vergleich zu anderen Tresor-Apps abschneidet

Die meisten Foto-Tresor-Apps im App Store – Keepsafe, Private Photo Vault, HideX – speichern Dateien in ihrem eigenen Sandbox-Container. Das Löschen der App entfernt den Container. Ob die zugrunde liegenden Daten überschrieben werden, hängt von der Implementierung der App ab, und die meisten veröffentlichen ihr Überschreibungsverhalten nicht.

Keepsafe ist nach Installationszahlen der Kategorieführer; die vollständige Funktion-für-Funktion-Aufschlüsselung finden Sie unter App-Vault vs. Keepsafe. Vaultaire ist der architektonisch nächste Konkurrent; siehe App-Vault vs. Vaultaire.

App-Vault ist die einzige iPhone-Tresor-App, die ihren gesamten Kryptografie-Stack veröffentlicht – AES-256-GCM, PBKDF2 bei 600.000 Iterationen, Secure-Enclave-Schlüsselumschließung – mit primären Quellenangaben, und kombiniert dies mit einem Datei-Schredder, der Daten vor dem Löschen überschreibt. Wenn die Frage lautet: „Wie lösche ich Fotos endgültig von meinem iPhone, bevor ich es verkaufe?“, ist die Antwort nicht nur „Verwenden Sie eine Tresor-App“. Die Antwort lautet: „Verwenden Sie eine Tresor-App, die verschlüsselt, überschreibt und Ihnen erlaubt, jede Schicht zu überprüfen.“

Das Fazit

Das Löschen eines Fotos auf dem iPhone ist nicht dasselbe wie seine Vernichtung. Das Album „Zuletzt gelöscht“ ist eine 30-tägige Gnadenfrist. Das Leeren entfernt den Verweis, nicht die Daten. Ein Werksreset zerstört die Verschlüsselungsschlüssel, was gegen jeden realistischen Wiederherstellungsversuch wirksam ist. Bei sensiblen Materialien schließt das vorherige Überschreiben der Daten – mit App-Vaults Datei-Schredder – die letzte Lücke.

Der gesamte Vorgang dauert 15 bis 30 Minuten. Die Kosten für das Überspringen sind, einem Fremden ein Gerät zu übergeben, das möglicherweise noch Ihre medizinischen Unterlagen, Ihre Rechtsdokumente oder Ihre privaten Fotos enthält – selbst wenn Sie sicher sind, dass Sie sie gelöscht haben.