An der Passkontrolle endet in den USA heute ganz besonders, aber auch schon früher, die Rechtssicherheit schneller, als die meisten Reisenden annehmen: Wer aus dem Ausland in die USA zurückkehrt und in die Zusatzkontrolle gerät, steht vor einer Wahl, die keine ist, denn wer sein Telefon öffnet, gibt sein halbes Leben preis – und wer sich weigert, verliert das Gerät und wird zum Verdächtigen. Samuel T., Einwohner von Atlanta, entschied sich im Januar 2025 am Hartsfield-Jackson Airport für einen dritten Weg und nannte den Beamten einen Zugangscode, der das Gerät nicht entsperrte, sondern dessen Inhalt vernichtete.
Sein Google Pixel lief unter GrapheneOS, das für genau diesen Fall eine Duress-PIN bereithält. Was als Schutz gegen Erpressung oder autoritären Zugriff gedacht war, hat die US-Staatsanwaltschaft in einen Anklagepunkt verwandelt, gestützt auf eine Vorschrift des Bundesrechts gegen die Zerstörung von Eigentum zur Vereitelung einer Beschlagnahme. Sicherheitsforscher kennen keinen vergleichbaren Fall, was der Sache ihr Gewicht gibt, denn hier wird erstmals gerichtlich geklärt, ob eine technische Schutzfunktion zur Straftat wird, sobald der Staat auf ihre Wirkung trifft.
Hintergründe
Die Anklage der US-Staatsanwaltschaft besteht aus einem einzigen Satz, samt Tippfehler im Gesetzeszitat: Sie wirft T. vor, digitale Inhalte eines Mobiltelefons gelöscht zu haben, um die Sicherstellung durch die Grenzbehörde zu vereiteln. Die Norm, Title 18 Section 2232(a) des US-Bundesrechts, stammt aus einer Zeit, in der man Schmuggelware über Bord warf, und erfasst das Zerstören von Eigentum zur Verhinderung einer Beschlagnahme. Beteiligt war ein Beamter des Tactical Terrorism Response Team, was zu der Version passt, das Heimatschutzministerium habe vorab gewarnt.
Die Verteidigung hält den ganzen Vorgang für einen Vorwand und verweist auf die Nähe ihres Mandanten zur Bewegung gegen das Ausbildungszentrum „Cop City“: Ein Durchsuchungsbeschluss lag nicht vor, einen Anwalt bekam Tunick nicht, und die Beamten erklärten ihm, sie bräuchten keinen Beschluss, weil er die Grenze noch nicht überschritten habe. Der Mann bestreitet die Tat und hat sich für nicht schuldig erklärt. Sein Antrag auf Beweisverwertungsverbot liegt beim Gericht, entschieden wird wohl frühestens im Herbst.
Technische Funktionsweise eines Duress-Passwort
GrapheneOS ist ein gehärtetes Android-Derivat für Pixel-Geräte, das ohne Google-Dienste auskommt und einige Funktionen mitbringt, die der Serienausstattung fehlen. Eine davon ist die Duress-PIN, also ein zweiter Code neben dem echten. Wird er am Sperrbildschirm oder bei einer anderen Abfrage eingegeben, entsperrt das Gerät nicht, sondern vernichtet die Daten unwiderruflich.
Der Trick liegt in der Verschlüsselung selbst: Moderne Smartphones speichern alles verschlüsselt und der Nutzercode entsperrt nicht die Daten, sondern das Schlüsselmaterial, das sie lesbar macht. Wer dieses Material vernichtet, macht aus dem Speicher Rauschen, unabhängig davon, wie viel forensische Rechenleistung später darauf angesetzt wird. Genau deshalb ist die Funktion so wirksam und genau deshalb ist sie so heikel. Sie kennt keinen Rückweg, keine Bestätigungsabfrage, keine Wiederherstellung aus der Cloud.
Wenn man die Funktion einschaltet, sollte man sich darüber im Klaren sein, dass man ein Werkzeug scharf stellt, das im Ernstfall zwar den Zugriff verhindert, aber eben auch eine Handlung dokumentiert. Ein leeres Gerät erzählt immer seine eigene Geschichte. Und wie ich immer wieder in meiner Lehrveranstaltung erkläre: Digitale Beweismittel sind nur Indizien und man darf nicht den Fehler machen, zu formalistisch zu denken. Der Beweiswert einer digitalen Spur ergibt sich immer erst durch Rückschlüsse in einem Kontext. Beides wird durch Ermittler bestimmt, heißt: Jede noch so „schlau“ durchdachte Handlung kann zur Verdachtsgenerierung herangezogen werden.
Grundverschiedene Situation in Deutschland
Niemand muss in Deutschland an seiner eigenen Überführung mitwirken. Das folgt aus Art. 14 Abs. 3 lit. g des Internationalen Pakts über bürgerliche und politische Rechte, den die Bundesrepublik ratifiziert hat, aus Art. 6 EMRK und aus dem allgemeinen Persönlichkeitsrecht in Verbindung mit dem Rechtsstaatsprinzip.
Praktisch bedeutet das eine klare Grenze zwischen aktivem Tun und passivem Erdulden: Der Bundesgerichtshof entschied 2025, dass Polizeibeamte den Finger eines Beschuldigten mit unmittelbarem Zwang auf einen Entsperr-Sensor legen dürfen, gestützt auf § 81b Abs. 1 StPO in Verbindung mit den §§ 94 ff. StPO, sofern ein richterlicher Durchsuchungsbeschluss gerade dem Auffinden von Mobiltelefonen dient und der Datenzugriff verhältnismäßig bleibt. Ich habe diese Entscheidung in jurisPR-StrafR 15/2025 Anm. 2 besprochen und halte die Begründung für wenig gelungen: § 81b Abs. 1 StPO zielt auf die Schaffung originärer Beweismittel, also auf Lichtbild und Fingerabdruck als solchen, nicht auf die Überwindung eines technischen Zugangsschutzes. Die Auslegung des Senats stößt an die Wortlautgrenze, und an Normenklarheit fehlt es ebenfalls.
Für das Passwort gilt trotzdem etwas anderes, und das meines Erachtes ist in der deutschen Diskussion quasi unbestritten. Die erzwungene Preisgabe eines Codes wäre die aktive Mitwirkung an der eigenen Überführung und damit unzulässig. Frankreich sieht das anders und stellt die Weigerung in Art. 434-15-2 Code pénal unter Strafe, verfassungsgerichtlich abgesegnet. Bei uns gibt es das nicht, und ein Blick auf die Debatte um Kryptowährungen zeigt, wie tief das reicht: Selbst wenn der Staat einen rechtskräftigen Einziehungstitel in der Hand hält, lässt sich die Herausgabe des privaten Schlüssels weder über § 802g ZPO noch über § 888 ZPO erzwingen, weil die Verweisungsketten brechen und Art. 104 Abs. 1 Satz 1 GG jede Analogie bei Haftentscheidungen ausschließt. Das Verschweigen bleibt straflos, weil Selbstbegünstigung eben nicht von § 258 StGB erfasst wird.
Der Zivilprozess funktioniert übrigens anders: Das Landgericht Frankfurt am Main hat im April 2026 ein Zwangsgeld nebst ersatzweiser Zwangshaft gegen einen Schuldner verhängt (Bericht folgt hier im Blog), der bei einer Besichtigung nach § 101a UrhG seine Passwörter zurückhielt. Selbstbelastungsfreiheit ist also kein Universalschild, sondern ein Schutz, der im Strafverfahren am stärksten wirkt und außerhalb davon sorgfältig erkämpft werden muss.
Alles entspannt?
Also … ein Vorgehen wie in Atlanta wäre hier nicht denkbar. Wer eigene Daten auf dem eigenen Gerät löscht, unterdrückt kein fremdes Beweismittel im Sinne von § 274 StGB, verändert keine fremden Daten im Sinne von § 303a StGB und begünstigt niemanden außer sich selbst. Die Rechtsordnung mutet dem Beschuldigten zu, sich zu verteidigen, und sie nimmt hin, dass er dabei schweigt und nichts beiträgt. Wer ein Gerät härtet, sollte trotzdem vorher überlegen, welche Daten überhaupt mitreisen müssen. Der klügere Weg ist meistens der langweilige: das Reisegerät leer lassen und die Arbeitsdaten am Ziel laden. Was nicht da ist, kann weder ausgelesen noch gelöscht werden, und niemand muss erklären, warum ein Speicher plötzlich leer war.
Bleibt der Druckpunkt, den die Praxis wirklich fürchten muss: eine Untersuchungshaft wegen Verdunkelungsgefahr nach § 112 Abs. 2 Nr. 3 StPO. Wer Beweismittel beiseiteschafft, muss damit grundsätzlich rechnen. Nur ist der Haftgrund eine Prognose und keine Sanktion für Vergangenes. Bei einer einmaligen, in Sekunden abgeschlossenen Löschung fehlt genau das, was die Norm verlangt, nämlich bestimmte Tatsachen für weitere Einwirkungshandlungen. Es gibt kein Beweismittel mehr, auf das eingewirkt werden könnte, keinen Zeugen, der beeinflusst würde, keine Spur, die noch verwischt werden müsste. Ein Haftbefehl, der allein an das Löschen anknüpft, wäre allerdings meines Erachtens eine Beugehaft mit anderem Etikett … und dagegen liesse sich mit Aussicht auf Erfolg vorgehen.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht