Ist ein Duress-Passwort legal? Der GrapheneOS-Fall an der Grenze

Kurze Antwort: Ja, eines zu haben, ist legal. Eines zu benutzen, ist der Punkt, an dem das Risiko beginnt.

Kein Gesetz verbietet ein Duress-Passwort, also ein zweites Passwort, das im Zwangsfall alles löscht. Die Software, die diese Funktion anbietet, darf entwickelt, veröffentlicht und installiert werden. Aber ein US-Reisender steht jetzt vor einer Anklage nach Bundesrecht, weil sich sein Handy angeblich vor den Augen von Grenzbeamten selbst gelöscht hat, die es gerade beschlagnahmen wollten. Die Argumentation der Staatsanwaltschaft: Ein Passwort einzutippen, das du Monate vorher festgelegt hast, zählt trotzdem als Zerstörung von Eigentum, um eine Beschlagnahme zu verhindern.

Das ist eine wirklich neue Rechtsfrage. Für fast alle, die das hier lesen, ist es aber auch die falsche Sorge.

Unser Guide zur Beschlagnahme von Handy und Laptop an Flughäfen und Grenzen beginnt mit der Fantasie, die die meisten Menschen durch den Zoll tragen: “Wenn es hart auf hart kommt, lösche ich einfach alle Daten vor den Augen der Grenzbeamten von meinem Gerät.” Dieser Fall zeigt, wie dieser Satz aussieht, wenn ihn jemand tatsächlich in die Tat umsetzt.

Was ein Duress-Passwort wirklich macht

Ein Duress-Passwort ist ein zweites Entsperr-Passwort, das das Gerät zerstört, statt es zu öffnen. GrapheneOS, das gehärtete Android-System für Pixel-Hardware, dokumentiert das unmissverständlich: Wenn du die Duress-PIN oder das Duress-Passwort irgendwo eingibst, wo das System nach deinen Zugangsdaten fragt, “wird das Gerät unwiderruflich gelöscht (samt aller installierten eSIMs)”.

Drei Eigenschaften sind entscheidend.

Es läuft stumm ab. Es gibt keine Bestätigungsabfrage, keinen Countdown, keine Möglichkeit, es zurückzunehmen. Der Bildschirm wird schwarz und das Gerät startet neu.

Es ist vollständig. Die Löschung vernichtet das Schlüsselmaterial der Verschlüsselung, die Daten sind also nicht im wiederherstellbaren Sinne gelöscht. Sie sind mathematisch weg, und das Projekt hat öffentlich gesagt, dass es niemandem bei einer Wiederherstellung helfen kann.

Es hat eine Falle. Wenn du das Duress-Passwort auf denselben Wert setzt wie deine echte Entsperrung, gewinnt die echte Entsperrung und es wird nichts gelöscht. GrapheneOS dokumentiert auch das, und genau solche Details übersieht man bei einer Funktion, von der man hofft, sie nie zu brauchen.

Was am Hartsfield-Jackson passiert ist

Am 24. Januar 2025 landete Samuel Tunick, ein Bewohner von Atlanta, auf dem Rückweg aus dem Ausland am Flughafen Hartsfield-Jackson. Customs and Border Protection, die US-Grenzbehörde, holte ihn in die Zweitkontrolle und drängte ihn, sein Google Pixel zu entsperren. Laut einem Bericht von TechCrunch sagten ihm die Beamten, es brauche keinen Durchsuchungsbeschluss, weil er die Grenze noch nicht überschritten habe. Er gab einen Code ein. Der Bildschirm wurde schwarz, das Handy startete neu, und der Inhalt war nicht mehr zugänglich. Die Beamten beschlagnahmten das Gerät und ließen ihn ins Land.

Rund achtzehn Monate später klagte die Staatsanwaltschaft ihn nach 18 U.S.C. § 2232 an, dem Bundesstraftatbestand der Zerstörung von Eigentum zur Verhinderung einer staatlichen Beschlagnahme. In der Anklageschrift heißt es, er habe “wissentlich die digitalen Inhalte eines Mobiltelefons der Marke Google Pixel zerstört, beschädigt, vergeudet, beseitigt und anderweitig Maßnahmen ergriffen, um sie zu löschen, mit dem Ziel, die rechtmäßige Befugnis der Regierung zu verhindern und zu beeinträchtigen”. Er hat auf nicht schuldig plädiert. Die Höchststrafe beträgt fünf Jahre.

Seine Verteidigung argumentiert, die Festhaltung und die Beschlagnahme seien rechtswidrig gewesen, ihm sei wiederholt der Zugang zu einem Anwalt verweigert worden, und die Behörden hätten seine Verbindung zu einer Umweltschutz-Protestbewegung in Atlanta untersucht statt einer Straftat. Eine Entscheidung über den Antrag auf Beweisverwertungsverbot wird nicht vor Ende Oktober 2026 erwartet.

Alles oben Genannte ist Vorwurf und Argument. Nichts davon ist in irgendeine Richtung bewiesen, und dieser Artikel bezieht keine Position dazu, ob er getan hat, was die Regierung behauptet.

Warum die Anklage die Nachricht ist, nicht die Löschung

Durchsuchungen von Geräten an der Grenze ohne Beschluss sind ein alter Hut. Neu ist die juristische Theorie, die hier daran hängt.

Anklagen nach Paragraf 2232 sind außerordentlich selten. Tunicks Pflichtverteidiger hat gesagt, es sei nur ein weiterer Fall dieser Art öffentlich bekannt, und der stammte aus einem Drogenhandelsverfahren. Die Anwendung hier bedeutet, dass ein Gericht entscheiden muss, ob eine vorkonfigurierte Betriebssystem-Funktion, ausgelöst durch das Eintippen einer Zeichenfolge in eine Abfrage, dieselbe Art von Handlung ist wie das Zertrümmern einer Festplatte auf einem Tisch.

Wenn die Antwort ja lautet, wird eine Einstellung in dem Moment zur Straftat, in dem du sie benutzt. Das ist der Teil, den man im Auge behalten sollte, unabhängig davon, wie es für diesen Angeklagten ausgeht.

Deine Rechte an der Grenze werden dünner, nicht dicker

Die Rechtslage hat sich in demselben Monat verschoben, in dem der Fall öffentlich wurde, und zwar nicht zu deinen Gunsten.

Am 13. Juli 2026 entschied der Fourth Circuit in United States v. Belmonte Cardozo, dass eine manuelle Durchsuchung eines Handys an der Grenze eine Routinedurchsuchung ist, Beamte also weder einen Beschluss noch irgendeinen Verdacht brauchen, um es von Hand durchzublättern. Wie die EFF erklärt, hielt das Gericht an einer höheren Hürde für forensische Auslesung fest, die in diesem Bezirk weiterhin einen individuellen Verdacht erfordert, zog die Linie aber so, dass ein Mensch, der sich durch deine Nachrichten wischt, als gewöhnlich gilt.

Andere Bezirksgerichte sehen das anders, und ähnliche Verfahren laufen anderswo. Die Frage der erzwungenen Passworteingabe nach dem Fifth Amendment ist ebenfalls ungeklärt, die Gerichte sind uneins darüber, ob es eine Aussage ist, wenn du dein eigenes Passwort eintippen musst. Praktisch heißt das: Deine Rechte an einem Flughafen hängen davon ab, um welchen Flughafen es sich handelt, und von einem Rechtsgebiet, das gerade in Bewegung ist.

Darauf kannst du nicht planen. Du kannst nur reduzieren, was auf dem Spiel steht, wenn es gegen dich läuft.

Was GrapheneOS gesagt hat, und worauf es gezeigt hat

Die Antwort des Projekts war in der Rechtsfrage eindeutig. Es nannte die Funktion vollkommen legal, sagte, es sei nicht verpflichtet, die von ihm ausgelieferten Schutzmechanismen zu schwächen, und argumentierte, ein Zwang dazu wäre verfassungswidrig.

Dann tat es etwas Interessanteres. Auf den Fall angesprochen, redete GrapheneOS vor allem über alles außer dem Duress-Passwort, nannte es “nur eine Komponente” des Sicherheitsmodells und zählte auf, was die eigentliche Arbeit leistet:

• hardwaregestützte Verschlüsselung mit einer vom Secure Element durchgesetzten Ratenbegrenzung
• Unterstützung für Passwörter mit bis zu 128 Zeichen
• automatischer Neustart zurück in den Zustand Before First Unlock nach einer festgelegten Zeit, standardmäßig 18 Stunden, einstellbar von 10 Minuten bis 72 Stunden
• USB im gesperrten Zustand auf reines Laden begrenzt, was die ausgelieferte Standardeinstellung ist
• Memory Tagging und weitere Exploit-Schutzmaßnahmen gegen Auslese-Werkzeuge

Lies diese Liste noch einmal. Nichts davon verlangt, dass du am Schalter irgendetwas tust. Alles läuft bereits, während du erschöpft in der Schlange stehst und von jemandem befragt wirst, der in diesem Raum sehr viel mehr Macht hat als du.

Das ist das ganze Argument, und das Projekt hat es vorgebracht, ohne es ganz auszusprechen.

Passiver Schutz schlägt aktive Zerstörung

Sortiere jeden Schutz, den du hast, nach einer Frage: Was verlangt er von dir in genau dem Moment, in dem ein Beamter dein Handy in der Hand hält?

Die oberen drei kosten dich nichts und sind unsichtbar. Die unterste ist die einzige Zeile in dieser Tabelle, die je aus einem schlechten Nachmittag ein Strafverfahren gemacht hat.

Ein Handy im Zustand Before First Unlock wurde seit dem Start nie entsperrt. Seine Schlüssel liegen nicht im Arbeitsspeicher. Das ist forensisch der stärkste Zustand, in dem dein Gerät sein kann, und du erreichst ihn mit einem langen Druck auf die Power-Taste, bevor du dich anstellst.

Solltest du also eines einrichten?

Das ist keine Rechtsberatung, und wenn diese Frage für dich real ist, gehört sie einem Anwalt in deiner Rechtsordnung gestellt, vor dem Flug und nicht danach.

Trotzdem eine ehrliche Einschätzung:

Wenn du ohnehin sauber reist, erhöht es das Risiko, ohne Schutz hinzuzufügen. Ein Gerät, das nichts Sensibles trägt, hat nichts zu zerstören. Den gesamten Nutzen einer Löschung bekommst du schon dadurch, dass du die Daten gar nicht erst mitnimmst, und zwar ohne das Risiko.

Der eigentliche Anwendungsfall ist Zwang ganz ohne Rechtsverfahren. Raubüberfall, Entführung, ein feindseliger Akteur ohne Beschluss, den er einholen müsste, und ohne Gericht, dem er Rechenschaft schuldet. In diesem Szenario ist die Rechnung eine völlig andere, und die Funktion tut genau das, wofür sie gebaut wurde.

Die Fehlerfälle sind schlimmer, als man erwartet. Die Löschung ist unumkehrbar. Sie nimmt deine eSIMs mit, was dich in einem fremden Land ohne Verbindung dastehen lassen kann. Muskelgedächtnis unter Stress ist unzuverlässig, und der falsche Finger auf der falschen Ziffer im falschen Moment endet gleich, ob du es wolltest oder nicht.

Die Funktion eingerichtet zu haben, ist nicht dasselbe wie sie zu benutzen. Nichts in diesem Fall deutet darauf hin, dass allein das Einrichten ein Problem wäre. Die vorgeworfene Handlung war die Eingabe, nachdem die Beamten Zugriff verlangt hatten.

Was du stattdessen tun solltest

1. Nimm die Daten nicht mit. Darum geht es im Kern, und der Grenz-Guide behandelt das ausführlich. Alles andere auf dieser Liste ist ein Rundungsfehler daneben.
2. Starte das Gerät neu, bevor du am Schalter stehst. Ein langer Druck versetzt das Handy in Before First Unlock, kostenlos, unsichtbar und ohne dass es später etwas von dir verlangt.
3. Verkürze das Zeitfenster für den automatischen Neustart. Wird ein Gerät im gesperrten Zustand beschlagnahmt, sorgt ein 30-Minuten-Timer dafür, dass es sich abriegelt, lange bevor jemand es in ein Labor bringt.
4. Lass USB im gesperrten Zustand auf reines Laden gestellt. Ein angestecktes Handy sollte mit gar nichts sprechen können.
5. Nutze ein Passwort, nicht dein Gesicht. Die Lage beim Fifth Amendment ist für auswendig gelernte Passwörter umstritten, aber real. Für Biometrie ist sie deutlich schwächer, und ein Fingerabdruck lässt sich auch ohne deine Mitwirkung abnehmen.

Wenn du ein gehärtetes Android als tägliches Gerät nutzt, gilt dieselbe Logik schärfer, nicht schwächer. Lies den Guide zur vollständigen Festplattenverschlüsselung dazu, was Verschlüsselung im Ruhezustand leistet und was nicht, und sieh dir unsere Auswahl an mobilen Betriebssystemen an, falls du dich gerade für eine Plattform entscheidest.

Was daraus zu lernen ist

Die technischen Schutzmechanismen in einem modernen gehärteten Handy sind wirklich hervorragend. Gegen Diebe, gegen Angreifer aus der Ferne, gegen gewöhnliche forensische Werkzeuge halten sie stand.

Was sie nicht können, ist ein rechtliches Problem lösen. Und ausgerechnet die Funktion, die die meiste Aufmerksamkeit bekommt, die dir einen Ausweg in letzter Sekunde verspricht, ist die einzige, die von dir eine unumkehrbare Entscheidung im denkbar schlechtesten Moment verlangt, vor den Augen der Person, die du damit aufhalten willst.

Datenschutz, der davon abhängt, dass du alles richtig machst, während du verängstigt, übermüdet und in der Unterzahl bist, ist kein Plan. Er ist eine Wette. Die Schutzmaßnahmen, die etwas wert sind, sind die, die schon greifen, bevor du an den Schalter trittst. Genau deshalb ist der richtige Zeitpunkt für all das der, an dem du dein Bedrohungsmodell festlegst, und nicht der, an dem jemand nach deinem Handy fragt.