Duress-PIN benutzt, Anklage kassiert – wenn Datenschutz zum Verbrechen wird

Stell dir vor, du landest auf einem US-Flughafen, kommst von einer Reise zurück, und Grenzbeamte verlangen dein Handy-Passwort. Du gibst es ihnen. Der Bildschirm wird schwarz, das Gerät startet neu – und plötzlich bist du angeklagt. Nicht wegen dem, was auf deinem Telefon war. Sondern weil nichts mehr drauf ist.

Genau das ist Samuel Tunick passiert, einem US-Bürger aus Atlanta. Sein Fall ist der erste bekannte in den USA, in dem jemand strafrechtlich verfolgt wird, weil er die Duress-PIN von GrapheneOS verwendet haben soll – eine Funktion, die das Gerät unwiderruflich löscht, wenn statt der normalen Entsperr-PIN ein vorher festgelegter Notfall-Code eingegeben wird.

Was passiert ist

Am 24. Januar 2025 kehrte Tunick aus der Dominikanischen Republik über den Flughafen Atlanta-Hartsfield-Jackson in die USA zurück. Beamte der US-Zoll- und Grenzschutzbehörde (CBP) zogen ihn in eine Sekundärkontrolle. Laut The Guardian hatte ein Homeland-Security-Agent seinen Namen und sein Foto bereits Stunden vor der Landung an CBP-Beamte und einen lokalen FBI-Terrorismusermittler verteilt – Begründung: „verdächtige Terrorismusaktivitäten“.

In der Kontrolle ging es dann plötzlich nicht um Terrorismus, sondern um Darstellungen sexuellen Kindesmissbrauchs. Tunicks Anwälte sprechen von einem Vorwand, um das Telefon ohne richterlichen Beschluss zu durchsuchen – denn der eigentliche Grund sei Tunicks Verbindung zur Umweltbewegung „Defend the Atlanta Forest“, die gegen den Bau eines Polizei-Trainingsgeländes in Atlanta kämpft, besser bekannt als „Cop City“.

Die Beamten verlangten sein Passwort. Tunick gab einen Code ein. Daraufhin wurde der Bildschirm schwarz, flackerte mehrfach, und das Gerät startete neu. Die Daten waren weg. Die Beamten beschlagnahmten das Telefon trotzdem – und ließen Tunick dann einreisen.

Die Anklage: Eigentum zerstört, um Beschlagnahme zu verhindern

Die Staatsanwaltschaft klagt Tunick nach 18 U.S.C. § 2232 an – einem Bundesgesetz, das die vorsätzliche Zerstörung oder Beschädigung von Eigentum verbietet, um dessen Beschlagnahme durch Behörden zu verhindern. Es drohen bis zu fünf Jahre Haft. Tunick hat auf nicht schuldig plädiert.

Die Anklageschrift – die nebenbei einen Tippfehler enthält und „Untied States Code“ statt „United States Code“ schreibt – wirft Tunick vor, den Grenzbeamten einen Code gegeben zu haben, der das Telefon löschte, bevor es beschlagnahmt werden konnte. Seine Anwälte haben einen Antrag auf Beweisverwertungsverbot gestellt: Die Festnahme und Beschlagnahme seien rechtswidrig gewesen, Tunick sei wiederholt der Zugang zu einem Anwalt verweigert worden, und er sei nicht über seine Rechte belehrt worden.

Sein Verteidiger Matthew Dodge, ein Bundesverteidiger, sagte gegenüber TechCrunch, es sei äußerst selten, dass dieses Bundesgesetz in einer Anklage verwendet werde. Sicherheitsexperten wie Bill Budington von der Electronic Frontier Foundation und die digitale Sicherheitsberaterin Runa Sandvik bestätigten, dass sie keinen vergleichbaren Fall kennen.

Was die Duress-PIN macht – und warum sie existiert

Die Duress-PIN ist ein Feature von GrapheneOS, dem gehärteten Android-Betriebssystem für Google-Pixel-Geräte. Wer sie aktiviert, legt neben seiner normalen Entsperr-PIN einen zweiten Code fest. Wird dieser eingegeben – egal ob auf dem Sperrbildschirm oder bei einer anderen PIN-Abfrage im System –, werden sämtliche Verschlüsselungsschlüssel unwiderruflich gelöscht, alle Nutzerdaten über alle Profile hinweg vernichtet, und selbst installierte eSIMs entfernt. Der Vorgang braucht keinen Neustart und kann nicht unterbrochen werden.

Das Feature existiert für genau die Situationen, in denen jemand unter Zwang gezwungen wird, sein Gerät zu entsperren: Journalisten, die ihre Quellen schützen müssen. Aktivisten in autoritären Regimen. Und ja – Reisende an Grenzen, an denen Behörden sich angewöhnt haben, ohne richterlichen Beschluss auf private Daten zuzugreifen.

Das verfassungsrechtliche Minenfeld an der US-Grenze

Die US-Regierung behauptet seit Jahren, an der Grenze gelte der vierte Verfassungszusatz – der Schutz vor unangemessenen Durchsuchungen – nicht oder nur eingeschränkt. Die sogenannte „Border Search Exception“ erlaubt es CBP-Beamten, elektronische Geräte ohne richterliche Genehmigung zu durchsuchen und zu beschlagnahmen. Die Grenze, so das Argument, sei kein US-Territorium, bis die Einreise genehmigt wird.

Das Ergebnis: Wer in die USA einreist, hat faktisch weniger Grundrechte als jemand, der auf offener Straße kontrolliert wird. Und wer sich dagegen zu schützen versucht – indem er etwa seine Daten schützt, bevor sie ohne Rechtsgrundlage durchsucht werden –, wird offenbar angeklagt.

Warum das jeden betrifft

Hier geht es nicht um einen einzelnen Aktivisten in Atlanta. Hier geht es um die Frage, ob Datenschutz-Funktionen kriminalisiert werden können. Wenn ein Gericht entscheidet, dass das Verwenden einer vorkonfigurierten Sicherheitsfunktion – wohlgemerkt: einer Funktion, die auf deinem eigenen Gerät läuft und deine eigenen Daten betrifft – eine Straftat darstellt, dann hat das Auswirkungen weit über die USA hinaus.

Runa Sandvik brachte es in ihrer Einschätzung gegenüber TechCrunch auf den Punkt: Behörden könnten argumentieren, dass du wissentlich Daten vernichtet hast. Die bessere Strategie sei deshalb, sensible Daten gar nicht erst auf dem Gerät zu haben, wenn man bestimmte Grenzen überquert – und sie erst am Zielort herunterzuladen.

Das ist ein pragmatischer Rat. Aber er normalisiert auch eine Welt, in der du dein eigenes Telefon präparieren musst wie ein Einweggerät, bevor du einen Flughafen betrittst. Wer das für normal hält, hat sich bereits daran gewöhnt, dass private Kommunikation als potenzielles Beweismittel behandelt wird.

Was GrapheneOS-Nutzer wissen sollten

Die Duress-PIN bleibt ein legitimes Sicherheitstool – und GrapheneOS dokumentiert es offen und transparent. Aber dieser Fall zeigt: Wer das Feature aktiviert hat, sollte sich der rechtlichen Risiken bewusst sein, insbesondere an Grenzübergängen.

Grundsätzlich gilt: GrapheneOS gibt dir die Werkzeuge, um dein Smartphone so zu nutzen, dass es wirklich dir gehört. Ob du sie einsetzt, ist deine Entscheidung. Aber du solltest diese Entscheidung informiert treffen.

Das Gericht in Atlanta wird voraussichtlich frühestens Ende Oktober über den Unterdrückungsantrag entscheiden. Der Ausgang wird zeigen, ob das Schützen der eigenen Daten ein Grundrecht bleibt – oder ob es in den USA bereits als Verbrechen gilt, ein sicheres Telefon zu besitzen.