"Mithilfe der entfernten Verwaltung kann der Administrator von Bundesministerium für Inneres dieses iPhone aus der Entfernung verwalten. (…) Der Admin kann über die entfernte Verwaltung Funktionen deaktivieren, Apps installieren (…), den Internetverkehr überwachen und beschränken sowie dieses iPhone entfernt löschen." Diese Meldung fand iPhone-Besitzer F. (Name der Redaktion bekannt) auf dem Bildschirm seines vor zwei Jahren über A1 erstandenen Handys, nachdem er dieses infolge einer Reparatur auf Werkseinstellungen zurückgesetzt hatte. Es sollten Zugangsdaten eingegeben werden.

"Bundestrojaner-Test?", postete ein Nutzer als Kommentar, als F. den Vorfall auf Facebook dokumentierte. Doch wie kann es sein, dass ein Handy nach einem Reset plötzlich unter der "Kontrolle" des Innenministeriums steht? DER STANDARD hat sich auf die Suche begeben und eine wahrscheinliche, allerdings keine definitive Antwort gefunden.

Innenministerium spricht von "Fehllieferung" durch A1

Im Vorfeld hatte der Betroffene selbst auch schon Recherchen angestellt und auch die Nummer angerufen, die in der Sperrmeldung angegeben war. Die Person am anderen Ende der Leitung war laut F. von der Kontaktaufnahme überrascht, denn diese Telefonnummer dürfte öffentlich nicht bekannt sein. Eine genaue Auskunft zur Problematik erhielt F. jedenfalls nicht, es hieß allerdings, dass die Schuld bei A1 zu suchen sei, das die Vertragsgeräte für BMI-Mitarbeiter liefert.

Auch auf Nachfrage des STANDARD äußerte man sich dementsprechend. A1 habe "vor einiger Zeit" eine Charge iPhones, die für das Ministerium gedacht war, versehentlich in den Verkauf an Privatkunden gebracht. Ein Großteil der Geräte sei erfolgreich zurückgeholt worden, aber eben nicht alle. Diese Theorie zerstreute sich allerdings nach einer späteren Rückmeldung des DEP-Admins im BMI. Denn die Fehllieferung habe iPhone 7-Modelle betroffen, aber keine 6s.

"Verkettung unglücklicher Zufälle"

Eine Theorie, die stimmen kann, aber nicht muss. Wenn, dann ist sie aber nur Teil einer "Verkettung unglücklicher Zufälle", wie es ein Vertreter von A1 im Gespräch formulierte. F. selbst wiederum vermutet, sein Handy könnte ein Rückläufer aus dem BMI gewesen sein und vom Mobilfunker wieder in Umlauf gebracht worden sein. Technisch wäre das denkbar; weil das Gerät, ein iPhone 6S, zum Kaufzeitpunkt aber gerade einmal einige Monate auf dem Markt war, erscheint das sehr unwahrscheinlich.

Auszuschließen ist laut F. auch, dass bei einer der Reparaturen seines Handys (Akkutausch und Bildschirmtausch) das Gerät völlig ersetzt wurde und er somit vor dem Vorfall ein Handy mit einer neuen IMEI erhalten hatte. Das sei mit dem Abgleich der Seriennummer kontrolliert worden, schildert er dem STANDARD.

Apples Device Enrollment Program

A1 vermutet eine Fehleingabe Seitens des BMI. Zum Management von Dienstgeräten in größeren Firmen und Organisationen gibt es seitens Apple ein sogenanntes "Device Enrollment Program" (DEP). Über dieses können die Administratoren der Unternehmen die Zugriffsmöglichkeiten auf den Geräten beschränken und auch Apps installieren, die nicht im iTunes-Store zu finden sind – beispielsweise für internes Teammanagement.

Welches Gerät Teil eines solchen DEP ist, wird unter anderem über die Seriennummer bestimmt. Für die Eingabe der für die Firma bestimmten Geräte ist der dortige Administrator zuständig. Im konkreten Fall übermittelt A1 diese an Apple, das diese nach erfolgter Vorregistrierung dann an das BMI weiterleitet.

Das passiert üblicherweise automatisch, kann aber in einzelnen Fällen auch manuell geschehen. Hier würde die Übermittlung einer falschen Seriennummer oder ein Tippfehler ausreichen, um ein fremdes Gerät in das DEP des Innenministeriums aufzunehmen. Dies setzt allerdings voraus, dass das betroffene Handy bei Apple bereits als "berechtigt" (original: "eligible) für das jeweilige DEP angemeldet ist, was die Wahrscheinlichkeit eines Tippfehlers auf eine vernachlässigbare Größe schwinden lässt. Es muss sich um ein iPhone gehandelt haben, das eigentlich bereits für Verwendung beim BMI vorgesehen war – egal ob diese nun von Apple direkt oder eben via A1 kamen.

IMEI von Privatgerät in BMI-Datenbank gelandet

Klar ist, dass F.s Gerät in ebenjenem DEP gelandet ist. Denn beim ersten Start oder nach einer Rücksetzung prüft das Handy nach dem Einschalten über Apples Server, ob es Teil eines solchen Programms ist. Wenn ja, wird jener Anmeldedialog aufgerufen, den F. dokumentiert hat.

Denkbar ist nun, dass beim BMI von A1 übermittelte IMEIs eingespeist wurden, eine davon aber entweder nicht korrekt war oder zu einem versehentlich in den Privatverkauf gegangenem Handy gehörte.

Eine potenzielle Fehlerquelle ist der Umstand, dass es das DEP im BMI noch nicht lange gibt. Ältere iPhone-Modelle, auch das 6s, die an Mitarbeiter ausgegeben wurden, wurden erst nachträglich und mittels Vereinbarung mit Apple, in das Programm aufgenommen, heißt es aus dem Ministerium. Möglicherweise ist ein für das Ministerium vorgesehenes Gerät damals in den Privatverkauf gelangt.

Fehler offenbar bemerkt

Dass die IMEI eines "fremden" Telefons im eigenen Geräteprogramm gelandet ist, dürfte jedenfalls recht flott ins Innenministerium durchgesickert sein – zumal F. mit seinem Problem sich an Apple-Vertragspartner McShark und auch Apple selbst gewandt hatte. Denn nach einer weiteren Rücksetzung des Handys funktionierte dieses wieder wie gehabt.

Das bedeutet, dass die IMEI zwischenzeitlich aus dem Geräteprogramm des BMI entfernt worden sein muss, andernfalls wäre nach dem Start wieder der Dialog zur "entfernten Verwaltung" aufgetaucht.

"Zu 99,9999 Prozent sicher"

An welcher Stelle hier nun geschlampt wurde, lässt sich nicht zweifelsfrei sagen. Das ein für ein bestimmtes DEP vorgesehenes Gerät in falsche Hände gelangt und nachträglich trotzdem in die Fernverwaltung eingegliedert wird, dürfte allerdings hohen Seltenheitswert haben. Beim BMI will man der Angelegenheit weiter auf den Grund gehen.

Seitens A1 beschwichtigt man: Das sei der erste Fall bei einem eigenen Kunden, bei dem so etwas dokumentiert wurde. Der Prozess laufe normal "hochautomatisiert" ab und funktioniere zu "99,9999 Prozent". (Georg Pichler, 14.5.2018)

Update, 17:40 Uhr: Der Artikel wurde auf Basis von weiteren Informationen zum Ablauf des Apple Device Enrollment Program ergänzt. Tatsächlich ist es nicht möglich, eine zufällige IMEI durch einen Tippfehler einzugliedern, da das jeweilige iPhone bei Apple bereits für das DEP registriert sein muss. Der Artikel wurde entsprechend überarbeitet.

Update, 15.5., 13 Uhr: Das Innenministerium hat neue Informationen bezüglich des DEP und der ursprünglich vermuteten Fehllieferung durch A1 übermittelt. Der Artikel wurde damit ergänzt.