Der auf Datenschutz ausgerichtete Betriebssystementwickler GrapheneOS hat seine Software als „völlig legal" und durch die US-Verfassung geschützt erklärt, nachdem die erste bekannte US-Strafverfolgung im Zusammenhang mit einem seiner Sicherheitsfeatures bekannt wurde.

GrapheneOS ist ein quelloffenes, sicherheitsverstärktes mobiles Betriebssystem, das auf dem Android Open Source Project basiert und erweiterte Datenschutzfunktionen wie Sandboxing, gehärtete Speicherverwaltung und detaillierte Berechtigungssteuerungen bietet. Zu den Nutzern zählen Aktivisten, Journalisten und sicherheitsbewusste Personen.

„Wir haben keine Verpflichtung, die von ihm bereitgestellten Sicherheitsvorkehrungen zu schwächen", erklärte das Projekt am 27. Juli auf X (ehemals Twitter). „Die Erstellung und Nutzung von GrapheneOS ist durch die US-Verfassung stark geschützt. Gesetze, die es illegal machen oder die Schwächung der Sicherheit verlangen würden, wären verfassungswidrig."

GrapheneOS is completely legal. We have no obligation to weaken any of the security protections it provides. Creating and using GrapheneOS is strongly protected by the US constitution. Laws attempting to make it illegal or require weakening the security would be unconstitutional.

— GrapheneOS (@GrapheneOS) July 27, 2026

Die Erklärung wurde in einem Thread veröffentlicht, der den Straffall diskutiert. Auf die Frage, ob das Projekt die Zusammenarbeit mit dem Ministerium für Innere Sicherheit verweigere, antwortete GrapheneOS, dass es nicht helfen könne. Sobald Schlüsselmaterial gelöscht wurde, „gibt es nichts, was wir tun können, um dabei zu helfen", schrieb das Projekt und fügte hinzu, dass das Umgehen der Verschlüsselung „systembedingt nicht möglich" sei.

Der Fall gegen Samuel Tunick

Samuel Tunick, ein in Atlanta ansässiger Aktivist, sieht sich Anklagen nach 18 U.S.C. § 2232 gegenüber, einem Bundesgesetz, das die Zerstörung oder versuchte Zerstörung von Eigentum zur Verhinderung seiner Beschlagnahmung durch die US-Regierung unter Strafe stellt. Er soll während einer durchsuchungslosen Grenzkontrolle im Januar 2025 einen Duress-Code eingegeben haben, der sein Google-Pixel-Smartphone löschte. Er hat sich für nicht schuldig erklärt und droht eine Höchststrafe von fünf Jahren Bundesgefängnis. Ein Richter wird voraussichtlich frühestens Ende Oktober über seinen Antrag auf Beweisunterdrückung entscheiden.

Dieser Antrag trägt breitere Bedeutung. US-Gerichte haben seit langem eine „Ausnahme für Grenzdurchsuchungen" zum Vierten Verfassungszusatz anerkannt, die durchsuchungslose Kontrollen an Einreiseorten ohne begründeten Verdacht erlaubt. Die Bundesberufungsgerichte sind jedoch geteilter Meinung darüber, wie diese Ausnahme auf elektronische Geräte anzuwenden ist, wobei einige ein begründetes Verdachtsmoment für forensische Durchsuchungen von Telefonen und Laptops verlangen. Wie das Gericht die durchsuchungslose Durchsuchung von Tunicks Gerät bewertet, könnte die laufende Rechtsdebatte beeinflussen.

In einem Interview mit 404 Media bezeichnete Tunick die Anklagen als „darauf abzielend, Menschen einzuschüchtern, ihre Daten zu schützen." Er beschuldigte die Regierung, „einen Präzedenzfall schaffen zu wollen, dass niemand ein Recht auf Privatsphäre hat." Tunick schilderte auch ein Jahr der Überwachung vor seiner Anklage, darunter einen GPS-Tracker an seinem Fahrzeug und Vorladungen für seine Telefonprotokolle und sein Gmail-Konto.

Argumente der Verteidigung

Matthew Dodge, Tunicks Bundes-Pflichtverteidiger, erklärte, dass DHS-Beamte vorab am Flughafen angerufen und darum gebeten hatten, Tunick festzuhalten und sein Telefon zu durchsuchen. Dodge zufolge durchsuchten die Beamten sowohl Tunicks Gepäck als auch seine Person gegen seinen ausdrücklichen Widerspruch und fanden nichts. Er betonte, dass die Beamten einen Durchsuchungsbeschluss hätten erwirken können, dies aber bewusst unterließen. „Das haben sie nicht getan", sagte Dodge.

Dodge wies außerdem darauf hin, dass er nur eine weitere Strafverfolgung nach demselben Gesetz ausfindig machen konnte, die aus einer Drogenhandelsermittlung stammte. Er nannte die Anwendung der Anklage „außergewöhnlich selten".

Stellungnahme der Regierung

Ein Sprecher der U.S. Customs and Border Protection (CBP) teilte 404 Media mit, dass alle Reisenden bei der Einreise einer Kontrolle unterlägen. Der Sprecher erklärte, dass Durchsuchungen elektronischer Geräte selten seien und von Fall zu Fall bewertet würden, wobei Reiseumstände und Warnungen der Strafverfolgungsbehörden berücksichtigt würden. Die U.S. Attorney's Office lehnte eine Stellungnahme ab.

GrapheneOS-Duress-Funktion

GrapheneOS führte seine Duress-PIN-Funktion im Juni 2024 ein, entwickelt genau für die Art von Szenario, das Tunick beschrieb. Projektgründer Daniel Micay verwies auf einen veröffentlichten Überblick über die Abwehrmaßnahmen des Systems gegen Datenextraktion von gesperrten Geräten.

In einer separaten Erklärung bemerkte GrapheneOS, dass das Secure Element im Google Pixel – dem für die Verwendung mit seiner Firmware empfohlenen Telefon – sich erst aktualisiert, nachdem der Gerätebesitzer sich authentifiziert hat, und beschrieb dies als gezielte Abwehrmaßnahme gegen „staatlichen Zwang".

Der Fall tritt auch in eine breitere, jahrelange Debatte über das Spannungsfeld zwischen starker Verschlüsselung und den Ermittlungsbedürfnissen der Strafverfolgungsbehörden ein – ein Konflikt, der zuvor in Streitigkeiten mit Apple, Signal und anderen Unternehmen darüber beleuchtet wurde, ob Anbieter den Zugang zu gesperrten Geräten und verschlüsselten Kommunikationen erleichtern können oder sollten.