Was ist die Secure Enclave? Der Sicherheitschip im iPhone erklärt

Dein Fingerabdruck entsperrt das iPhone, dein Gesicht bestätigt eine Zahlung, und trotzdem liegen diese Daten nirgends, wo eine App oder ein Angreifer sie einfach auslesen könnte. Möglich macht das ein kleiner, abgeschotteter Baustein im Prozessor: die Secure Enclave. Sie ist seit dem iPhone 5s von 2013 in jedem iPhone verbaut und arbeitet wie ein Tresor mit eigener Tür, eigenem Schlüssel und eigenem Wachpersonal, getrennt vom Rest des Systems. Dieser Artikel erklärt, was die Secure Enclave ist, warum es einen eigenen Chip dafür braucht, was genau darin liegt und was das Ganze auch beim Kauf eines gebrauchten iPhones bedeutet. Die Kurzfassung oben, die Technik darunter.

Das Wichtigste in Kürze

• Die Secure Enclave ist ein eigener Sicherheitschip im Apple-Prozessor, getrennt vom Hauptprozessor. Selbst wenn das Betriebssystem gehackt wird, kommt ein Angreifer nicht an ihren Inhalt.
• Sie hütet deine Biometrie und deine Schlüssel. Face ID, Touch ID und die kryptografischen Schlüssel, mit denen der Speicher verschlüsselt ist, liegen hier und nur hier.
• Nichts davon verlässt den Chip. Biometrische Daten werden nicht übertragen, nicht gesichert, nicht synchronisiert. Der Chip liefert nur das Ergebnis der Prüfung.
• Es gibt sie seit dem iPhone 5s von 2013, eingeführt zusammen mit dem ersten Touch ID. Jedes iPhone seither hat sie.
• Android macht das Gleiche mit anderen Namen. Dort heißt das hardwaregestützte Pendant TEE, die besonders abgeschottete Stufe StrongBox.
• Beim Gebrauchtkauf ist sie dein Freund. Ein korrekt zurückgesetztes Gerät gibt die Daten des Vorbesitzers nicht mehr her, das ist technisch erzwungen, nicht nur eine Einstellung.

Die einfache Erklärung: ein Tresor im Chip

Stell dir den Hauptprozessor deines iPhones wie ein großes, belebtes Büro vor. Hier laufen Apps, das Betriebssystem, dein Browser, alles. In einem belebten Büro kann viel schiefgehen: Ein Programm hat einen Fehler, eine App will mehr sehen, als sie soll, im schlimmsten Fall schmuggelt sich Schadsoftware ein. Alles, was in diesem Büro offen herumliegt, ist im Ernstfall angreifbar.

Die Secure Enclave ist der Tresor in diesem Büro. Sie sitzt auf demselben Chip wie der Hauptprozessor, hat aber eine eigene, verschlossene Tür. Nur sie selbst kann hinein, der Rest des Büros nicht, egal wie mächtig er ist. Wenn Face ID dein Gesicht prüft, schickt der Hauptprozessor nicht etwa dein Gesichtsmodell zur Secure Enclave und wartet auf den Vergleich. Er reicht nur die Anfrage durch die Tür, drinnen wird verglichen, und heraus kommt allein die Antwort: passt oder passt nicht. Dein Gesichtsmodell selbst bleibt im Tresor.

Diese Trennung ist der ganze Trick. Selbst wenn jemand die Kontrolle über das Betriebssystem übernimmt, steht er vor einer verschlossenen Tür, die er mit seiner Macht über das Büro nicht öffnen kann. Apple formuliert es so: Die Secure Enclave soll sensible Daten schützen, selbst wenn der Kern des Hauptsystems bereits kompromittiert ist.

Warum braucht es dafür einen eigenen Chip?

Man könnte fragen, warum Software das nicht auch leisten könnte, mit guter Verschlüsselung und sauberer Programmierung. Die Antwort: Software läuft immer irgendwo, wo auch anderes läuft. Sie teilt sich den Speicher und den Prozessor mit dem Rest des Systems, und alles, was sich etwas teilt, lässt sich im Prinzip belauschen. Der einzige wirklich zuverlässige Schutz ist eine physische Grenze, eine getrennte Recheneinheit mit eigenem Speicher, die nach außen nur ein schmales, streng kontrolliertes Fenster hat.

Genau das ist die Secure Enclave: kein Programm, sondern Hardware. Sie hat einen eigenen Prozessor, eigenen verschlüsselten Speicher und ein eigenes Miniatur-Betriebssystem, das mit dem großen iOS nichts zu tun hat. Der Hauptprozessor kann ihr Aufgaben stellen, aber nicht in ihren Speicher schauen. Diese Grenze existiert in Silizium, nicht in Code, und deshalb lässt sie sich nicht durch einen Software-Fehler aushebeln.

Was liegt eigentlich darin?

Zwei Dinge vor allem. Erstens deine Biometrie. Wenn du Touch ID oder Face ID einrichtest, entsteht kein Bild deines Fingers oder deines Gesichts, sondern eine mathematische Beschreibung, ein Zahlenmodell. Dieses Modell wird verschlüsselt und so abgelegt, dass nur die Secure Enclave es lesen kann. Es wird laut Apple nicht an Apple gesendet und nicht in iCloud-Backups aufgenommen.

Zweitens die Schlüssel für die Verschlüsselung deiner Daten. Alles auf dem iPhone ist verschlüsselt, und die Schlüssel dafür sind mit der Secure Enclave verheiratet. Sie werden aus einer eindeutigen Geräte-Kennung abgeleitet, die schon bei der Fertigung fest in den Chip eingebrannt wird und die keine Software je zu Gesicht bekommt, auch die der Secure Enclave selbst nicht direkt. Erst dein Code oder deine Biometrie schaltet diese Schlüssel frei. Ohne die Secure Enclave ist der Datenspeicher nur ein Haufen Zufallsrauschen.

Apple und Android im Vergleich

Ein hardwaregestützter Sicherheitsbereich ist kein Apple-Alleinstellungsmerkmal. Android verfolgt dasselbe Ziel, nur mit anderen Begriffen und einer feineren Abstufung.

Der Unterschied zwischen TEE und StrongBox ist derselbe wie zwischen einem abgeschlossenen Zimmer und einem Tresor. Das TEE ist ein sicherer Modus im Hauptprozessor selbst, gut abgeschirmt vom normalen Betriebssystem, aber physisch dieselbe Recheneinheit. StrongBox geht einen Schritt weiter und verlangt einen eigenen, getrennten Chip mit eigenem Prozessor, eigenem Speicher und eigenem Zufallszahlengenerator. Damit liegt StrongBox konzeptionell auf einer Stufe mit Apples Secure Enclave. Bei den Pixel-Geräten von Google übernimmt der Titan-M-Chip genau diese Rolle.

Für alle, die es genau wissen wollen: der Aufbau der Secure Enclave

Ab hier wird es technisch. Wer nur den praktischen Teil wollte, kann zum Abschnitt über den Gebrauchtkauf springen.

Ein Rechner im Rechner

Die Secure Enclave ist kein passiver Speicher, sondern ein vollständiges kleines System. Sie hat einen eigenen Prozessor, den Secure Enclave Processor, der ein von Apple angepasstes Mikrokernel-Betriebssystem ausführt. Er läuft absichtlich mit niedrigerem Takt, um Angriffe zu erschweren, die aus dem Stromverbrauch oder dem Zeitverhalten Rückschlüsse ziehen wollen. Um ihn herum sitzen mehrere spezialisierte Bausteine, die zusammen den Tresor bilden.

Verschlüsselter Speicher mit Manipulationsschutz

Die Secure Enclave nutzt einen abgetrennten Bereich des Arbeitsspeichers, aber sie vertraut ihm nicht blind. Jedes Mal, wenn sie etwas in diesen Speicher schreibt, verschlüsselt eine eigene Memory Protection Engine den Block und hängt eine Prüfsumme an. Beim Lesen wird die Prüfsumme wieder kontrolliert. Stimmt sie nicht, wird der Inhalt verworfen. Ab den Chips A11 und S4 kommt ein Schutz gegen sogenannte Replay-Angriffe dazu: Das System merkt sich über einen Integritätsbaum, welcher Speicherstand der aktuelle ist, sodass niemand heimlich einen alten, bereits abgefangenen Zustand zurückspielen kann.

Sicherer Start und eigener Zufall

Damit gar nicht erst manipulierte Software auf dem Chip läuft, prüft ein unveränderliches Start-ROM bei jedem Einschalten die Signatur des Secure-Enclave-Betriebssystems, bevor es überhaupt startet. Ab dem A13 wacht zusätzlich ein Boot Monitor über diese Integrität. Dazu kommen ein eigener Zufallszahlengenerator, ein dedizierter AES-Baustein für die schnelle Verschlüsselung des Datenspeichers und ein Beschleuniger für asymmetrische Kryptografie. Wichtig ist dabei: Die aus der Geräte-Kennung abgeleiteten Schlüssel werden innerhalb der Hardware benutzt, aber nie in einer Form nach außen gegeben, die Software lesen könnte.

Warum das alles zusammen zählt

Kein einzelner dieser Bausteine ist für sich genommen die ganze Sicherheit. Es ist das Zusammenspiel: ein getrennter Prozessor, damit fremder Code nicht mitliest; verschlüsselter Speicher mit Prüfsumme, damit niemand von außen an oder in den Speicher greift; sicherer Start, damit nur echte Apple-Software läuft; und fest eingebrannte Schlüssel, die den ganzen Tresor an genau dieses eine Gerät binden. Erst zusammen ergeben sie eine Grenze, die man mit reiner Software nicht überwinden kann.

Was das beim gebrauchten iPhone heißt

Für den Gebrauchtkauf ist die Secure Enclave ein starkes Sicherheitsnetz, und zwar in beide Richtungen. Beim Zurücksetzen eines iPhones über "Alle Inhalte und Einstellungen löschen" wird nicht mühsam jede Datei einzeln überschrieben. Stattdessen wirft die Secure Enclave die Schlüssel weg, mit denen der Speicher verschlüsselt war. In dem Moment werden die alten Daten zu unlesbarem Rauschen, unwiderruflich und in Sekunden. Der Vorbesitzer eines Geräts kann also nicht an deine Daten, und du kommst nicht an seine. Genau deshalb ist der Datenschutz bei einem sauber zurückgesetzten iPhone kein Versprechen, sondern eine technische Tatsache.

Für dich als Käufer heißt das zweierlei. Achte darauf, dass ein gebrauchtes iPhone vollständig zurückgesetzt und aus dem Konto des Vorbesitzers abgemeldet ist, also ohne aktive Aktivierungssperre. Und du profitierst genau von diesem Chip auch andersherum: Ein älteres iPhone, das die Secure Enclave hat, bringt denselben Grundschutz für deine Biometrie und deine Schlüssel mit wie ein aktuelles. Wenn du dir unsere generalüberholten iPhones ansiehst, ist dieser Sicherheitsbaustein bei jedem einzelnen Gerät bereits an Bord, vom älteren Modell bis zum jüngeren. Wie du ein Gerät nach dem Kauf sauber einrichtest und wie lange ein Modell noch Updates bekommt, ist eine eigene Frage, die wir im Ratgeber Wie lange bekommt mein Smartphone Updates behandeln.

Talkis Empfehlung

Die Secure Enclave ist eines der Merkmale, das man nie zu Gesicht bekommt und trotzdem täglich nutzt. Jedes Mal, wenn dich dein iPhone per Gesicht oder Finger erkennt und niemand sonst diese Daten je zu sehen bekommt, ist sie am Werk. Für den Alltag musst du nichts einstellen, sie arbeitet einfach im Hintergrund. Wichtig zu wissen ist vor allem eines: Diese Sicherheit hängt am Gerät, nicht am Preisschild. Ein geprüftes, generalüberholtes iPhone hat denselben Tresor im Chip wie ein fabrikneues. Wer also ein sicheres iPhone sucht, muss dafür nicht zwingend das neueste Modell nehmen.

Geprüfte iPhones ansehen

Häufige Fragen

Was ist die Secure Enclave einfach erklärt? Ein kleiner, abgeschotteter Sicherheitschip im Prozessor deines iPhones. Er verwahrt deine Face-ID- und Touch-ID-Daten sowie die Schlüssel zur Verschlüsselung, getrennt vom Rest des Systems. Selbst wenn das Betriebssystem gehackt würde, käme ein Angreifer nicht an den Inhalt dieses Chips.

Welche iPhones haben eine Secure Enclave? Alle iPhones seit dem iPhone 5s von 2013, das sie zusammen mit dem ersten Touch ID eingeführt hat. Auch iPad, Mac mit Apple-Chip, Apple Watch und weitere Apple-Geräte haben sie. Praktisch bedeutet das: Jedes iPhone, das man heute sinnvoll nutzt, bringt sie mit.

Werden meine Face-ID- oder Touch-ID-Daten irgendwo gespeichert? Nur lokal auf dem Gerät, verschlüsselt und ausschließlich für die Secure Enclave lesbar. Laut Apple werden diese Daten nicht an Apple gesendet und nicht in iCloud-Backups aufgenommen. Nach außen gibt der Chip nur das Ergebnis der Prüfung heraus, nicht die Daten selbst.

Hat Android auch so etwas wie die Secure Enclave? Ja. Android nutzt ein Trusted Execution Environment (TEE) als abgeschotteten Sicherheitsbereich und ab Android 9 zusätzlich StrongBox, einen eigenen Sicherheitschip. StrongBox entspricht konzeptionell Apples Secure Enclave. Bei Googles Pixel-Geräten übernimmt der Titan-M-Chip diese Aufgabe.

Sind meine Daten auf einem gebrauchten iPhone sicher gelöscht? Ja, wenn das Gerät ordentlich zurückgesetzt wurde. Beim Löschen wirft die Secure Enclave die Verschlüsselungsschlüssel weg, wodurch die alten Daten sofort und unwiderruflich unlesbar werden. Achte beim Kauf darauf, dass keine Aktivierungssperre mehr aktiv und das Gerät vom Vorbesitzer abgemeldet ist.

Macht die Secure Enclave ein iPhone unhackbar? Nein, unhackbar ist kein seriöses Versprechen. Die Secure Enclave hebt die Hürde aber deutlich an, weil die sensibelsten Daten hinter einer Hardware-Grenze liegen, die sich mit einem reinen Software-Angriff nicht überwinden lässt. Sie schützt genau die Kronjuwelen, nicht jede beliebige App auf dem Gerät.

Quellen und zum Weiterlesen

• Apple Platform Security: The Secure Enclave (Aufbau, Isolierung vom Hauptprozessor, Memory Protection Engine, Gerätereichweite, Chip-Generationen A11/S4, A13).
• Apple: Apple Platform Security Guide (PDF) (das vollständige Sicherheitsdokument, Secure Enclave Processor, Boot ROM, AES Engine, Public Key Accelerator).
• Apple Support: Face ID, Touch ID, Codes und Passwörter (biometrische Daten bleiben auf dem Gerät, werden nicht an Apple gesendet, kein iCloud-Backup).
• Apple Developer: Protecting keys with the Secure Enclave (Schlüssel entstehen im Chip und verlassen ihn nie).
• Android Developers: Android Keystore system (hardwaregestützte Schlüssel, TEE gegen StrongBox, FEATURE_STRONGBOX_KEYSTORE, ab Android 9 / API 28).
• Google: Building a Titan: Better security through a tiny chip (Titan M als StrongBox-Umsetzung bei Pixel-Geräten).