Manche nennen ihn den „Erase Code", offiziell heißt er bei GrapheneOS Duress-PIN beziehungsweise Duress-Passwort: eine zweite, geheime Eingabe für den Sperrbildschirm, die dein Gerät nicht entsperrt — sondern sofort und unwiderruflich löscht.
Was die Duress-PIN wirklich macht
Neben deinem normalen Entsperr-Code kannst du auf GrapheneOS eine zweite PIN (oder ein zweites Passwort, je nachdem welche Methode du zum Entsperren nutzt) hinterlegen. Gibst du diesen Code irgendwo ein, wo das Gerät normalerweise nach deinen Zugangsdaten fragt — auf dem Sperrbildschirm, aber auch bei App-internen Authentifizierungs-Abfragen — startet sofort ein vollständiger Löschvorgang:
- Alle Verschlüsselungsschlüssel des Geräts werden zerstört
- Sämtliche Nutzerdaten werden unwiderruflich gelöscht
- Installierte eSIM-Profile werden ebenfalls entfernt
- Der Vorgang läuft ohne Bestätigungsdialog, ohne Warnung und ohne Countdown
- Nach dem Löschen zeigt das Gerät den normalen Ersteinrichtungs-Bildschirm — als wäre es neu
Für einen Beobachter sieht die Eingabe der Duress-PIN identisch aus wie eine falsche PIN-Eingabe. Das Gerät zeigt kurz „Falsche PIN" an und schaltet sich dann ab. Erst danach ist die Löschung bereits vollständig abgeschlossen — es gibt keinen Weg, sie zu unterbrechen oder rückgängig zu machen.
WofĂĽr ist das gedacht?
Die Duress-PIN adressiert ein sehr konkretes Bedrohungsszenario: physischer Zwang zur Geräteentsperrung. Das betrifft zum Beispiel:
- Grenzkontrollen, bei denen Reisende zur Entsperrung ihres Geräts aufgefordert werden
- Festnahmen oder Durchsuchungen, bei denen die PIN unter Druck herausgegeben werden muss
- Situationen, in denen jemand dich zwingt, dein Gerät zu entsperren
In solchen Momenten gibst du scheinbar nach — gibst eine PIN ein — während das Gerät im Hintergrund alle Daten zerstört. Für die Person, die dich zur Entsperrung zwingt, ist im ersten Moment nicht erkennbar, dass etwas anderes als eine falsche Eingabe passiert ist.
Wo die Grenzen liegen
Die Duress-PIN ist kein Allheilmittel. Sie hilft nicht, wenn:
- das Gerät zum Zeitpunkt der Beschlagnahmung bereits entsperrt ist
- eine Kopie deiner Daten an anderer Stelle existiert (Cloud-Backup, vorher erstellte Sicherung)
- jemand fortgeschrittene forensische Werkzeuge einsetzt, während das Gerät eingeschaltet und entsperrt war
- du selbst die Duress-PIN aus Versehen eingibst — etwa weil sie deiner echten PIN zu ähnlich ist
Genau der letzte Punkt ist in der Praxis das größte Risiko. Es gibt keinen Bestätigungsdialog und keine zweite Chance. Eine unabsichtlich eingegebene Duress-PIN löscht dein Gerät genauso vollständig wie eine absichtliche.
Voraussetzungen, bevor du sie aktivierst
Wer die Duress-PIN einsetzen möchte, sollte vorher zwingend:
- Alle wichtigen Daten extern sichern (Fotos, Dokumente, 2FA-Wiederherstellungscodes)
- Messenger-IDs und Wiederherstellungsinformationen separat notieren (z. B. Signal-PIN, Session-Wiederherstellungscodes)
- Kontozugänge und Passwort-Manager-Wiederherstellungscodes an anderer Stelle dokumentieren
- Eine Duress-PIN wählen, die sich strukturell klar von der echten PIN unterscheidet — z. B. eine andere Ziffernanzahl, kein einfaches Vertauschen einzelner Ziffern
GrapheneOS selbst weist ausdrücklich darauf hin, dass man die Duress-PIN niemals zum Testen auf dem produktiven Gerät eingeben sollte — der Löschvorgang ist real und sofort wirksam.
Einrichtung (KurzĂĽberblick)
Die Duress-PIN wird unter Einstellungen → Sicherheit & Datenschutz → Geräteentsperrung → Duress-Passwort eingerichtet. Zur Bestätigung muss zunächst die aktuelle, echte PIN eingegeben werden. Da GrapheneOS zwischen PIN- und Passwort-Entsperrung unterscheidet, müssen je nach genutzter Methode sowohl eine Duress-PIN als auch ein Duress-Passwort separat gesetzt werden, damit die Funktion unabhängig von der Entsperrmethode zuverlässig greift.
Sinnvolle Ergänzung: Auto-Reboot und Lockdown-Modus
Die Duress-PIN entfaltet ihren vollen Nutzen erst in Kombination mit zwei weiteren GrapheneOS-Funktionen:
- Auto-Reboot: Startet das Gerät nach einer einstellbaren Inaktivitätszeit (Standard: 18 Stunden) automatisch neu. Nach einem Neustart ist der Speicher vollständig verschlüsselt und ohne PIN nicht zugänglich — auch nicht mit fortgeschrittenen forensischen Methoden.
- Lockdown-Modus: Über den Ausschalt-Dialog aktivierbar, deaktiviert temporär die biometrische Entsperrung. Danach ist ausschließlich die PIN-Eingabe möglich — relevant, weil in einigen Rechtssystemen zwar ein Fingerabdruck erzwungen werden kann, ein Passwort jedoch nicht.
FĂĽr wen ist das relevant?
Die Duress-PIN richtet sich an ein sehr spezifisches Bedrohungsmodell: Personen, bei denen physischer Zwang zur Geräteentsperrung ein reales Szenario ist — etwa Journalisten mit sensiblen Quellen, Aktivisten, oder Personen, die regelmäßig Grenzkontrollen mit Gerätedurchsuchung durchlaufen. Für die meisten Alltagsnutzer ist das Risiko einer versehentlichen Auslösung höher als der tatsächliche Nutzen. Eine starke reguläre PIN, deaktivierte Biometrie in kritischen Situationen und aktiviertes Auto-Reboot bieten für die meisten Bedrohungsmodelle bereits ausreichenden Schutz.
Alle SaferPhone-Geräte laufen auf GrapheneOS und unterstützen diese Funktion nativ — bei Bedarf helfen wir dir über unseren Support bei der sicheren Einrichtung.