iOS Backup (iTunes/Finder)
| Format | iOS Backup (iTunes/Finder) |
|---|---|
| Kurzname | iOS Backup |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, iOS |
| Crush Unterstützung | Unterstützt (ITunesBackupVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Lokales Backup eines iOS-Geräts, erstellt mit iTunes (Windows/ältere macOS-Versionen), dem Finder (macOS 10.15+) oder der App Apple Geräte (Windows). Gespeichert unter: Windows: %APPDATA%\Apple Computer\MobileSync\Backup\{UDID}\ (iTunes aus dem Microsoft Store / Apple Geräte: %USERPROFILE%\Apple\MobileSync\Backup\{UDID}\) macOS: ~/Library/Application Support/MobileSync/Backup/{UDID}/ Struktur (iOS 10+): 256 Unterverzeichnisse (00-ff) mit Dateien, die nach dem SHA-1-Hash von domain+'-'+relativePath benannt sind, ohne Dateiendungen und ohne ursprüngliche Dateinamen; ältere Backups sind flach und über Manifest.mbdb indiziert. Vier wichtige Metadatendateien: Info.plist (Geräteinformationen, installierte Apps, Datum des letzten Backups, iTunes-Version), Manifest.plist (Backup-Keybag, Verschlüsselungs-Flag, WasPasscodeSet, App-Liste), Status.plist (Backup-Status, Startdatum der Erstellung), Manifest.db (SQLite-Index, der fileIDs auf domain/relativePath/Metadaten abbildet). In verschlüsselten Backups (IsEncrypted=true) ist jede Datei mit einem Schlüssel pro Datei verschlüsselt, der durch den Backup-Keybag gewrappt ist, und seit iOS 10.2 ist Manifest.db selbst mit dem ManifestKey aus Manifest.plist verschlüsselt. Unverschlüsselte Backups lassen sowohl die Dateiinhalte als auch Manifest.db im Klartext. Das Backup-Passwort ist nicht an den Gerätecode gebunden. Keychain-Daten (keychain-backup.plist) sind in beiden vorhanden, in unverschlüsselten Backups bleiben sie aber mit einem aus der Geräte-UID abgeleiteten Schlüssel geschützt und lassen sich außerhalb des Geräts nicht entschlüsseln. WasPasscodeSet in Manifest.plist zeigt, ob auf dem Gerät ein Code gesetzt war.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- Keybags for Data Protection — backup keybag (Apple Platform Security) https://support.apple.com/guide/security/keybags-for-data-protection-sec6483d5760/web
- iTunes Backup format internals, unencrypted / Manifest.mbdb (The Apple Wiki) https://theapplewiki.com/wiki/ITunes_Backup
- iPhone backup forensics 101 (Kinga Kieczkowska / OBTS v7) https://kieczkowska.wordpress.com/2025/04/29/iphone-backup-forensics-101/
- iOS Data Protection on Backup (VulBusters, Medium) https://medium.com/@vulbusters/ios-data-protection-on-backup-6f53d588c830
Diesen Eintrag zitieren
Crush-Format-Referenz, „iOS Backup (iTunes/Finder)“. https://kalink0.github.io/crush-forensics/formats/de/ios-backup/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden