Bei einem aktuellen Mac ist die SSD kein Bauteil mehr, das man herausnimmt, um die Daten anderswo auszulesen: Sie ist auf die Hauptplatine gelötet, und ihr Inhalt wird dauerhaft vom Chip des Mac verschlüsselt. Ohne eine funktionsfähige Hauptplatine und einen funktionsfähigen Prozessor sowie ohne das FileVault-Passwort kann niemand diese Daten entschlüsseln, weder wir noch Apple. Deshalb besteht die Datenrettung bei einem defekten Mac fast nie darin, die SSD zu versetzen, sondern die Hauptplatine zu reparieren, um wieder Zugang zu den darin enthaltenen Entschlüsselungsschlüsseln zu erhalten.

Der folgende Text erklärt die beiden grossen Mac-Epochen, die Rolle des T2-Chips und dann der Secure Enclave, was FileVault hinzufügt, die Falle des Fusion Drive und was tatsächlich wiederherstellbar bleibt.

Zwei Mac-Epochen

Der erste Reflex bei der Datenrettung ist zu wissen, mit welcher Mac-Generation man es zu tun hat, denn alles Weitere folgt daraus.

Bei älteren Macs, bis etwa 2016, war die SSD oft ein herausnehmbares Bauteil. Sie hatte ein Format, das dem vom PC bekannten M.2 nahekam, war aber in Wirklichkeit ein proprietäres Apple-Format. Vor allem erzwangen diese Maschinen nicht zwingend eine Hardwareverschlüsselung. In diesem Fall bleibt eine aus der Maschine ausgebaute SSD lesbar, und die Datenrettung gleicht der einer herkömmlichen Festplatte.

Bei aktuellen Macs ist das nicht mehr möglich. Die SSD ist direkt auf die Hauptplatine gelötet. Man kann sie also nicht mehr herausnehmen, um sie auf einem anderen Gerät auszulesen, und, wie wir sehen werden, gewinnt man selbst durch das Auslöten der Chips nichts Nutzbares, solange die Verschlüsselung nicht aufgehoben ist. Festplatte und Maschine sind eins geworden.

Der T2-Chip: weit mehr als eine Verschlüsselung

Bei aktuellen Intel-Macs hat Apple einen dedizierten Chip eingeführt, den T2. Man reduziert ihn oft auf seine Rolle bei der Verschlüsselung, doch er leistet viel mehr, und das zu verstehen ist nützlich, um zu begreifen, warum ein Mac auf verwirrende Weise ausfallen kann.

Der T2 fungiert zunächst als Controller der SSD, mit einer dauerhaften Hardwareverschlüsselung der Daten. Er beherbergt auch die Secure Enclave, den gesicherten Bereich, der den sicheren Systemstart und Touch ID verwaltet. Er übernimmt zudem die Signalverarbeitung, etwa für Mikrofon und Kamera. Und er steuert einen Teil der Stromversorgung der Maschine.

Dieser letzte Punkt liefert ein anschauliches Beispiel für einen Defekt. Wenn man das Ladegerät anschliesst, kommt der Strom zunächst in standardmässigen 5 Volt über USB an. Es baut sich dann eine Kommunikation mit dem T2 auf, und ab einem bestimmten Moment gibt der Chip die Informationen zurück, die es der Hauptplatine erlauben, die Spannung zu erhöhen. Der Dialog erfolgt mit dem Ladegerät, im Grunde um ihm mitzuteilen, dass es nun 20 Volt liefern darf. Ist die Firmware des T2 beschädigt, findet dieser Übergang nicht mehr statt: Die Maschine bleibt bei 5 Volt hängen, steigt nicht auf 20 Volt, und man steht vor einem Mac, der nicht startet oder nicht lädt, obwohl das Problem weder die Batterie noch das Ladegerät ist.

Apple Silicon, die Secure Enclave und FileVault

Mit den Apple-Silicon-Chips, den M1, M2, M3 und M4, hat Apple diese Funktionen direkt in den Hauptprozessor integriert. Die Secure Enclave ist nun Teil davon und macht jede Umgehung der Sicherheitsmechanismen des Mac praktisch unmöglich. Diese Maschinen sind aus dieser Sicht widerstandsfähiger, was jedoch eine unmittelbare Folge für die Datenrettung hat.

Der Inhalt der SSD ist weiterhin verschlüsselt, und die Verschlüsselungsschlüssel werden von der Secure Enclave im Inneren des Prozessors verwaltet. Stirbt der Prozessor, sind diese Schlüssel verloren, und die Entschlüsselung ist schlicht nicht mehr möglich. Man könnte die NAND-Speicherchips technisch einen nach dem anderen auslesen, würde aber nur verschlüsselten und somit unbrauchbaren Inhalt erhalten.

Auch deshalb kann man sich nicht damit begnügen, die SSD zu versetzen, zusätzlich zu der Tatsache, dass sie aufgelötet ist. Selbst wenn man sich vorstellt, die Chips auszulöten und auf eine andere Platine zu löten, wechselt man den Prozessor, also den Verschlüsselungsschlüssel, und die Daten bleiben unlesbar. Der einzige Weg, wenn die Hauptplatine ein Problem hat, ist, diese Hauptplatine zu reparieren, um sie funktionsfähig zu machen, denn ihre Komponenten besitzen die Schlüssel, mit denen sich entschlüsseln lässt.

FileVault fügt noch eine weitere Schicht obendrauf. Es ist ein Softwareschutz, der sich auf den Hardwareschutz des Chips stapelt. Konkret gibt der Chip, wenn der FileVault-Schlüssel nicht bereitgestellt wird, den Verschlüsselungsschlüssel des Prozessors nicht frei. Anders gesagt: Selbst bei einer perfekt reparierten Maschine bleibt der Zugang zu den Daten ohne das FileVault-Passwort oder dessen Wiederherstellungsschlüssel verschlossen.

Wo die Schlüssel liegen, je nach Mac

Mac-Generation	SSD	Verschlüsselung	Auswirkung auf die Datenrettung
Vor ~2016	Oft herausnehmbar (proprietäres Format)	Nicht zwingend erzwungen	Ausgebaute SSD bleibt lesbar, wie eine herkömmliche Festplatte
Intel mit T2-Chip	Aufgelötet	Hardwareseitig über den T2	Hauptplatine reparieren, um an die Schlüssel zu gelangen
Apple Silicon (M1 bis M4)	Aufgelötet	Schlüssel in der Secure Enclave des Prozessors	Toter Prozessor = verlorene Schlüssel, Entschlüsselung unmöglich
Mit aktiviertem FileVault	Je nach Modell	Zusätzliche Softwareschicht	Ohne Passwort / Wiederherstellungsschlüssel Zugang verschlossen

Die Falle des Fusion Drive

Ein Sonderfall verdient es, dass man bei ihm verweilt, denn er tappt regelmässig Nutzer wie auch manche Reparateure in die Falle: der Fusion Drive. Dieses System gibt es bei aktuellen Macs nicht mehr, doch es steckt noch in vielen Maschinen. Apple hat es 2012 eingeführt.

Die Idee war, zwei Datenträger zu kombinieren: eine schnelle SSD mit geringer Kapazität und eine grosse mechanische Festplatte, um viele Daten zu speichern. Der Mac verteilt die Dateien mehr oder weniger intelligent zwischen den beiden, behält für die Geschwindigkeit das häufig Genutzte auf der SSD und verlagert das Grössere, Seltenere oder weniger Beanspruchte auf die mechanische Festplatte. Aus Sicht des Nutzers erscheint all das nur als ein einziges Volume.

Das Problem ist, dass die beiden Datenträger eine untrennbare Einheit bilden. Fällt einer der beiden aus, SSD oder mechanische Festplatte, müssen beide repariert und wiederhergestellt werden, um die Daten zu rekonstruieren, denn die Dateien sind auf sie verteilt. Nun bringt uns aber sehr regelmässig ein Kunde nur einen einzigen Datenträger, überzeugt, dass es nur einen gibt, weil er in seiner Maschine nur eine Festplatte sah. Eine rasche Analyse, sobald der Datenträger repariert ist, offenbart dann, dass es sich in Wirklichkeit um einen Fusion Drive handelte und die zweite Hälfte fehlt. Bei einem älteren Mac besteht die erste Vorsichtsmassnahme also darin, zu prüfen, ob nicht eine SSD und eine Festplatte als Fusion Drive verbunden sind.

Was wirklich wiederherstellbar bleibt

Machen wir bei einem Punkt Klartext, den manche Konkurrenten im Vagen halten: Nein, bei einem aktuellen Mac wird nicht alles wiederhergestellt. Wenn man Ihnen eine garantierte Datenrettung verspricht, unabhängig vom Zustand der Maschine, ist Vorsicht geboten. Ist der Prozessor defekt, sind die Schlüssel der Hardwareverschlüsselung verloren, und kein Labor der Welt wird diese Daten entschlüsseln. Auch Apple stellt sie nicht wieder her.

Ein grosser Teil der Defekte betrifft hingegen nicht den Prozessor selbst. Wenn man uns einen defekten aktuellen Mac mit seiner aufgelöteten SSD anvertraut, gehen wir zunächst an die Reparatur der Hauptplatine. Sehr oft liegt das Problem bei der Stromversorgung der Platine, ein häufiger Fall etwa bei MacBook Pro. Wir reparieren diesen Teil und machen die Hauptplatine wieder funktionsfähig, was es der Maschine erlaubt, zu starten, sich zu entsperren und ihre Datenträger zu entschlüsseln. Erst danach erstellen wir eine perfekte bitgenaue Kopie, auf der wir die Daten extrahieren.

Die Lehre zur Vorbeugung ist einfach: Bei einem Mac ist die aufgelötete SSD ein einzelner Ausfallpunkt, und eine Sicherung ist wie bei jedem Computer unerlässlich. Die beiden grundlegenden Werkzeuge sind Time Machine für eine Sicherung auf einer externen Festplatte und iCloud Drive für die Synchronisierung. Und wenn Sie FileVault verwenden, notieren Sie sorgfältig Ihr Passwort und Ihren Wiederherstellungsschlüssel: Ohne sie hält selbst eine reparierte Maschine Ihre Daten unter Verschluss.

Was man sich merken sollte

Bei einem aktuellen Mac ist die SSD auf die Hauptplatine gelötet und der Inhalt wird vom Chip verschlüsselt, T2 bei den Intel-Modellen, in den Prozessor integrierte Secure Enclave bei den Apple Silicon M1 bis M4. Die Entschlüsselungsschlüssel liegen in diesem Prozessor. Stirbt der Prozessor, sind sie verloren und die Daten nicht mehr wiederherstellbar; deshalb führt das Versetzen oder Auslöten der SSD zu nichts, und deshalb führt die Datenrettung über die Reparatur der Hauptplatine. FileVault fügt eine Softwareschicht hinzu: ohne dessen Passwort bleibt selbst eine reparierte Maschine verschlossen.

Daraus ergeben sich zwei Reflexe. Erstens: Vorsicht bei jedem, der verspricht, bei einem aktuellen Mac alles wiederherzustellen, denn ein toter Prozessor bedeutet verlorene Schlüssel. Zweitens: sichern, mit Time Machine und iCloud, und die FileVault-Zugangsdaten aufbewahren. Und Achtung beim Fusion Drive bei älteren Macs: Zwei Datenträger bilden nur einen, beide müssen zusammen bearbeitet werden.

Häufige Fragen

Kann man die SSD eines aktuellen Mac herausnehmen, um die Daten anderswo auszulesen?

Nein. Bei aktuellen Macs ist die SSD auf die Hauptplatine gelötet und ihr Inhalt wird vom Chip verschlüsselt. Selbst beim Auslöten der Speicherchips wechselt man den Prozessor, also den Verschlüsselungsschlüssel, und der Inhalt bleibt unlesbar. Die Datenrettung führt über die Reparatur der ursprünglichen Hauptplatine.

Was passiert, wenn der Prozessor des Mac tot ist?

Bei einem Apple Silicon (M1 bis M4) werden die Verschlüsselungsschlüssel von der Secure Enclave im Inneren des Prozessors verwaltet. Ist der Prozessor tot, sind diese Schlüssel verloren und die Entschlüsselung wird unmöglich. Kein Labor kann die Daten dann wiederherstellen, Apple ebenso wenig.

Wozu dient der T2-Chip bei einem Intel-Mac?

Der T2 verschlüsselt nicht nur die SSD. Er dient auch als Speichercontroller, beherbergt die Secure Enclave (sicherer Systemstart, Touch ID), verwaltet die Signalverarbeitung von Mikrofon und Kamera und steuert einen Teil der Stromversorgung. Eine Beschädigung seiner Firmware kann beispielsweise die Spannungserhöhung von 5 auf 20 Volt blockieren und den Mac am Starten oder Laden hindern.

Ich habe mein FileVault-Passwort vergessen, können Sie meine Daten trotzdem wiederherstellen?

Nein, ausser Sie verfügen über den FileVault-Wiederherstellungsschlüssel. FileVault ist eine Softwareschicht, die sich zur Hardwareverschlüsselung hinzugesellt: Ohne das Passwort oder den Wiederherstellungsschlüssel wird der Schlüssel des Prozessors nicht freigegeben, und der Zugang bleibt selbst bei einer reparierten Maschine verschlossen.

Was ist ein Fusion Drive und warum ist das wichtig?

Ein Fusion Drive, 2012 von Apple eingeführt, kombiniert eine schnelle SSD und eine mechanische Festplatte zu einem einzigen Volume, wobei die Dateien auf beide verteilt sind. Die beiden Datenträger sind untrennbar: Fällt einer aus, müssen beide bearbeitet werden, um die Daten zu rekonstruieren. Viele Kunden bringen nur einen, ohne zu wissen, dass eine Hälfte fehlt.

Wie sichert man einen Mac richtig?

Mit den beiden grundlegenden Werkzeugen: Time Machine für eine Sicherung auf einer externen Festplatte und iCloud Drive für die Synchronisierung. Da die aufgelötete SSD ein einzelner Ausfallpunkt ist, ist eine Sicherung unerlässlich. Wenn Sie FileVault verwenden, bewahren Sie auch Ihr Passwort und Ihren Wiederherstellungsschlüssel auf.