Indiens Cellebrite-Käufe legen Lücken bei den Regeln zur Durchsuchung beschlagnahmter Smartphones offen

Ein Kauf im Wert von 4,98 Crore Rupien mit weitreichenden Folgen für die Privatsphäre

Ein Schreiben des Innenministeriums vom 20. Januar 2026 hält fest, dass Unionsinnenminister Amit Shah der National Investigation Agency (NIA) genehmigt hat, die Beschaffungsvorgaben von Make in India zu umgehen und Cellebrite Premium zu kaufen, ein Werkzeug zum Entsperren von Smartphones und Auslesen ihrer Inhalte. Der daraus hervorgegangene Auftrag ging an Nextechno Gen Private Limited und belief sich auf 4,97,99,515 Rupien, also rund 4,98 Crore Rupien.

Der Kauf ist Teil eines umfassenderen Musters, das die Internet Freedom Foundation (IFF), eine Organisation für digitale Rechte, festgestellt hat. Ihre Auswertung von Beschaffungsunterlagen ergab, dass 2026 in 11 Ausschreibungen 15 Einträge zu Cellebrite-Produkten auftauchten. Beteiligt waren zentrale Ermittlungsbehörden, Militärstellen sowie Polizeibehörden und forensische Abteilungen der Bundesstaaten.

Die Unterlagen beschreiben weitreichende Fähigkeiten: Passwörter wiederherzustellen, den Schutz durch Zugangscodes zu umgehen und Daten von unterstützten Geräten zu kopieren, darunter auch Inhalte aus einigen geschützten Ordnern. In Indien gibt es Gesetze zu Beschlagnahme, Entschlüsselung und elektronischen Beweismitteln, aber kein eigenes Gesetz, keine Regelung und kein veröffentlichtes Protokoll, das den gesamten Ablauf einer forensischen Auswertung von Smartphones festlegt.

Wer ein Gerät abgeben muss, kann mehr verlieren als nur den Zugang zu Anrufen oder Nachrichten. Eine forensische Kopie kann Fotos, Gespräche, Standortdaten und App-Daten dauerhaft sichern, auch nachdem das Smartphone zurückgegeben wurde. Die von der IFF geprüften Beschaffungsunterlagen enthalten weder Aufbewahrungsfristen noch Löschpflichten oder besondere Schutzvorkehrungen für Journalisten, Anwälte und Personen, denen keine Straftat vorgeworfen wird.

Die Debatte gewann an Aktualität, nachdem der YouTuber Dhruv Rathee behauptet hatte, die Polizei in Delhi habe während seiner Festnahme im Oktober 2026 versucht, sein iPhone zu kopieren. Seine Behauptung ist bislang nicht verifiziert, und die Polizei hat sich öffentlich nicht dazu geäußert. Die Beschaffungsunterlagen geben derweil detailliert Auskunft darüber, was Behörden kaufen wollten und auf welchem Verwaltungsweg die Genehmigung erteilt wurde.

Was das Ministerium genehmigte

Das Schreiben des Innenministeriums trägt das Aktenzeichen 80016/2026/ADMIN NIA-HQ. Es wurde von der Abteilung für die Modernisierung der Polizei ausgestellt, von Vinod Kumar Dubey, dem stellvertretenden Beschaffungskommissar, unterzeichnet und an den Generaldirektor der NIA gerichtet. Darin wird auf eine Mitteilung der NIA vom 20. August 2025 verwiesen.

Das Schreiben hält die Genehmigung einer einmaligen Ausnahme von der Verordnung zur Bevorzugung von Make in India bei der öffentlichen Beschaffung von 2017 und ihrer Überarbeitung vom 19. Juli 2024 fest. Diese Beschaffungsvorschriften räumen der inländischen Produktion Vorrang ein. Die Ausnahme erlaubte der Behörde, das konkret benannte ausländische Produkt zu beschaffen.

Der genehmigte Vorschlag umfasste ein Cellebrite-Premium-Tool mit einer dreijährigen Lizenz zu einem geplanten Preis von 4,98,15,000 Rupien. Die Finanzabteilung des Ministeriums stimmte am 13. Januar 2026 zu; dem Schreiben zufolge erteilte der Minister die Genehmigung am 17. Januar.

Der endgültige Auftragswert lag 15.485 Rupien unter dem vorgeschlagenen Betrag. An der zentralen Frage ändert dieser geringe Unterschied nichts: Die Unterlagen erläutern die Erlaubnis zum Kauf des Tools, während die Regeln für den Zugriff auf die damit auslesbaren persönlichen Informationen weiterhin lückenhaft sind.

Die Ausschreibung enthält widersprüchliche Angaben

Die NIA veröffentlichte die Ausschreibung GEM/2026/B/7172473 am 6. Februar 2026. Fünf Bieter nahmen teil; den Zuschlag erhielt Nextechno Gen Private Limited. In der Ausschreibung wird der Innenminister als die für die Beschaffungsausnahme zuständige Genehmigungsinstanz genannt.

Die Unterlagen weisen zwei Unstimmigkeiten auf. Im Schreiben des Ministeriums und in der technischen Spezifikation ist von einer dreijährigen Lizenz die Rede, während die Ausschreibung ein einjähriges Abonnement aufführt. Außerdem nennt eine Bescheinigung als Genehmigungsdatum den 13. August 2025, während das Schreiben des Ministeriums die Genehmigung auf den 17. Januar 2026 datiert.

Die von der IFF beschriebenen Beschaffungsunterlagen klären diese Widersprüche nicht auf. Die Laufzeit der Lizenz ist wichtig, weil sie bestimmt, wie lange der gekaufte Zugang gilt und wann weitere Ausgaben anfallen könnten.

In den Unterlagen der NIA heißt es, kein anderes Unternehmen stelle Software mit derselben Bezeichnung und denselben Spezifikationen her. Eine Prüfung, ob ein indisches Produkt dieselbe Funktion erfüllen könnte, ist darin nicht dokumentiert. Ein Produkt mit einer Alternative zu vergleichen, die dieselbe erforderliche Ermittlungsaufgabe erfüllt, wäre ein anderes Beschaffungsverfahren.

Wie sich die Beschaffungen entwickelten

Die Polizei in Delhi verfügte spätestens seit Dezember 2020 über Cellebrite-Tools, darunter UFED und Physical Analyzer am National Cyber Forensic Laboratory in Dwarka. Zu den forensischen Ressourcen gehörten auch Produkte anderer Anbieter.

Eine Anordnung des Innenministeriums vom 20. März 2025 genehmigte eine Ausnahme für 19 ausländische forensische Produkte für die Kriminalabteilung der Polizei in Delhi. Drei davon stammten von Cellebrite: UFED 4PC, Digital Collector und Inspector mit MacBook Pro.

Die Unterlagen und Gerichtsverfahren erstrecken sich über mehrere Jahre:

• 2019: Die IFF reichte beim Obersten Gericht Indiens eine Klage zu Paragraf 69 des Information Technology Act sowie zu den damit verbundenen Abhörregeln und Genehmigungen ein.
• Dezember 2023: Die Zentralregierung teilte dem Obersten Gericht mit, ein Ausschuss werde Leitlinien für Durchsuchungen und Beschlagnahmen digitaler Geräte erarbeiten.
• 20. März 2025: Das Innenministerium genehmigte die Beschaffungsausnahme für drei Cellebrite-Produkte durch die Polizei in Delhi.
• 20. August 2025: Die NIA legte die Mitteilung vor, auf die das spätere Genehmigungsschreiben des Ministeriums Bezug nimmt.
• 13. bis 20. Januar 2026: Es folgten die finanzielle Zustimmung, die ministerielle Genehmigung und das Schreiben des Ministeriums.
• 6. Februar 2026: Die NIA veröffentlichte ihre Cellebrite-Ausschreibung.
• 10. Oktober 2026: Rathee wurde vor einer geplanten Protestveranstaltung festgenommen; seine Smartphones wurden nach seiner Darstellung beschlagnahmt.

Die Ausschreibungen von 2026 gehen über die NIA hinaus. Dazu zählen ein Auftrag des Serious Fraud Investigation Office an TNS Networking Solutions, Käufe oder Vertragsverlängerungen in Karnataka und Himachal Pradesh sowie ein Facility-Management-Auftrag in Kerala, der das Auslesen von Mobiltelefonen umfasst und für den Alibi Global als Auftragnehmer genannt wird. Das Department of Military Affairs schrieb Pakete zum Entsperren von Smartphones aus.

Der umfassendere Tracker der IFF umfasst rund 100 seit Juli 2025 veröffentlichte Ausschreibungen mit Überwachungstechnologien. Weitere 25 Ausschreibungen betrafen die forensische Auswertung von Mobiltelefonen, ohne dass in der Ausschreibungsphase Marken genannt wurden. Welche Anbieter und Produkte letztlich zum Einsatz kamen, lässt sich allein anhand dieser Ausschreibungsbeschreibungen nicht feststellen.

Welche Daten sich aus Smartphones auslesen lassen

Cellebrite ist ein israelisches Unternehmen für digitale Forensik. Seine Tools helfen Ermittlern, auf unterstützte Geräte zuzugreifen und Informationen für die Auswertung zu erfassen. Die Spezifikation der NIA zeigt, dass der Zugriff vom Smartphone-Modell, der Software und dem Sicherheitszustand abhängt.

Für die aufgeführten Android-Geräte und einige ältere iPhones verlangt die Spezifikation das Knacken von Zugangscodes durch Brute-Force-Angriffe. Dabei werden wiederholt mögliche Zugangscodes ausprobiert, bis die richtige Kombination gefunden ist, soweit die Fähigkeiten des Tools und der Geräteschutz dies zulassen.

Für iPhone-Modelle vom iPhone 11 bis zum iPhone 14 sieht die Spezifikation eine vollständige Dateisystem-Auslesung vor, nachdem das Gerät seit dem Start mindestens einmal entsperrt wurde. Der Sicherheitszustand eines Smartphones ändert sich nach dem ersten erfolgreichen Entsperren, was beeinflussen kann, auf welche Daten forensische Software zugreifen kann.

Die angeforderten Funktionen umfassen auch geschützte Speicherbereiche, darunter den Samsung Secure Folder, Huawei Private Space und Xiaomi Second Space, sowie Daten aus bestimmten Apps. Dabei handelt es sich um vom Käufer verlangte Spezifikationen; ob das Auslesen eines konkreten Smartphones gelingt, hängt von dessen Konfiguration und der unterstützten Software ab.

Bei einer vollständigen Dateisystem-Auslesung können Chats, Fotos, Kontakte, Anruflisten, Standortverläufe und App-Daten erfasst werden. Ermittler können diese Kopie anschließend unabhängig vom Mobiltelefon untersuchen. Wird das Smartphone zurückgegeben, bleibt deshalb eine praktische Frage offen: Wer kontrolliert die kopierten Informationen und wie lange?

Warum die Beschlagnahmen im Oktober wichtig sind

Rathee sagte, die Polizei habe sein Smartphone und die Smartphones seiner Eltern beschlagnahmt, als er am 10. Oktober vor einer geplanten Protestveranstaltung am Jantar Mantar in Delhi festgenommen worden sei. Bei dem Protest sollte der Rücktritt des Vorsitzenden der Wahlkommission gefordert werden; die Polizei hatte die Veranstaltung nicht genehmigt.

Später schilderte Rathee seine Vermutungen in einem Auftritt im Podcast des Komikers Kunal Kamra. Er sagte, Fachleute hätten sein zurückgegebenes Smartphone untersucht und keine Spionagesoftware gefunden. Er vermutete, ein Versuch, das Gerät mit Cellebrite auszulesen, sei gescheitert, weil seine iOS-Version neuer gewesen sei, als das Tool verarbeiten konnte. Außerdem verwies er auf den Batterieverlauf des Smartphones, der mehrere Stunden Ladezeit während des Gewahrsams bei der Polizei angezeigt habe.

Die DIGIPUB News India Foundation dokumentierte die Festnahme von Journalisten, die über den Protest berichteten, darunter Reporter mit sichtbarem Presseausweis. Auch einigen Journalisten wurden die Smartphones abgenommen. Die IFF forderte am 12. Oktober die Rückgabe der Geräte und die Veröffentlichung von Beschlagnahmeprotokollen.

Nach Darstellung der IFF befanden sich fast einen Monat nach den Festnahmen noch einige Smartphones bei der Polizei, ohne dass ihre Besitzer darüber informiert worden waren, was damit geschehen war. Auf einem Smartphone von Journalisten können unveröffentlichte Recherchen, private Gespräche und die Identitäten vertraulicher Quellen gespeichert sein. Das Smartphone eines Familienmitglieds kann umfangreiche persönliche Informationen enthalten, die nichts mit dem Grund für die Festnahme einer anderen Person zu tun haben.

Was die bestehenden Gesetze regeln

Der Bharatiya Nagarik Suraksha Sanhita (BNSS), Indiens Strafprozessrecht, räumt Befugnisse im Zusammenhang mit Durchsuchungen und Beschlagnahmen ein. Paragraf 106 betrifft die Beschlagnahme von Gegenständen, die mit einer Straftat in Zusammenhang stehen; Paragraf 105 schreibt vor, Durchsuchungen und Beschlagnahmen mit Bild- und Tonaufnahmen zu dokumentieren.

Diese Vorschriften regeln die Inbesitznahme von Gegenständen und die Dokumentation des Vorgehens. Sie legen jedoch nicht umfassend fest, unter welchen Voraussetzungen ein Smartphone entsperrt werden darf, welche Dateien kopiert werden dürfen, wie der spätere Zugriff beschränkt wird oder wann die Informationen nach der Auswertung gelöscht werden müssen.

Paragraf 63 des Bharatiya Sakshya Adhiniyam regelt die Bescheinigung elektronischer Aufzeichnungen, damit diese vor Gericht als Beweismittel verwendet werden können. Die Bescheinigung betrifft den Umgang mit elektronischen Beweismitteln und ihre Vorlage. Dafür, was Ermittler überhaupt erfassen dürfen, braucht es eine eigene rechtliche Grundlage und eigene Schutzvorkehrungen.

Paragraf 69 des Information Technology Act ermächtigt die Behörden, das Abfangen, die Überwachung oder die Entschlüsselung von Informationen in einer Computerressource anzuordnen. Der Rechtsrahmen verlangt eine schriftliche Anordnung der zuständigen Stelle, in der Regel des Innenministers der Union oder eines Bundesstaates. Nach Angaben der IFF ist ihr keine solche Anordnung im Zusammenhang mit den während der Proteste im Oktober beschlagnahmten Smartphones bekannt.

Paragraf 17(1)(c) des Digital Personal Data Protection Act sieht eine Ausnahme für die Verarbeitung von Daten im Zusammenhang mit Straftatenermittlungen vor. Dadurch gewinnen die Regeln für strafrechtliche Ermittlungen besondere Bedeutung für Menschen, die Beschränkungen der Verwendung ihrer Informationen verlangen.

Zwei Verfahren vor dem Obersten Gericht betreffen die Regelungslücken

Die Klage der IFF, W.P. (C) 44/2019, richtet sich gegen Paragraf 69, die Abhörregeln von 2009 und die Ermächtigung von zehn zentralen Behörden durch das Innenministerium, Informationen abzufangen, zu überwachen und zu entschlüsseln. Das Verfahren ist noch anhängig.

Ein separates Verfahren der Foundation for Media Professionals, W.P. (Crl.) 395/2022, betrifft Durchsuchungen und Beschlagnahmen digitaler Geräte. Im Dezember 2023 teilte die Zentralregierung dem Obersten Gericht mit, ein Ausschuss werde Leitlinien ausarbeiten. Nach Angaben der IFF wurden diese Leitlinien dem Gericht noch nicht vorgelegt. In der Darstellung werden weder ein nächster Verhandlungstermin noch eine Frist für die Vorlage genannt.

Besonders deutlich zeigt sich die Regelungslücke bei Smartphones, die im Rahmen einer vorbeugenden Inhaftierung beschlagnahmt werden, wenn die Behörden jemanden festhalten, um einen erwarteten Vorfall zu verhindern. Ein solches Smartphone muss kein Beweismittel in einem Strafverfahren sein; seine Inhalte könnten dennoch ohne ein veröffentlichtes Verfahren kopiert werden, das Anlass, Umfang und Dauer des Zugriffs festlegt.

In den geprüften Beschaffungsunterlagen fand die IFF keine Vorgaben zu Aufbewahrungsfristen, Löschung, Prüfungen oder zum besonderen Umgang mit Material von Journalisten, Anwälten oder Personen, denen keine Straftat vorgeworfen wird. Eine dokumentierte Beweismittelkette würde festhalten, wer ein Gerät oder eine Kopie wann bearbeitet hat, und Gerichten sowie Besitzern helfen nachzuvollziehen, wie mit den Informationen umgegangen wurde.

Internationale Fälle zeigen die Risiken des Zugriffs

Amnesty International dokumentierte, dass serbische Polizisten Cellebrite einsetzten, um das Smartphone eines Journalisten zu entsperren, bevor Spionagesoftware installiert wurde. Außerdem wurde das Auslesen von Geräten von Aktivisten dokumentiert. Beim Entsperren und Auslesen erhalten Ermittler Zugriff auf gespeicherte Informationen; Spionagesoftware kann nach ihrer Installation einen fortlaufenden Zugriff ermöglichen.

Das Citizen Lab dokumentierte den Einsatz von Cellebrite gegen Aktivisten in Jordanien sowie auf dem Smartphone des kenianischen Aktivisten Boniface Mwangi. Forschende haben zudem Fälle mit Journalisten oder Aktivisten in Russland, Hongkong, Botswana und Bangladesch beschrieben.

Cellebrite hat Verkaufsbeschränkungen oder -stopps für Hongkong und China, Russland und Belarus sowie bestimmte Kunden in Serbien angekündigt. Forschende haben auch nach einigen dieser Ankündigungen den weiteren Einsatz dokumentiert, unter anderem über Wiederverkäufer oder offline betriebene Systeme. Künftige Verkäufe zu kontrollieren und bereits im Umlauf befindliche Geräte zu kontrollieren sind unterschiedliche Durchsetzungsprobleme.

In Indien fordert die IFF Unterlagen der Polizei in Delhi und des Innenministeriums an, darunter Beschlagnahmeprotokolle, Protokolle forensischer Arbeitsplätze, Cellebrite-Lizenzen, Zugriffsprotokolle, etwaige Anordnungen nach Paragraf 69, die Beschaffungsakte der NIA und die Genehmigungsnotiz des Innenministers.

Die Organisation fordert außerdem offenzulegen, ob die bei den Protesten beschlagnahmten Smartphones an Auslesegeräte angeschlossen wurden, noch zurückgehaltene Geräte zurückzugeben und kopierte Daten von Personen, gegen die keine Anklage erhoben wurde, nachweislich zu löschen. Sie verlangt, den Einsatz solcher Tools auf Smartphones von Menschen in vorbeugender Haft, Journalisten und Anwälten auszusetzen, bis verbindliche Regeln bestehen, und die angekündigten Leitlinien dem Obersten Gericht vorzulegen.

Wichtige Punkte

• Die NIA vergab einen Cellebrite-Auftrag im Wert von 4,97,99,515 Rupien, nachdem das Innenministerium eine Ausnahme von den Beschaffungsregeln für Make in India genehmigt hatte.
• Die IFF fand 2026 in 11 Ausschreibungen 15 Einträge zu Cellebrite sowie 25 Ausschreibungen zur Auslesung von Mobiltelefonen, in denen keine Marken genannt wurden.
• Die Unterlagen der NIA enthalten widersprüchliche Angaben zu Lizenzlaufzeiten und Genehmigungsdaten.
• Die angeforderte Technologie kann unterstützte Smartphones entsperren und umfangreiche persönliche Daten kopieren, darunter Inhalte aus einigen geschützten App-Speichern.
• Rathee Behauptung, es sei versucht worden, sein Smartphone auszulesen, ist nicht verifiziert; die Polizei in Delhi hat sich öffentlich nicht dazu geäußert.
• Bestehende Gesetze regeln Beschlagnahme, Entschlüsselung und elektronische Beweismittel, doch eigene veröffentlichte Vorschriften zur Auslesung, Aufbewahrung und Löschung fehlen weiterhin.
• Zwei Verfahren vor dem Obersten Gericht betreffen einschlägige Befugnisse und Durchsuchungen von Geräten; die angekündigten Leitlinien zu Durchsuchung und Beschlagnahme wurden dem Gericht nach Angaben der IFF noch nicht vorgelegt.