Apple iOS 27: Der neue Schutz vor Bankbetrug ist ab Werk aus

Mit iOS 27 hat Apple eine Schutzfunktion ausgeliefert, die genau dort ansetzt, wo die Zwei-Faktor-Anmeldung nichts mehr ausrichtet. Auf deutschen Geräten heißt sie "Risikoerkennung für Identitätsmissbrauch". Nach dem Update ist sie aus. Das System ist seit dem 14. September verfügbar, in Deutschland mit den bekannten Einschränkungen bei Siri AI.

Apple beschreibt den Fall im eigenen Supportdokument ungewöhnlich direkt. Ein Angreifer gibt sich als Bank, als Behörde oder als jemand aus, dem du vertraust, und drängt dich zu einer Zahlung oder zu einer Änderung an deinem Konto. Klassische Sicherheitsmaßnahmen greifen dann nicht, weil du die Aktion selbst ausführst, auch wenn dich jemand dazu überredet hat. Dieselbe Lücke hatten wir im August am geklauten Session-Cookie beschrieben, und die geklonte Stimme am Telefon gehört in die gleiche Familie.

Was das iPhone dabei bewertet

Geprüft wird die Situation und nicht die Telefonnummer. Unterstützte Apps können eine Risikoeinschätzung anfordern, sobald du eine Zahlung auslöst oder ein Passwort änderst. Das iPhone wertet dafür Interaktionsmuster, zeitliche Abläufe, Kontext und einfache Sensordaten aus, und zwar auf dem Gerät selbst. Zurück an die App geht nur eine Stufe, also Unbekannt, Medium oder Hoch. Inhalte aus Fotos, Nachrichten und Mail bleiben laut Apple außen vor. Was die App aus der Stufe macht, entscheidet die App. Apple hat darauf ausdrücklich keinen Einfluss.

Wo der Schalter sitzt

Der Weg führt über Einstellungen, Datenschutz und Sicherheit, Risikoerkennung für Identitätsmissbrauch. Dort muss die Freigabe für App-Entwickler eingeschaltet werden, und Apple weist darauf hin, dass dafür unter Umständen eine Anmeldung im App Store mit der Apple-ID nötig ist. Änderungen an dieser Einstellung können bis zu 24 Stunden brauchen, bis sie wirken. Das ist Absicht. Wer dich mitten im Anruf auffordert, den Schutz eben mal abzuschalten, läuft damit ins Leere.

Der Haken steht bei Apple selbst

Die Risikoerkennung wirkt ausschließlich in Apps, die sie eingebaut haben. Welche das sind, hat Apple bisher nicht veröffentlicht. Du kannst den Schalter also umlegen und weißt trotzdem nicht, ob deine Bank, dein Zahlungsdienst oder deine Wallet überhaupt nachfragt. Nach dem Einschalten zeigt dieselbe Seite unter "Letzte Aktivität", welche App eine Einschätzung angefordert hat und aus welchem Anlass. Vorerst ist das der einzige Weg, es herauszufinden.

Auffällig ist noch etwas. Das deutsche Supportdokument trägt am heutigen Tag den englischen Text, und das deutsche iPhone-Handbuch steht online weiterhin bei iOS 26. Wer nachlesen will, was der Schalter genau tut, landet bei der englischen Fassung.

Praktisch heißt das, die zwei Minuten für den Schalter kosten dich wenig, weil an die App nur eine Risikostufe geht und keine Rohdaten. Spürbar wird der Schutz erst, wenn Banken und Zahlungsdienste mitziehen. Bis dahin ist die Funktion eine Vorbereitung auf den Ernstfall, kein Schild, das heute schon vor dir steht.