Apple: iPhone-Update schließt vom FBI genutzte Sicherheitslücke

Apple hat ein Sicherheitsupdate für das iPhone veröffentlicht, das einen Fehler behebt, durch den Benachrichtigungsinhalte aus iPhones extrahiert werden konnten, selbst wenn die App bereits gelöscht worden war. Die Schwachstelle ist vom FBI ausgenutzt worden, um Signal-Nachrichtenprotokolle eines Verdächtigen auszulesen.

In Apples Versionshinweisen heißt es zu dem Problem: "Zum Löschen markierte Benachrichtigungen konnten unerwartet auf dem Gerät verbleiben." Mit dem Update gibt es nun eine "verbesserte Datenmaskierung", womit Apple offenbar darauf verweist, dass private Daten nun auch tatsächlich privat bleiben.

Das Problem ist Mitte April stärker in den Fokus gerückt, als bekannt geworden ist, dass Ermittler Nachrichteninhalte durch Zugriff auf die gespeicherte Push-Benachrichtigungsdatenbank eines Smartphones abgerufen haben. Entscheidend dabei ist, dass diese Daten auch nach dem Entfernen von Signal vom Gerät weiterhin verfügbar waren.

Meredith Whittaker, Präsidentin der Signal Foundation, hat kommentiert, dass dieses Verhalten den Datenschutz-Erwartungen an die App widerspreche: "Benachrichtigungen zu gelöschten Nachrichten sollten in keiner Benachrichtigungsdatenbank eines Betriebssystems verbleiben, und wir haben Apple gebeten, das zu beheben."

Apples jüngstes Update auf iOS 26.4.2 scheint, wie oben beschrieben, die Reaktion des Unternehmens auf dieses Problem zu sein.

Signal ist eine verschlüsselte Messaging-App, die auf Datenschutz ausgelegt ist. Entsprechend wäre es sowohl für Nutzer als auch für das Unternehmen bedenklich, wenn dieser Datenschutz verletzt oder umgangen werden könnte, wie es in diesem Fall geschehen ist. Dabei ist wichtig, dass dieses Problem wohl nicht nur Signal betroffen hat, sondern potenziell jede App, deren Benachrichtigungsinhalte von iOS protokolliert und gespeichert werden, zumindest vor dem Patch.

Der Fall verdeutlicht eine bekannte Spannung in der mobilen Sicherheit. Verschlüsselte Apps können Daten nur bis zu dem Punkt schützen, an dem das Betriebssystem sie selbst speichert. In diesem konkreten Fall hat die Schwachstelle nicht in der Messaging-App Signal gelegen, sondern darin, wie das Betriebssystem selbst mit den verbliebenen Daten umgegangen ist.

Wie bei den meisten Sicherheitslücken besteht die Sorge nicht nur darin, wer sie zuerst entdeckt hat, sondern auch darin, wer sie später noch hätte entdecken können. Apples Patch schließt diese Lücke, auch wenn die Legitimität der Umstände, unter denen sie genutzt worden ist, wohl weiter diskutiert werden dürfte.