Firehound analysiert App-Store-Apps mit schweren Datenlecks

Firehound bringt ein strukturelles Problem im Apple App Store ans Licht. Hunderte Apps geben sensible Nutzerdaten preis, oft ohne dass dies nach außen sofort erkennbar ist. Namen, E-Mail-Adressen und komplette Chat-Verläufe sind frei zugänglich. Besonders häufig betroffen sind Apps mit KI-Funktionen. Firehound sammelt, ordnet und dokumentiert diese Fälle und macht damit sichtbar, wie groß das tatsächliche Ausmaß ist.

Das Projekt steht unter der Leitung des Sicherheitsforschungslabors CovertLabs. Öffentlich bekannt wurde Firehound durch den X-Nutzer vxunderground, der auf das Repository aufmerksam machte und die Lage drastisch zusammenfasste. Entwickelt wurde Firehound vom OSINT-Forscher Harrris0n, der sich der Aufgabe angenommen hat, problematische App-Store-Einträge systematisch zu erfassen und auszuwerten.

Was Firehound genau macht

Firehound scannt und indexiert iOS-Apps, die Nutzerdaten über unsicher konfigurierte Datenbanken oder Cloud-Speicher offenlegen. Das Projekt dokumentiert, welche Daten betroffen sind, wie viele Datensätze einsehbar sind und welche technischen Strukturen dahinterstehen.

Zum Zeitpunkt der Auswertung wurden 198 iOS-Apps identifiziert, die in irgendeiner Form Informationen über Nutzer preisgeben. 196 dieser Apps legen konkret Nutzerdaten offen. In vielen Fällen sind die Daten ohne Authentifizierung erreichbar.

Fokus auf KI-Apps

Ein klarer Schwerpunkt liegt auf KI-bezogenen Anwendungen. Viele dieser Apps verarbeiten Texteingaben, Chats oder generierte Inhalte und speichern diese dauerhaft. Genau hier zeigen sich massive Sicherheitslücken.

Die App „Chat & Ask AI“ führt die internen Firehound-Rankings sowohl bei den meisten offengelegten Dateien als auch bei den meisten Datensätzen an. Die Zahlen sind eindeutig:

mehr als 406 Millionen Datensätze
Daten von über 18 Millionen Nutzern

Offengelegt werden unter anderem Chat-Verläufe, E-Mail-Adressen und weitere personenbezogene Informationen.

Wie die Daten öffentlich werden

Die meisten betroffenen Apps nutzen schlecht gesicherte Cloud-Infrastrukturen. Häufig handelt es sich um offene Datenbanken oder falsch konfigurierte Speicherlösungen. Firehound zeigt dabei nicht nur, dass Daten zugänglich sind, sondern oft auch:

die zugrunde liegenden Datenschemata
die exakte Anzahl der Datensätze
die Art der gespeicherten Informationen

Das macht nachvollziehbar, wie leicht Dritte auf diese Daten zugreifen können.

Betroffene App-Kategorien

Auch wenn viele Einträge einen KI-Bezug haben, sind zahlreiche andere Kategorien betroffen:

Bildung
Unterhaltung
Grafik und Design
Gesundheit und Fitness
Lifestyle
Soziale Netzwerke
Sonstige Anwendungen

Das Problem ist damit kein Nischenthema, sondern zieht sich durch den gesamten App Store.

Eingeschränkter Zugriff auf Firehound

Firehound stellt seine Ergebnisse nicht vollständig frei zur Verfügung. Der öffentliche Bereich ist bewusst begrenzt. Für den Zugriff auf detaillierte Scan-Ergebnisse und eingeschränkte Datensätze ist eine Registrierung erforderlich. Der Ablauf ist klar geregelt:

Zugriff muss beantragt werden
jede Anfrage wird manuell geprüft
priorisiert werden Journalisten, Strafverfolgungsbehörden und Sicherheitsexperten

Ein Teil der Daten ist so sensibel, dass er erst nach verantwortungsvoller Prüfung und Redaktion freigegeben wird.

Kein gesicherter Beleg für „AI Slop“

Obwohl anfangs behauptet wurde, Firehound katalogisiere gezielt sogenanntes „AI Slop“, taucht diese Bezeichnung weder auf der Firehound-Website noch im öffentlichen Profil von Harrris0n auf. Viele Apps nutzen zwar KI, doch aktuell lässt sich nicht eindeutig sagen, ob sie mit Vibe Coding oder anderen autonomen KI-Entwicklungstools erstellt wurden.

Firehound macht das Ausmaß der Datenschutzprobleme sichtbar

Firehound zeigt, wie groß das Datenschutzproblem im App Store ist. Millionen von Nutzerdaten liegen offen, oft aufgrund einfacher Konfigurationsfehler. Besonders KI-Apps sammeln große Mengen sensibler Informationen und sichern sie unzureichend ab. Das Projekt macht deutlich, dass niedrige Einstiegshürden in der App-Entwicklung nicht von der Verantwortung für den Schutz von Nutzerdaten entbinden. Firehound ist damit weniger ein Skandalprojekt als ein Spiegel eines weit verbreiteten Problems. (Bild: Shutterstock / Ar_TH)