Apples kostenpflichtiger Schutz vor IP-Verfolgung lässt sich umgehen – und zwar von jeder Website, die Passkeys anbietet oder auch nur so tut. Sicherheitsforscher haben gleich drei Wege gefunden, an die echte Adresse zu kommen. Ein sichtbarer Hinweis erscheint dabei nicht.
Tommy Mysk und Talal Haj Bakry haben in einer ausführlichen Analyse beschrieben, wie sich der Schutz aushebeln lässt. Der Kern ihrer Aussage: Jede Website, die Passkeys unterstützt oder deren Unterstützung nur vortäuscht, kann die echte IP-Adresse sehen – auch wenn Privat-Relay eingeschaltet ist.
Betroffen ist damit ein Bestandteil von iCloud+, für den Nutzer bezahlen. Was der Dienst leistet und wo seine Grenzen liegen, ist ohnehin häufig missverstanden – den Unterschied zu einem echten VPN klärt unser Vergleich von iCloud Privat-Relay und klassischen VPN-Diensten. Die jetzt gefundenen Lücken verschieben diese Grenze noch einmal deutlich.
Das Wichtigste in Kürze
- Websites können die echte IP-Adresse auslesen, obwohl Privat-Relay aktiv ist
- Der Angriff läuft über den Passkey-Standard WebAuthn und benötigt keine Nutzerinteraktion
- Zwei weitere WebKit-Funktionen geben ebenfalls IP- oder DNS-Daten preis
- Auf dem iPhone sind auch Drittbrowser betroffen, weil sie in den meisten Ländern WebKit nutzen müssen
- Ein Update steht aus, ein Zeitplan dafür ist nicht bekannt
Wie der Angriff funktioniert
Passkeys speichern einen privaten Schlüssel auf dem Gerät, nicht im Browser. Wenn eine Website eine Passkey-Anmeldung anstößt, reicht WebKit den Vorgang an den Anmeldedienst des Betriebssystems weiter. Dieser Dienst stellt die HTTPS-Anfrage selbst – direkt vom Gerät aus und ohne Kenntnis davon, dass die App einen Proxy konfiguriert hat.
Damit läuft die Anfrage nie durch den geschützten Pfad von Privat-Relay. Der angefragte Server sieht die echte IP-Adresse des Geräts.
Der entscheidende Punkt für die Praxis: Der Vorgang lässt sich so konfigurieren, dass überhaupt keine Oberfläche erscheint. Es gibt keinen Passkey-Dialog, keine Rückfrage, keinen Hinweis. Wer eine präparierte Seite aufruft, bemerkt nichts. Wie die Anmeldung mit Passkeys regulär funktioniert, beschreibt unsere Anleitung zur passwortlosen Anmeldung auf Apple-Geräten.
Drei Lecks statt einem
Neben dem Passkey-Weg fanden die Forscher zwei weitere Funktionen in WebKit, die Daten nach außen geben.
| Weg | Was preisgegeben wird | Seit |
|---|---|---|
| WebAuthn über den Anmeldedienst | echte IP-Adresse | bestehend |
| DNS-Prefetching | die tatsächlich genutzten DNS-Server | iOS 26 |
| WebTransport | IP-Adresse | iOS 26.4 |
Zwei der drei Wege sind demnach erst mit neueren iOS-Versionen entstanden. Sie wurden für schnellere Seitenaufrufe und moderne Netzwerkverbindungen eingebaut – und wirken damit gegen den Schutz, den Apple an anderer Stelle verkauft.
Warum das iPhone stärker betroffen ist als der Mac
Weil das Problem in WebKit selbst steckt, hilft ein Wechsel des Browsers auf dem iPhone in den meisten Ländern nicht: Dort müssen sämtliche Browser Apples Engine verwenden. Betroffen ist deshalb auch mindestens ein Tor-Browser, der Onion Browser – ausgerechnet eine Anwendung, deren einziger Zweck die Verschleierung der Herkunft ist.
In der EU liegt der Fall anders. Seit dem Digital Markets Act dürfen Anbieter hier eigene Browser-Engines einsetzen, der WebKit-Zwang gilt also nicht mehr. Praktisch ändert das bislang wenig, weil kaum ein Anbieter umgestellt hat und Safari selbst in jedem Fall betroffen bleibt. Welche Folgen die Engine-Bindung sonst noch hat, zeigte zuletzt eine Untersuchung, wonach der WebKit-Zwang iOS-Browser fast 30 Prozent Leistung kostet.
Wie Apple reagiert hat
Hier gehen die Darstellungen auseinander. Nach Angaben der Forscher bezeichnete Apple das Problem als gravierend, nannte aber keinen Zeitplan für eine Behebung – und gab die Veröffentlichung trotzdem frei. Gegenüber dem Magazin 404 Media erklärte das Unternehmen lediglich, man untersuche den Bericht. Beide Aussagen stammen aus demselben Umfeld und schließen sich nicht aus, zeichnen aber unterschiedlich dringliche Bilder.
Ein Anhaltspunkt liegt in der jüngeren Vergangenheit. Anfang Juli wurde eine Sicherheitslücke in „E-Mail-Adresse verbergen“ bekannt, über die sich echte Adressen ermitteln ließen. Apple hat sie drei Wochen später geschlossen. Ein vergleichbares Tempo wäre bei einer Lücke, die tief in der Engine sitzt, allerdings die optimistische Annahme.
Was jetzt hilft
Die Forscher haben eine Testseite eingerichtet, auf der sich prüfen lässt, ob die eigene Adresse durchsickert. Sie läuft unter der Domain einer Privatsphäre-App aus demselben Haus – ein kommerzieller Hintergrund, der beim Lesen der Ergebnisse mitgedacht werden sollte, auch wenn er die technische Analyse nicht entwertet.
Solange kein Update vorliegt, bleibt nur eines: Wer seine IP-Adresse zuverlässig verbergen will, braucht ein systemweites VPN. Privat-Relay schützt ohnehin nur den Safari-Verkehr und war nie als vollwertiger Ersatz gedacht – diese Lücke macht den Unterschied nur schmerzhafter sichtbar. Falls du unterwegs auf fremde Netze angewiesen bist, gelten die Punkte aus unserer Sicherheits-Checkliste für iPhone und MacBook auf Reisen unverändert, nur eben mit VPN statt Privat-Relay.
Warum das mehr wiegt als ein gewöhnlicher Bug
Privat-Relay ist kein kostenloses Extra, sondern Teil eines Abonnements. Wer dafür zahlt, kauft ein Versprechen: Die eigene Adresse bleibt verborgen. Genau dieses Versprechen ist über eine Funktion aushebelbar, die Apple selbst als sichere Alternative zum Passwort bewirbt.
Dazu kommt die Struktur des Problems. Zwei der drei Wege entstanden erst mit iOS 26 und 26.4, also durch Funktionen, die Apple bewusst hinzugefügt hat. Das deutet weniger auf einen übersehenen Programmierfehler hin als darauf, dass Privat-Relay bei neuen Netzwerkfunktionen nicht konsequent mitgedacht wurde.
Was noch offen ist
Unklar bleibt, ob Apple die Lücken einzeln schließt oder den Umgang von WebKit mit Proxy-Konfigurationen grundsätzlich überarbeitet. Nur Letzteres würde verhindern, dass die nächste Netzwerkfunktion dasselbe Muster wiederholt. Ein Termin dafür steht nicht im Raum. (Bild: Apfelpatient)
- Ted Lasso Staffel 4 ist da: Ted trainiert ein Frauenteam
- Faltbare Smartphones: Markt soll um 20 Prozent wachsen
- Apple bereitet das September-Event vor: Termin rückt näher
