Apple patzt bei App-Sicherheit und Datenschutz während einer Reparatur

Apps in Apples iTunes App-Store sind sicher, so die weit vorherrschende Meinung vieler Zeitgenossen. Mir sind jetzt zwei Info-Splitter unter die Augen gekommen, die zumindest Kratzer am Lack hinterlassen dürften. Denn eine Untersuchung der Top-Apps im Apple Store ist zum Ergebnis gekommen, dass fast 2 Prozent der umsatzstärksten Apps im Apple App-Store schlicht auf Betrug basieren. Der Schaden wird auf 48 Millionen Dollar beziffert. Und gerade wurde durch Gerichtsdokumente bekannt, dass Apple einer Studentin Millionen an Entschädigung gezahlt hat, weil ein Support-Mitarbeiter des von Apple für Gerätereparaturen beauftragten Dienstleisters  Pegatron etwas "freizügigere Fotos" der Frau von deren Gerät ins Internet hochgeladen hatten.

Es ist immer wieder vergnüglich, Volkes Meinung zu verfolgen. Die Tage bin ich mal wieder auf Facebook damit konfrontiert worden, als ich dort in einer Gruppe zur Computersicherheit einen Link zum Artikel Banking-Trojaner Flubot verbreitet sich in Deutschland stark (Juni 2021) gepostet habe. Erwartungsgemäß kam sofort "glücklicherweise hat Apple der Forderung der Leute nach Freigabe von iOS-Apps im Apple Store, um wie bei Android Sideload nutzen zu können, widerstanden". Die Botschaft: Im Apple Store werden Apps auf Herz und Nieren kontrolliert und sind sicher. Ich habe im Blog ja häufiger Artikel zu Fleeceware (betrügerische Apps, die Nutzer über eine Testphase in ein Abonnement tricksen) gebracht – siehe hier und hier. Trifft Android und iOS gleichermaßen. Wenn die Apps im Store auf Betrug bauen, ist der Nutzer der Dumme.

Apple: Mythen und Legenden, Pexels, freie Verwendung

Betrug bei 2% der populärsten iOS-Apps

Apples kann mit 1,8 Millionen Apps im App Store aufwarten, eine wahrlich große Zahl. Das lockt natürlich auch Betrüger an, die ihre Chance wittern. Die Washington Post hat eine Untersuchung vorgenommen und sich die 1.000 umsatzstärksten Apps aus dem Apple App Store vorgenommen und sind auf Betrügereien gestoßen.

• Kunden mehrerer VPN-Apps, die angeblich die Daten der Nutzer schützen, beschwerten sich in Bewertungen im Apple App Store, dass die Apps den Nutzern mitteilten, ihre Geräte seien mit einem Virus infiziert, um sie zum Herunterladen und Bezahlen von Software zu verleiten, die sie nicht benötigen.
• Eine App zum Lesen von QR-Codes aus dem Apple Store verleitet Kunden dazu, 4,99 Dollar pro Woche für einen Dienst zu bezahlen, der mittlerweile in der Kamera-App des iPhones enthalten ist.
• Weitere Apps geben sich in betrügerischer Absicht als von großen Marken wie Amazon und Samsung stammend aus.

Von den 1.000 umsatzstärksten Apps im App Store arbeiten, laut einer Analyse der Washington Post, fast zwei Prozent mit betrügerischen Mitteln. Diese Apps haben Käufer in der Zeit, in der sie im App Store angeboten wurden, schätzungsweise 48 Millionen Dollar gekostet, schätzt das Marktforschungsunternehmen Appfigures. Apple profitiert von diesen Apps, da das Unternehmen einen Anteil von bis zu 30 Prozent aller über den App Store generierten Umsätze erhält.

Zwei Drittel der 18 Apps, die vom Medium an Apple gemeldet hat, wurden aus dem App Store entfernt. Das Unternehmen  Apple reagiert also durchaus. Noch häufiger sind laut Analysen die von mir oben bereits erwähnten Fleeceware-Apps, die Kunden mit Tricks eine Verlängerung einer Testphase mit kostenpflichtigem Abo unterschieben. Die Entwickler nutzen den Umstand, dass eine Testphase nach deren Ende automatisch in ein Abo mündet, wenn die Testphase nicht über die App gekündigt wird. Deinstallation der Nutzer die App ohne Kündigung, wird das Abo abgeschlossen. Weitere Details sind in obigem Artikel nachlesbar.

iPhone zur Reparatur gegeben, Nackt-Fotos veröffentlicht

Und es gibt einen Fall, der Apple Millionen Entschädigung gekostet hat. Eine Studentin hatte 2016 ihr iPhone zur Reparatur an Apple eingeschickt. Jetzt nimmt Apple aber nicht immer die Reparatur vor, sondern setzt zertifizierte Dienstleister ein. Aber wenn ein Gerät kaputt ist, stellt sich für den Besitzer die Frage, was mit den darauf gespeicherten Daten passiert. Apple ist ja recht stolz auf sein Engagement für den Datenschutz und die Datensicherheit. Im aktuellen Fall endete dies aber für die Betroffene sehr unschön.

Die Reparatur wurde in einem Reparaturzentrum in Kalifornien vorgenommen, welches von Pegatron, einem Apple-Vertragspartner, im Auftrag des Unternehmens betrieben wurde um Gerätereparaturen durchzuführen. Nach der Reparatur des iPhones musste die Studentin feststellen, dass Reparaturtechniker während des Reparaturvorgangs persönliche, explizite Bilder und Videos von dem Telefon auf ein Facebook-Konto hochgeladen hatten. Es heißt in den Gerichtsdokumenten:

Während der Reparatur posteten die beiden Techniker "10 Fotos von ihr in verschiedenen Stadien der Entkleidung und ein Sexvideo" von ihrem Facebook-Account, und zwar in einer Weise, die vermuten ließ, dass [die Studentin] sie selbst hochgeladen hatte. Die Bilder wurden erst entfernt, nachdem Freunde sie darüber informiert hatten, dass sie gepostet worden waren.

Die Studentin verklagte Apple daraufhin wegen Verletzung der Privatsphäre und Zufügung von seelischem Leid. Apple zahlte eine Entschädigung in Millionenhöhe, die beteiligten Mitarbeiter des Dienstleisters wurden entlassen. In einer Stellungnahme an The Telegraph (deren Artikel ist nur mit Anmeldung lesbar, 9-to-5-Mac hat das Ganze aber in diesem Artikel aufbereitet) schreibt Apple: "Als wir 2016 von diesem ungeheuerlichen Verstoß gegen unsere Richtlinien bei einem unserer Zulieferer erfuhren, haben wir sofort gehandelt und seitdem unsere Zuliefererprotokolle weiter verstärkt."

Nicht ganz klar ist, wieso die Techniker überhaupt an die Daten (Fotos, Videos) herankamen. Normalerweise sind die auf einem iPhone gespeicherten Daten ja verschlüsselt. Das Problem an der ganzen Sache besteht darin, dass Apple seine Kunden anweist, ihr iPhone mit deaktiviertem Passcode einzuschicken. Dies ermöglicht aber jedem in der Kette, die das Gerät bis zur Rückgabe an den Kunden durchläuft,  auf alle auf dem Gerät gespeicherten Daten zuzugreifen. Daher ist es für einen Gerätebesitzer immer ratsam, dieses vor dem Einsenden auf die Werkseinstellungen zurückzusetzen.