In der Sicherheitsforschung für mobile Betriebssysteme standen zuletzt Schwachstellen im Fokus, die den Schutz der Privatsphäre bei der Nutzung von Proxy-Diensten untergraben können.
Ein zentrales Beispiel hierfür ist die Analyse des Dienstes iCloud Private Relay, bei dem Sicherheitsforscher eine Möglichkeit zur Offenlegung der tatsächlichen IP-Adresse von Nutzern identifizierten. Die Erkenntnisse verdeutlichen die Komplexität bei der Absicherung von Netzwerkverkehr innerhalb geschlossener Ökosysteme.
Identifizierte Schwachstellen in der WebKit-Architektur
Die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk legten am 5. August 2026 Details zu einer Schwachstelle offen, die es Websites ermöglichte, den von Apple bereitgestellten Proxy-Dienst iCloud Private Relay zu umgehen.
Den Analysen zufolge betraf das Problem drei spezifische Funktionen der Browser-Engine WebKit: dns-prefetch, WebAuthn und WebTransport. Diese Funktionen konnten genutzt werden, um die tatsächliche IP-Adresse eines Endgeräts abzufragen, anstatt die vom Proxy zugewiesene anonymisierte Adresse zu verwenden.
Besonders kritisch wurde die Nutzung von Passkeys eingestuft. Über das WebAuthn-Protokoll war es Webseiten möglich, die Identität und den Standort des Nutzers durch das Auslesen der echten IP-Adresse zu bestimmen.
Diese Sicherheitslücke beschränkte sich nicht nur auf den Safari-Browser, sondern erstreckte sich auch auf spezialisierte Anwendungen wie den OnionBrowser und das Tor-Netzwerk, sofern diese auf den betroffenen WebKit-Komponenten basierten.
Wer sich mit der Sicherheit seiner Online-Konten befasst, sollte sich über moderne Schutzverfahren informieren. Dieser kostenlose Report zeigt, wie Sie Passkeys bei großen Diensten wie Amazon oder Microsoft sofort einrichten und so Ihre Sicherheit massiv erhöhen. Passkey-Ratgeber jetzt kostenlos herunterladen
Reaktionen und technische Korrekturmaßnahmen
Zur Behebung dieser Risiken veröffentlichte Apple am 25. August 2026 die Betriebssystem-Updates iOS 26.6.1 und macOS 26.6.2. Diese Aktualisierungen enthalten Korrekturen für die identifizierten IP-Leak-Probleme in Safari.
Branchenbeobachter merkten jedoch an, dass die entsprechenden Korrekturen nicht explizit in den Sicherheitshinweisen der Release Notes aufgeführt wurden. Zudem zielt der Fix primär auf den Safari-Browser ab, während andere Browser, die ebenfalls WebKit nutzen, die Schwachstelle unter Umständen weiterhin aufweisen könnten.
Parallel zur technischen Fehlerbehebung stellten die beteiligten Forscher ein webbasiertes Analyse-Werkzeug zur Verfügung. Unter der Adresse leaks.psylo.app können Nutzer prüfen, ob ihre aktuelle Browser-Konfiguration von einem entsprechenden Datenleck betroffen ist.
Solche Instrumente dienen in der IT-Sicherheit häufig dazu, das Bewusstsein für die Wirksamkeit von Datenschutzfunktionen zu schärfen und die Validität von Herstellerangaben unabhängig zu überprüfen.
Die aktuelle Sicherheitslage zeigt, wie wichtig es für Nutzer ist, bei der Anmeldung auf moderne Technologien statt auf klassische Passwörter zu setzen. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie mit Passkeys per Fingerabdruck oder Gesichtserkennung sicher und stressfrei im Internet surfen. Hier die sichere Alternative zu Passwörtern entdecken
Rechtliche Konsequenzen und Anpassungen bei Zusatzdiensten
Die Tragweite der Sicherheitslücke führte bereits zu juristischen Schritten. Die Clarkson Law Firm reichte am 25. August 2026 eine Klage im Zusammenhang mit den IP-Lecks ein. Dies unterstreicht den wachsenden Druck auf Technologieunternehmen, die Integrität beworbener Sicherheitsfunktionen lückenlos zu gewährleisten.
Im Umfeld dieser Entwicklungen wurden auch Änderungen an verwandten Datenschutzdiensten wie „Hide My Email“ bekannt. Apple revidierte eine geplante Umstellung der E-Mail-Domänen für diesen Dienst. Ursprünglich war vorgesehen, von der bekannten Endung @icloud.com auf @private.icloud.com zu wechseln.
Nach Einwänden von Nutzern wurde diese Entscheidung jedoch zurückgenommen, sodass die @icloud.com-Domäne für bestehende Funktionen erhalten bleibt. Lediglich der Dienst „Sign in with Apple“ nutzt weiterhin die neue Adressstruktur @private.icloud.com.
Zusätzlich zu den IP-Problemen adressierte der Hersteller einen weiteren Fehler im Bereich der E-Mail-Privatsphäre. Ein zuvor bestehender Bug in „Hide My Email“, durch den über einen Zeitraum von mehr als einem Jahr echte E-Mail-Adressen offengelegt werden konnten, wurde im Zuge der aktuellen Sicherheitsmaßnahmen ebenfalls behoben.
Diese Kumulation von Befunden zeigt, dass die dauerhafte Absicherung von Anonymisierungsdiensten eine kontinuierliche Herausforderung für die Softwareentwicklung darstellt.
