Die Sicherheitsforscher Tommy Mysk und Talal Haj Bakry haben eine gravierende Schwachstelle in Apples Datenschutzdienst iCloud Private Relay aufgedeckt. Wie am 6. August 2026 bekannt wurde, ermöglichen bestimmte Funktionen der Browser-Engine WebKit das Auslesen der echten IP-Adresse von Anwendern, obwohl der Dienst die Identität im Netz eigentlich verschleiern sollte. Die Entdeckung betrifft eine breite Palette von Endgeräten und Betriebssystemen innerhalb des Apple-Ökosystems.
WebKit-Functions umgehen den Anonymisierungsdienst
Den Untersuchungen der Sicherheitsforscher zufolge resultiert das Datenleck aus der fehlerhaften Implementierung von drei spezifischen WebKit-Funktionen: DNS-Prefetching, WebAuthn und WebTransport. Diese Mechanismen sind in der Lage, den Proxy-Server von iCloud Private Relay zu umgehen und somit sowohl die tatsächliche IP-Adresse als auch sensible DNS-Daten gegenüber Webseitenbetreibern offenzulegen.
Besonders kritisch wird die Rolle der Passkey-Authentifizierung (WebAuthn) bewertet. Da dieser Prozess außerhalb des regulären Datenstroms („out-of-band“) erfolgt, wird die Schutzwirkung von iCloud Private Relay dabei vollständig umgangen. Die Schwachstelle betrifft zahlende iCloud+-Abonnenten, welche den Safari-Browser nutzen. Neben Safari sind zudem sämtliche iOS-Browser betroffen, die auf WebKit basieren – darunter auch spezialisierte Anwendungen wie der OnionBrowser des Tor-Projekts.
Wer sich mit der Sicherheit seiner Apple-Geräte befasst, sollte nach dem nächsten System-Update genau hinschauen. Welche iPhone-Einstellung Sie nach jeder Aktualisierung sofort überprüfen sollten, verrät ein Apple-Experte in diesem kostenlosen Ratgeber. Kostenlosen Sicherheits-Check für iOS herunterladen
Betroffene Betriebssysteme und Versionen
Die Sicherheitslücke zieht sich durch verschiedene Generationen von Apples Software. Den Analysen zufolge ist die WebAuthn-Schwachstelle in iOS 18 und neueren Versionen vorhanden. Das Problem beim DNS-Prefetching betreffe Geräte ab iOS 26, während die Sicherheitslücke im Bereich WebTransport speziell in Versionen ab iOS 26.4 identifiziert wurde. Die Reichweite der Schwachstelle erstreckt sich dabei über iOS, iPadOS sowie macOS.
Das Tor-Projekt stufte die Entdeckung bereits als kritisch ein. Auch externe Medienvertreter von 404 Media konnten die Leaks nach eigenen Angaben verifizieren. Für Apple markiert dieser Vorfall den zweiten schwerwiegenden Datenschutzbericht innerhalb eines Zeitraums von zwei Monaten. Das Unternehmen selbst bezeichne die Situation als äußerst ernsthaft.
Patch-Status und Handlungsempfehlungen für Nutzer
Derzeit arbeitet Apple an der Behebung des Problems. Ein offizieller Fix wird für den Herbst 2026 in Aussicht gestellt, wobei das Unternehmen betont habe, dass die Untersuchung der Schwachstelle noch andauere und ein exakter Zeitplan für die Veröffentlichung der Sicherheitsupdates noch nicht final feststehe. Für die App Psylo wurde hingegen bereits mit der Version 1.3.1 ein Patch bereitgestellt, nachdem ein Proof-of-Concept der Schwachstelle unter einer entsprechenden Web-Adresse verfügbar gemacht worden war.
Die aktuelle Sicherheitslücke zeigt, wie wichtig ein fundiertes Verständnis der Apple-Technik für den eigenen Datenschutz ist. Dieses Gratis-Lexikon erklärt die 53 wichtigsten iPhone-Begriffe in einfachen Worten und hilft Ihnen, Apple-Fachsprache endlich sicher zu verstehen. iPhone-Lexikon jetzt kostenlos sichern
Branchenexperten weisen darauf hin, dass es für iCloud Private Relay aktuell keinen direkten Workaround gibt, um die Leaks zu unterbinden. Nutzer, die auf vollständige Anonymisierung angewiesen sind, sollten stattdessen auf ein Virtual Private Network (VPN) zurückgreifen. Tests ergaben, dass VPN-Verbindungen von den spezifischen WebKit-Leaks nicht betroffen sind.
Besondere Vorsicht gilt laut Fachleuten für Reisende und Anwender, die häufig öffentliche WLAN-Netzwerke nutzen. In diesen Umgebungen sei das Risiko eines Identitätsdiebstahls oder einer unbefugten Standortbestimmung durch das Offenlegen der echten IP-Adresse besonders hoch. Solange die Betriebssystem-Updates von Apple nicht zur Verfügung stehen, stellt die Nutzung eines VPN die einzige verlässliche Methode dar, um den Schutz der Privatsphäre auf betroffenen Geräten sicherzustellen.
