Freddy
Eigentlich soll Apples kostenpflichtiger Safari-Dienst genau das Gegenteil von dem tun, was ihm nun vorgeworfen wird: Er soll dich unsichtbar machen, statt dich zu verraten. Doch zwei IT-Sicherheitsforscher, Tommy Mysk und Talal Haj Bakry, haben herausgefunden, dass „iCloud Private Relay“ unter bestimmten Umständen genau das Gegenteil bewirkt. Wer sich also fest darauf verlässt, unerkannt durchs Netz zu surfen, sollte jetzt genauer hinschauen, denn die Lücke betrifft ausgerechnet jene Technik, die eigentlich für mehr Sicherheit sorgen soll: Passkeys.
Was Private Relay eigentlich leisten soll
Private Relay ist Bestandteil der kostenpflichtigen iCloud+-Abos und funktioniert im Grunde wie ein doppelter Vorhang: Sowohl deine IP-Adresse als auch deine DNS-Anfragen werden verschleiert, sobald du mit Safari im Web unterwegs bist. Wichtig dabei ist jedoch, dass es sich nicht um ein waschechtes VPN handelt, das sämtlichen Datenverkehr eines Geräts abschirmt. Der Dienst greift ausschließlich innerhalb von Safari. Genau an dieser Grenze setzt nun das Problem an, das die beiden Forscher aufgedeckt haben.
Passkeys als unerwartetes Einfallstor
Der Knackpunkt liegt im WebAuthn-Standard, auf dem Passkeys basieren. Anders als klassische Passwörter wird dabei ein privater Schlüssel direkt auf deinem Gerät hinterlegt. Und zwar nicht im Browser selbst, sondern im Anmeldesystem des Betriebssystems. Genau das wird zum Stolperstein: Wenn eine Website eine WebAuthn-Anfrage stellt, reicht Safari diese Anfrage an den systemeigenen Anmeldedienst weiter. Dieser Dienst kommuniziert jedoch völlig eigenständig mit dem Zielserver, ohne überhaupt zu wissen, dass Private Relay eingerichtet wurde. Die Folge: Der besuchte Server bekommt die echte, ungefilterte IP-Adresse des Geräts zu sehen, weil die Anfrage niemals durch die Schutzleitung von Private Relay geschickt wird.
Nicht die einzige Schwachstelle
Mysk und Haj Bakry blieben allerdings nicht bei diesem einen Fund stehen, sondern stießen bei ihrer Recherche auf zwei weitere Schwachpunkte innerhalb von WebKit, der Browser-Engine hinter Safari. Zum einen ist da das mit iOS 26 eingeführte DNS-Prefetching, das die tatsächlich genutzten DNS-Server eines Nutzers offenlegt. Zum anderen sorgt die seit iOS 26.4 verfügbare WebTransport-Funktion ebenfalls dafür, dass eine IP-Adresse durchsickern kann. Da das zugrunde liegende Problem tief in der Funktionsweise von WebKit verwurzelt ist, sind übrigens nicht nur Safari-Nutzer betroffen, sondern potenziell auch andere Browser, die auf dieselbe Engine zurückgreifen.
Apples Reaktion
Gegenüber dem Portal 404 Media erklärte Apple lediglich, man prüfe die Ergebnisse der Forscher. Eeine konkrete Lösung steht bislang aus. Wer selbst nachprüfen möchte, ob auch die eigene IP-Adresse betroffen ist, kann dies über eine von Mysk und Haj Bakry eigens eingerichtete Testseite tun. Bis Apple das Problem tatsächlich behebt, bleibt Betroffenen vor allem ein Ausweg: Wer auf Nummer sicher gehen will, sollte übergangsweise auf einen vollwertigen VPN umsteigen, das anders als Private Relay den gesamten Datenverkehr des Geräts absichert und somit auch WebAuthn-Anfragen zuverlässig verschleiert.
Mel