Apple behebt endlich Sicherheitslücke, die Polizei gelöschte Signal-Nachrichten lesen ließ – weil das natürlich ein Ding war

Apple hat eine Sicherheitslücke behoben, die sich im Nachhinein als eine Art Hintertür für Strafverfolgungsbehörden entpuppte, um gelöschte Signal-Nachrichten auszuspionieren. Hoppla.

Für alle, die dachten, dass verschlüsselte Apps wie Signal ihre Geheimnisse schützen, hier der Knaller: Apple speicherte Push-Benachrichtigungen mit Teilen dieser Nachrichten bis zu einem Monat lang. Genau – selbst nachdem du die Nachricht auf Selbstzerstörung gesetzt oder die App komplett gelöscht hattest, blieb ein digitales Gespenst in der Benachrichtigungsdatenbank zurück, das nur auf eine Vorladung wartete.

Das Problem wurde dank 404 Media bekannt, das mit Teilnehmern einer Anhörung sprach, bei der das FBI aussagte, es habe „forensisch Kopien eingehender Signal-Nachrichten von einem iPhone eines Angeklagten extrahiert, selbst nachdem die App gelöscht worden war, weil Kopien des Inhalts in der Push-Benachrichtigungsdatenbank des Geräts gespeichert waren.“ Der betreffende Fall? Das erste Mal, dass Behörden Personen wegen angeblicher „Antifa“-Aktivitäten anklagten, nachdem Präsident Trump den Begriff zur Terrororganisation erklärt hatte. Natürlich ist das der Fall.

Am Mittwoch bestätigte Apple, dass es den Fehler behoben habe. Betroffene Nutzer können ihre Geräte aktualisieren, um zu verhindern, dass „als gelöscht markierte Benachrichtigungen unerwartet auf dem Gerät gespeichert bleiben“. Laut Apple hätten die Push-Benachrichtigungen nie gespeichert werden dürfen, aber ein „Protokollierungsproblem“ habe es versäumt, die Daten zu schwärzen. Es war also weniger eine böswillige Verschwörung als vielmehr ein bürokratischer Patzer – ein schwacher Trost, wenn man der Angeklagte ist.

Auf Bluesky feierte Signal die Behebung und sagte, es sei „sehr froh“, dass Apple nicht gezögert habe. „Wir sind Apple dankbar für das schnelle Handeln und dafür, dass sie die Tragweite dieser Art von Problem verstanden und entsprechend gehandelt haben“, hieß es in dem Beitrag. „Es braucht ein Ökosystem, um das grundlegende Menschenrecht auf private Kommunikation zu bewahren.“ Signal bestätigte, dass nach dem Update der Geräte „keine Aktion erforderlich ist, damit dieser Fix Signal-Nutzer auf iOS schützt. Sobald du den Patch installierst, werden alle versehentlich aufbewahrten Benachrichtigungen gelöscht und keine zukünftigen Benachrichtigungen für gelöschte Apps aufbewahrt.“

Aber nicht alle sind bereit, abzuklatschen. In Signals Thread diskutierten Nutzer, ob das Update ausreicht. Einige argumentierten, die eigentliche Lehre sei, Nachrichtenvorschauen komplett zu deaktivieren – eine Meinung, die auch Signal-Präsidentin Meredith Whittaker vertritt, die Nutzern zuvor geraten hatte, Benachrichtigungen auf „Kein Name oder Inhalt“ zu stellen, um Datenschutzbedenken zu vermeiden. Ein Bluesky-Nutzer, LofiTurtle, fasste es zusammen: „Indem du Nachrichtenvorschauen in Benachrichtigungen hast, gibst du dem Betriebssystem Zugriff auf diesen Inhalt, ohne sicher zu sein, wie es mit diesen Nachrichten umgeht. Dieser Patch entfernt eine bekannte Methode, aber für vollständige Sicherheit solltest du Vorschauen einfach ausschalten, damit das Betriebssystem sie erst gar nicht sieht.“

Ein anderer Nutzer, Alexndr, fragte sich, was sonst noch in iOS-Benachrichtigungs-Caches lauern könnte: „Dass der Benachrichtigungsinhalt das Löschen der App überlebt, ist der verrückte Teil. Froh, dass es gepatcht wurde, aber man fragt sich, was sonst noch in iOS-Benachrichtigungs-Caches sitzt.“

Eine wohlwollendere Sichtweise kam von Coyote, der anmerkte, dass Apples Blog klargestellt habe, dass es sich um ein Protokollierungsproblem handele, nicht um ein Caching-Problem: „Benachrichtigungsinhalte sollten eigentlich nicht in Diagnoseprotokolle gelangen, taten es aber manchmal. Insbesondere dann, wenn du eine Benachrichtigung erhältst, die das Telefon nicht verarbeiten kann, z. B. wenn die App, für die sie bestimmt ist, gelöscht wurde.“

Dennoch bleiben Fragen offen. Apple machte letztes Jahr Schlagzeilen, als es die Ende-zu-Ende-Verschlüsselung in Großbritannien zurückzog, um einem Gesetz zu entgehen, das es Beamten erleichterte, verschlüsselte Chats auszuspionieren. Und 404 Media merkte an, dass Strafverfolgungsbehörden weltweit zunehmend auf Push-Benachrichtigungen als Ermittlungsstrategie setzen. Letztes Jahr gab Apple rechtlichen Forderungen nach, die „Regierungen Daten zu Tausenden von Push-Benachrichtigungen lieferten“. Also mach es dir nicht zu bequem.