Apple schließt still iCloud-Private-Relay-Lücke in iOS 26.6.1

Apple hat in iOS 26.6.1 eine Schwachstelle in iCloud Private Relay behoben, durch die trotz aktivierter Funktion die IP-Adresse eines Geräts sichtbar werden konnte. Der Fix wird in den offiziellen Sicherheits-Hinweisen nicht erwähnt, ist aber nachweisbar aktiv.

Was iCloud Private Relay leisten soll

iCloud Private Relay ist ein kostenpflichtiges Feature für Abonnent:innen von iCloud Plus. Ist es eingeschaltet, leitet der Dienst Web-Datenverkehr über Proxy-Server um, um den physischen Standort und den Web-Traffic zu verschleiern. Die Funktion ist auf Safari und Apps beschränkt, die Apples WebKit-Framework nutzen.

Wichtig ist die Abgrenzung zu einem VPN: Ein VPN verbirgt den gesamten Internetverkehr eines Geräts. iCloud Private Relay arbeitet dagegen nur im Rahmen der von Apple unterstützten Browser- und WebKit-Nutzung und ist damit technisch und funktional nicht mit einem VPN gleichzusetzen.

Die entdeckte IP-Leak-Schwachstelle

Anfang August stellten die Entwickler Talal Haj Bakry und Tommy Mysk fest, dass Apple-Geräte mit aktivierter iCloud-Private-Relay-Funktion in drei nicht näher beschriebenen Situationen dennoch die echte IP-Adresse preisgeben konnten. Um das überprüfbar zu machen, richteten sie die Website leaks.psylo.app ein. Dort konntet Ihr testen, ob Euer Gerät von der Lücke betroffen war.

Am Dienstag teilte Mysk auf X mit, dass Apple die Schwachstelle in iOS 26.2.1 und den entsprechenden Versionen der anderen Betriebssysteme beseitigt habe. In den Sicherheits-Release-Notes von Apple taucht diese Korrektur jedoch nicht auf. Besucht Ihr nun die Testseite mit aktiviertem iCloud Private Relay, wird die maskierte IP-Adresse des verwendeten Geräts angezeigt, nicht mehr die tatsächliche.

Voraussetzung dafür ist, dass iCloud Private Relay in den Einstellungen unter „iCloud“ eingeschaltet ist. Ohne diese Aktivierung bleibt der Schutz wie erwartet wirkungslos.

In einer Antwort auf X stellte Mysk außerdem fest: „It’s near to impossible Apple would have addressed this issue so quickly had we reported it to Apple first. As expected, they only fixed it for Safari.“ Nach seiner Einschätzung konzentrierte sich Apple also bei der schnellen Behebung auf Safari.

Eine Stellungnahme von Apple zu der Schwachstelle oder zum Verlauf der Fehlerbehebung liegt bislang nicht vor. Eine entsprechende Anfrage blieb zunächst unbeantwortet.

Juristische Folgen und offene Fragen

Kurz nach Bekanntwerden der iCloud-Private-Relay-Schwachstelle reichte die Kanzlei Clarkson Law Firm Klage gegen Apple ein. Dieselbe Kanzlei hatte zuvor mit Apple einen Vergleich über 250 Millionen US-Dollar in einem Verfahren ausgehandelt, das sich auf die Art und Weise bezog, wie Apple seine Apple-Intelligence-Funktionen zum Start beworben hatte. Zudem hat Clarkson Law Firm jüngst den Smart-Ring-Hersteller Oura verklagt.

Auch Clarkson Law Firm reagierte bislang nicht auf eine Anfrage nach einer Stellungnahme zu der aktuellen iCloud-Private-Relay-Thematik.

Für Nutzer:innen von iCloud Plus bedeutet der stille Fix, dass iCloud Private Relay nach aktuellem Stand wieder wie vorgesehen arbeitet – zumindest in Safari, wie Mysk hervorhebt. Wer sich auf die Funktion verlässt, sollte sicherstellen, dass das Gerät auf iOS 26.2.1 beziehungsweise iOS 26.6.1 und die entsprechenden aktuellen Versionen der anderen Apple-Betriebssysteme aktualisiert ist und iCloud Private Relay in den Einstellungen aktiv geschaltet wurde.

Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.

Via: cnet.com

Den Beitrag in unserem Forum kommentieren