Apple das Datenschutz-Unternehmen… oder doch nicht

Apple präsentiert sich seit langem als das Datenschutz-Unternehmen schlechthin. Die Produkte gelten landläufig als nutzerfreundlich, innovativ und sicher. Doch verschiedene Berichte verstärken zuletzt die Vermutung, dass bei Apple doch nicht alles so strahlend ist, wie es scheint.

Apple – The Privacy Company?

Sowohl privat als auch in unserer Eigenschaft als betriebliche Datenschutzbeauftragte begegnet uns oftmals ein spezielles Phänomen, wenn über Themen wie IT-Sicherheit und datenschutzfreundliche Voreinstellungen gesprochen wird. Reflexartig wird auf die Nutzung von Apple-Produkten verwiesen. Antivirensoftware? Brauchen wir nicht, wir nutzen Apple. Prüfung der Datenschutzeinstellungen? Unnötig, wir nutzen Apple.

Apple als datenschutzfreundliches Unternehmen. Dieser Glaube, hervorgerufen von Zeiten, in denen sich Angriffe auf Mac-Systeme durch Malware schlicht nicht lohnten, ist noch vielerorts in die Köpfe eingebrannt. Apple selbst verfolgt diesen Kurs in der Öffentlichkeit stets weiter und investierte erst kürzlich 54 Millionen US-Dollar in die Kampagne „Privacy on iPhone“.

Das regelmäßig geäußerte, blinde Vertrauen in Produkte eines Anbieters ist bereits per se alarmierend, zudem häufen sich Berichte darüber, dass die vollmundigen Versprechen des Unternehmens in Datenschutzthemen durchaus mit Vorsicht zu genießen sind. Ein Vorwurf, der bereits seit etlichen Jahren schwelt und gedeiht. Zwar äußerten wir uns erst Anfang der Woche positiv über die Sicherheitsarchitektur moderner Apple-Systeme, jedoch steht der tatsächliche Umgang mit personenbezogenen Daten auf einem gänzlich anderen Blatt.

Nutzungsdaten an Apple gesendet

In einem Blogpost vom 12.11.2020 (letztes Update vom 16.11.2020) veröffentlichte der Berliner Hacker und Sicherheitsforscher Jeffrey Paul Erkenntnisse über die Funktionsweise des macOS-internen, „Gatekeeper“ genannten Anti-Piracy-Tools. Offiziell dient das Tool der Betrugsprävention und der Sicherstellung, dass sämtliche laufenden Programme über gültige Zertifikate verfügen. Seinen Nachforschungen zufolge werden permanent detaillierte Nutzungsdaten an Apple gesendet.

„Date, Time, Computer, ISP, City, State, Application Hash“

Benutzte Programme mit gleichzeitig übermittelten Standortdaten und Timestamps könnte demnach ein umfassendes Bild von jedem einzelnen User zeichnen. Sollte sich dies bewahrheiten, wäre dies nichts Geringeres als ein handfester Skandal.

Besonders prekär an dieser Sache ist zudem, dass die Übermittlung dieser Daten offenbar unverschlüsselt erfolgte – ein Paradies für Sicherheitsbehörden oder schlicht böswillige Angreifer. Die Partnerschaft Apples am „PRISM“-Überwachungsprogramm der NSA ist in diesem Lichte kaum verwunderlich, nichtsdestotrotz besorgniserregend. Jeffrey Paul zeichnet in seinem Text letztlich auch das Bild eines Unternehmens, welches potenziell eigenständig darüber entscheiden könnte, welche Programme nun auf dem Endgerät zu laufen haben und welche nicht. Ein Szenario wie aus einem dystopischen Roman.

Zwar finden sich innerhalb der Szene auch Gegenstimmen, die manche Erkenntnisse relativieren, jedoch deutet auch die am 16.11.2020 seitens Apple veröffentlichte Erklärung darauf hin, dass die Vorwürfe zumindest nicht aus der Luft gegriffen sind.

„These security checks have never included the user’s Apple ID or the identity of their device. To further protect privacy, we have stopped logging IP addresses associated with Developer ID certificate checks, and we will ensure that any collected IP addresses are removed from logs.“

Apple selbst kündigt demnach an, IP-Adressen im Zusammenhang mit den Prüfungen nicht mehr zu speichern.

„In addition, over the the next year we will introduce several changes to our security checks:
– A new encrypted protocol for Developer ID certificate revocation checks
– Strong protections against server failure
– A new preference for users to opt out of these security protections“

Darüber hinaus wolle man „im Laufe des nächsten Jahres“ ein Verschlüsselungsprotokoll einführen, die Server stärker gegen Ausfälle schützen und bessere Opt-Out-Möglichkeiten schaffen.

Firewall und VPN können Apple nicht stoppen

In diesem Zusammenhang wurde zudem bekannt, dass unter dem kürzlich veröffentlichten Betriebssystem macOS 11 alias „Big Sur“ diverse Apps in der Lage sind, userkontrollierte Firewalls und VPN-Programme schlicht zu umgehen. Hierzu gehört beispielsweise auch das vormals erwähnte „Gatekeeper“. Unklar ist, aus welchem Grund Apple derartige Sonderregeln eingebaut hat. Das potenzielle Sicherheitsrisiko einer Ausnutzung dieser Lücken durch Angreifer ist jedoch enorm.

Wer nun auf die Idee kommt, auf ältere Betriebssysteme mit funktionierender Firewall auszuweichen, wird schnell enttäuscht. Denn aktuelle und zukünftige Geräte setzen die Nutzung von „Big Sur“ schlicht voraus.

Datenschutzbeschwerde wegen Werbe-ID

Kritik kommt auch von anderer Stelle: Die spätestens seit der sog. „SCHREMS II“-Entscheidung des EuGH weithin bekannte Organisation des Juristen Max Schrems, Noyb reichte kürzlich eine Beschwerde beim Berliner Beauftragten für Datenschutz und Informationsfreiheit ein. Grund hierfür war die Erstellung und Nutzung einer WerbeID per Voreinstellung und ohne Wissen und Zustimmung des jeweiligen Nutzers.

Auf eine Anfrage seitens Noyb an Apple verwies das Unternehmen auf berechtigte Interessen und führte aus, dass die Werbe-ID nicht mit der AppleID in Verbindung gebracht würde. Ein Personenbezug läge deshalb nicht vor.

“the advertising identifier we have previously referred to is not associated with your Apple ID. It is randomly generated on your device. Information collected in association with an advertising identifier is not personally identifiable and thus consent does not arise under the GDPR”

Dass diese Argumentation mit Blick auf die Planet 49-Entscheidung des EuGH kaum einen ernsthaften Datenschützer überzeugen dürfte, liegt auf der Hand. Apple schoss wenig später hinterher und stellte klar, dass nicht auf die erzeugte Werbe-ID zugegriffen und diese auch in keinerlei Weise genutzt würde. Ob dies glaubhaft ist, dürfte nun im Beschwerdeverfahren diskutiert werden. Unsere Augenbrauen zuckten jedenfalls beim Lesen dieser Aussage gen Zimmerdecke.

Hier finden man den den Volltext der Beschwerde.

Backups in iCloud unverschlüsselt

Auch wer auf iCloud als zuverlässiges Backup für private Dateien, Fotos oder Nachrichten vertraut, sollte dieser Tage besonders aufmerksam sein. So wurde bereits Anfang des Jahres bekannt, dass die Default-Einstellungen in iOS ein standardmäßiges Backup für eine Vielzahl von Apple-Diensten vorsieht. Dies umfasst neben Fotos auch persönliche Nachrichten, die via iMessage ausgetauscht wurden.

Delikat hierbei ist die Tatsache, dass iMessage per se über eine Ende-zu-Ende-Verschlüsselung verfügt und deshalb als sichere und vertrauliche Kommunikationsmethode verstanden wird. Jedoch wird beim Backup in iCloud nicht nur die verschlüsselte Nachricht, sondern gleichzeitig der verwendete Schlüssel gespeichert. Dies nach dem „iCloud Security Overview“ aus dem Grund, bei Verlust des Gerätes auf die (verschlüsselten) Nachrichten zugreifen zu können.

„Messages in iCloud also uses end-to-end encryption. If you have iCloud Backup turned on, your backup includes a copy of the key protecting your Messages. This ensures you can recover your Messages if you lose access to iCloud Keychain and your trusted devices. When you turn off iCloud Backup, a new key is generated on your device to protect future messages and isn’t stored by Apple.“

Rein faktisch bedeutet dies jedoch auch, dass sowohl Apple als auch andere (ggf. staatliche) Akteure ohne Probleme die einstmals verschlüsselte Kommunikation einsehen können. Da iCloud selbst nicht Ende-zu-Ende verschlüsselt ist, führt dies die Sicherheit von iMessage (oder auch gespeicherten Fotos) endgültig ad absurdum. Pläne zur Verschlüsselung gab Apple nach Medienberichten infolge einer Beschwerde des FBI vorerst auf.

Anschaffung von Apple-Geräten nicht gleichbedeutend mit Compliance

Viele der hier geschilderten Fälle finden sich sicherlich nicht nur bei Apple. Jedoch sollten all diese Hinweise als Apell verstanden werden, die private und betriebliche Sicherheit nicht gläubig in die Hände einer Marke zu legen. Wo einerseits auf der technischen Seite durchaus Vorteile für die Systemsicherheit bestehen können, sollte andererseits der Umgang mit personenbezogenen Daten nicht ins Hintertreffen geraten.

Die Nutzung bestimmter Systeme entbindet insbesondere Unternehmen nicht von der Pflicht, datenschutzfreundliche Voreinstellungen dezidiert zu prüfen und bereits bei der Entscheidung über die Anschaffung genau abzuwägen, welche Risiken für die Rechte und Freiheiten betroffener Beschäftigter und Kunden entstehen könnten. In jedem Fall sollten Updates und neue Software gemeinsam mit dem Datenschutzbeauftragten geprüft werden.