Eigentlich ist es schon ein bisschen traurig. Man wird das Gefühl nicht los, als müsse immer erst öffentliches Aufsehen erregt werden, ehe durchaus bekannte Missstände behoben werden. Dies trifft keinesfalls exklusiv auf Apple zu, allerdings ist das aktuelle Beispiel schon ein wenig bezeichnend. Nachdem gestern ein Bericht im Internet die Runde machte, wonach das iPhone 11 auch dann Positionsdaten mitschneidet, wenn dies in den Einstellungen auf den ersten Blick deaktiviert ist, hieß es von Seiten Apples noch lapidar, dass es sich hierbei um ein normales Verhalten handelt, welches von internen Systemfunktionen ausgelöst wird, für die es keinen Schalter in den Einstellungen gibt, mit dem man dies nutzerseitig verhindern könnte.

Offensichtlich ist die öffentliche Diskussion um dieses Thema aber inzwischen auch in Cupertino angekommen, so dass man dort nun gegenüber den Kollegen von TechCrunch ein wenig mehr ins Detail ging. So ist im iPhone? 11 bekanntermaßen ein neuer Ultra-Breitband-Chip namens U1 verbaut, der offenbar die Zugriffe auf die Positionsdaten auslöst, die immerhin durch das gewohnte Symbol in der Statusleiste des iPhone zu sehen ist, wenn dies geschieht. Der Chip nutzt diese Information laut Apple um herauszufinden, ob sich das iPhone in einem Gebiet befindet, wo Ultra-Breitband aufgrund rechtlicher Bestimmungen nicht genutzt werden sollte:

Ultra wideband technology is an industry standard technology and is subject to international regulatory requirements that require it to be turned off in certain locations. iOS uses Location Services to help determine if ?iPhone? is in these prohibited locations in order to disable ultra wideband and comply with regulations. [...] The management of ultra wideband compliance and its use of location data is done entirely on the device and Apple is not collecting user location data.

Immerhin hat die Kontroverse der vergangenen Stunden nun dazu geführt, dass Apple in einem kommenden iOS-Update einen Schalter einführen wird, mit dem sich die Ultra-Breitband-Technologie im iPhone und damit auch der Positionscheck im Hintergrund deaktivieren lassen wird. Und wieder stellt man sich die Frage, warum es erst eine öffentliche Diskussion geben muss ehe dies geschieht, statt das man den Schalter von vornherein anbietet.

Apple geht mit der Nutzung der Ortungsfunktion des iPhone durchaus offen und transparent um. Vor allem im Vergleich mit anderen Herstellern. Dennoch wird sich der eine oder andere Nutzer vermutlich schon einmal gefragt haben, warum eigentlich der kleine Pfeil, der die Nutzung der GPS-Daten durch eine App oder das System in der Statusleiste unter iOS signalisiert, in dieser oder jener Situation dort auftaucht. Nun hat sich ein Sicherheitsforscher dieser Frage einmal angenommen und dabei entdeckt, dass das iPhone sehr wohl im Hintergrund den aktuellen Standort ermittelt, auch wenn dies für die gerade laufende App oder auch für verschiedene Systemfunktionen eigentlich in den Datenschutzeinstellungen des Geräts deaktiviert ist.

Der angesprochene Sicherheitsforscher Brian Krebs hat seine Entdeckungen auf KrebsOnSecurity veröffentlicht und auch das unten eingebettete Video erstellt, welches das merkwürdige Verhalten in bewegten Bildern zeigt. Die einzige Möglichkeit, den Zugriff auf den Standort zu unterbinden ist, dies komplett in den Einstellungen zu deaktivieren, was offenbar noch einmal einen anderen Effekt hat als das Deaktivieren der einzelnen Schalter für Apps und Systemfunktionen.

YouTube Direktlink

Inzwischen hat auch Apple auf die Meldung reagiert und spricht in einer Stellungnahme von einem normalen Verhalten ("expected behavior"). So können bestimmte Systemfunktionen vom Nutzer nicht einzeln gesteuert werden, wodurch auch bestimmte dieser Funktionen im Hintergrund Zugriff auf den Standort erhalten. Immerhin stellt Apple auch diese Zugriffe transparent durch die Einblendung des entsprechenden Symbols in der Statusleiste dar.

"We do not see any actual security implications. It is expected behavior that the Location Services icon appears in the status bar when Location Services is enabled. The icon appears for system services that do not have a switch in Settings."

Eine der von Apple in diesem Zusammenhang angesprochenen Funktionen, die mir dabei in den Sinn kommt, ist das Ermitteln der Standortdaten zum Zwecke des Befüllens der eigenen Datenbank von Standorten von WLANs und Mobilfunkmasten. Diese Informationen werden von Apple in verschlüsselter und anonymisierter Form gesammelt, um über eine Dreieckspeilung eine noch genauere Standortermittlung vornehmen zu können. Apple schreibt hierzu in seinem zugehörigen Support-Dokument:

Sind die Ortungsdienste aktiviert, sendet dein iPhone in regelmäßigen Abständen die per Geotagging markierten Positionen von nahegelegenen WLAN-Hotspots und Mobilfunkmasten (sofern von einem Gerät unterstützt) in anonymisierter und verschlüsselter Form an Apple, um die Crowdsourcing-Datenbank mit den WLAN-Hotspot- und Mobilfunkmastenpositionen zu erweitern.

Bereits vor wenigen Tagen wurde bekannt, dass der russische Präsident Putin wohl ein neues Gesetz unterzeichnen wird, welches künftig Hersteller von Smartphones, Computern, Tablets oder auch Smart TVs dazu verpflichtet, russische Apps auf den im Land vertriebenen Geräten vorzuinstallieren. Aus diesem Bericht ist heute nun ein Fakt geworden und das entsprechende Gesetz wurde unterzeichnet, wie Reuters berichtet. Nach offiziellen Angaben soll das Gesetz vor allem die lokalen Wirtschaft dabei unterstützen, mit ausländischen IT-Konzernen besser konkurrieren zu können. Datenschützer haben jedoch bereits größere Bedenken angemeldet, dass auf diese Weise Überwachungs-Apps auf die Geräte geschleust werden sollen, was dazu führen könnte, dass sich manche Hersteller komplett aus dem Markt zurückziehen. Kommt ein Hersteller der Installation der geforderten Apps nicht nach, werden seine Geräte für den russischen Markt ab Juli 2020 ohnehin nicht mehr zugelassen, wie BBC News beriets berichtete.

Es wird zudem davon ausgegangen, dass die vorinstallierten Apps keine Prüfungen durchlaufen müssen, wie dies Beispielsweise bei der Zulassung für den iOS AppStore der Fall ist. Dem Einbau irgendwelcher Hintertüren und sonstiger Spionagesoftware wäre in diesem Falle also Tür und Tor geöffnet. Dies ruft natürlich auch Apple auf den Plan, wo man ja bekanntermaßen sehr viel Wert auf den Datenschutz bei seinen Nutzern legt. Entsprechend hat ein Unternehmenssprecher gegenüber der russischen Publikation The Bell (Google-Übersetzung) bereits zu Protokoll gegeben, dass das Gesetz vergleichbar mit einem Jaibreak der Apple-Geräte sei: "A mandate to add third-party applications to Apple's ecosystem would be equivalent to jailbreaking. It would pose a security threat, and the company cannot tolerate that kind of risk."

Der Moscow Times zufolge wird die russische Regierung in Kürze eine Liste von Apps und Software veröffentlichen, die künftig auf den Geräten vorinstalliert sein müssen, möchte man seine Geräte weiter in Russland vertreiben. Auch zu diesen Geräten soll es dann eine entsprechende Liste geben.

Nachdem Apple sich bereits in China außerordentlich schwer tut, könnte mit Russland demnächst ein weiterer Markt hinzukommen, in dem Apple auf Probleme stößt. So wird dort ab dem kommenden Jahr ein Gesetz greifen, nachdem jedes Smartphone, jeder Computer und sogar jedes Smart TV mit vorinstallierten russischen Apps ausgeliefert werden müssen. Während dies vor allem mit der Unterstützung der lokalen Wirtschaft begründet wird, haben Datenschützer größte Bedenken, dass auf diese Weise Überwachungs-Apps auf die Geräte geschleust werden sollen, was dazu führen könnte, dass sich manche Hersteller komplett aus dem Markt zurückziehen. Als erstes käme einem dabei natürlich Apple in den Sinn, wo man ja bekanntermaßen sehr viel Wert auf den Datenschutz bei seinen Nutzern legt. Kommt ein Hersteller der Installation der geforderten Apps nicht nach, werden seine Geräte für den russischen Markt ab Juli 2020 nicht mehr zugelassen, wie BBC News berichtet.

Es wird zudem davon ausgegangen, dass die vorinstallierten Apps keine Prüfungen durchlaufen müssen, wie dies Beispielsweise bei der Zulassung für den iOS AppStore der Fall ist. Dem Einbau irgendwelcher Hintertüren und sonstiger Spionagesoftware wäre in diesem Falle also Tür und Tor geöffnet.

Erst kürzlich sorgte eine "Fehlfunktion" in der Facebook-App für Aufsehen, durch die beim Scrollen durch den Newsfeed offenbar die rückwärtige Kamera des iPhone aktiv war. Facebook erklärte dies mit einem Bug und behob das Problem wenige Tage später. Nun sorgt unter Android ein ähnlich gelagertes Problem für Aufsehen. So konnten entsprechend manipulierte Apps offenbar ebenfalls unbemerkt auf die Kamera der Smartphones zugreifen, wie die Kollegen von ArsTechnica berichten. Entdeckt wurde das Problem offenbar bereits im Sommer und Google und Samsung haben es auf ihren Geräten auch bereits behoben.

In einer Demonstration nutzten die Sicherheitsforscher, die das Problem entdeckt haben, eine Wetter-App, der es gelang, im Hintergrund nicht nur Fotos und Videos zu erstellen, sondern auch geführte Telefonate aufzuzeichnen. Dies war auch dann möglich, wenn das Gerät eigentlich gesperrt war. Die mitgeschnittenen Inhalte konnten anschließend unbemerkt auf einen externen Server übertragen werden. Ganz so trivial scheint die Lücke allerdings nicht auszunutzen zu sein. So berichtet ArsTechnica, dass man schon eine Menge Fachwissen benötige, wenn man sich Zugriff auf die Kamera verschaffen möchte. Allein die Tatsache, dass dies aber überhaupt möglich sei, ist schon Grund zur Sorge.

Unter iOS müssen Nutzer einer App aktiv den Zugriff auf die Kameras und weitere Sensoren des iPhone gestatten. Anschließend gibt es allerdings auch hier (siehe das Facebook-Beispiel) keine Überprüfung mehr, wann und wie diese genutzt wird. Ein Kameraindikator, so wie er beispielsweise beim Zugriff auf das Mikrofon angezeigt wird, wird daher immer wieder von Sicherheitsexperten gefordert.

Jepp, wir haben mal wieder einen aus der Ecke "das meinen die doch nicht ernst". Der Webentwickler Joshua Maddux hat ein bemerkenswertes "Phänomen" in der Facebook-App unter iOS entdeckt. Hat man der App den Zugriff auf die Kamera erlaubt, ist diese auf der Rückseite des iPhone aktiv, wenn man sich innerhalb der App durch seinen Newsfeed scrollt, wie das Video im unten eingebetteten Tweet zeigt. Maddux konnte dies auf fünf unterschiedlichen Geräten nachstellen und auch die Kollegen von TNW haben das Problem inzwischen bestätigt. Bestätigt ist dies bislang für alle Betriebssystemversionen von iOS 12.4.1 bis hin zum aktuellen iOS 13.2.2.

Found a @facebook #security & #privacy issue. When the app is open it actively uses the camera. I found a bug in the app that lets you see the camera open behind your feed. Note that I had the camera pointed at the carpet. pic.twitter.com/B8b9oE1nbl

— Joshua Maddux (@JoshuaMaddux) 10. November 2019

Derzeit gehen die meisten Beobachter davon aus, dass es sich eher um einen Bug als um ein beabsichtigtes Verhalten der App handelt. Allerdings muss man sich schon die Frage stellen, wie die rückwärtige Kamera des iPhone "zufällig" aktiv werden kann, ohne dass sie explizit genutzt werden soll. Bislang liegt noch keine Stellungnahme seitens Facebook vor. Wer sich allerdings Sorgen um das Verhalten der App macht, sollte der Kamera kurzerhand den Zugriff auf die Kamera in den Geräteeinstellungen untersagen.

Seit mehreren Jahren schon bewirbt Apple das iPhone immer wieder auch bezüglich seiner Vorzüge in Sachen Datenschutz und Privatsphäre. Dieser Strategie wird nun mit einer für das iPhone 11 und iOS 13 aktualisierten Webseite zu dem Thema neues Leben eingehaucht. Darauf erhält man auf thematisch sortierten Kacheln unter anderem auch Zugriff auf verschiedene Whitepapers dazu, wie Apple das Thema Datenschutz in Safari, Sign in with Apple, Fotos, Nachrichten, Karten oder auch den ortsbezogenen Diensten umsetzt. Dabei setzt Apple auch weiterhin auf seine vier Kernprinzipiel

• minimale Sammlung von Nutzerdaten
• lokale Verarbeitung von Daten direkt auf dem Gerät
• transparentes Vorgehen bei Datensammung und -nutzung
• Nutzung starker Geräteverschlüsselung

Der Webseite zufolge hat Apple in iOS 13 weitere Datenschutzmaßnahmen ergriffen:

• Kontakte: Notizen, die zu den Kontakten gespeichert wurden, werden auch dann nicht an Drittanbieter-Apps weitergegeben, wenn man diesen Zugriff auf die Kontakte gewährt hat.
• Find My: Apple nutzt Ende-zu-Ende Verschlüsselung für die Kommunikation zwischen in der Nähe befindlichen Apple-Geräten, um verlorene iPhones und Macs aufzufinden. Hierdurch kennen sich die Geräte niemals untereinander.
• Apple Arcade: In den teilnehmenden Spielen sind keine Werbung oder Tracking-Maßnahmen gestattet.
• Hintergrundnutzung von Positionsdaten: iPhone-Nutzer erhalten nun regelmäßig Informationen darüber, wenn eine App die Position im Hintergrund genutzt hat, inkl. der Möglichkeit, diese Berechtigung zu entziehen.

Wer sich für das Thema Datenschutz allgemein und vor allem auch Apples Maßnahmen in diesem Bereich im Detail interessiert, sollte der aktualisierten Webseite zu dem Thema definitiv einmal einen Besuch abstatten.

Okay, das ging recht schnell. Nach den zurecht besorgten Nutzerreaktionen auf Apples Praxis, zur Umsetzung der Datenschutzfunktionen in Safari Daten neben Google auch an den chinesischen Anbieter Tencent zu versenden, der enge Verbindungen zur chinesischen Regierung pflegt, hat sich das Unternehmen nun zu der Thematik offiziell geäußert. Die Kernaussage dabei: Webseiten-URLs werden zur Überprüfung nicht an die beiden Unternehmen gesendet und Tencent ist ausschließlich dann beteiligt, wenn sich das zugreifende Gerät auf dem chinesischen Festland (ohne Hongkong) befindet. Demnach gelangt der chinesische Staatskonzern nicht in Besitz irgendwelcher Informationen von Nutzern außerhalb Chinas. Der Datenaustausch findet stattdessen in umgekehrter Richtung statt. So erhält Safari von den beiden Anbietern regelmäßig eine aktualisierte Liste von betrügerischen Webseiten, gegen die der URL-Aufruf dann auf dem Gerät geprüft wird. Apples Statement:

Apple protects user privacy and safeguards your data with Safari Fraudulent Website Warning, a security feature that flags websites known to be malicious in nature. When the feature is enabled, Safari checks the website URL against lists of known websites and displays a warning if the URL the user is visiting is suspected of fraudulent conduct like phishing.

To accomplish this task, Safari receives a list of websites known to be malicious from Google, and for devices with their region code set to mainland China, it receives a list from Tencent. The actual URL of a website you visit is never shared with a safe browsing provider and the feature can be turned off.

Die Liste der Anbieter enthält dabei auch keine URLs im klassischen Sinne, sondern lediglich sogenannte Hashwerte, aus denen sich auch nicht auf die URLs rückschließen lässt. Passt beim Aufruf einer URL in Safari zu einem Hashwert in der Liste, fragt Safari beim Anbieter die komplette Liste von URLs an, zu denen dieser Hashwert passt. Bei der Kommunikation zwischen dem Gerät und dem Google-Server, die für den Erhalt der Listen notwendig ist, sieht Google natürlich auch die IP-Adresse des Geräts auf das die Liste geladen werden soll. Dies ist bei der Kommunikation in Netzwerken allerdings nicht nut normal, sondern auch Grundlage der Kommunikation.

Wie Apple selbst auch anmerkt, kann diese Funktion deaktiviert werden. Dies geschieht in den Safari-Einstellungen, indem man den Schalter "Betrugswarnung" deaktiviert. Wie angemerkt, würde ich hiervon allerdings abraten, da die Funktion durchaus ihre Daseinsberechtigung hat. Apples Informationspolitik in diesem Zusammenhang lässt allerdings weiter zu wünschen übrig.