Drei WebKit-Lecks umgehen Proxy und iCloud Private Relay auf iOS und macOS
Der WebKit-Browsermotor auf iOS und macOS birgt drei unbekannte Datenlecks, die selbst durch Proxy-Server oder iCloud Private Relay nicht abgedeckt werden. Da Apple auf iPhone und iPad vorschreibt, dass alle Browser-Apps auf WebKit aufsetzen, betrifft das Risiko prinzipiell jedes Gerät mit einem Drittanbieter-Browser. Virtual Private Networks sind von der Problematik jedoch nicht betroffen.
Ein Entwickler der Datenschutz-App Psylo deckte die Schwachstellen auf, nachdem ein Nutzer über ein DNS-Leck berichtet hat. Die Untersuchung ergab, dass drei separate Funktionen des Browsers sensible Verbindungsdaten an das offene Netzwerk durchsickern lassen.
So funktionieren die drei Lecks
Die drei Funktionen dienen ursprünglich der Beschleunigung von Ladezeiten und der Verbesserung der Benutzerfreundlichkeit. Gleichzeitig umgehen sie jedoch die konfigurierten Proxy-Einstellungen und legen die wahre IP-Adresse oder DNS-Anfragen frei. Folgende Mechanismen sind betroffen:
- DNS Prefetching existiert seit iOS 26 und löst Hostnames über den regulären DNS-Pfad auf, anstatt den eingerichteten Proxy zu nutzen.
- WebAuthn für Passkeys wurde mit iOS 18 eingeführt. Beim Herunterladen der Validierungsdatei für Passkeys wird die echte IP-Adresse des Geräts offengelegt.
- WebTransport ist seit iOS 26.4 aktiv und baut eine direkte HTTP/3-Verbindung auf, wodurch die wahre IP-Adresse des Nutzers preisgegeben wird.
Alle drei Lecks treten sowohl auf iOS als auch auf macOS auf und lassen sich nicht durch appinterne Proxy-Einstellungen unterbinden, da sie tief im Browsermotor verankert sind.
Warum VPN-Nutzer sicher sind
Virtual Private Networks sind von den drei WebKit-Schwachstellen komplett ausgenommen. VPNs arbeiten auf Systemebene und verschlüsseln den gesamten Netzwerkverkehr des Geräts, bevor dieser überhaupt den Browsermotor erreicht. Die Verschlüsselung erfolgt also vor der Stelle, an der WebKit die umgehenden Verbindungen aufbaut.
Gefährdet sind stattdessen Nutzer, die auf Proxy-Server, Tor-Browser oder iCloud Private Relay setzen. Diese Lösungen arbeiten auf einer höheren Ebene im Netzwerk-Stack und können die direkten Verbindungen von DNS Prefetching, WebAuthn und WebTransport nicht abfangen. Die reale IP-Adresse und DNS-Abfragen gelangen daher ungefiltert ins Internet, obwohl der Nutzer sich durch den Proxy geschützt wähnt.
Psylo hat bereits gegengesteuert
Der Entwickler der Psylo-App hat alle drei Probleme im neuesten Update behoben, indem er die entsprechenden Features komplett deaktiviert hat. Nutzer der App müssen die Funktionen nun je nach Website manuell verwalten, da sie einerseits Komfort und Geschwindigkeit bieten, andererseits aber Sicherheitsrisiken bergen.
Auch der Onion Browser bietet in bestimmten Konfigurationen Schutz. Die Sicherheitsstufe Silver konfiguriert WebKit im Lockdown-Modus und ist damit gegen das WebTransport-Leck immun. Nutzer, die maximale Anonymität benötigen, sollten prüfen, ob ihr Browser ähnliche Restriktionsmodi anbietet oder ob ein manueller Eingriff nötig ist.
Apple muss noch nachliefern
Apple wird die drei WebKit-Schwachstellen in einem zukünftigen Systemupdate beheben müssen. Die öffentliche Offenlegung durch den Psylo-Entwickler könnte den Reparaturprozess beschleunigen, da das Unternehmen nun unter Druck steht, eine Lösung zu liefern. Bis dahin bleibt das Risiko für alle Nutzer bestehen, die auf Proxy- oder Tor-Verbindungen setzen.
Der Entwickler stellt eine Demonstrationswebsite bereit, auf der Nutzer selbst testen können, ob ihr Browser von den Lecks betroffen ist. Konkretes Handeln ist für die meisten Nutzer nicht erforderlich, doch das Bewusstsein dafür ist wichtig, dass Proxy und Tor allein nicht jeden Datenpunkt schützen. Wer besonders sensibel auf Privatsphäre achtet, sollte vorübergehend auf VPNs ausweichen oder die betroffenen Browserfunktionen deaktivieren.
Das könnte dich auch interessieren
Weitere Geschichten aus iOS.
Virtual Mac on iPad: macOS als Jailbreak-VM auf M1- und M2-Tablets
Das Open-Source-Projekt Virtual Mac on iPad installiert macOS als virtuelle Maschine auf kompatiblen iPads. Voraussetzung ist ein Jailbreak auf älteren iPadOS-Versionen sowie ein M1- oder M2-Chip.
Sammelklage wegen Gesichtserkennung in der Fotos-App gegen Apple zugelassen
Ein US-Richter hat die Fortführung einer Sammelklage bestätigt, die Apples Gesichtserkennung in der Fotos-App zum Vorwurf macht. Theoretisch stehen bis zu 32,5 Milliarden Dollar auf dem Spiel, bevor jedoch gezahlt wird, müssen die Kläger den Datenschutzverstoß noch beweisen.
Russland ermittelt wegen Kartellverstößen gegen Apple
Die russische Wettbewerbsbehörde FAS hat ein formelles Verfahren gegen Apple eingeleitet. Im Mittelpunkt steht die Weigerung, staatliche Apps auf iOS-Geräten vorzuinstallieren.
Apple plant Kopierfunktion zwischen iPhone und Windows
Apple reagiert auf den Digital Markets Act und entwickelt eine neue Synchronisierung der Zwischenablage. Die technische Umsetzung basiert auf einem Antrag von Microsoft und soll die Nutzung der beiden Ökosysteme vereinfachen.
Telegram kurzzeitig aus dem App Store entfernt
Die Messaging-App Telegram war am 3. August 2026 für kurze Zeit weltweit aus dem App Store verschwunden. Apple handelte wegen Verstößen gegen die Richtlinien zum Schutz vor sexuellem Missbrauch von Kindern.
Apple wehrt sich gegen britischen Zwang zur iCloud-Backdoor
Apple hat die britische Regierung vor Gericht gebracht, nachdem London die Integration einer Hintertür in die iCloud gefordert hatte. Der Konzern warnt davor, dass diese Maßnahme die Sicherheit der gesamten Plattform unwiderruflich aushöhlt.
Kommentare
Sei der Erste, der hier kommentiert.
Du musst angemeldet sein, um zu kommentieren.