iCloud Private Relay: Sicherheitsforscher umgehen Schutz über WebKit
Veröffentlicht am: 17.08.2026 um 20:22 Uhr | Redaktion boerse-global.de
Der Technologiekonzern Apple steht vor einer neuen Herausforderung im Bereich des Datenschutzes. Sicherheitsforscher haben kürzlich dokumentiert, dass der Anonymisierungsdienst iCloud Private Relay durch gezielte Ausnutzung der WebKit-Engine umgangen werden kann. Die identifizierten Schwachstellen erlauben es potenziellen Angreifern, die tatsächliche IP-Adresse sowie DNS-Informationen von Nutzern abzugreifen, obwohl der Schutzdienst aktiv ist.
Die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk haben in ihren Untersuchungen drei spezifische Pfade innerhalb von WebKit identifiziert, die für diese Umgehung genutzt werden können. Es handelt sich dabei um die Funktionen DNS-Prefetching, WebAuthn und WebTransport. Diese technischen Schnittstellen, die normalerweise zur Beschleunigung des Seitenaufbaus oder zur sicheren Authentifizierung dienen, weisen nach Erkenntnissen der Experten Lücken auf, die den Schutzmechanismus des Relay-Dienstes unterlaufen.
Keine Nutzerinteraktion für Datenabfluss erforderlich
Ein besonders kritischer Aspekt der Entdeckung ist der Umstand, dass die Umgehung von iCloud Private Relay über diese drei WebKit-Funktionen keine Interaktion seitens des Nutzers erfordert.
Viele iPhone-Nutzer übersehen nach System-Updates oft kritische Sicherheits-Einstellungen, die ihre Privatsphäre gefährden können. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirksam schützen. Sicherheits-Ratgeber für iOS kostenlos herunterladen
Während viele Sicherheitsrisiken darauf basieren, dass Anwender aktiv auf Links klicken oder Berechtigungen erteilen müssen, können die Informationen in diesem Fall im Hintergrund offengelegt werden. Damit wird das Versprechen der Anonymität, das Apple mit dem Dienst verbindet, für betroffene Systeme faktisch aufgehoben.
Den Berichten der Forscher zufolge sind mehrere Versionen der Apple-Betriebssysteme von dieser Problematik betroffen. Konkret genannt werden iOS 26.0 und iOS 26.4 sowie das Desktop-Betriebssystem macOS. Nutzer, die diese Versionen verwenden, setzen sich somit dem Risiko aus, dass ihre Identität und ihr Surfverhalten trotz eingeschaltetem Private Relay für Webseitenbetreiber oder Netzwerkanalysten sichtbar werden.
Ausbleibende Reaktion des Herstellers und erste Lösungen
Bislang hat sich Apple nicht offiziell zu den Erkenntnissen der Sicherheitsforscher geäußert. Eine Stellungnahme oder die Ankündigung eines kurzfristigen Sicherheits-Patches seitens des Konzerns steht derzeit noch aus. In der Branche wird die Entwicklung aufmerksam beobachtet, da iCloud Private Relay ein zentraler Bestandteil von Apples Vermarktungsstrategie als besonders datenschutzfreundlicher Anbieter ist.
Wer sich über die Sicherheit seiner Apple-Geräte Gedanken macht, sollte die grundlegenden Schutzmechanismen des Systems genau kennen. Dieser Gratis-Leitfaden macht die Technik endlich verständlich und zeigt Ihnen die einfache Schritt-für-Schritt-Methode für ein sicheres iPhone. Kostenlosen iOS-Update-Guide jetzt sichern
Während eine offizielle Lösung des Herstellers noch auf sich warten lässt, haben Drittanbieter bereits reagiert. Es wurde bekannt, dass die Software Psylo in der aktuellen Version 1.3.1 bereits entsprechende Sicherheitsvorkehrungen implementiert hat.
Dieses Update blockiert die drei von Talal Haj Bakry und Tommy Mysk identifizierten Umgehungspfade und bietet betroffenen Nutzern somit eine Möglichkeit, die drohende Offenlegung ihrer IP-Adresse und DNS-Daten zu verhindern.
Für professionelle Anwender und Unternehmen, die auf die Sicherheitsarchitektur von Apple-Geräten vertrauen, verdeutlicht dieser Vorfall erneut die Komplexität moderner Web-Engines.
WebKit, die Basis für den Safari-Browser und alle Browser unter iOS, bleibt aufgrund seiner tiefen Integration in das Betriebssystem ein kritisches Ziel für Sicherheitsanalysen. Ob Apple mit kommenden Updates für iOS und macOS die Schwachstellen in den Funktionen DNS-Prefetching, WebAuthn und WebTransport grundlegend schließen wird, bleibt abzuwarten.
