iPhone-Sicherheit: Schon der Besuch präparierter Webseiten kann Geräte infizieren
Veröffentlicht am: 15.10.2026 um 10:30 Uhr | Redaktion boerse-global.de
Im Umfeld neuer iPhone-Modelle schlagen Sicherheitsforscher und Cybersicherheitsfirmen Alarm. Wie aus Berichten vom 14. Oktober 2026 hervorgeht, kursieren bösartige Internetseiten, bei denen bereits das bloße Aufrufen genügt, um das Smartphone zu infizieren oder die heimliche Installation schädlicher Fernzugriffs-Software anzustoßen. Angreifer nutzen das gesteigerte Interesse an neuer Hardware gezielt aus, um präparierte Webseiten zu verbreiten.
Ausgeklügelte Exploit-Ketten zielen auf den Systemkern
Sicherheitsanalysen verdeutlichen das technische Ausmaß der aktuellen Bedrohung. Google Threat Intelligence dokumentierte insgesamt 5 Coruna-Exploit-Ketten mit 23 Exploits, die auf iOS 13.0 bis 17.2.1 ausgelegt sind.
Zudem analysierte das Sicherheitsunternehmen iVerify eine DarkSword genannte Kette für iOS 18.4 bis 18.6.2, während nach weiteren Berichten eine Kette mit sechs Lücken gegen iOS 18.4 bis 18.7 gerichtet ist.
Der Sicherheitsarchitekt Akili Akridge hob im Podcast Packet Protector hervor, dass bereits der Besuch einer manipulierten oder täuschenden Webseite zur vollständigen Übernahme eines Geräts führen kann.
Technisch setzen die Angriffe über Coruna und DarkSword auf schädliches JavaScript, das Schwachstellen in Apples Browser-Engine Safari WebKit ausnutzt. Darauf folgt ein Ausbruch aus der Sandbox sowie eine Privilegien-Eskalation, die den Angreifern schließlich vollen Zugriff auf den Betriebssystem-Kernel verschafft.
Nach erfolgreicher Kompromittierung sammeln die Implantate von DarkSword sensible Daten wie gespeicherte Zugangsdaten im Schlüsselbund, WLAN-Passwörter, Textnachrichten, den Standortverlauf und Krypto-Wallet-Dateien ab. Die Coruna-Payload namens PlasmaLoader nimmt gezielt Kryptowährungs-Wallets sowie in den Apple-Notizen gespeicherte Wiederherstellungsphrasen ins Visier.
Die Ursprünge der Spionagewerkzeuge sind vielschichtig: Coruna wandelte sich über die Zeit vom Werkzeug kommerzieller Überwachungsanbieter hin zu mutmaßlich russischen Spionageaktionen gegen ukrainische Nutzer, bevor die Malware später in finanziell motivierten Kampagnen mit gefälschten Finanzseiten auftauchte.
Der Quellcode von DarkSword, das ursprünglich von iVerify gemeinsam mit Lookout und Google offengelegt worden war, geriet im Jahr 2026 über einen Leak an die Öffentlichkeit.
Viele iPhone-Nutzer übersehen nach dem Update auf neue Systemversionen oft kritische Einstellungen, die ihre Privatsphäre gefährden können. Dieser kostenlose Ratgeber zeigt Ihnen in einer einfachen Schritt-für-Schritt-Methode, wie Sie Ihr Gerät nach Aktualisierungen optimal absichern. Sicherheits-Ratgeber für iOS-Updates kostenlos herunterladen
Mit DarkCoruna existiert zudem eine kombinierte Variante beider Stränge, die ein breiteres Spektrum an iOS-Versionen bedroht. Laut der Telemetrie von iVerify stieg der Anteil aktiver und historischer Angriffe mit Coruna im September 2026 auf 5 Prozent der gemessenen Geräte, verglichen mit 1,5 Prozent im August.
Aktualisierte Schadsoftware und Gegenmaßnahmen von Apple
Das Sicherheitsunternehmen iDatafy meldete eine aktualisierte Version der Spionagesoftware, die in technischen Unterlagen als P7 DarkSword geführt wird und gezielt für das Apple-Mobilbetriebssystem angepasst wurde.
Diese P7-Fassung weist komplexere Funktionen als frühere Versionen auf und greift auf spezifische Assets des iOS-Systems zu, wobei nicht aktualisierte Geräte besonders gefährdet bleiben.
Angaben zu konkreten Verbreitungswegen oder Betroffenen liegen iDatafy bislang nicht vor. Laut iVerify stiehlt die im Oktober 2026 identifizierte P7-DarkSword-Variante ebenfalls Schlüsselbund- sowie Wallet-Informationen.
Apple reagierte mit der Bereitstellung von iOS 18.7.7. Das Update schließt die kritischen Sicherheitslücken im Kernsystem und richtet sich an Nutzer, die hardwarebedingt oder aus anderen Gründen noch nicht auf iOS 26 umgestiegen sind. Die Installation erfolgt über die regulären Geräteeinstellungen.
Neben regelmäßigen Updates empfiehlt der Hersteller bei erhöhtem Bedrohungsniveau den sogenannten Blockierungsmodus. Dieser muss vor dem Laden verdächtiger Seiten scharfgeschaltet sein, blockiert potenziell riskante Anhänge und verhindert die Registrierung über die Mobilgeräteverwaltung.
Täuschungsmuster rund um Hardware-Neuheiten
Flankierend zu den technischen Angriffen registrieren Sicherheitsexperten manipulierte Verkaufs- und Lockangebote. Das Team von Trend Micro TrendLife warnt vor drei Kategorien verdächtiger Webseiten rund um Gerätebezeichnungen wie iPhone Duo und iPhone 18: Zum einen gefälschte Vorbestellseiten mit künstlichem Zeitdruck, deren Daten nach offiziellen Herstellerankündigungen angepasst werden; zum anderen nicht autorisierte Werbe- und Affiliate-Seiten zur Monetarisierung von Klicks; und schließlich präparierte Gewinnspiel- und Rabattseiten.
Bei letzterer Kategorie reicht bereits das Öffnen der Seite auf veralteten iOS-Versionen, um Zugangsdaten abzugreifen, da im Hintergrund versionsspezifischer Exploit-Code nachgeladen wird.
Angesichts der Millionen gehackten Online-Konten pro Quartal in Deutschland ist der Schutz durch klassische Passwörter oft nicht mehr ausreichend. Erfahren Sie in diesem kostenlosen Report, wie Sie die neue Passkey-Technologie bei Diensten wie Amazon oder WhatsApp nutzen, um Hackern keine Chance zu geben. Kostenlosen Passkey-Report jetzt sichern
Unerwartete Links, abweichende Spezifikationen und Countdowns gelten als deutliche Warnsignale. Berichten vom 14. Oktober 2026 zufolge kursieren zudem gefälschte E-Mails mit angeblichen iPhone-18-Verlosungen.
Auch die Analystin Olga Altukhova von Kaspersky stellte im Zusammenhang mit der Veröffentlichung neuer Modelle mehrsprachige Fake-Webseiten fest. Eine Seite lockte mit 25 Prozent Rabatt gegen Zahlung in Bitcoin.
Solche Portale verlangen oft umfangreiche persönliche Kontaktdaten und Bankkarteninformationen, die anschließend für Social-Engineering-Angriffe genutzt werden. Kaspersky rät dringend zum Kauf über offizielle Händler, zur Prüfung von URLs, zum Einsatz virtueller Zahlungskarten sowie zur Aktivierung von Mehrfaktor-Authentifizierung.
Auf weiteren gefälschten Seiten tauchen Pop-up-Meldungen auf, die etwa fälschlich behaupten, 179 Viren auf dem Gerät entdeckt zu haben, um Nutzer zum Download schädlicher Software zu bewegen. Betroffene sollten den Browser in solchen Fällen sofort über den App-Umschalter oder den Task-Manager zwangsweise beenden.
Eine zusätzliche Hürde stellen raffinierte Domain-Täuschungen dar: Der Dienst Have I Been Squatted wies Adressen mit kyrillischen Schriftzeichen nach, die optisch dem Namen Apple glichen, aber von Schutzmechanismen in Chrome 154 nicht blockiert wurden.
Forscher demonstrierten dieses Prinzip an 20 ähnlich gestalteten Domains bekannter Technologie- und Konsumgüterkonzerne und verweisen zum Schutz auf den Einsatz kryptografisch an Webseiten gebundener Passkeys.
