Apple und Behörden warnen vor Sicherheitslücke in Benachrichtigungen

Sensible Nachrichten auf dem Sperrbildschirm können trotz Verschlüsselung ausgelesen werden. Eine aktuelle Sicherheitswarnung von US-Behörden und verschärfte Entwicklerrichtlinien von Apple rücken eine oft übersehene Schwachstelle in den Fokus: die lokale Speicherung von Push-Benachrichtigungen.

Die unterschätzte Gefahr auf dem Sperrbildschirm

Die Warnung der US-Bundesbehörden vom gestrigen Samstag macht eine kritische Unterscheidung deutlich: Die Ende-zu-Ende-Verschlüsselung populärer Messenger schützt Nachrichten nur auf dem Weg durchs Netz. Auf dem Gerät selbst speichert das Betriebssystem jedoch oft eine Kopie der Vorschau für den Sperrbildschirm. Diese lokalen Protokolle bleiben eine verwundbare Stelle.

Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Apple-Chefredakteur Detlef Meyer verrät Ihnen in diesem kostenlosen Ratgeber, wie Sie Ihre Daten mit wenigen Klicks wirklich schützen. Welche iPhone-Einstellung Sie nach jedem Update sofort überprüfen sollten

Sicherheitsexperten weisen darauf hin, dass Angreifer mit physischem oder Remote-Zugriff auf ein Gerät diese Benachrichtigungsdaten auslesen können – selbst wenn die ursprüngliche Nachricht in der App längst gelöscht wurde. Besonders betroffen sind Nutzer älterer Softwareversionen. Erst Anfang April veröffentlichte Apple mit iOS 18.7.7 ein kritisches Update, um solche Angriffe zu blockieren.

Die Empfehlung der Experten ist klar: Für sensible Apps wie Messenger oder Banking-Apps sollten Nutzer die Vorschau von Nachrichteninhalten deaktivieren. Besser ist es, nur den Absendernamen oder gar keinen Inhalt anzeigen zu lassen. So wird verhindert, dass der Text in einer Form zwischengespeichert wird, die die App-interne Verschlüsselung umgeht.

Neue EU-Regeln zwingen Apple zum Handeln

Parallel zu der Warnung verschärfte Apple Ende März seine Entwicklerrichtlinien erheblich. Der neue Developer Program License Agreement vom 31. März 2026 regelt streng, wie Drittanbieter-Zubehör wie Smartwatches mit iPhone-Benachrichtigungen umgehen dürfen. Hintergrund ist der Druck durch den Digital Markets Act (DMA) der Europäischen Union.

Die neuen Regeln verbieten es Entwicklern strikt, weitergeleitete Benachrichtigungsdaten auf externen Servern oder in der Cloud zu speichern. Apple schreibt vor, dass diese Daten nur auf dem Zubehör selbst entschlüsselt werden dürfen. Zudem ist es verboten, die Informationen für Werbung, Nutzerprofile oder das Training von KI-Modellen zu verwenden.

Apple hatte stets argumentiert, dass die DMA-Öffnung neue Datenschutzrisiken schaffe. Die nun verschärften Richtlinien scheinen der Versuch zu sein, für diese erzwungene Interoperabilität minimale Sicherheitsstandards zu zementieren. So sollen sensible Warnungen – etwa medizinische Meldungen – nur auf dem dafür bestimmten Wearable landen.

Regierungen wittern neuen Hebel für Überwachung

Das gestiegene Sicherheitsbewusstsein hängt auch mit dem wachsenden Interesse von Strafverfolgungsbehörden an Push-Tokens zusammen. Diese eindeutigen Identifikatoren verknüpfen eine App, ein Gerät und ein Nutzerkonto. Da sie vom Betriebssystem-Anbieter verwaltet werden, sind sie ein zentraler Ansatzpunkt für behördliche Anfragen.

Apple-Fachchinesisch wie Push-Tokens oder iOS macht Ihnen das Leben schwer? Dieses Gratis-Lexikon erklärt die 53 wichtigsten iPhone-Begriffe in einfachen Worten – inklusive praktischer Aussprachehilfen. In 10 Minuten die Apple-Sprache verstehen

Ein Transparenzbericht vom Juni 2025 zeigte einen deutlichen Anstieg solcher Anfragen: Die Zahl globaler behördlicher Ersuchen stieg von 119 Anfang 2023 auf 277 bis Mitte 2024. Allerdings sank die Genehmigungsrate in diesem Zeitraum von 76 auf 59 Prozent. Seit Ende 2023 verlangt Apple für die Herausgabe von Push-Token-Metadaten ein richterliches Beschluss statt einer einfachen Vorladung.

Trotz dieser höheren Hürden erhielten Behörden in Ländern wie den USA und Großbritannien weiterhin Daten zu hunderten Push-Tokens für ihre Ermittlungen. Die Tokens bleiben ein wertvolles Werkzeug in der digitalen Fahndung.

Vom Datensammeln zur „Privacy by Architecture“

Die aktuelle Breitendebatte baut auf Erkenntnissen aus dem Jahr 2024 auf. Damals zeigten Forscher, dass viele Apps die kurze Aktivierungsphase bei einer Benachrichtigung nutzten, um heimlich Gerätedaten wie Akkustatus oder Tastatursprache auszulesen. Diese „Fingerprinting“-Technik umgeht klassische Tracking-Sperren.

Als Reaktion darauf zwang Apple Entwickler zur Offenlegung solcher Praktiken. Mit Private Cloud Compute (PCC) in neueren iOS-Versionen testet der Konzern nun eine Architektur, bei der komplexe Aufgaben auf sichere Server ausgelagert werden, die Nutzerdaten nicht dauerhaft speichern.

Die Branche bewegt sich damit weg von reiner Transparenz hin zu „Privacy by Architecture“ – Datenschutz durch Systemdesign. Die nächste Entwicklungsstufe wird voraussichtlich die Zeitspanne verkürzen, in der Benachrichtigungsdaten unverschlüsselt auf dem Gerät vorliegen.

Bis dahin bleibt die Sicherheit der iPhone-Benachrichtigungen eine geteilte Verantwortung. Während Apple mit Updates und Architektur nachbessert, liegt es auch an den Nutzern, ihre Einstellungen zu überprüfen. Angesichts von schätzungsweise 20 Prozent Nutzern mit veralteten Betriebssystemen ist das eine anhaltende Herausforderung.

de | boerse | 69134029 |