iCloud Private Relay: Drei WebKit-Lücken offenbaren IP-Adressen
Veröffentlicht am: 06.08.2026 um 03:04 Uhr | Redaktion boerse-global.de
Die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk haben Anfang August 2026 drei Schwachstellen in Apples WebKit-Engine identifiziert, welche die Anonymisierungsfunktion iCloud Private Relay untergraben. Diese Schwachstellen ermöglichen es, die tatsächliche IP-Adresse sowie DNS-Anfragen der Nutzer offenzulegen, obwohl die Funktion eigentlich genau diesen Schutz gewährleisten soll.
Schwachstellen in WebKit betreffen zahlreiche Apple-Geräte
Die Entdeckung der Forscher bezieht sich auf drei spezifische Funktionen innerhalb von WebKit: DNS-Prefetching, WebAuthn Related Origin Requests sowie WebTransport. Diese Mechanismen können laut den Untersuchungen dazu genutzt werden, die Verschleierung durch iCloud Private Relay zu umgehen. Betroffen sind nicht nur Safari, sondern alle WebKit-basierten Browser auf den Betriebssystemen iOS, macOS und iPadOS. Dies schließt ausdrücklich sämtliche Browser unter iOS sowie den OnionBrowser mit ein.
In technischer Hinsicht sind die Betriebssystemversionen iOS 26.0, iOS 18.0 und iOS 26.4 als anfällig eingestuft worden. Die Sicherheitsforscher wiesen darauf hin, dass die Schwachstellen auch Tor-Browser und verschiedene Proxy-Apps betreffen können, sofern diese auf der betroffenen WebKit-Architektur aufbauen. Nutzer von klassischen VPN-Verbindungen seien von diesem spezifischen Problem hingegen nicht betroffen.
Verifizierung der IP-Leaks und Apples Reaktion
Mehrere Medienvertreter konnten die Existenz der Sicherheitslücke bereits bestätigen. Unter anderem verifizierte TechCrunch den IP-Leak am 5. August 2026. Auch das Medium 404 Media bestätigte die Ergebnisse der Forscher nach eigenen Tests. Die Sicherheitsforscher stellten zudem eine Test-Website bereit, die den Leak über Passkey-Anfragen demonstriert. Ein entsprechender Proof-of-Concept ist unter der Adresse leaks.psylo.app öffentlich zugänglich.
Da Sicherheitslücken wie die aktuelle WebKit-Schwachstelle oft nach Systemaktualisierungen auftreten, ist ein sicherer Umgang mit Software-Patches entscheidend. Dieser kostenlose Ratgeber zeigt Ihnen die einfache Schritt-für-Schritt-Methode, wie Sie Ihre Daten bei jedem Update ohne Stress schützen. So installieren Sie iOS-Updates sicher
Apple hat die Problematik laut Medienberichten bereits als schwerwiegend („dire“) eingestuft und eine Untersuchung eingeleitet. Dennoch hat das Unternehmen bisher keinen Zeitplan für die Bereitstellung eines Sicherheits-Fixes kommuniziert. Auf direkte Anfragen zur Stellungnahme reagierte der Konzern zum Zeitpunkt der Berichterstattung nicht. Dies stellt bereits den zweiten Vorfall dieser Art innerhalb des iCloud+-Dienstes dar, nachdem zuvor bereits eine Datenschutz-Schwachstelle bei der Funktion „E-Mail-Adresse verbergen“ bekannt geworden war.
Fehlende Workarounds und externe Software-Lösungen
Aktuell gibt es seitens des Herstellers keine offiziellen Empfehlungen für einen Workaround, um die Offenlegung der IP-Adressen innerhalb der betroffenen Systeme zu verhindern. Da die Schwachstellen tief in der WebKit-Engine verwurzelt sind, bleibt der Schutz der Privatsphäre bei Nutzung von iCloud Private Relay in den genannten Versionen vorerst lückenhaft.
Wer sich mit der Sicherheit seines iPhones befasst, sollte nach jedem System-Update bestimmte kritische Einstellungen sofort überprüfen. Erfahren Sie in diesem kostenlosen Leitfaden eines Apple-Experten, welche Funktionen Sie jetzt kontrollieren müssen, um Ihre Privatsphäre zu wahren. Kostenlosen iOS-Update-Ratgeber herunterladen
Als vorläufige Maßnahme wurde die Software Psylo in der Version 1.3.1 veröffentlicht. Diese soll die drei identifizierten Schwachstellen beheben, indem sie die betroffenen Funktionen innerhalb der Web-Umgebung deaktiviert. Für die Mehrheit der Endnutzer, die auf offizielle System-Updates angewiesen sind, bleibt die Situation jedoch kritisch, bis Apple eine entsprechende Aktualisierung für die betroffenen Betriebssysteme bereitstellt. Branchenbeobachter verfolgen nun genau, wie schnell der Konzern auf die als dringlich eingestuften Datenschutz-Mängel reagieren wird.
