Apples iCloud Privat-Relay besitzt offenbar mehrere überraschende Ausfahrten. Die kostenpflichtige iCloud+-Funktion soll beim Surfen mit Safari die echte IP-Adresse verbergen. Entsprechend präparierte Webseiten können diese unter bestimmten Umständen trotzdem abrufen – teilweise ganz ohne sichtbare Nachfrage.Entdeckt wurden die Schwachstellen von den Sicherheitsforschern Tommy Mysk und Talal Haj Bakry. Sie haben drei WebKit-Funktionen identifiziert, deren Verbindungen nicht durch Apples zweistufiges Relay geleitet werden, sondern direkt vom Gerät ausgehen.Passkey-Abfrage nimmt die AbkürzungBesonders problematisch ist der Zusammenhang mit Passkeys. Eine Webseite kann im Hintergrund prüfen lassen, ob ein Passkey auch für eine verwandte Domain verwendet werden darf. Diese Anfrage übernimmt nicht Safari selbst, sondern ein Systemdienst von iOS.Der Dienst kennt offenbar den Weg durch Privat-Relay nicht und verbindet sich direkt mit dem angegebenen Server. Dieser sieht dadurch die echte IP-Adresse. Ein sichtbares Passkey-Fenster oder eine Bestätigung des Nutzers ist dafür nicht erforderlich. Die Webseite muss Passkeys lediglich unterstützen – oder überzeugend so tun.Drei Lecks in Apples WebKitZusätzlich kann das seit iOS 26 unterstützte Vorabladen von Domainnamen die tatsächlich verwendeten DNS-Server offenlegen. WebTransport wiederum baut seit iOS 26.4 direkte Verbindungen auf, die ebenfalls an einem konfigurierten Proxy und Apples Privat-Relay vorbeiführen können.Die Probleme betreffen nicht nur Safari. Auch iPhone-Browser, die ihren Datenverkehr über WebKits Proxy-Schnittstelle umleiten, können betroffen sein. Dazu gehört etwa der von uns vorgestellte Datenschutz-Browser Psylo. Dessen Entwickler haben die drei Funktionen in Version 1.3.1 vorsorglich deaktiviert.Unter leaks.psylo.app stellen die Forscher einen Test bereit. Dieser zeigt, ob der verwendete Browser die tatsächliche IP-Adresse oder DNS-Verbindung preisgibt.VPN-Verbindungen sind nicht betroffenPrivat-Relay ist kein vollständiges VPN. Apple schützt damit in erster Linie den Safari-Datenverkehr, während ein VPN die Netzwerkverbindungen des gesamten Geräts umleitet. Solche systemweiten Tunnel sind von den beschriebenen WebKit-Fehlern nicht betroffen.Apple untersucht den Bericht. Nach Angaben der Forscher ist eine Korrektur für den Herbst geplant. Bis dahin gibt es in Safari keine Einstellung, mit der sich alle drei problematischen Funktionen gemeinsam abschalten lassen.Zweiter Kratzer am DatenschutzversprechenEin einzelner Fehler lässt Apples Datenschutzarchitektur noch nicht zusammenbrechen. Ungünstig ist jedoch die Häufung. Erst im Juli musste Apple eine Schwachstelle in „E-Mail-Adresse verbergen“ beheben, über die sich reale Adressen hinter Apples Alias-Dienst ermitteln ließen.Nun verfehlt auch Privat-Relay unter bestimmten Bedingungen genau seine Kernaufgabe. Für eine Funktion, die Apple als Bestandteil eines kostenpflichtigen Datenschutzpakets verkauft, ist „meistens privat“ mittlerweile eine eher mittelprächtige Werbebotschaft.Der Beitrag Nach E-Mail-Leck: Auch Apples IP-Schutz wackelt Wurde zuerst auf iphone-ticker.de veröffentlicht.