Safari-Datenschutzlücke: Apple speichert gelöschten Browserverlauf

Der russische Sicherheitsanbieter Elcomsoft hat erneut eine Datenschutzlücke in Apple-Produkten entdeckt. Demnach speichert das Unternehmen aus Cupertino den Safari-Browserverlauf von Macs, iPhone, iPads und iPods Touch für mehr als ein Jahr in der Cloud. Auch das Löschen auf dem lokalen Gerät entfernt die iCloud-Daten nicht, was eine Wiederherstellung der Browserverlaufs mit Elcomsofts Tool Phone Breaker ermöglicht.

Im Gegensatz zum iCloud-Backup, das Daten nur in größeren Abständen auf Apple-Servern ablegt, können einige Apps bestimmte Nutzerdaten kontinuierlich und nahezu in Echtzeit mit iCloud synchronisieren. Dazu zählt auch Safari. Der Browser gleicht unter anderem geöffnete Websites, Favoriten und auch die Liste der besuchten Websites ab. Diese Funktion ermöglicht Nutzern einen nahtlosen Übergang zwischen Geräten, die dieselbe Apple-ID verwenden, um beispielsweise eine auf einem Mac aufgerufene Website später unterwegs auch im Verlauf des iPhone-Browsers zu finden.

Ab Werk ist die Funktion aktiv. Laut Elcomsoft haben Nutzer auf ihren Apple-Geräten Zugriff auf den Browserverlauf der letzten 30 Tage. Tests hätten jedoch gezeigt, dass in der lokalen SQLite Datenbank von iTunes oder im iCloud-Backup Daten aus Zeiträumen von drei bis vier Monaten gespeichert würden. Noch länger würden die Safari-Browserverläufe in der Cloud aufbewahrt. Elcomsoft-Forschern sei es gelungen, auf Datensätze zuzugreifen, die vor mehr als einem Jahr gelöscht wurden.

„Wir haben herausgefunden, dass sie in der Cloud bleiben, wahrscheinlich für immer“, sagte Elcomsoft-CEO Vladimir Katalov im Gespräch mit Forbes. Ein Test des Wirtschaftsmagazins förderte über 7000 auf iCloud gespeicherte Datensätze zu Tage, nachdem zuvor der Verlauf des Browsers Safari auf dem zugehörigen Mac mit macOS 10.0.2 gelöscht worden war. Die ältesten Einträge waren vom 27. November 2015.

„Es gab die Anzahl der Besuche sowie Datum und Uhrzeit, wann der Eintrag im Verlauf gelöscht wurde. Es gab auch Google-Suchanfragen, bei denen der vollständige Suchbegriff sichtbar war. Neue Safari-Aktivitäten, die ich nicht gelöscht habe, hatten den Status ‚aktuell'“, schreibt der Forbes-Autor Thomas Fox-Brewster. Ein nicht näher genannter Forensik-Experte habe seine Ergebnisse zudem bestätigt.

Apple wollte sich auf Nachfrage von Forbes nicht zu den Erkenntnissen von Elcomsoft äußern. Einem Update zum ursprünglichen Artikel zufolge scheint Apple jedoch auf den Bericht reagiert zu haben. Katalov und eine weitere Quelle teilten demnach mit, dass die alten Daten inzwischen nicht mehr abrufbar seien.

„Soweit wir wissen, hat Apple nicht geantwortet, aber mit der Bereinigung älterer Verlaufsdaten begonnen“, heißt es nun im Elcomsoft-Blog. Möglicherweise verschiebe Apple die Daten aber auch nur auf andere Server, die von außen nicht zugänglich seien. „Das werden wir nie mit Sicherheit wissen. So oder so, derzeit können wir bei den meisten iCloud-Konten nur den Verlauf der letzten beiden Wochen sehen, allerdings sind gelöschte Objekte aus diesem Zeitraum immer noch sichtbar. Guter Zug, Apple, aber wir hätten gerne eine Erklärung.“

Elcomsoft verkauft seine Hacking-Tools auch an Strafverfolgungsbehörden. Sie erlauben es Ermittlern unter Umständen, auf verschlüsselte Daten von TrueCrypt, BitLocker und PGP Disk-Containern zuzugreifen. Darüber hinaus bietet das Unternehmen Tools zur Wiederherstellung von Passwörtern verschiedener Anwendungen an. Forbes zufolge sollen die Tools des Unternehmens auch bei den sogenannten Fappening-Angriffen zum Einsatz gekommen sein, die zur Veröffentlichung von privaten Fotos zahlreicher US-Schauspielerinnen geführt hatten.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.