Sind iPhone und iOS wirklich sicher? Neue Zero-Day-Sicherheitslücke beendet den „Mythos“ vollständig

Die Washington Post berichtete, dass viele Menschen dachten, ihr iPhone sei absolut sicher. Doch die neuesten Untersuchungen zeigen, dass in Apples mobilem Betriebssystem iOS seit vielen Jahren drei bislang unbekannte „Zero-Day-Sicherheitslücken“ bestehen und Apple-Benutzer tatsächlich immer einem Risiko ausgesetzt sind.

Der jüngste Bericht von Citizen Lab, einem Unternehmen der Munk School of Global Affairs an der Universität Toronto in Kanada, und Lookout, einem Unternehmen für mobile Sicherheit in San Francisco, Kalifornien, zeigt, dass eine Art Spyware drei „Zero-Day-Sicherheitslücken“ ausnutzen kann, die seit vielen Jahren im iOS-System bestehen. Sie kann dazu beitragen, die Kontrolle über das Smartphone des Benutzers zu übernehmen, indem sie den iPhone-Benutzer dazu verleitet, auf einen Link in einer Textnachricht zu klicken.

„Dies ist die ausgeklügeltste Spyware, die wir je speziell für Mobiltelefone entdeckt haben“, sagte Mike Murray, Vizepräsident für Sicherheitsforschung bei Lookout. Forscher haben die Spyware mit dem israelischen Unternehmen NSO Group in Verbindung gebracht, das 2014 von der US-amerikanischen Private-Equity-Firma Francisco Partners übernommen wurde und Spyware entwickelt hat, mit der Journalisten und Aktivisten ins Visier genommen wurden.

Apple hat am Donnerstag einen Patch veröffentlicht und in einer Erklärung erklärt: „Wir empfehlen allen Benutzern, die neueste Version von iOS herunterzuladen, um sich vor potenziellen Sicherheitslücken zu schützen.“ Doch die Spyware unterstreicht die Tatsache, dass es selbst Technologieunternehmen mit einem guten Ruf in Sachen Sicherheit immer noch schwerfällt, auf einem mächtigen Markt mitzuhalten, der von Hacking-Tools überschwemmt wird, die den Regierungen mächtige Möglichkeiten zur digitalen Überwachung bieten.

Die Spyware, die auf Apples iOS abzielt, wurde erstmals auf dem iPhone 6 des Demokratieaktivisten Ahmed Mansoor aus den VAE entdeckt. Dieser erhielt zwei Textnachrichten mit dem Versprechen, die „Geheimnisse“ gefolterter Gefangener in den Gefängnissen der VAE preiszugeben. Mansoor war sofort misstrauisch und sagte, er sei oft Zielscheibe der Regierung und werde mit Schadsoftware ins Visier genommen. Jedes Mal, wenn sie neue Spyware bekamen, probierten sie sie bei ihm aus.

Zu diesem Zweck klickte Mansoor nicht auf den Link in der Nachricht, sondern leitete ihn an die Forscher von Citizen Lab weiter. Gemeinsam mit Sicherheitsexperten des Mobile-Security-Unternehmens Lookout bestätigten sie Mansoors Befürchtungen: Hätte er auf den Link geklickt, hätten die Angreifer tatsächlich sein Telefon übernehmen können.

Citizen Lab glaubt, dass die Regierung der Vereinigten Arabischen Emirate hinter dem Angriff auf Mansours Telefon stecken könnte, konnte jedoch keine Beweise vorlegen. Eine Reaktion der VAE hierzu steht bislang aus. Doch die NSO Group hatte in einer Broschüre die gegen Mansoor eingesetzte Spyware namens Pegasus beschrieben, die es Hackern ermöglichte, ein Zielgerät aus der Ferne und heimlich zu verfolgen und sämtliche Daten daraus zu extrahieren.

Darüber hinaus stellte Citizen Lab fest, dass ein mexikanischer Journalist, der für die Berichterstattung über einen Korruptionsskandal verantwortlich war, ebenfalls Ziel von Spyware war und eine Textnachricht mit einem bestimmten Link erhielt, der offenbar mit einem bekannten mexikanischen Nachrichtenmedium in Verbindung stand. Citizen Lab konnte die konkreten Angreifer in diesem Fall nicht identifizieren, ist jedoch der Ansicht, dass die Beweise darauf hindeuten, dass die mexikanische Regierung hinter dem Angriff steckt. Auch die mexikanische Regierung lehnte eine Stellungnahme ab.

Nachdem Citizen Lab und Lookout die Warnung herausgegeben hatten, arbeitete Apple sofort daran, die Sicherheitslücke zu beheben. Mansoor wurde am 10. und 11. August angegriffen und Apple erhielt nach der Benachrichtigung eine Frist von 10 Tagen, um eine Lösung bereitzustellen. Doch Details der Spyware zeigen, dass sie bereits seit Jahren im Einsatz ist. Die Gefahr für normale Benutzer ist begrenzt, da die NSO Group ihre Spyware nach eigenen Angaben nur an Regierungsbehörden verkauft.

Ein Sprecher der NSO Group erklärte in einer Stellungnahme, dass ihnen weder Mansour noch die mexikanischen Journalisten bekannt gewesen seien und sie selbst keine Schadsoftwaresysteme betrieben hätten. Das Unternehmen hat mit seinen Kunden Vereinbarungen unterzeichnet, die vorschreiben, dass ihre Produkte ausschließlich auf legale Weise verwendet werden dürfen. Konkret dürfen diese Produkte nur zur Verhütung und Aufklärung von Straftaten eingesetzt werden.

Doch Untersuchungen aus der Vergangenheit haben gezeigt, dass einige Regierungsbehörden die Spyware nutzen, um Oppositionelle und Journalisten zu überwachen. Wie aus kürzlich veröffentlichten NSA-Dokumenten hervorgeht, könnte Schadsoftware, die sich ungepatchte Sicherheitslücken zunutze macht, die öffentliche Sicherheit gefährden, wenn diese Sicherheitslücken öffentlich würden. Regierungen und Unternehmen wie die NSO Group, die Hacking-Tools entwickeln, anstatt den Entwicklern Schwachstellen zu melden, könnten auch die Sicherheit aller Benutzer gefährden, da sie nicht sicher sein können, ob andere das gleiche Problem entdecken.

Apple-Geräte waren schon immer für ihre Sicherheit bekannt und Apple ging wegen des iPhones des San Bernardino-Schützen Jamie sogar vor Gericht mit dem FBI. Doch das FBI entschlüsselte das Telefon schließlich ohne Apples Hilfe und zahlte dafür Berichten zufolge professionellen Hackern mehr als eine Million Dollar. Apple ist seit langem ein führender Anbieter sicherer Verbraucherprodukte, was zum Teil auf die strenge Kontrolle des Unternehmens über die iPhone-Plattform zurückzuführen ist. Dies lockte jedoch auch mehr Hacker an, die in Apple-Produkte eindrangen.

Als Gewinner des Qingyun-Plans von Toutiao und des Bai+-Plans von Baijiahao, des Baidu-Digitalautors des Jahres 2019, des beliebtesten Autors von Baijiahao im Technologiebereich, des Sogou-Autors für Technologie und Kultur 2019 und des einflussreichsten Schöpfers des Baijiahao-Vierteljahrs 2021 hat er viele Auszeichnungen gewonnen, darunter den Sohu Best Industry Media Person 2013, den dritten Platz beim China New Media Entrepreneurship Competition Beijing 2015, den Guangmang Experience Award 2015, den dritten Platz im Finale des China New Media Entrepreneurship Competition 2015 und den Baidu Dynamic Annual Powerful Celebrity 2018.