Datenschutz-Tools sollen das Online-Erlebnis anonymer machen. Beim iCloud Private Relay von Apple gibt es jedoch neue Sicherheitsrecherchen, die zeigen: Unter bestimmten Bedingungen können echte IPs trotz Schutz an Websites durchrutschen. Konkret geht es um WebKit-Funktionen, die den konfigurierten Proxy umgehen und dadurch die echte Netzwerkidentität sichtbar machen können.
Die Untersuchung wurde von den Forschern Talal Haj Bakry und Tommy Mysk durchgeführt. Sie identifizierten drei WebKit-Komponenten, die in Kombination mit dem Proxy-Setup problematisch werden können – nicht nur in Safari, sondern auch in anderen Browsern auf iOS und iPadOS, die WebKit als Basis nutzen.
Was iCloud Private Relay eigentlich leisten soll
iCloud Private Relay wurde mit iOS 15 eingeführt und ist Teil des iCloud+-Pakets. Die Idee dahinter: Der Safari-Traffic wird über eine Dual-Hop-Architektur geleitet. Dadurch soll kein einzelner Dritter – einschließlich Apple – gleichzeitig wissen, woher die Anfrage kommt und welche Websites besucht werden.
Im Alltag bedeutet das: Nutzer erhalten mehr Privatsphäre beim Surfen. Allerdings greifen Sicherheitsmechanismen immer nur innerhalb dessen, was die Software tatsächlich zuverlässig umsetzt. Genau an dieser Stelle setzen die neuen Ergebnisse an.
Warum WebKit-Bypasses das Problem auslösen können
Die Forscher machen die Ursache auf drei Funktionen innerhalb von Apples WebKit fest. Diese Funktionen können so arbeiten, dass sie den konfigurierten Proxy nicht wie erwartet nutzen. Stattdessen kann Verkehr direkt vom Gerät gesendet werden – und damit wird die echte IP-Adresse im Netzwerkpfad sichtbar.
Wichtig: WebKit ist nicht nur der Browserkern in Safari, sondern auch die Grundlage vieler Drittanbieter-Browser auf iOS und iPadOS, darunter beispielsweise Chrome, Edge, Firefox oder Brave. Entsprechend kann das Verhalten nicht nur Safari betreffen.
Die drei WebKit-Funktionen hinter den Leaks
In der Analyse nennen die Forscher drei Bereiche, über die Traffic am Proxy vorbei laufen kann:
- DNS-Preprocessing (DNS prefetching): Hostnamen werden über den normalen DNS-Weg des Geräts aufgelöst, statt über den vom Browser gesetzten Proxy.
- WebAuthn Related Origin Requests: Bestimmte Requests veranlassen, dass eine Validierungsdatei direkt über das Credential-Service-Setup des Systems geholt wird – ebenfalls am Proxy vorbei.
- WebTransport: Diese Funktion kann eine direkte HTTP/3-Verbindung öffnen und damit den Proxy umgehen.
Das Ergebnis: In diesen Szenarien kann die reale IP-Adresse aus dem eigentlich geschützten Pfad heraus durchsickern. Die Forscher weisen zudem darauf hin, dass das Leaking nicht auf iOS beschränkt ist – auch macOS ist betroffen, sofern ein WebKit-basierter Browser auf die Proxy-Konfiguration-APIs von WebKit setzt.
Was bedeutet das für Passkeys und WebAuthn?
Ein besonders relevanter Punkt betrifft WebAuthn. WebAuthn ist die Web-Standardtechnik, die Passkeys ermöglicht. Wenn eine Website WebAuthn so einsetzt, dass die oben beschriebenen Mechanismen ausgelöst werden, kann sie grundsätzlich sehen, welche echte IP-Adresse dem Gerät in diesem Moment zugeordnet ist.
Nach Angaben von Mysk muss die Website dazu nicht zwingend auf eine Nutzeraktion oder die tatsächliche Verwendung von Passkeys setzen. Zwar braucht es eine bewusste Ausnutzung, aber laut den Forschern ist dafür keine Interaktion mit Passkeys erforderlich, um eine Zuordnung zwischen Browsing-Session und geleakter IP-Adresse herzustellen.
Proof-of-Concept: Wie du prüfen kannst, ob deine IP sichtbar ist
Damit Interessierte den Effekt nachvollziehen können, stellten die Forscher eine Proof-of-Concept-Webseite bereit. Das Projekt trägt den Namen leaks.psylo[.]app und soll dabei helfen zu testen, ob beim Besuch die reale IP-Adresse trotz eingeschaltetem iCloud Private Relay in einem möglichen Leak-Pfad sichtbar wird.
In der Darstellung wird typischerweise zwischen normalem Traffic und potenziellen Leaks unterschieden. Während der Abschnitt zu „HTTPS Traffic“ den üblichen Verbindungsweg zeigt, verdeutlicht „Possible IP leaks“, wie die echte IP aus dem Proxy-Umfeld austreten kann.
„Possible“ heißt: nicht jedes Setup ist gleich betroffen
Die Forscher verwenden bewusst den Begriff „possible“ (möglich), weil nicht alle Browser gleichermaßen betroffen sind. Beispielsweise wird erwähnt, dass Desktop-Chrome nicht in derselben Weise betroffen sei.
Darüber hinaus kann ein VPN die Wirkung abmildern. Sobald ein VPN aktiv ist, wird die sichtbare Adresse typischerweise durch die VPN-Infrastruktur bestimmt. Dadurch kann es sein, dass die geleakte IP nicht die echte Adresse ist, die du ohne VPN hättest.
Für Nutzer heißt das: Wenn du dir Sorgen machst, ist ein praktischer Ansatz, die eigene Konfiguration zu prüfen und – falls möglich – zusätzliche Schutzschichten zu nutzen.
Gibt es bereits Updates oder Reaktionen von Apple?
Apple hat auf eine Anfrage für einen Kommentar zunächst nicht sofort geantwortet. Dennoch teilte Apple laut Berichten gegenüber 404 Media mit, dass man den Bericht der Forscher untersucht.
Solche Prozesse dauern in der Regel, weil erst verifiziert werden muss, wie groß die Auswirkungen sind, in welchen Versionen das Verhalten auftritt und welche Korrektur sowohl funktional als auch sicher ist.
iCloud Private Relay ist kein Einzelfall
Die Entdeckung ist nicht die erste Sicherheitsmeldung rund um iCloud Private Relay. Schon kurz nach der Einführung im Jahr 2021 hatte FingerprintJS auf eine WebRTC-basierte Methode hingewiesen, die eine echte IP-Adresse geleakt haben kann.
Auch rund um andere Apple-Datenschutzfunktionen gab es in der Zwischenzeit weitere Befunde: Etwas über einen Monat vor dieser Veröffentlichung wurde über eine Schwachstelle im Dienst Hide My Email berichtet, bei der unter bestimmten Umständen echte E-Mail-Adressen sichtbar werden konnten – wodurch die Privatsphäreversprechen eingeschränkt wurden.
Praktische Empfehlungen: So kannst du dein Risiko senken
Auch wenn nicht jedes Detail bereits durch ein offiziell veröffentlichtes Fix-Statement geklärt ist, kannst du als Nutzer ein paar Schritte erwägen, um die Privatsphäre besser zu schützen:
- Konfiguration prüfen: Teste, ob bei dir die möglichen Leaks auftreten (etwa mit dem bereitgestellten Proof-of-Concept).
- VPN nutzen: Die Forscher geben an, dass VPNs die Leaks abschwächen können.
- Browser-Realität beachten: Da viele iOS/iPadOS-Browser WebKit verwenden, kann das Problem auch dort relevant sein – nicht nur in Safari.
- Auf Updates achten: Halte dein Betriebssystem und relevante Software aktuell, sobald Apple Änderungen bereitstellt.
So reduzierst du die Wahrscheinlichkeit, dass Dritte die echte Netzwerkidentität zuverlässig zuordnen können.
Fazit: Mehr Datenschutz – aber nicht immer wasserdicht
iCloud Private Relay ist für viele Nutzer ein zentraler Baustein für mehr Privatsphäre beim Surfen. Die neuen Recherchen zeigen jedoch, dass echte IPs trotz Schutz möglich sind, wenn WebKit-Funktionen den Proxy umgehen. Insbesondere DNS-Preprocessing, WebAuthn-bezogene Requests und WebTransport können in bestimmten Fällen den eigentlich geschützten Pfad verlassen.
Ob und wie stark das in deinem Alltag wirkt, hängt von Browser, Plattform und Netzwerkumgebung ab. Gleichzeitig liefern die Ergebnisse einen klaren Hinweis: Datenschutzfunktionen müssen sich nicht nur gegen „klassische“ Tracking-Techniken behaupten, sondern auch gegen subtile Proxy-Umgehungen in der darunterliegenden Web-Plattform.
Quelle: https://thehackernews.com/2026/08/webkit-proxy-bypasses-can-expose-real.html
