Die Funktion heißt Private Relay und soll Ihre IP-Adresse verbergen, während Sie mit Safari im Internet surfen. Sie ist nicht kostenlos - verfügbar nur für Nutzer, die ein iCloud+-Abo bezahlen. Also etwas, wofür Menschen bewusst Geld ausgeben, um Privatsphäre zu bekommen.

Zwei Forscher, Talal Haj Bakry und Tommy Mysk, veröffentlichten, dass die Funktion umgangen und die echte IP-Adresse offengelegt werden kann. Das Problem liege in drei Funktionen in WebKit - Apples Browser-Engine, die unter iOS von allen Browsern genutzt wird, nicht nur von Safari.

Damit es nicht bei einer Behauptung bleibt, richteten sie zudem eine Webseite ein, auf der jeder selbst prüfen kann, ob seine Adresse leckt. Tests zeigten, dass die Seite die echte Adresse selbst dann aufdeckt, wenn Private Relay eingeschaltet ist.

Nun der Teil, der mehr wiegt als die Lücke selbst. Die Forscher entschieden, den Fehler Apple gar nicht erst zu melden. Den Grund nannten sie offen.

„Unsere bisherige Erfahrung mit Apple sagt uns, dass eine Meldung dieses Problems Monate der Verzögerung bedeuten würde, inkonsistente Kommunikation und in manchen Fällen das vollständige Bestreiten, dass das Problem überhaupt Auswirkungen hat”, schrieb Mysk.

Das ist ein Vorwurf gegen den Prozess, nicht gegen den Code. Jeder große Technologiekonzern hat ein Programm zur Meldung von Sicherheitslücken, und jeder stellt es im Marketing als Beweis dafür dar, dass er mit der Forschungsgemeinschaft zusammenarbeitet. Wenn ein Forscher errechnet, dass eine öffentliche Veröffentlichung schneller geht als das Warten auf eine Antwort, sagt das etwas darüber, wie gut dieses Programm wirklich funktioniert. Apple reagierte nicht auf eine Bitte um Stellungnahme.

Es lohnt zu klären, was Private Relay ohnehin nie war. Es ist kein VPN - es schützt die Adresse nicht auf Systemebene, sondern wirkt nur, solange Sie Safari nutzen. Wer meinte, damit im Netz unsichtbar zu sein, irrte schon vor diesem Befund.

Und eine Einzelheit verdient Aufmerksamkeit: Mysk und seine Kollegen entwickeln einen eigenen Browser namens Psylo, der ihren Angaben zufolge bereits Schutz vor Adresslecks hat. Der Befund ist real und überprüfbar, aber der Mann, der ihn verkündet, verkauft eine Alternative. Das entkräftet ihn nicht, heißt nur: mit offenen Augen lesen.

Für den normalen Nutzer ist der Schluss einfacher, als er aussieht. Privatsphäre, die man als Posten in einem Monatsabo kauft, bleibt ein Versprechen des Unternehmens, das sie in Rechnung stellt - und sie hält so lange, wie dieses Unternehmen es für richtig hält. Zeigt jemand von außen, dass das Versprechen leckt, kommt die Antwort langsam, wenn sie überhaupt kommt.