Sicherheitsforscher haben enthüllt, dass sie Apple bereits 2019 vor Schwachstellen in seiner drahtlosen Sharing-Funktion AirDrop gewarnt haben. Diese Schwachstellen wurden von den chinesischen Behörden ausgenutzt, um Benutzer der Funktion aufzuspüren, was Bedenken hinsichtlich des Datenschutzes und der Beziehung von Apple zu China aufkommen lässt. Apple wurde aufgefordert, das Problem umgehend und transparent anzugehen.
AirDrop ist eine beliebte Funktion bei Apple-Benutzern, die es ihnen ermöglicht, Dateien ohne Internetverbindung zu teilen. Allerdings geht die chinesische Regierung hart gegen die Nutzung vor, insbesondere unter demokratiefreundlichen Aktivisten in Hongkong. Dieser jüngste Exploit eines chinesischen Technologieunternehmens hat erneut Bedenken hinsichtlich der Fähigkeit autoritärer Regime geweckt, Technologie für ihre eigenen Zwecke zu manipulieren.
Die in Deutschland ansässigen Forscher der Technischen Universität Darmstadt, die die Mängel erstmals im Jahr 2019 entdeckten, bestätigten, dass sie Apple über die Schwachstellen informiert hatten. Es scheint jedoch, dass Apple keine sofortigen Maßnahmen zur Behebung des Problems ergriffen hat. Die Forscher schlugen sogar eine Lösung für das Problem im Jahr 2021 vor, es gibt jedoch keine Hinweise darauf, dass Apple diese implementiert hat.
Die vom chinesischen Technologieunternehmen ausgenutzten Schwachstellen umfassten das Sammeln grundlegender identifizierender Informationen, die mithilfe von AirDrop zwischen zwei Apple-Geräten übertragen wurden, wie etwa Gerätenamen, E-Mail-Adressen und Telefonnummern. Während diese Daten aus Datenschutzgründen normalerweise verschlüsselt werden, hat Apple nicht den zusätzlichen Schritt unternommen, gefälschte Daten hinzuzufügen, um die Informationen noch weiter zu verschleiern. Dadurch war das chinesische Unternehmen in der Lage, die verschlüsselten Daten zurückzuentwickeln und auf Benutzerinformationen zuzugreifen.
Experten haben hervorgehoben, dass der Gerät-zu-Gerät-Kommunikationskanal von AirDrop zwar normalerweise vor Eingriffen Dritter geschützt ist, Benutzer jedoch gefährdet sein können, wenn sie sich unwissentlich mit unbefugten Personen verbinden. Diese Anfälligkeit ist darauf zurückzuführen, dass Verbindungen angenommen oder Geräte mit irreführenden Namen angezapft werden. Sobald die Identifikationsdaten vorliegen, ist es aufgrund der fehlenden zusätzlichen Verschlüsselung einfacher, die Informationen zu entschlüsseln.
US-Gesetzgeber, darunter der Senator von Florida, Marco Rubio, haben ihre Bedenken geäußert und Apple aufgefordert, sofortige Maßnahmen zum Schutz seiner Benutzer zu ergreifen. Die Aufdeckung dieser Schwachstellen und deren Ausnutzung durch chinesische Behörden könnte angesichts der großen Präsenz von Apple auf dem chinesischen Markt schwerwiegende Folgen für Apple haben. Auf China entfielen im Jahr 2022 etwa ein Fünftel des Gesamtumsatzes von Apple, und jeder Versuch von Apple, die Schwachstellen zu beheben, könnte zu möglichen Vergeltungsmaßnahmen seitens Peking führen.
Dieser Vorfall unterstreicht auch die beunruhigende Beziehung zwischen chinesischen Cybersicherheitsunternehmen und der chinesischen Regierung. Das an diesem Exploit beteiligte chinesische Technologieunternehmen verfügt über enge Verbindungen zu chinesischen Strafverfolgungs- und Sicherheitsbehörden. Chinesische Beamte legen ihre Techniken nur selten offen, was darauf hindeutet, dass diese absichtliche Offenlegung einem bestimmten Zweck dient. Ein mögliches Motiv könnte sein, Dissidenten von der Nutzung von AirDrop abzuhalten und den Einfluss Chinas gegenüber Apple in Bezug auf Sicherheits- und Geheimdienstanforderungen weiter zu erhöhen.
Apples Reaktion auf diese Situation ist entscheidend. Transparenz und schnelles Handeln sind erforderlich, um die Schwachstellen zu beheben, die Privatsphäre der Benutzer zu schützen und das Vertrauen zurückzugewinnen. Angesichts der wachsenden Besorgnis über den Datenschutz und die Manipulation von Technologie durch autoritäre Regime ist dieser Vorfall ein Weckruf für Apple und andere Technologieunternehmen, Sicherheitslücken proaktiver anzugehen und Benutzerdaten zu schützen.