Apple und Datenschutz: Ein Versprechen oder doch eher ein Versprecher?

Datenschutz
,
1

Wie ernst nimmt es Apple mit dem Datenschutz? Dazu ein Blick in die Apple Datenschutzrichtlinie vom 22.12.2022:

„Wir bei Apple sind davon überzeugt, dass wir Ihnen großartige Produkte und einen hohen Datenschutz bieten können. Dies bedeutet, dass wir bemüht sind, nur die personenbezogenen Daten zu erfassen, die wir benötigen.“

Nun gut, Datenschutz beginnt bekanntermaßen mit Datensparsamkeit, denn Daten, welche erst gar nicht erfasst werden, müssen auch nicht geschützt werden. Wieso sammelt dann Apple Diagnosedaten aller (mobilen) Geräte (Einstellungen → Datenschutz & Sicherheit → Analyse & Verbesserungen → Analysedaten), auch wenn das in den Einstellungen deaktiviert ist?

Sehen wir uns einmal an, was passiert, wenn ein iPad einen AdBlocker (Pi-hole) mit eigenem DNS-Server (unbound) nutzt. Die Einrichtung auf einem Raspberry Pi erfolgte im Wesentlichen nach den beiden Anleitungen von Mike:

Das iPad wurde auf Werkseinstellungen zurückgesetzt und dabei u.a. folgende Einstellungen gewählt:

  • KEINE Anmeldung über eine Apple-ID
  • KEINE Nutzung der Ortungsfunktion
  • KEINE automatisierte Zeiteinstellung
  • KEINE Übermittlung von Diagnosedaten
  • KEINE automatische Installation von Softwareupdates
  • KEINE Übermittlung von Daten zur Analyse & Verbesserungen

Nach erfolgreicher Ersteinrichtung wurden noch ein paar Korrekturen vorgenommen, u.a.:

  • Änderung des DNS-Server (siehe oben)
  • Deaktivierung der Nutzung von privaten WLAN-Adressen
  • Manuelle Anpassung der richtigen Zeitzone
  • Deaktivierung von Bluetooth-Verbindungen
  • Deaktivierung sämtlicher Mitteilungen (Notifications)
  • Deaktivierung von Hintergrundaktualisierungen
  • Vollständige Deaktivierung von Siri
  • Datenschutzfreundliche Sucheinstellungen des Browsers (Safari)

Ohne Nutzung einer Apple-ID war die Verwendung von iMessage und FaceTime sowie die Installation zusätzlicher Apps von vornherein gar nicht möglich.

Und was macht nun Apple? Trotz Deaktivierung vieler Dienste versucht das iPad regelmäßig Kontakt zu Apple aufzunehmen. Die unglaubliche Anzahl von DNS-Anfragen ist erschreckend. Hier eine kleine Auswahl von aufgerufenen Domains:

  • captive.apple.com
  • smp-device-content.apple.com
  • push.apple.com
  • init.push.apple.com
  • gateway.icloud.com
  • gdmf.apple.com
  • time.apple.com
  • wps.apple.com
  • pancake.apple.com
  • configuration.apple.com

Auffällig ist, dass es Apple offensichtlich völlig egal ist, welche Einstellungen durch den Nutzer vorgenommen wurden. Es wird permanent versucht, die verschiedenen Apple-Domains zu erreichen, auch wenn das (wie z.B. bei den Notifications) deaktiviert wurde.

Völlig überrascht war ich, als nach einiger Zeit seltsame Netz-Verbindungen von fremden Geräten in meinem Router auftauchten. Welches Gerät verbirgt sich denn bitte hinter dem Namen PC-52-9E-3A-77-94-CF? Oder wurde ich etwa gehackt?

Des Rätsels Lösung liegt in der Verwendung von privaten WLAN-Adressen. Was Apple als Feature anpreist um Tracking in fremden WLANs zu vermeiden, wird von Apple selbst aktiv genutzt um an Daten seiner Kunden zu gelangen. Ich konnte auf meinem iPad reproduzieren, dass Apple nach Verbindung mit meinem WLAN für einen kurzen Moment eine neue private WLAN-Adresse generiert und aktiviert. Danach wird das Feature automatisch wieder deaktiviert und auf die alte private WLAN-Adresse zurückgesetzt.

Wem hoher Datenschutz wichtig ist, sollte dies berücksichtigen und ggf. seine Router-Einstellungen überprüfen bzw. korrigieren. Ich habe mich daher für einen MAC-Adressfilter entschieden und lasse keine unbekannten Geräte mehr in mein Netzwerk. Neu hinzugefügte Geräte landen in einem Standard-Profil, welches keine Verbindung ins Internet erlaubt. Den Rest übernimmt der Pi-hole.

Entgegen aller Behauptungen werden Daten von Apple-Geräten im großen Stil erfasst und ausgewertet. Apple und Datenschutz ist dann wohl doch eher ein Versprecher.

Nach massiven Akku-Problemen seit iOS 17 habe ich mir inzwischen ein Pixel 7a zugelegt und darauf GrapheneOS installiert. Auf meinem MacBook Pro aus dem Jahr 2015 läuft nun ein Debian-Linux sehr zuverlässig und geräuschlos. Damit tippe ich gerade die Zeilen für diesen Beitrag. Um Apple werde ich zukünftig wohl eher einen großen Bogen machen.

7 „Gefällt mir“
2

War großer Apple Fan - bis ich gesehen habe, wie Apple in China auf Regierungswunsch die letzte Möglichkeit des privaten Datentauschen während der Coronakrise einschränkte. Im Oktober letzten Jahres habe ich dann zufällig unter den Einstellungen die von Apple neu installierten „Begegnungsmitteilungen“ gefunden, natürlich nur zu meinem Besten und alles deaktiviert - nur leider glaube ich das nicht mehr, daher jetzt der Komplettumstieg auf alternative Systeme. (Aber auch ich selbst habe bei dem IPhone die Zensurbemühungen von Aplle erleben dürfen…)

1 „Gefällt mir“
3

Deine Schlussfolgerung, dass Apple die private WLAN Adresse nutzt, um an die Daten der Kunden zu kommen, habe ich nicht ganz verstanden.
Eigentlich dient es ja, wie du schon sagst als Trackingschutz, nur dass Apple die MACadresse auch bei bekannten WLAN SIDDs ändert, was dann auch zu Problemen im eigenen Netzwerk führen kann. Vielleicht ist das temporäre Auftauchen eines „neuen Gerätes“ und das anschließende Zurücksetzen nun ein Versuch dieses Problem zu beheben?
Aber egal wie, was hat das mit dem Abgreifen von Kundendaten zu tun?

4

Wenn du all die Dienste von Apple nicht brauchst, kannst du gemäß Apple in deinem PiHole alle Anfragen an *apple.com oder besser alle Anfragen an 17.0.0.0/8 unterbinden. Fragt sich nur, wieviel dir dann noch von deinem iPhone bleibt.
Eine Liste der Netzwerkverbindungen von Apple findet man hier.

1 „Gefällt mir“
5

@ToKu: OK, vielleicht habe ich mich etwas unklar ausgedrückt.

Meine Geräte-Einstellungen wurden bewusst gewählt, mit dem Ziel, Verbindungen zu Apple auf ein absolutes Minimum zu reduzieren. Mit dem deaktivieren sämtlicher Mitteilungen (Notifications) in den Einstellungen gibt es IMHO z.B. keine Notwendigkeit, dass mein Gerät mit der Domäne push.apple.com kommunizieren muss.

Mit dem Pi-hole konnte ich überhaupt erst feststellen, zu welchen Domänen das iPad regelmäßig Kontakt sucht. Diese Verbindungen (inkl. der Domänen apple.com, icloud.com und itunes.com) wurden danach über den Pi-hole blockiert und werden nur temporär für Updates freigegeben.

Daraufhin wird nun von Apple auf diesem Gerät regelmäßig und nur für einen kurzen Moment ein privates WLAN aktiviert, obwohl ich das in den Einstellungen explizit ausgeschaltet habe. Sichtbar wird dies in den Router-Einstellungen sobald ich auf dem iPad das „reguläre“ WLAN einschalte.

Meine persönliche Vermutung: Da alle anderen Wege zu Apple blockiert sind, wird nun darüber versucht, Kontakt zu den Apple-Servern herzustellen. Und zu welchem Zweck? Sicherlich nicht zu meinem Besten…

@vax: Genau so geschehen. Ist halt nur doof, wenn Apple das völlig ignoriert und die Verbindungen heimlich über ein privates WLAN triggert. Daher dieser Beitrag mit dem entsprechenden Hinweis, seine Router-Einstellungen ggf. anzupassen.

6

Ich weiß nicht. Du hast die DNS Verbindungen über Pi-Hole zu Apple so weit wie möglich unterbunden. Das betrifft doch dann nicht dein spezielles iPad, sondern alle Geräte, die ein Verbindung zu diesen Adressen aufnehmen wollen. Dann ist es doch egal, ob dein iPad noch eine andere MAC Adresse aufmacht?
Diese unbekannte MAC Adresse habe ich bei unserem iPad auch schon öfters beobachtet, daher wäre ich mir nicht ganz sicher, ob da überhaupt einen Zusammenhang zum Ausschalten des privaten WLANs besteht.
Du vermutest, dass diese unbekannte MAC Adresse ein Versuch von Apple ist, möglichst unerkannt eine Verbindung zum Internet aufzunehmen?

Dass Apple Daten sammelt und sich ziemlich oft mit dem Internet verbindet ist ja bekannt, sogar wenn man Sachen deaktiviert, aber dass das was mit dem privaten WLAN zu tun, erschließt sich mir immer noch nicht.

Ich glaube, dass ist eine Sicht der Dinge und auch in meinen Augen wünschenswert. Apple und andere haben wohl eine andere Meinung wie viele Daten nötig sind. Apple sagt im Grunde genommen nur, dass sie die Daten nicht für Werbung missbrauchen und nur für eigene Zwecke sammeln und auswerten würden.

7

@MrDoubtfire

Das ist jetzt etwas OffTopic aber es könnte sein dass das IPad an dem Pihole vorbei „arbeitet“. Daher solltest du zusätzlich die Netzwerkanwendung, wenn du eine Fritzbox hast, hinzufügen. Danach noch den Filter einrichten. Noch bessere wäre natürlich mit Whireshark…

8

Ja. Eben genau das ist die Sauerei.

2 „Gefällt mir“
9

ich muss ehrlich sagen, dass ich es aufgegeben habe, Apple zu „bändigen“.
Zu meiner bereits erwähnten Liste gibt es auch eine Adlist für PiHole, die zuverlässig alles blockt. Das Problem ist, dass es wirklich alles ist, und man dann mühsam suchen müsste, was man jetzt für welchen Dienst freischalten müsste. Da kann man das Netz am iPhone auch gleich ganz ausschalten.
So habe ich mich immer mehr von Apple entfernt und letztendlich meine Apple Geräte auf Linux umgestellt, mit dem Vorteil, dass auch meine über 10 Jahre alten Geräte noch wunderbar laufen.

2 „Gefällt mir“
10

@MrDoubtfire FYI:

Ich habe grade mal meinen Pi-hole befragt und blocke aktuell diese Adressen ohne erkennbare Funktionseinschränkungen (iPhones, iPads, Macbook):

static.ips.apple.com has address 0.0.0.0
static.ips.apple.com has IPv6 address ::
tbsc.apple.com has address 0.0.0.0
tbsc.apple.com has IPv6 address ::
identity.apple.com has address 0.0.0.0
identity.apple.com has IPv6 address ::
api.edu.apple.com has address 0.0.0.0
api.edu.apple.com has IPv6 address ::
xp.apple.com has address 0.0.0.0
xp.apple.com has IPv6 address ::
lcdn-locator.apple.com has address 0.0.0.0
lcdn-locator.apple.com has IPv6 address ::
phonesubmissions.apple.com has address 0.0.0.0
phonesubmissions.apple.com has IPv6 address ::
devimages-cdn.apple.com has address 0.0.0.0
devimages-cdn.apple.com has IPv6 address ::

Und es gib Treffer für „*.bla.apple.com“ in diesen Blocklisten:

*.push.apple.com
*.business.apple.com
*.school.apple.com
*.itunes.apple.com
*.apps.apple.com
*.appattest.apple.com
*.cdn-apple.com
*.gc.apple.com
*.icloud.apple.com
*.iwork.apple.com
*.smoot.apple.com

https://github.com/badmojr/1Hosts/releases/download/latest/1hosts-Lite_domains.txt
https://raw.githubusercontent.com/d43m0nhLInt3r/socialblocklists/master/MobileAppAds/appadsblocklist.txt
https://raw.githubusercontent.com/liamengland1/mischosts/master/apple-telemetry
https://raw.githubusercontent.com/lightswitch05/hosts/master/docs/lists/ads-and-tracking-extended.txt
https://raw.githubusercontent.com/lightswitch05/hosts/master/docs/lists/tracking-aggressive-extended.txt
https://raw.githubusercontent.com/notracking/hosts-blocklists/master/hostnames.txt
https://raw.githubusercontent.com/Perflyst/PiHoleBlocklist/master/android-tracking.txt
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/child-protection
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/malware
11

Es gibt hier natürlich einige Möglichkeiten, Apple in die Suppe zu spucken :upside_down_face:. Da (in meinem Fall) keine Apple-Dienste genutzt werden und auch keine zusätzlichen Apps auf dem Gerät notwendig sind (nutze das iPad eigentlich nur um im Internet zu surfen), ist es hier am einfachsten, die von Apple genutzten Domänen zu sperren.

Trotzdem finde ich es sehr befremdlich (eigentlich ärgerlich :rage:), zu welchen Methoden die großen (meist amerikanischen) Firmen greifen um an Kundendaten zu gelangen. Sicherlich böte die DSGVO entsprechende Möglichkeiten, dagegen vorzugehen. Die deutlich bessere Variante (für mich) ist aber, mit dem Geldbeutel zu entscheiden und auf solche Produkte zu verzichten. Sowohl mit GrapheneOS auf einem Pixel 7a als auch mit Debian auf einem MacBook Pro (2015) bin ich äußerst zufrieden. Und günstiger ist es dazu auch noch :wink:.

3 „Gefällt mir“