WebKit-Lücken: Apple-Browser geben echte IP-Adressen preis
Veröffentlicht am: 06.08.2026 um 19:21 Uhr | Redaktion boerse-global.de
Forschende haben mehrere Schwachstellen in Apples Browser-Engine entdeckt. Websites können dadurch die echte IP-Adresse von Nutzern ausspähen – trotz aktiviertem Privatsphäre-Schutz.
Sicherheitsforscher haben am 4. August schwerwiegende Lücken in der WebKit-Engine offengelegt, die Apples iCloud Private Relay aushebeln. Betroffen sind sämtliche iOS- und macOS-Geräte. Die Schwachstellen ermöglichen Websites den Zugriff auf echte IP-Adressen und DNS-Informationen der Nutzer – ein erhebliches Risiko für die Privatsphäre.
Drei Angriffswege entdeckt
Die Forscher Talal Haj Bakry und Mysk identifizierten drei konkrete Mechanismen innerhalb von WebKit, die den Proxy-Dienst umgehen können: DNS-Prefetching, WebAuthn (auch als Passkeys bekannt) und WebTransport. Besonders kritisch ist die WebAuthn-Lücke: Jede Website, die Passkey-Anmeldungen unterstützt, kann demnach die echte IP-Adresse eines Nutzers auslesen – ganz ohne dessen Zutun.
Auch die anderen beiden Schwachstellen leaken Informationen, die eigentlich durch den Relay-Dienst verschleiert werden sollten. Mit einer Proof-of-Concept-Website demonstrierten die Forscher, wie Webserver trotz aktivierter Datenschutzeinstellungen die tatsächlichen Verbindungsdaten der Nutzer einsehen können.
Betroffenheit variiert je nach Systemversion
Das Ausmaß der Lücken hängt von der jeweiligen Betriebssystemversion ab. Die WebAuthn-Leaks existieren demnach seit iOS 18.0. DNS-Prefetching-Probleme wurden in iOS 26.0 identifiziert, während WebTransport-Schwachstellen in iOS 26.4 auftreten.
Neue Sicherheitsrisiken und technische Schwachstellen erfordern von Unternehmen ein proaktives Handeln, um sensible Daten effektiv zu schützen. In diesem kostenlosen E-Book erfahren Sie, wie Sie aktuelle Bedrohungen frühzeitig erkennen und Sicherheitslücken ohne hohe Investitionen schließen. IT-Sicherheit stärken und Unternehmen proaktiv schützen
Da Apple für alle Dritt-Browser auf iOS die WebKit-Engine vorschreibt, ist nicht nur Safari betroffen. Auch alternative Browser aus dem App Store – darunter der Onion Browser – weisen die Sicherheitslücken auf. Einige spezialisierte Browser versuchen zwar, die Leaks über bestimmte Einstellungen abzumildern, etwa der Onion Browser mit seiner Silver-Option für WebTransport. Doch die zugrunde liegenden WebKit-Schwachstellen bleiben ein Kernproblem der Plattform.
Apple arbeitet an Fix – VPN bleibt sichere Alternative
Apple untersucht die Ergebnisse der Forscher derzeit. Ein Patch für die Proxy-Umgehungen steht noch aus, Berichten zufolge plant das Unternehmen jedoch, die Korrekturen bis Herbst 2026 auszuliefern.
Bis dahin gilt: Wer seine IP-Adresse schützen möchte, sollte auf klassische VPN-Dienste setzen. Die Forscher betonen, dass herkömmliche virtuelle private Netzwerke von den WebKit-Schwachstellen nicht betroffen sind. Private Relay funktioniert in diesen Szenarien derzeit nicht als vollwertiger VPN-Ersatz.
Da immer mehr Unternehmen zur Zielscheibe von Cyberangriffen werden, ist eine fundierte Vorbereitung auf neue Bedrohungslagen und gesetzliche Anforderungen unerlässlich. Dieser Gratis-Report klärt auf, welche Maßnahmen jetzt wichtig sind, um die IT-Infrastruktur langfristig abzusichern. Kostenlosen Cyber-Security-Report jetzt abrufen
Ergänzend zu den Apple-Schwachstellen hatten die US-Behörde CISA Ende Juli weitere Schwachstellen gemeldet, darunter eine Command-Injection-Lücke im Arista VeloCloud Orchestrator. Für den Datenschutz der Verbraucher im Apple-Ökosystem bleibt die WebKit-Offenlegung jedoch das drängendste Thema.
