Sind VPNs auf dem iPhone defekt?

Personen, die ein VPN auf iPhones und iPads verwenden, sind nicht so sicher, wie sie denken. Der Sicherheitsexperte Michael Horowitz sowie mehrere VPN-Anbieter haben Probleme aufgedeckt, die die Integrität von iOS seit Jahren beeinträchtigen. Es könnte sehr gut sein, dass VPNs auf iOS seit iOS 13 und vielleicht sogar davor kaputt sind.

Wie VPNs funktionieren

Bevor wir uns mit den Details dieser Behauptungen befassen, gehen wir kurz darauf ein, wie VPNs funktionieren. Wenn Sie es bereits wissen, können Sie diesen Teil überspringen, um zum saftigen Teil zu gelangen, aber wenn Sie neu bei VPNs sind, sollten Sie sich vielleicht die Zeit nehmen.

Wenn Sie sich mit dem Internet verbinden, senden Sie Informationen von Ihrem Computer – nehmen wir aus Gründen der Argumentation WLAN an – an einen Server, der von Ihrem Internetdienstanbieter (ISP) betrieben wird. Von dort verbinden Sie sich mit der gewünschten Seite, in diesem Fall mit dem Server unserer Website. In diesem Szenario weiß Ihr ISP, mit welcher Site Sie sich verbunden haben, und die Site kennt Ihre IP-Adresse und damit, von wo aus Sie sich verbunden haben.

Kurz gesagt, ein VPN leitet Ihre Verbindung um. Vom Server Ihres ISP geht es zu einem Server, der von Ihrem VPN betrieben wird, und von dort zu der gewünschten Website. Dadurch kann die Site, mit der Sie sich verbunden haben, Sie nicht mehr zurückverfolgen, wenn sie versucht, herauszufinden, von wo aus Sie verbunden sind, erhält sie nur die IP-Adresse des VPN-Servers zurück.

Darüber hinaus verschlüsselt das VPN auch die Verbindung zwischen Ihrem Computer und dem VPN-Server in einem sogenannten VPN-Tunnel. Das bedeutet, dass Ihr ISP auch nicht mehr weiß, was Sie tun, und es für andere viel schwieriger macht, herauszufinden, was Sie tun, wenn sie Ihre Verbindung abfangen.

VPNs und iOS

Laut dem Cybersicherheitsforscher Michael Horowitz, der in einer E-Mail an How-To Geek sagte, „Computer-Nerd im Ruhestand“ wäre zutreffender, wird iOS-Benutzern jedoch nicht die volle Kraft dieses Schutzes gewährt. Wie er in seinem Blogbeitrag ausführlich erklärt, bleiben nicht alle Daten, die über die Verbindung übertragen werden, im Tunnel, wenn ein iPhone- oder iPad-Benutzer sein VPN aktiviert, während eine Verbindung noch aktiv ist.

Horowitz hat die meisten seiner Tests auf einem iPad durchgeführt, das auf iPadOS läuft, einer etwas anderen Version von iOS, auf der iPhones laufen. Für diese Tests können sie jedoch als identisch angesehen werden.

In diesem Fall kann man sich die VPN-Verbindung weniger wie einen Tunnel, sondern eher wie einen Schlauch vorstellen. Wenn ein VPN seine Arbeit erledigt, kommt das gesamte durchfließende Wasser auf der anderen Seite wieder heraus. Bei diesem iOS-Problem tritt jedoch während des Transports ein Teil des Wassers aus dem Schlauch aus – daher die Verwendung des Wortes „Leck“. Diese Lecks werden durch ein Problem in iOS verursacht und sind nicht auf Probleme mit den VPNs selbst zurückzuführen.

Es sollte auch beachtet werden, dass es sich bei den durchgesickerten Daten um verschlüsselte Daten handelt und nicht, wie Sie vielleicht erwarten, um IP-Adressen oder andere DNS-Probleme. Das Ergebnis ist, dass iOS-Benutzer, die auf dieses Problem stoßen, wahrscheinlich immer noch nicht verfolgt werden können, das VPN tut in diesem Sinne immer noch seine Arbeit. Da sie verschlüsselt sind, sind die durchgesickerten Daten glücklicherweise auch keinem besonderen Risiko ausgesetzt. Dies bedeutet jedoch nicht, dass es sich nicht um einen ziemlich schwerwiegenden Fehler handelt.

Den Ball fallen lassen

Es ist nicht nur aus technischen Gründen ein Problem: Wie Horowitz selbst feststellt, haben Proton, Entwickler von ProtonVPN, erstmals im März 2020, also vor mehr als zwei Jahren, darauf hingewiesen. Als Proton sich damals wegen dieses Problems an Apple wandte, wurde dem Unternehmen mitgeteilt, dass es „erwartet“ wurde.

Wie Horowitz durch weitere Tests herausfand, hat Apple es seitdem in keiner Iteration von iOS behoben. Als Horowitz sich selbst an Apple wandte, erhielt er mehr oder weniger die gleiche Antwort wie ProtonVPN und ihm wurde gesagt, dass die Dinge „wie vorgesehen funktionieren“. Das erscheint merkwürdig, zumal das Leak zweifelsfrei bewiesen ist.

Nicht, dass Apple nichts getan hätte: Anscheinend gibt es seit iOS 14 einen Schalter, den iOS-Entwickler in ihrem Code aktivieren müssen, damit dieses Problem verschwindet. Laut den Entwicklern, mit denen Horowitz gesprochen hat, gibt es jedoch ein Problem, dass es nur mit einigen VPN-Protokollen funktioniert – den Regeln, die bestimmen, wie VPNs mit anderen Computern kommunizieren – nicht mit allen. Einige der populäreren Protokolle funktionieren anscheinend nicht mit diesem Flag, einschließlich OpenVPN und WireGuard.

Mögliche Fixes für undichte iOS-VPNs

Kurzfristig scheint es jedoch eine andere Lösung zu geben, die vor einigen Jahren vom VPN-Anbieter Mullvad entdeckt wurde. Dazu müssen Sie sich wie gewohnt mit dem VPN verbinden, dann den Flugzeugmodus aktivieren, Wi-Fi ausschalten und dann den Flugzeugmodus wieder deaktivieren. Horowitz seinerseits behauptet jedoch, dass es nicht immer funktioniert, also sollten Sie es vielleicht nicht riskieren.

Eine andere Option ist die Verwendung eines VPN, das alle offenen Verbindungen beim Start beendet, wenn dies unter iOS möglich wäre. Windscribe hat diese Funktion auf dem Desktop – Sie müssen „TCP-Sockets nach Verbindung beenden“ in den Einstellungen aktivieren – aber nicht in der iOS-App des Dienstes. Es ist unklar, ob Apple dies unter iOS zulässt.

Im Moment können Sie jedoch nur, wie Horowitz empfiehlt, Ihre Apple-Mobilgeräte über einen VPN-Router verbinden. Auf diese Weise verwendet Ihr gesamtes Netzwerk gleichzeitig das VPN, und somit können die separaten iPhones und iPads nicht mehr lecken. Beachten Sie jedoch, dass Sie in diesem Fall möglicherweise mobile Daten deaktivieren möchten, damit Sie nicht darauf zurückgreifen können, falls Ihr Router aus irgendeinem Grund ausfällt.

Andere Probleme

Das alles ist ziemlich schlimm, aber das ist vielleicht noch nicht das Ende. Horowitz erwartet, dass durch weitere Tests noch mehr iOS-Probleme auftreten werden. Zum einen gibt es ein Problem, das 2018 vom Sicherheitsforscher Matt Volante und 2022 erneut von der Tracking-Schutz-App Disconnect gemeldet wurde. In diesen Fällen können Entwickler anscheinend wählen, ob ihre iOS-Apps den VPN-Tunnel umgehen sollen.

Wenn dies der Fall ist, ist dies eine große Sache für alle iPhone-Benutzer, insbesondere jedoch für diejenigen in Ländern, in denen das Internet zensiert wird. Wie Disconnect betont, müssen die meisten russischen Apps von der russischen Regierung genehmigt werden, was bedeutet, dass die Wahrscheinlichkeit groß ist, dass diese Apps von dieser Lücke Gebrauch machen.

Hat Apple VPNs gebrochen?

Im Moment scheint das einzige, was klar zu sein scheint, dass wir nur die ersten paar Meter des Kaninchenbaus entdeckt haben. Apple scheint die VPN-Sicherheit ein wenig durcheinander gebracht zu haben, was unserer Meinung nach passieren kann, scheint aber der Behebung dieser Probleme keine besonders hohe Priorität eingeräumt zu haben. Zum Zeitpunkt des Schreibens wissen wir nicht, ob dieses Problem im gerade veröffentlichten iOS 16 noch besteht, aber angesichts der fehlenden Reaktion von Apple halten wir nicht den Atem an, dass es behoben wurde.

Man könnte zwar argumentieren, dass es kein wirkliches Problem gibt, weil die Benutzerdaten nicht gefährdet sind, aber es fühlt sich ein wenig schlampig an, insbesondere von einem Unternehmen wie Apple, das gerne verkündet, wie sicherheits- und datenschutzbewusst es ist. Obwohl es Sache der einzelnen Verbraucher ist, zu entscheiden, wie sich dies auf ihre Beziehung zum Unternehmen auswirken wird, fühlt es sich an, als hätte Apple einen Ball fallen lassen und ihn hier nicht aufgegriffen.