Wie sicher ist iCloud? iCloud-Si­cher­heit im Check

Wie sicher ist iCloud? Erfahren Sie alle In­for­ma­tio­nen über die Si­cher­heits­fea­tures der iCloud wie An­mel­de­ver­fah­ren, Ver­schlüs­se­lung, Si­cher­heits­maß­nah­men und Da­ten­schutz.

Wie funk­tio­niert die Ver­schlüs­se­lung bei iCloud?

Das Thema Ver­schlüs­se­lung ist bei iCloud dif­fe­ren­ziert zu be­trach­ten. Grund­sätz­lich erfolgt die Sicherung Ihrer Daten bei neueren Apple-Geräten mit einer 256-Bit-AES-Ver­schlüs­se­lung. Dies gilt z. B. für Backups, Mails, Fotos, Kontakte, Kalender oder Sprach­me­mos. Darüber hinaus setzt Apple bereits stan­dard­mä­ßig bei besonders sensiblen Daten auf Ende-zu-Ende-Ver­schlüs­se­lung (E2EE), etwa für Pass­wör­ter im iCloud-Schlüs­sel­bund oder Ge­sund­heits­da­ten.

Für einen noch höheren Schutz bietet Apple zu­sätz­lich den so­ge­nann­ten er­wei­ter­ten Da­ten­schutz (Advanced Data Pro­tec­tion). Wird diese Option aktiviert, sind deutlich mehr Daten voll­stän­dig Ende-zu-Ende ver­schlüs­selt, was die Si­cher­heit von iCloud erheblich erhöht:

• Cloud-Backups
• Fotos
• Notizen
• iCloud Drive-Dateien

Ver­ar­bei­tet Apple Nut­zer­da­ten?

Die Ver­ar­bei­tung von Nut­zer­da­ten in iCloud hängt maß­geb­lich vom ein­ge­setz­ten Ver­schlüs­se­lungs­mo­dell ab:

• Im Stan­dard­mo­dus nutzt Apple für viele Da­ten­ka­te­go­rien eine ser­ver­sei­ti­ge Ver­schlüs­se­lung, bei der die Schlüssel durch Apple verwaltet werden. In diesen Fällen ist ein Zugriff auf Inhalte technisch möglich, etwa zur Be­reit­stel­lung von Diensten oder zur Feh­ler­ana­ly­se.
• Nach der Ak­ti­vie­rung des er­wei­ter­ten Da­ten­schut­zes (Advanced Data Pro­tec­tion) ver­schiebt sich dieses Modell deutlich. Ein Großteil der Inhalte wird Ende-zu-Ende ver­schlüs­selt, sodass Apple keinen Zugriff mehr auf die Daten hat. Un­ab­hän­gig davon ver­ar­bei­tet Apple weiterhin bestimmte Metadaten und sys­tem­re­le­van­te In­for­ma­tio­nen wie Account- und Ge­rä­te­in­for­ma­tio­nen, Nutzungs- und Dia­gno­se­da­ten (optional) sowie si­cher­heits­re­le­van­te Er­eig­nis­se wie Login-Ak­ti­vi­tä­ten.

Im Kontext neuer KI-Funk­tio­nen (Apple In­tel­li­gence) gilt zu­sätz­lich: Viele Ver­ar­bei­tungs­schrit­te erfolgen lokal auf dem Gerät, während kom­ple­xe­re Anfragen über „Private Cloud Compute“ ab­ge­wi­ckelt werden. Dabei werden nur not­wen­di­ge Daten ver­ar­bei­tet und nicht dauerhaft ge­spei­chert.

Wie sicher ist iCloud gegen Ha­cker­an­grif­fe?

In der Ver­gan­gen­heit gab es häufiger negative Zwi­schen­fäl­le, die die Frage aufwarfen, wie sicher iCloud wirklich ist. Bereits 2014 kam es zu einem großen Datenleck, da eine Si­cher­heits­lü­cke in der Funktion „Find My iPhone“ aus­ge­nutzt wurde und iCloud für Unbefugte einsehbar war. Dieses Ein­falls­tor wurde in der Folge ge­schlos­sen.

Auch andere Zwi­schen­fäl­le rund um die Si­cher­heit von iCloud wurden immer wieder medial begleitet. Dabei handelte es sich al­ler­dings häufig um Phishing, bei dem Nut­ze­rin­nen und Nutzer ihre Kon­to­da­ten frei­wil­lig wei­ter­ge­ge­ben haben, oder Ha­cke­rin­nen und Hacker aufgrund der Mehr­fach­nut­zung eines Passworts den Zugang zur Cloud erlangen konnten.

Apple hat darauf mit zu­sätz­li­chen Si­cher­heits­me­cha­nis­men reagiert, darunter:

• ver­pflich­ten­de Zwei-Faktor-Au­then­ti­fi­zie­rung
• Si­cher­heits­be­nach­rich­ti­gun­gen bei ver­däch­ti­gen Logins
• Un­ter­stüt­zung für Hardware-Si­cher­heits­schlüs­sel
• kon­ti­nu­ier­li­che Erkennung un­ge­wöhn­li­cher Account-Ak­ti­vi­tä­ten

Dennoch zeigt sich: Auch moderne Schutz­me­cha­nis­men bieten keinen voll­stän­di­gen Schutz vor Angriffen. So werden bei­spiels­wei­se gezielt MFA-Angriffe oder Phishing-Kampagnen ein­ge­setzt, um Si­cher­heits­ab­fra­gen zu umgehen. Ent­schei­dend sind daher zu­sätz­li­che Schutz­maß­nah­men und das Verhalten der Nut­ze­rin­nen und Nutzer.

Wo stehen die Server des Dienstes?

Während Apple auf Verstöße in der Ver­gan­gen­heit zumindest reagierte und durch neue Methoden und Tools Daten besser schützt, spricht ein anderer Faktor in Bezug auf die Si­cher­heit klar gegen iCloud. Da Apple ein US-ame­ri­ka­ni­sches Un­ter­neh­men ist, nutzt die Firma unter anderem Server in US-ame­ri­ka­ni­schen Re­chen­zen­tren. Dadurch gilt für diese Server auch das Da­ten­schutz­recht der Ver­ei­nig­ten Staaten, das deutlich schwächer als die meisten eu­ro­päi­schen Ver­ein­ba­run­gen ist und so mehr Frei­hei­ten lässt. In einigen Fällen werden Daten auch bei Dritt­an­bie­tern ge­spei­chert, was nach US-ame­ri­ka­ni­schem Recht zulässig ist. Für viele Nut­ze­rin­nen und Nutzer bietet ein solches Vorgehen al­ler­dings Grund zur Sorge.

US-ame­ri­ka­ni­sche Behörden haben spä­tes­tens seit dem CLOUD Act von 2018 weit­rei­chen­de Be­fug­nis­se, die auch dann greifen, wenn aus dem Ausland Backups auf Server in den USA über­tra­gen werden. Dazu arbeiten die Un­ter­neh­men teils eng mit staat­li­chen In­sti­tu­tio­nen zusammen und sind ver­pflich­tet, Da­ten­sät­ze auf ent­spre­chen­de Anträge hin wei­ter­zu­lei­ten. Ins­be­son­de­re aus diesen Gründen schneiden deutsche Cloud-Anbieter im Vergleich der si­chers­ten Clouds deutlich besser ab als US-ame­ri­ka­ni­sche Lösungen wie iCloud, die das Thema Da­ten­schutz groß­zü­gi­ger angehen.

Wie wirkt sich das auf den Da­ten­schutz bei iCloud aus?

Die DSGVO (Da­ten­schutz-Grund­ver­ord­nung) regelt in Europa die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und stellt hohe An­for­de­run­gen an Trans­pa­renz, Zweck­bin­dung und Da­ten­si­cher­heit. Ein Kernpunkt dieser Ver­ord­nung ist die Regelung, dass Daten von einem Dienst­leis­ter (in diesem Fall dem Cloud-Dienst) nur dann ver­ar­bei­tet werden dürfen, wenn es einen klaren Auftrag zur Ver­ar­bei­tung gibt.

Ob Apples Dienst diesen An­sprü­chen gerecht wird und wie sehr der Faktor Da­ten­schutz bei iCloud Be­rück­sich­ti­gung findet, ist fraglich. Pro­ble­ma­tisch ist ins­be­son­de­re die mögliche Da­ten­über­mitt­lung in Dritt­län­der sowie der Zugriff durch Behörden auf Basis na­tio­na­ler Gesetze. Zwar existiert mit dem EU-US Data Privacy Framework wieder eine recht­li­che Grundlage für Da­ten­trans­fers, jedoch bestehen weiterhin Un­si­cher­hei­ten hin­sicht­lich des tat­säch­li­chen Schutz­ni­veaus. Zudem wird in Fach­krei­sen weiterhin dis­ku­tiert, inwieweit eu­ro­päi­sche Da­ten­schutz­an­for­de­run­gen mit Gesetzen wie dem CLOUD Act vereinbar sind.

Wie sicher ist iCloud für Un­ter­neh­men?

Während der Faktor Si­cher­heit bei iCloud für private Nut­ze­rin­nen und Nutzer eben auch eine private Frage ist, die sie nach eigenem Ermessen be­ant­wor­ten und gewichten können, sieht die Sache für Un­ter­neh­men, die auf Cloud-Lösungen setzen, na­tur­ge­mäß anders aus. Diese wollen ihren Kundinnen und Kunden prak­ti­sche Cloud-Lösungen anbieten und pro­fi­tie­ren auch selbst von der erhöhten Fle­xi­bi­li­tät. Gleich­zei­tig tragen sie aber auch die Ver­ant­wor­tung für Kun­den­da­ten und müssen die Dis­kre­panz zwischen DSGVO und CLOUD Act be­rück­sich­ti­gen. iCloud war ur­sprüng­lich nur für Pri­vat­us­er vor­ge­se­hen. Der Business-Manager-Vertrag bietet da nur bedingt Abhilfe, weshalb sich Un­ter­neh­men im Bereich Da­ten­schutz bei iCloud in einer Grauzone befinden.

Fazit: Ist iCloud sicher?

Ist iCloud also sicher genug für pro­fes­sio­nel­le Ansprüche? iCloud kann ein sehr hohes Si­cher­heits­ni­veau erreichen, ins­be­son­de­re mit ak­ti­vier­tem Advanced Data Pro­tec­tion. Für Un­ter­neh­men bleibt die Nutzung aufgrund re­gu­la­to­ri­scher An­for­de­run­gen jedoch kritisch. Zwar hat Apple in den letzten Jahren deutlich nach­ge­bes­sert und die Ver­schlüs­se­lung von iCloud verstärkt, die Pro­ble­ma­tik der Re­chen­zen­tren im Ausland bleibt aber dennoch bestehen.

Während private Nut­ze­rin­nen und Nutzer dieses Risiko selbst bewerten und tragen müssen, ist das Risiko für Un­ter­neh­men ungleich größer. Bei einem ehrlichen Cloud-Speicher-Vergleich kann der Faktor Si­cher­heit daher gegen iCloud und für eine der vielen eu­ro­päi­schen Al­ter­na­ti­ven sprechen.