Es ist Zeit, sich von Apple-Diensten zu lösen

• Mit dem Rückzug von Apples Advanced Data Protection (ADP) im Vereinigten Königreich können Nutzer einige Daten in iCloud nicht länger mit Ende-zu-Ende-Verschlüsselung (e2ee) schützen
• Nutzer, die ADP bereits aktiviert haben, laufen Gefahr, den Zugriff auf ihr iCloud-Konto zu verlieren, wenn sie die Funktion nicht selbst deaktivieren
• Auch nach dem Rückzug von ADP bleiben iMessage, FaceTime, iCloud Keychain und Health-Daten weltweit weiterhin durch e2ee geschützt
• Allerdings werden 10 Datenkategorien wie iCloud Backup, Drive, Photos und Notes auf den Standardschutz (Standard Data Protection) umgestellt, wodurch das Sicherheitsniveau sinkt
• Diese Maßnahme infolge der britischen Forderung nach einer TCN (Technical Capability Notice) zeigt, dass Einzelpersonen und Organisationen ihre Strategie zur Datensicherheit überdenken müssen

---

Rückzug von ADP (Advanced Data Protection) und seine Folgen

• Apple wird die ADP-Funktion im Vereinigten Königreich vollständig zurückziehen
  • Dies wird ausdrücklich als Maßnahme aufgrund der TCN (Technical Capability Notice) des Home Office und des Investigatory Powers Act bezeichnet
• Nutzer, die ADP bereits aktiviert haben, können ihr iCloud-Konto nur behalten, wenn sie die Funktion selbst deaktivieren
  • Apple erklärte, ADP nicht automatisch deaktivieren zu können
• Auch nach dem Rückzug von ADP bleiben 15 grundlegende iCloud-Datenkategorien weiterhin durch e2ee geschützt
  • Dazu gehören unter anderem iCloud Keychain, Health, iMessage und FaceTime

Von der Entschlüsselung betroffene Daten und Schritte für Nutzer

• Durch den Rückzug von ADP sind 10 Datenkategorien nicht länger durch e2ee geschützt
  • Betroffene Bereiche: iCloud Backup, iCloud Drive, Photos, Notes, Reminders, Safari Bookmarks, Siri Shortcuts, Voice Memos, Wallet Passes, Freeform
• Wenn e2ee für Nutzer wichtig ist, sollten sie diese Daten aus iCloud entfernen
  • iCloud-Einstellungen → Verwalten (Manage) → Löschvorgang für jeden einzelnen Bereich durchführen
• Als Alternative wird die Nutzung von Proton (mit e2ee-Unterstützung) empfohlen
  • Ein Wechsel zu nicht verschlüsselten Diensten (non-e2ee) ergibt keinen Sinn

So lassen sich Notes und andere Daten migrieren

• Beim Umzug von Notes lassen sich Inhalte mit der Exporter-App als Markdown-Dateien exportieren
  • Anschließend ist eine Migration zu Notiz-Apps mit e2ee-Unterstützung wie Standard Notes, Obsidian, Joplin möglich
• Von der Nutzung unverschlüsselter Notizdienste wird aus Sicherheitsgründen gewarnt
• Bei der Datenmigration wird empfohlen, die Abhängigkeit von US-basierten Cloud-Diensten ("American stack") zu verringern

TCN (Technical Capability Notice) und die Auswirkungen auf iCloud insgesamt

• Laut den veröffentlichten Informationen verlangte die erste TCN nicht nur Zugriff auf ADP-Daten, sondern auf sämtliche iCloud-Daten
  • Laut einem Bericht der Financial Times wurde dies so interpretiert, dass die britische Regierung Zugang zur massenhaften Überwachung des gesamten iCloud-Backup-Dienstes verlangte
  • Es wird ausdrücklich darauf hingewiesen, dass diese Forderung auch für iCloud-Daten von Nutzern weltweit gilt
• Daher sollten Nutzer ihr Vertrauen in das gesamte Apple-Ökosystem neu bewerten
  • Insbesondere sollte die Sicherheit von Passwörtern und Backup-Daten berücksichtigt werden

Auswirkungen auf Nutzer außerhalb des Vereinigten Königreichs

• Apple erklärte, dass ADP außerhalb des Vereinigten Königreichs weiterhin angeboten wird
• Nutzern außerhalb des Vereinigten Königreichs wird empfohlen, ADP sofort zu aktivieren
  • Pfad: Einstellungen > Benutzername > iCloud > Advanced Data Protection
• Wenn es Teammitglieder im Vereinigten Königreich gibt, sollte bei der Gestaltung des Sicherheitsmodells (threat model) ihr Risiko einer Datenoffenlegung berücksichtigt werden

Zweite TCN und künftige Unsicherheit

• Am 1. Oktober stellte das britische Innenministerium eine zweite TCN aus, die diesmal nur auf Daten britischer Staatsbürger abzielt
  • Die Formulierung „British citizens’ data“ sorgte für Kontroversen
  • Es wurde die Möglichkeit aufgeworfen, die Staatsbürgerschaft anhand von Passinformationen zu unterscheiden, konkrete Umsetzungsdetails wurden jedoch nicht veröffentlicht
• Informationen zur zweiten TCN wurden nur durch Medienleaks bekannt, offizielle Details bleiben nicht öffentlich
• Die rechtliche Anfechtung der ersten TCN durch die Gruppen Liberty/PI soll im Januar vor dem Investigatory Powers Tribunal verhandelt werden

Fazit und Empfehlung

• Nutzer sollten sich darauf vorbereiten, Apple, Google und den US-basierten Tech-Stack zu verlassen (de-Apple, de-Google, de-American Stack)
• Es wird betont, dass Datensicherheit nicht nur Einzelpersonen betrifft, sondern direkt mit der Sicherheit des Umfelds verknüpft ist
• Der eigenständige britische Kurs bei der Technologieregulierung wird zwar als „world-leading“ bezeichnet, tatsächlich aber als Zustand mit geschwächter internationaler Einflusskraft beschrieben
• Am Ende des Textes wird mit der Erwähnung eines Fotos des Alan-Turing-Denkmals daran erinnert, dass Datenschutz lebensentscheidend sein kann

[GN⁺]

Hacker-News-Kommentare

• Ehrlich gesagt war Googles Entscheidung, Android stärker abzuschotten, völlig verrückt
  Während die Welt immer autoritärer wird, verstehe ich nicht, warum man sich selbst zum Symbol von Kontrolle machen und damit zur Zielscheibe für Angriffe werden will
  Hätte Apple von Anfang an offene alternative Backup-Dienste für iCloud unterstützt, gäbe es heute wahrscheinlich gar keine Debatte über ein Verbot von E2E-Verschlüsselung
  Stattdessen hat Apple die Mauern noch höher gezogen, und das Ergebnis ist eine Situation, die nicht nur für Nutzer, sondern für die ganze Welt nachteilig ist

• Die Alternativdienste außerhalb von Apple waren in Sachen Privatsphäre deutlich schlechter
  Als ich früher Android benutzt habe, funktionierten Banking-Apps schon dann nicht mehr, wenn man nur ein Custom-ROM installierte oder Root-Zugriff hatte
  Heute ist die Umgebung noch stärker kontrolliert, deshalb scheint de-Googled Android den Versuch nicht mehr wert zu sein
  Open-Source-Mobile-Betriebssysteme sind noch in einem frühen Stadium, und selbst Treiberstabilität ist noch nicht gesichert, bis zur praktischen Nutzbarkeit ist es also noch ein weiter Weg

  • Sowohl Apple als auch Google haben über das PRISM-Programm massenhaft Nutzerdaten an die US-Regierung weitergegeben
    Seit Snowdens Enthüllungen fällt es mir schwer, beiden Unternehmen zu vertrauen

• Das Bild und die Bildunterschrift am Ende der Seite waren eindrucksvoll
  Es ist ein Foto der Alan-Turing-Statue, und die Tatsache, dass er einen Apfel in der Hand hält, ist symbolträchtig
  Es erinnert daran, dass Datenprivatsphäre eine Frage von Leben und Tod sein kann
  Mehr dazu findet sich im Wikipedia-Artikel zu Alan Turings Tod

  • Laut dem verlinkten Wikipedia-Artikel ist Turings Tod eher als möglicher Unfalltod denn als Suizid zu verstehen
    Aber die Suizidthese ist eine zu „perfekte Geschichte“ und wird kulturell wohl deshalb immer wieder weitererzählt

• Als Scherz habe ich mir vorgestellt, was wäre, wenn Apple Großbritannien wie die East India Company kolonisieren und eine iGovernment errichten würde
  Tim Cook wäre dann der neue Anführer, und in jedem Haus stünde ein HomePod, der jeden Morgen mit „Good morning!“ den Tag eröffnet
  Gewählt würde per FaceID-authentifiziertem iPhone

  • Wie auch immer, wir scheinen ohnehin schon komplett „durch“ zu sein
  • Ich habe mich gefragt, wie es wäre, wenn Beratungsfirmen wie McKinsey oder KPMG direkt politische Kandidaten aufstellen würden
  • Mir fällt ein Slogan ein wie: „Introducing, Apple Governance, the best government Apple has ever made!“

• Im Artikel hieß es, man solle „de-Apple, de-Google, de-American Stack“ betreiben,
  aber ich frage mich, ob man damit in Großbritannien der E2EE-Backdoor-Politik der Regierung überhaupt entkommen kann

  • Die ersten beiden Ratschläge verstehe ich, aber „de-American“ halte ich für absurd
    Die Wurzel des Problems ist nicht Amerika, sondern die Politik der britischen Regierung
  • E2EE-Cloudspeicher ist nichts, was nur Großkonzerne leisten können
    Ich habe mir selbst eine Kombination aus Syncthing + NAS + Backblaze + Wireguard statt Dropbox aufgebaut
  • Großbritannien hat E2EE nicht an sich verboten; Apple hat die Verschlüsselungsfunktion entfernt, nachdem es sich geweigert hatte
    Letztlich ist es also weiterhin möglich, Daten selbst zu verschlüsseln und dann hochzuladen
  • Ich verwalte meine Daten inzwischen mit Stift und Papier. Das ist in Großbritannien bisher noch nicht verboten
  • Nicht einmal US-Unternehmen können echte E2EE garantieren
    Kann man wirklich sicher sein, dass Signal aus dem App Store immer eine „unknackbare Verschlüsselung“ beibehält?

• Jemand meinte, das sei eher ein Fall für „de-UK“, aber

  • das größere Problem ist, dass Apple und Google zu den Gateways aller Nutzer geworden sind
    Selbst wenn es iCloud-Alternativen gibt, können iPhone-Nutzer sie wegen technischer Beschränkungen nicht verwenden
  • Mit freier Software kann man solche Gesetze umgehen
  • Es gibt auch außerhalb Großbritanniens viele Gründe, Apple auf Abstand zu halten
  • Natürlich können nicht alle 70 Millionen Menschen auswandern, also ist das keine realistische Lösung

• Die Nachricht, dass Apple in Großbritannien die Funktion Advanced Data Protection (ADP) zurückzieht, zeigt letztlich,
  dass alle Dienste im Vereinigten Königreich von demselben Gesetz betroffen sein können

  • Eigentlich ist E2EE keine Cloud-Funktion, sondern etwas, das Nutzer selbst umsetzen müssen
  • Apple steht deshalb im Fokus, weil der Anteil der iOS- und macOS-Nutzer hoch ist
  • Auch andere Länder führen ähnliche Überwachungssysteme ein
  • Die Aussage „Das wird nicht nur ein Problem des UK bleiben“ wird immer realer
  • Es gab auch den Rat, zu E2EE-Diensten wie Proton zu wechseln

• Der Rat zu „de-American“ wirkte auf mich seltsam
  Wenn US-Unternehmen britisches Recht befolgen, verstehe ich nicht, warum Briten dann amerikanische Unternehmen dafür verantwortlich machen sollten

  • Ja, das ist ein politisches Framing, das antiamerikanische Stimmungen ausnutzt
    In Europa wird die USA oft deutlich schlechter wahrgenommen, als es der Realität entspricht
    Viele haben bei einem Besuch sogar den Eindruck, dass die Lage im eigenen Land schlimmer ist

• Das CSS der Seite war merkwürdig, sodass Zeilenenden abgeschnitten wirkten

  • Das Problem waren overflow: hidden; in .site-content .post und max-width: 965px; in .entry-content
    Entfernt man max-width oder verkleinert die Browserbreite auf unter 1700px, ist das Problem behoben
  • Dass der Text tatsächlich ab 1700px abgeschnitten wird, ist in diesem Video zu sehen
  • Die Ursache ist die Einstellung margin-right: -34.0740%
  • Verkleinert man das Fenster, werden die Zeilen wieder normal umgebrochen

• Apple befolgt nur das Gesetz, und Gesetze werden von Politikern gemacht, und wir wählen diese Politiker
  Deshalb ist es logisch nicht stimmig, Apple die Schuld zu geben

  • Der Kern des Textes ist jedoch nicht „wer schuld ist“, sondern der Vorschlag, die Realität anzuerkennen und darauf zu reagieren
  • Es geht nicht darum, Apple anzugreifen, sondern um die tatsächliche Lage britischer Nutzer
  • In manchen Ländern wird die Wahl so stark vom Einfluss des Geldes bestimmt, dass solche Aussagen fast beneidenswert klingen
  • Apple ist auch in Ländern aktiv, in denen man nicht einmal wählen kann
  • Letztlich will der Autor Apple nicht beschuldigen, sondern die strukturellen Probleme der Realität benennen