Bug in iCloud Private Relay: Sammelklage gegen Apple wegen „Betrug“

Was geschehen ist – die Kernmeldung

Der Technologiekonzern Apple sieht sich derzeit mit einer juristischen Auseinandersetzung in den Vereinigten Staaten konfrontiert, die das Vertrauen in seine kostenpflichtigen Datenschutzdienste erschüttern könnte. Gegenstand der Klage sind zwei zentrale Funktionen des iCloud+-Angebots: „iCloud Private Relay“ sowie die Funktion „E-Mail-Adresse verbergen“ (Hide My E-Mail). Die Kläger werfen dem Unternehmen vor, die Nutzer durch irreführende Werbeversprechen getäuscht zu haben, während gleichzeitig technische Sicherheitslücken bestanden, die den Schutz der Privatsphäre untergruben. Die Clarkson Law Firm aus Kalifornien, die bereits in der Vergangenheit erfolgreich gegen Apple vorgegangen ist, führt die Klage an. Die Vorwürfe wiegen schwer: Es wird von betrügerischem Verhalten gesprochen, da Apple angeblich von den technischen Defiziten gewusst habe, die betroffenen Abonnements jedoch weiterhin aktiv vermarktet und verkauft habe. Die Kläger streben nun den Status einer Sammelklage an, um Schadenersatz für die betroffenen Nutzer zu erstreiten. Die Vorwürfe beziehen sich dabei auf alle gängigen Apple-Plattformen, darunter das iPhone, das iPad sowie die macOS-Systeme, die allesamt von den beschriebenen Mängeln betroffen sind.

Die Einzelheiten der technischen Mängel

Die technischen Details, die zu dieser Klage führten, wurden maßgeblich durch das Team um den Sicherheitsforscher Tommy Mysk ans Licht gebracht. Im Fall von iCloud Private Relay, einem Dienst, der eigentlich dazu konzipiert wurde, die IP-Adresse des Nutzers vor Webseitenbetreibern zu verbergen, stellte sich heraus, dass dieser Schutz nicht lückenlos funktioniert. Trotz aktiviertem Dienst können unter bestimmten Umständen sowohl die DNS-Server als auch die tatsächlichen IP-Adressen innerhalb des Safari-Browsers identifiziert werden. Als Ursache für dieses Leck wurden die Implementierungen von WebTransport, HTTP/3, DNS-Prefetching sowie WebAuthn identifiziert. Parallel dazu gibt es schwerwiegende Vorwürfe bezüglich der Funktion „E-Mail-Adresse verbergen“. Hierbei handelt es sich um einen Weiterleitungsdienst, der die echte E-Mail-Adresse des Nutzers vor Dritten schützen soll. Die Sicherheitslücke ermöglichte es jedoch, die ursprüngliche E-Mail-Adresse durch den Versand von Spam oder anderen E-Mails, die eine Fehlermeldung (Bounce) provozieren, zu enthüllen. Apples Server lieferten dabei selbst die Informationen über die Zieladresse. Laut den Entdeckern des Fehlers benötigte Apple zwei Anläufe, um diesen spezifischen Fehler zu beheben, wobei frühere Datenlecks durch das Update nicht rückwirkend geheilt wurden.

Hintergrund und bisheriger Verlauf

Die aktuelle juristische Offensive ist kein isolierter Vorfall, sondern reiht sich in eine Serie von Auseinandersetzungen ein, die Apple aufgrund seiner iCloud+-Dienste führen muss. iCloud+ wurde als Premium-Angebot eingeführt, das den Nutzern explizite Privatsphäre-Features verspricht. Die Kläger argumentieren, dass Apple mit diesen Versprechen aktiv um Kunden geworben hat, während die technische Realität hinter den Werbeversprechen zurückblieb. Die Clarkson Law Firm, die bereits in einem früheren Rechtsstreit um die Siri-Verschiebung erfolgreich war und Apple zur Zahlung von 250 Millionen US-Dollar verpflichtete, sieht in der aktuellen Situation ein ähnliches Muster. Die Anwälte betonen, dass Apple durch den Verkauf der Dienste trotz Kenntnis der Sicherheitslücken das Vertrauen der Kunden missbraucht habe. Die Problematik bei „E-Mail-Adresse verbergen“ war dabei besonders kritisch, da der Dienst gerade dazu gedacht war, die Anonymität zu wahren. Dass ausgerechnet die Infrastruktur des Dienstes selbst zur Enttarnung der Nutzer beitrug, wiegt in der Argumentation der Kläger besonders schwer. Die Tatsache, dass Nutzer nun gezwungen sind, ihre Weiterleitungsadressen vollständig neu aufzusetzen, um die Sicherheit wiederherzustellen, unterstreicht die Schwere der technischen Defizite.

Die Beteiligten und ihre Positionen

Auf der Seite der Kläger steht eine Gruppe von Apple-Nutzern, die sich durch die Clarkson Law Firm aus Kalifornien vertreten lässt. Diese Kanzlei hat sich durch ihre bisherige Prozessführung gegen Apple bereits einen Namen gemacht. Die Kläger werfen dem Unternehmen explizit Vertragsbruch, Betrug und irreführende Werbung vor. Sie fordern eine finanzielle Entschädigung für die erlittenen Nachteile. Auf der Gegenseite steht der Apple-Konzern, der sich zu den Vorwürfen bisher nur sehr vage positioniert hat. Es bleibt unklar, ob Apple die gemeldeten Probleme als echte Sicherheitslücken anerkennt oder ob das Unternehmen diese als „erwartetes Verhalten“ der Systeme einstuft. Diese Einstufung ist für den weiteren Verlauf der Klage von entscheidender Bedeutung, da sie darüber entscheidet, ob Apple den Fehler als technisches Versagen oder als systemimmanente Eigenschaft betrachtet. Bisher hat das Unternehmen keine umfassende Stellungnahme zu den spezifischen Vorwürfen der Kläger veröffentlicht, was den öffentlichen Druck auf den Konzern weiter erhöht.

Einordnung der Vorwürfe

Einzuordnen ist das Vorgehen der Kläger als Versuch, Apple für die Diskrepanz zwischen Marketing-Versprechen und technischer Realität in die Pflicht zu nehmen. Apple hat sich in den vergangenen Jahren massiv als „Datenschutz-Champion“ positioniert und Funktionen wie Private Relay als Kernargumente für den Kauf von iCloud+-Abonnements genutzt. Wenn diese Funktionen jedoch technisch nicht so arbeiten, wie beworben, entsteht ein rechtliches Problem, das über bloße Software-Bugs hinausgeht. Den Berichten zufolge haben die Anwälte der Kläger die Strategie gewählt, Apple nicht nur wegen technischer Fehler, sondern wegen bewusster Täuschung anzugreifen. Dies ist ein deutlich schärferer Vorwurf, der darauf abzielt, das Geschäftsmodell von Apple in Frage zu stellen. Sollte die Klage als Sammelklage zugelassen werden, könnte dies für Apple nicht nur finanzielle Einbußen bedeuten, sondern auch einen erheblichen Reputationsschaden nach sich ziehen, da die Privatsphäre-Versprechen das Fundament der aktuellen Kundenbindung des Unternehmens bilden.

Offene Fragen und Lücken

Der vorliegende Sachverhalt lässt eine Reihe von Fragen offen, die für die weitere juristische Bewertung essenziell sind. Erstens bleibt unklar, wie viele Nutzer exakt von den Sicherheitslücken betroffen waren und ob tatsächlich Daten in einem Umfang abgeflossen sind, der einen konkreten Schaden für die Betroffenen nach sich zieht. Zweitens ist nicht geklärt, ab welchem Zeitpunkt Apple intern von den Problemen wusste. Die Behauptung der Kläger, Apple habe die Dienste trotz Kenntnis weiterverkauft, bedarf eines Beweises, der bisher nicht öffentlich vorliegt. Auch ist die Frage nach dem „erwarteten Verhalten“ unbeantwortet: Apple hat sich noch nicht dazu geäußert, ob die identifizierten Lecks bei Private Relay als Design-Entscheidung oder als Programmierfehler gewertet werden. Zudem bleibt offen, ob die bereits durchgeführten Korrekturen bei der E-Mail-Weiterleitung aus Sicht der Sicherheitsforscher als ausreichend angesehen werden oder ob noch immer latente Risiken bestehen. Die genaue Anzahl der betroffenen Nutzer und die Dauer, über die die Lücken bestanden, sind weitere Punkte, die im weiteren Prozessverlauf durch Beweisführungen geklärt werden müssen.

Wie es weitergeht

Der Rechtsstreit befindet sich in einem frühen Stadium, in dem die Kläger zunächst das Ziel verfolgen, die Klage als Sammelklage (Class Action) zertifizieren zu lassen. Sollte dies gelingen, wird der Prozess eine deutlich größere Dimension annehmen, da sich dann potenziell eine Vielzahl weiterer Nutzer anschließen könnte. Apple wird sich in den kommenden Wochen und Monaten vor Gericht gegen die Vorwürfe des Betrugs und der irreführenden Werbung verteidigen müssen. Es ist zu erwarten, dass die Verteidigung Apples darauf abzielen wird, die technische Relevanz der Lücken herunterzuspielen oder auf die allgemeinen Nutzungsbedingungen zu verweisen, die Haftungsausschlüsse enthalten könnten. Termine für eine mündliche Verhandlung oder eine Entscheidung über die Zulassung der Sammelklage wurden im Quelltext nicht genannt. Die Beobachter der Tech-Branche werden jedoch genau verfolgen, ob Apple zu einem Vergleich bereit ist, wie es in der Vergangenheit bei der Siri-Sammelklage der Fall war, oder ob der Konzern eine gerichtliche Auseinandersetzung bis zum Ende durchfechten will.