From: Robert Jasiek <[email protected]>
Newsgroups: de.comp.security.misc
Subject: Apples Angriff auf Nutzerdaten
Date: Tue, 25 Jan 2022 19:44:49 +0100
Message-ID: <[email protected]>
X-Newsreader: Forte Agent 5.00/32.1171

Bilderscannen

Mitte 2021 plante Apple unter dem Vorwand des Kinderschutzes die
Einführung des Scannens u.A. von Bildern in i(Pad)OS 15 möglicherweise
zuerst in den USA, im Zusammenhang mit iCloud, unter Verwendung von
Ressourcen der Nutzerendgeräte und Meldung vermuteter Straftaten an
die Polizei. Nach weltweitem Shitstorm ruderte Apple zurück und führte
erst mit i(Pad)OS 15.2 angeblich bisher nur in den USA per Opt-in in
der Familienfreigabe angeblich rein gerätelokales Bilderscannen ein.

Apple wollte Ende 2021 über das weitere Vorgehen entscheiden. Es fehlt
nun im Januar 2022 allerdings immer noch ein klares Statement von
Apple, ob oder inwieweit die ursprünglichen Pläne verfolgt oder
eingestellt würden.

Im Telefonsupport erklärte mir im Januar 2022 ein Apple-Supervisor
(ein Vorgesetzter einer normalen, themabezogen kenntnisfreien
Telefonsupportmitarbeiterin, der sich als die höchste Instanz ausgab,
mit der ich sprechen könnte), vorbehaltlich polizeilicher Ermittlungen
seien immer alle Nutzerdaten (gerätelokal, transportiert, beim
Support, in der Reparatur oder in der Cloud) zu 100% privat und auch
vor dem Zugriff von Apple-Mitarbeitern geschützt.

Nun glaube ich allerdings nicht allein der Aussage eines
Apple-Mitarbeiters oder den PR-Infos vom Typ "Privatheit ist ein
fundamentales Menschenrecht" auf Apples Supportwebseiten.


Nutzungsbestimmungen von i(Pad)OS 15.2.1

Ich habe mich daher auch mit AGBs, Nutzungs- und Lizenzbestimmungen
auseinandergesetzt. Normalerweise nickt man so etwas einfach ab, weil
man sich in seinem Leben sonst mit nichts Anderem mehr beschäftigt.
Angesichsts der Gefahr, dass Apple in i(Pad)OS 15 Malware integriert,
sind die Zeiten hinsichtlich Apple aber vorbei. Im habe mich mit dem
Kleingedruckten zumindest wo relevant auseinandergesetzt.

Den AGBs von i(Pad)OS 15.2.1 kann man zustimmen, denn sie sehen i.W.
keine Verletzung von Privatsphäre oder Datenschutz durch Apple vor.
Bei den Nutzungsbestimmungen der iCloud unter i(Pad)OS 15.2.1 ist dies
jedoch konträr, wie folgende Zitate daraus verdeutlichen:


"II.

[...]

M. Backup

iCloud-Backup erstellt regelmäßig automatische Datensicherungen
(Backups) für iOS-Geräte, wenn die Bildschirmsperre des Geräts aktiv
ist, das Gerät an das Stromnetz angeschlossen und über ein
WLAN-Netzwerk mit dem Internet verbunden ist. [...]

V.

A. Inhalt

,,Inhalt" steht für Informationen aller Art, die durch die Nutzung des
Dienstes generiert oder angetroffen werden können, darunter
Datendateien, Gerätemerkmale, geschriebener Text, Software, Musik,
Grafiken, Fotos, Bilder, Audioinhalte, Videos, Nachrichten und andere
ähnliche Materialien. [...]

C. Entfernen von Inhalten

[...] Apple behält sich jedoch das Recht vor, jederzeit zu prüfen, ob
Inhalte angemessen sind und mit dieser Vereinbarung übereinstimmen
[...]

E. Zugriff auf Account und Inhalte

[...] Du erklärst dich damit einverstanden, dass Apple, ohne dir
gegenüber zu haften, auf [...] deine Inhalte zugreifen, diese nutzen,
aufbewahren [...] und/oder sonstige Dritten weitergeben darf, wenn
Apple der Meinung ist, dass dies vernünftigerweise erforderlich oder
angemessen ist [...] Gemäß der Datenschutzrichtlinie von Apple behält
sich Apple jedoch das Recht vor, jederzeit zu prüfen, ob Inhalte
angemessen sind und mit dieser Vereinbarung übereinstimmen, und Apple
ist berechtigt, Inhalte jederzeit ohne vorherige Ankündigung nach
eigenem Ermessen herauszufiltern, zu verschieben, abzulehnen, zu
modifizieren und/oder zu entfernen, wenn diese Inhalte diese
Vereinbarung verletzen [...]"


Die iCloud-Nutzungsbestimmungen machen das Erstellen von
iCloud-Backups nicht davon abhängig, ob der Nutzer dies in i(Pad)OS
aktiviert hat, sondern erlauben sie in II.M auch andernfalls.

Abschnitt V Paragrafen A, C, E sehen neben ein paar rechtskonformen,
im Zitat weggelassenen Fällen v.A. rechtswidrig vor, dass Apple
Inhalte, Informationen aller Art, Datendateien, geschriebenen Text,
Musik, Grafiken, Fotos, Bilder, Audioinhalte, Videos, Nachrichten und
andere ähnliche Materialien prüfen, nutzen, aufbewahren, an sonstige
Dritte weitergeben, filtern, verschieben, modifizieren oder löschen
darf. Zur Einordnung über deutsche Grundrechte (informationelle
Selbstbestimmung, Vertraulichkeit und Integrität
informationstechnischer Systeme) sowie deutsche und
EU-Datenschutzgesetze / -verordnungen hinaus zitiere ich Folgendes,
das in jedem Einzelfall relevant wird, immer wenn Apple von den
zitierten iCloud-Nutzungsbestimmungen Gebrauch machen sollte:


Strafgesetzbuch

"§ 202a Ausspähen von Daten

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht
für ihn bestimmt und die gegen unberechtigten Zugang besonders
gesichert sind, unter Überwindung der Zugangssicherung verschafft,
wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe
bestraft. [...]

§ 202b Abfangen von Daten

Wer unbefugt sich oder einem anderen unter Anwendung von technischen
Mitteln nicht für ihn bestimmte Daten [...] aus einer
nichtöffentlichen Datenübermittlung oder aus der elektromagnetischen
Abstrahlung einer Datenverarbeitungsanlage verschafft, wird mit
Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft [...]

§ 202c Vorbereiten des Ausspähens und Abfangens von Daten

(1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er
   1.    Passwörter oder sonstige Sicherungscodes, die den
Zugang zu Daten [...] ermöglichen, oder
   2.    Computerprogramme, deren Zweck die Begehung einer
solchen Tat ist,

herstellt, sich oder einem anderen verschafft, verkauft, einem anderen
überlässt, verbreitet oder sonst zugänglich macht, wird mit
Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. [...]

§ 202d Datenhehlerei

(1) Wer Daten [...], die nicht allgemein zugänglich sind und die ein
anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem
anderen verschafft, einem anderen überlässt, verbreitet oder sonst
zugänglich macht, um sich oder einen Dritten zu bereichern oder einen
anderen zu schädigen, wird mit Freiheitsstrafe bis zu drei Jahren oder
mit Geldstrafe bestraft. [...]"


Nutzung von i(Pad)OS 15

Ganz besonders auch aus vorgenannten Gründen nutze ich niemals die
iCloud (weder auf Apples Servern noch auf Apples Ersatzservern anderer
Techgiganten wie Google). Nach der Verzögerung eines Updates auf
iPadOS 15 wegen des geplanten Bilderscannens stand ich anschließend
vor dem Problem, wie ich von iPadOS 14.8 auf 15.2.1 updaten konnte,
ohne dabei den iCloud-Nutzungsbestimmungen zuzustimmen. Beim direkten
Updateversuch in den iPadOS-Einstellungen bei Update Installieren &
Laden bekommt man ein AGB-Fenster gezeigt, wo ich die AGB von i(Pad)OS
15.2.1 las und weitere Nutzungsbestimmungen hätte aufsuchen können,
aber auf Akzeptieren klickte. Es erscheint ein Popup mit dem Text "Ich
stimme den iOS-, iCloud- und Apple Media Services-Bestimmungen zu.".
Wenn man hier nochmals auf Akzeptieren klickt, nimmt man also auch die
iCloud-Nutzungsbestimmungen 15.2.1 an. Ich wählte Ablehnen, welches
suggestiv einen dünneren Font hatte.

Ein erneuter Anruf beim Telefonsupport ergab, dass man beim Update auf
i(Pad)OS 15.2.1 die iCloud-Nutzungsbestimmungen nur dann ablehnen
könne, wenn man das Update durch Verbindung zu einem macOS- oder
Windows-PC durchführe. Vielleicht bedeutet dies, dass Nutzer ohne PC
oder mit z.B. Linux-PC nie auf i(Pad)OS 15 updaten können, wenn sie
die iCloud-Nutzungsbestimmungen ablehnen wollen.

Auf meinem Windows-PC musste erst einmal iTunes aktualisiert werden
gefolgt von meinen umfangreichen Zähmungen desselben. Das iPad verband
ich per USB-Kabel. Nach dem Starten des Updates braucht man v.A. viel
Geduld, wenn sich scheinbar erst einmal gar nichts tut (außer im
ProcessExlorer). Schlussendlich ist dann hoffentlich i(Pad)OS 15.2.1
auf dem iPad oder iPhone installiert.

Dort wird man dann subtilerweise zuerst gebeten, die
iCloud-Nutzungsbestimmungen 15.2.1 zu akzeptieren (fett), sollte sie
allerdings ablehnen (dünn). Erst zweitens werden einem die Allgemeinen
Geschäftsbedingungen vorgelegt, nämlich A. Apple iOS- und
iPadOS-Softwarelizenzvertrag, B. Ergänzende Bestimmungen zu Apple Pay
C. Benachrichtigungen von Apple. Nach deren Akzeptieren kommt drittens
das Popup "Nutzungsbedingungen / Ich bin mit den
iOS-Nutzungsbedingungen einverstanden.", das man erneut Akzeptieren
soll. Beachte, dass hier nicht die iCloud-Nutzungsbestimmungen
inkludiert sind. Aber, keine Überraschung, viertens wird gefragt:
"Neue iCloud-Nutzungsbedingungen / Zur Verwendung von iCloud auf
diesem iPad musst du den neuen Nutzungsbedingungen für iCloud
zustimmen." Apple-typisch gibt es kein "Nein" und schon gar kein
"Nie", sondern nur ein "Später" oder "Akzeptieren. Also "Später".

Dann ist in den Apple-ID-Einstellungen iCloud ausgegraut. Halleluhjah?
Nicht ganz, denn rote Anzahl-Meldungen bleiben zu Neue
iCloud-Nutzungsbedingungen und ggf. Apple Pay Konfiguration
abschließen. (Wer braucht Apple Pay und
Kreditkartenkontodatenhinterlegung? Apple akzeptiert mittlerweise auch
PayPal.)

Als ich noch bei iPadOS 14.8 war, nervte es seit Mitte Dezember 2021
täglich mehrmals damit, man möge doch endlich den
iCloud-Nutzungsbedingungen zustimmen und / oder sein Apple-ID-Passwort
eingeben. Obwohl ich Ersteres jedesmal ablehnte, wurden die
iCloud-Einstellungen aktiv wie ein Untoter namens Game Center oder
mittels neu installierter App, die ungefragt Löcher in die
Alles-Aus-Riege bohrte.

Man muss diesem Terror unzähliger Überredungsversuche durch Apple zur
iCloud widerstehen.

Wenn man ein neues i(Pad)OS-15-Gerät kauft und in Betrieb nimmt, wird
man dabei laut Telefonsupport nicht genötigt, die iCloud-Bedingungen
zu akzeptieren. Diese muss man ggf. erst akzeptieren, wenn man in den
Einstellungen unter Apple-ID iCloud aktivieren will.