Ich zahle Apple 99 Cent im Monat dafür, dass Websites meine IP-Adresse nicht sehen. Klappt nicht. Apples eigene Browser-Engine gibt sie weiter. Der Patch kommt im Herbst. Vielleicht.

iCloud Private Relay ist Apples Antwort auf VPN-Dienste, ein Datenschutz-Feature, das seit 2021 Teil des iCloud+-Abos ist. Das Versprechen: Wenn du im Safari-Browser unterwegs bist, sieht die Website weder deine IP-Adresse noch deinen DNS-Resolver. Apple schickt deine Anfragen durch zwei getrennte Server, niemand außer dir selbst hat das vollständige Bild. Klingt gut. Ist es aber nicht.

WebKit hebelt den eigenen Schutz aus

Am 4. August 2026 haben die Sicherheitsforscher Tommy Mysk und Talal Haj Bakry drei Wege veröffentlicht, auf denen WebKit, Apples Browser-Engine, die in Safari steckt, diesen Schutz umgeht. Nicht theoretisch, sondern praktisch. Websites können deine echte IP-Adresse sehen, obwohl Private Relay aktiviert ist.

Die drei Lecks heißen DNS-Prefetching, WebAuthn Related Origin Requests und WebTransport. Was diese Begriffe technisch bedeuten, ist für dich irrelevant. Entscheidend ist: WebKit, die Engine, die Safari antreibt, umgeht an drei Stellen den Schutz, den Apple dir verkauft. Die Verbindung läuft am Proxy vorbei. Die Website sieht deine IP. Fertig.

Apple hat das Problem bestätigt. Ein Patch ist für Herbst 2026 geplant. Eine CVE-Kennung, also eine offizielle Sicherheitslücken-Nummer, gibt es nicht. Keine öffentliche Stellungnahme. Nur ein internes „We’re planning to address the issue you reported.” an die Forscher.

Wer hat das gefunden, und warum das wichtig ist

Mysk und Bakry betreiben selbst einen Browser. Er heißt Psylo, kostet ein Abo und soll genau diese Lecks schließen. Die Testseite, auf der du prüfen kannst, ob deine IP durchsickert, gehört zu Psylo. Das ist ein Interessenkonflikt. Keine unabhängige Organisation hat die Befunde bisher nachgeprüft.

Trotzdem: Apple hat das Problem bestätigt. Das ist die substanzielle Bestätigung, nicht eine Peer-Review. Mysk und Bakry mögen ein kommerzielles Interesse haben, aber sie haben offenbar recht. Die Frage ist nur, ob du ihnen dein Geld geben willst, statt auf Apples Fix zu warten, oder gleich eine andere Lösung zu nehmen.

Außerhalb der EU hast du keine Wahl

Wenn du ein iPhone besitzt und nicht in der EU lebst, nutzt jeder Browser auf deinem Gerät WebKit. Chrome, Firefox, Edge, Brave, alles WebKit unter der Haube. Apple schreibt das vor. Andere Browser-Engines sind verboten. Das bedeutet: Alle Browser erben das Leck. Es gibt keine Ausweichmöglichkeit. Du kannst nur auf Apples Patch warten oder ein systemweites VPN nutzen, das tiefer in iOS eingreift als Private Relay.

In der EU: rechtlich erlaubt, praktisch egal

Seit März 2024 erlaubt der Digital Markets Act alternative Browser-Engines auf iPhone und iPad in der EU. Apple bietet dafür sogar ein offizielles SDK an. Aber stand August 2026 hat kein großer Browser davon Gebrauch gemacht. Chrome nutzt weiter WebKit. Firefox nutzt weiter WebKit. Edge nutzt weiter WebKit.

Der Grund: Apple hat eine lange Liste von Anforderungen aufgestellt, und die Regelung gilt nur in der EU. Browserhersteller wollen nicht zwei separate Codebases pflegen, eine für die EU, eine für den Rest der Welt. Also bleibt alles beim Alten. Die EU-Regelung ist zahnlos ohne Umsetzung.

Für dich bedeutet das: Auch in der EU hast du praktisch keine Wahl. Alle iOS-Browser nutzen WebKit und erben das Leck.

macOS: Safari betroffen, andere Browser wahrscheinlich nicht

Am Mac ist die Lage anders. Safari ist betroffen, weil Safari WebKit nutzt. Chrome, Firefox und andere Browser nutzen ihre eigenen Engines, Chromium mit Blink, Firefox mit Gecko. Diese Browser sollten nicht von den WebKit-spezifischen Lecks betroffen sein.

Aber: iCloud Private Relay funktioniert sowieso nur in Safari. Wer am Mac Chrome oder Firefox nutzt, kann Private Relay gar nicht aktivieren. Das Leck betrifft also nur Safari-Nutzer*innen, die Private Relay eingeschaltet haben. Für alle anderen Browser am Mac ist das Problem irrelevant, weil sie die Funktion nicht nutzen können.

Was du jetzt tun kannst

Du hast drei Optionen.

Option 1: Auf Apples Patch warten. Der soll im Herbst 2026 kommen. Vielleicht kommt er pünktlich, vielleicht nicht. Bis dahin läuft deine IP-Adresse bei jedem Safari-Besuch an Websites durch, die WebKit-Lecks ausnutzen. Das ist die passive Variante. Du zahlst weiter 99 Cent im Monat für etwas, das nicht funktioniert, und hoffst auf Besserung.

Option 2: Psylo-Browser ausprobieren. Der Browser der beiden Forscher soll die Lecks geschlossen haben. Kostet ein Abo. Der Interessenkonflikt bleibt. Es gibt keine unabhängige Bestätigung, dass Psylo tatsächlich dicht ist. Aber wenn Apple selbst das Problem bestätigt, ist die Wahrscheinlichkeit hoch, dass Psylo es richtig gemacht hat. Ob du dafür ein zweites Abo zahlen willst, musst du selbst entscheiden.

Option 3: Systemweites VPN statt iCloud Private Relay. Ein VPN wie Mullvad oder ProtonVPN arbeitet auf Systemebene und umgeht die WebKit-Lecks, weil es tiefer greift als Private Relay. Private Relay wirkt nur in Safari. Ein VPN schützt alle Apps. Es liegt in deiner Hand, nicht in der eines einzelnen Konzerns, der gleichzeitig die Engine, das Betriebssystem und das Datenschutz-Feature kontrolliert. Und es kostet ungefähr dasselbe oder weniger als iCloud+.

Ich rate zu Option 3. Ein geschlossenes Ökosystem verspricht Datenschutz, liefert ihn aber nur so gut wie das Ökosystem selbst. Wenn Apple verspricht, deine IP zu verbergen, aber die eigene Engine das untergräbt, ist das kein Zufall. Das ist strukturell. Ein VPN von einem europäischen Anbieter liegt in deiner Hand, nicht in der eines Konzerns, der gleichzeitig Richter, Jury und Vollstrecker ist.

Reden wir über deine Absicherung. Wenn du nicht mehr darauf warten willst, dass Apple seine eigenen Versprechen einlöst, helfe ich dir dabei, dein iPhone oder deinen Mac so abzusichern, dass du nicht auf das nächste Abo-Feature angewiesen bist. Heimnetz-Absicherung, VPN-Beratung, digitale Unabhängigkeit, stundengenaue Abrechnung, kein Paketgedöns. Schreib mir eine E-Mail an hallo@chrislo.de.