Sicherheitslücke in Apples Passwords-App war monatelang ungepatcht

Eine Sicherheitslücke in Apples Passwort-App gefährdete iOS-Nutzer über mehrere Monate. Die Anwendung verwendete (bis iOS 18.2) unverschlüsselte HTTP-Verbindungen, wodurch Angreifer in öf­fent­li­chen Netzwerken Phishing-Attacken durchführen konnten.

Sicherheitslücke in iOS 18 entdeckt

Die mit iOS 18 eingeführte eigenständige Passwords-App von Apple wies eine schwerwiegende Sicherheitslücke auf. Von September bis Dezember 2024 nutzte die Anwendung, die als benutzerfreundliche Alternative zum bisherigen Keychain entwickelt wurde, für bestimmte Funktionen lediglich unverschlüsselte HTTP-Verbindungen.

Die Schwachstelle betraf sowohl das Laden von Website-Icons als auch das Öffnen von Passwort-Reset-Seiten. Sicherheitsforscher des Unternehmens Mysk entdeckten, dass die App über unsichere Verbindungen mit mehr als 130 verschiedenen Websites kommunizierte. Besonders in öffentlichen WLAN-Netzwerken, etwa in Cafés oder an Flughäfen, hätten Angreifer die Anfragen abfangen und Nutzer auf gefälschte Phishing-Seiten umleiten können.


Wie 9to5Mac berichtet, schloss Apple die Sicherheitslücke erst im Dezember mit iOS 18.2, machte die Behebung aber erst im März 2025 öffentlich. Die neue Version erzwingt nun HTTPS-Verbindungen für sämtliche Kommunikation innerhalb der Passwords-App.

Eingeschränktes Angriffsszenario

Das Ausnutzen der Schwachstelle war an bestimmte Voraussetzungen geknüpft:
Die automatische Passwort-Ausfüllfunktion war von der Schwachstelle nicht betroffen. Bei normaler Nutzung wurden HTTP-Anfragen automatisch zu HTTPS umgeleitet, was das Risiko im Alltag minimierte.

Um sich zu schützen, sollten Anwender ihre Geräte auf mindestens iOS 18.2 aktualisieren. Wer die Passwords-App in öffentlichen Netzwerken zwischen September und Dezember 2024 zum Ändern von Passwörtern genutzt hat, sollte vorsichtshalber die Zugangsdaten wichtiger Accounts erneuern.

Wie geht ihr mit der Verwaltung eurer Passwörter um? Nutzt ihr Apples Passwords-App oder setzt ihr auf alternative Lösungen? Teilt eure Erfahrungen in den Kommentaren!
Siehe auch: