Ein Privatsphäre-Schalter ist schnell aktiviert. Schwieriger ist zu verstehen, welche Wege der Datenverkehr danach tatsächlich nimmt. Ein neuer technischer Bericht zu WebKit zeigt, dass iCloud Private Relay unter bestimmten Bedingungen nicht jeden Netzwerkpfad abdeckt. Für Menschen, die Safari und iCloud+ bewusst zum Schutz ihrer IP-Adresse nutzen, ist das keine Panikmeldung. Es ist ein Anlass, den Funktionsumfang genauer zu lesen.
Das Wichtigste in 30 Sekunden
- Ein Mysk-Bericht vom 4. August 2026 beschreibt drei getrennte WebKit-Pfade, über die konfigurierte Browser-Proxys umgangen werden können.
- Betroffen sein können DNS-Informationen oder die reale Quell-IP – jeweils unter den im Bericht beschriebenen Bedingungen.
- Apple beschreibt iCloud Private Relay als Safari-Funktion mit zwei Relays, nicht als systemweites VPN.
- Eine IP kann Netzbetreiber und groben Standortkontext offenbaren, nicht automatisch eine Wohnadresse oder eine eindeutige Identität.
Wenn ein Privatsphäre-Symbol mehr verspricht, als es technisch abdeckt
Wer in Safari Private Relay aktiviert, erwartet zu Recht, dass eine Website nicht ohne Weiteres die eigene IP-Adresse sieht. Genau diese Erwartung gerät durch den neuen Befund unter Druck: Eine speziell vorbereitete Testseite kann nach einem Bericht der Sicherheitsforscher Talal Haj Bakry und Tommy Mysk reale IP- oder DNS-Informationen sichtbar machen, obwohl iCloud Private Relay aktiv ist. TechCrunch berichtet, die bereitgestellte Testseite in einem eigenen Test nachvollzogen zu haben.
Der Befund ist kein einzelner, mysteriöser „Safari-Leak“. Der Bericht trennt drei technische Mechanismen, die unterschiedlich arbeiten. Wer sie in einen Topf wirft, landet schnell bei falschen Schlussfolgerungen – etwa, dass jedes iPhone offen sei oder Passkeys ausgelesen würden. Beides geben die vorliegenden Quellen nicht her.
Was Private Relay laut Apple schützt
Apple ordnet iCloud Private Relay als Bestandteil von iCloud+ ein. Die Funktion ist für das Surfen mit Safari gedacht: Eine Anfrage läuft über zwei Relays. Der Netzbetreiber soll dadurch nicht zugleich sehen, welche Website aufgerufen wird, und die Website soll die ursprüngliche IP-Adresse nicht direkt mit der Identität des Nutzers verbinden können.
Das ist ein klar umrissener Schutz. Private Relay ist kein Schalter für den gesamten Datenverkehr eines iPhone, iPad oder Mac. Ein Browser-Proxy und ein systemweites VPN sind ebenfalls nicht dasselbe. Die Recherche stellt deshalb nicht alle Apple-Privatsphäre-Funktionen infrage; sie beschreibt eine Grenze zwischen dem vorgesehenen Safari-Verkehr und einzelnen WebKit- oder Systempfaden.
Die Schutzgrenze in einem Satz
Drei Wege, drei unterschiedliche Folgen
- DNS Prefetching
- Browser können Domainnamen vorsorglich auflösen, bevor ein Link geöffnet wird. Laut Mysk kann dieser Vorgang DNS-Informationen außerhalb des erwarteten Proxy-Pfads preisgeben. Das ist etwas anderes als eine vollständige Offenlegung sämtlicher Surfaktivitäten.
- WebAuthn Related Origin Requests
- Hier geht es um einen Netzwerkabruf im Authentifizierungsablauf. Der Bericht beschreibt einen direkten Abruf, der außerhalb der konfigurierten Browser-Proxy-Verbindung stattfinden kann. Daraus folgt nicht, dass Passkeys oder private Schlüssel gestohlen werden.
- WebTransport
- WebTransport kann eine direkte HTTP/3-Verbindung aufbauen. Unter den beschriebenen Bedingungen kann dabei die reale Quell-IP sichtbar werden. Ob eine einzelne Website oder Geräteversion betroffen ist, lässt sich aus dem Dossier nicht pauschal ableiten.
Warum das keine Kleinigkeit ist – aber auch kein Totalversagen
Eine IP-Adresse ist keine Hausnummer. Sie kann aber Rückschlüsse auf den Internetanbieter und einen groben Standortkontext erlauben. Im deutschen und europäischen Datenschutzkontext sind solche Informationen deshalb nicht belanglos. Die Bundesbeauftragte für den Datenschutz verweist im Zusammenhang mit einem EuGH-Urteil auf die Relevanz dynamischer IP-Adressen.
Die faire Gegenposition lautet dennoch: Der Befund belegt keine systemweite Kompromittierung. Die vorliegenden Quellen quantifizieren weder, wie viele Websites diese Pfade gezielt für eine Deanonymisierung einsetzen, noch welche iOS-, iPadOS- oder macOS-Versionen vollständig betroffen sind. Private Relay bleibt für seinen vorgesehenen Zweck ein sinnvoller zusätzlicher Schutz. Nur sollte aus diesem Schutz kein Versprechen gemacht werden, das Apple selbst nicht gibt.
Für wen der Befund im Alltag relevant wird
Die Nachricht richtet sich vor allem an Menschen, die iCloud+ und Safari bewusst einsetzen, weil sie bei Recherche, Einkäufen oder sensiblen Themen weniger Spuren hinterlassen möchten. Gerade dann lohnt sich eine präzise Erwartung: Private Relay reduziert einen Teil der Sichtbarkeit beim Safari-Surfen. Es ersetzt keine umfassende Bedrohungsanalyse und garantiert nicht, dass jeder technisch mögliche Netzwerkpfad dieselbe Relay-Kette nutzt.
Für Deutschland und die EU ist die Geschichte nicht bloß ein US-Technikthema. iCloud+ und Safari werden hier genutzt, und Apple bewirbt Private Relay als Privatsphäre-Funktion. Daraus entsteht keine neue Rechtslage und keine automatische Pflicht für Nutzer oder Anbieter. Es erklärt aber, warum die Frage nach IP- und DNS-Daten auch hier konkret ist.
| Situation | Was Private Relay leistet | Was offen bleibt |
|---|---|---|
| Normales Surfen mit Safari | Es trennt nach Apples Beschreibung IP-Informationen und besuchte Website über zwei Relays. | Ob jeder einzelne, von WebKit oder Systemdiensten ausgelöste Pfad darüber läuft. |
| Testseite mit den beschriebenen Mechanismen | Die Funktion bleibt aktiviert, der Test kann dennoch reale IP- oder DNS-Informationen sichtbar machen. | Wie breit diese Bedingungen außerhalb des Tests praktisch vorkommen. |
| Besonders schutzbedürftige Nutzung | Es ist ein zusätzlicher Baustein für Safari-Privatsphäre. | Ein umfassender Schutz lässt sich nicht allein aus dem Private-Relay-Label ableiten. |
Was bislang nicht geklärt ist
Zum Recherchezeitpunkt liegt in diesem Dossier keine verifizierte öffentliche Apple-Reaktion oder Patchnotiz zu dem Bericht vor. Das beweist nicht, dass Apple keinen Fix vorbereitet oder intern bereits bewertet. Vor einer Veröffentlichung muss dieser Status erneut gegen Apples aktuelle Security-Releases und Support-Hinweise geprüft werden.
Auch die Reichweite bleibt begrenzt belegt. Der Bericht beschreibt Testbedingungen und konkrete technische Pfade; er liefert keine vollständige Landkarte aller betroffenen Geräte, Safari-Versionen oder Websites. Das macht den Befund nicht unwichtig. Es setzt seiner Aussage aber klare Grenzen.
Was du jetzt tun kannst, ohne in Aktionismus zu verfallen
- Private Relay realistisch einordnen: Als Safari-Schutz nutzen, nicht als systemweite VPN-Garantie.
- Den Patchstatus verfolgen: Apple-Security-Releases und die Produktdokumentation sind dafür aussagekräftiger als Spekulationen über einen angeblich fehlenden Fix.
- Die drei Mechanismen auseinanderhalten: DNS Prefetching, WebAuthn und WebTransport haben unterschiedliche technische Folgen.
- Bei sensiblen Vorgängen das Schutzmodell bewusst wählen: Entscheidend ist, welche Daten, welches Gerät und welcher Netzwerkweg in der konkreten Situation relevant sind.
TechZeitGeist-Fazit
Private Relay wird durch den WebKit-Befund nicht wertlos. Der Bericht erinnert vielmehr daran, wie leicht ein verständlicher Produktname zu einer zu großen Schutzannahme werden kann. Wer die Grenze kennt, kann die Funktion weiterhin sinnvoll einsetzen – nur eben als das, was sie ist: ein begrenzter Schutz für Safari-Webverkehr, nicht die Antwort auf jede Frage rund um digitale Privatsphäre.
Quellen und weiterführende Informationen
- Mysk: IP and DNS Leaks in WebKit Affecting Proxy Browsers and Apple iCloud Private Relay
- Apple Support: About iCloud Private Relay
- TechCrunch: PSA: Apple’s Private Relay can leak your real IP address
- MacRumors: Apple’s iCloud Private Relay is Leaking Users’ Real IP Addresses
- BfDI: Datenschutz gestärkt – Urteil des EuGH zum Personenbezug dynamischer IP-Adressen
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-06
