UK schaltet Apples Advanced Data Protection ab: der IPA wirkt

Was ist neu

Apple hat am 21. Februar 2025 Advanced Data Protection (ADP - eine optionale Ende-zu-Ende-Verschlüsselung für iCloud-Daten) für neue britische iCloud-Nutzer abgeschaltet und bestehenden ADP-Kunden 30 Tage Zeit zur Deaktivierung gegeben. Hintergrund ist eine technical capability notice (eine behördliche Anordnung, technische Zugriffsmöglichkeiten zu schaffen) des britischen Innenministeriums auf Basis des Investigatory Powers Act 2016 (IPA - das britische Überwachungsgesetz), die Apple laut Berichten zum Einbau eines Backdoor-Zugangs (einer versteckten Hintertür) in die Ende-zu-Ende-verschlüsselten iCloud-Backups verpflichtet hat. Apple hat sich entschieden, das Feature abzuschalten, statt die Backdoor einzubauen.

Für wen ist das? Für alle, die Cloud-Verschlüsselung und staatliche Zugriffsbefugnisse verfolgen.

Was sich praktisch ändert

Britische iCloud-Backups sind nicht mehr Zero-Knowledge (ein Modell, bei dem nicht einmal der Anbieter die Daten entschlüsseln kann); Apple hat bei Bedarf Zugriff. Die Gag-Klausel des IPA (ein gesetzliches Schweigegebot) verbietet Apple offiziell, das Ersuchen zu bestätigen oder zu verneinen; Apple hat den Schritt selbst kommentiert, aber den konkreten Anlass nicht. Der Fall ist der erste öffentliche Beleg dafür, dass Section-253-Anordnungen nach IPA gegen große US-Anbieter durchgesetzt werden können, und zwar extraterritorial: die Anordnung zielte auf globale Apple-Infrastruktur, nicht nur auf UK-Server.

Einordnung

Der Hauptartikel Warum deutsche Jurisdiktion für Cloud-Daten zählt hatte den IPA als dritten Hebel neben CLOUD Act (ein US-Gesetz, das US-Anbieter zur Datenherausgabe verpflichten kann) und FISA 702 (eine US-Rechtsgrundlage für Auslandsüberwachung) benannt. Der Apple-ADP-Fall ist die deutlichste Demonstration, was eine technical capability notice konkret bewirken kann. Für Organisationen, die britischen Zugriff strukturell ausschließen wollen, ist die praktische Konsequenz: weder Hauptsitz noch EU-Tochter eines britischen Anbieters reichen. Die Daten müssen bei einem Anbieter mit rein EU-Gesellschafterstruktur liegen, dessen Muttergesellschaft weder dem IPA noch dem CLOUD Act unterliegt.

Häufige Fragen

Sind meine iCloud-Daten in Deutschland von dieser Abschaltung betroffen?

Die Abschaltung von Advanced Data Protection betraf zunächst britische iCloud-Nutzer. Der eigentliche Punkt für deutsche Organisationen ist aber nicht die regionale Reichweite, sondern das Prinzip: Eine britische Anordnung konnte extraterritorial auf die globale Apple-Infrastruktur zielen. Wer britischen oder US-Zugriff strukturell ausschließen will, sollte sich nicht auf die Region des Rechenzentrums verlassen, sondern auf die Gesellschafterstruktur des Anbieters.

Heißt das, Ende-zu-Ende-Verschlüsselung ist nutzlos?

Nein. Die Verschlüsselung selbst wurde nicht gebrochen. Apple stand vor der Wahl, eine Hintertür einzubauen oder das verschlüsselte Feature in Großbritannien ganz abzuschalten, und hat sich gegen die Hintertür entschieden. Der Fall zeigt aber, dass die rechtliche Jurisdiktion eines Anbieters mindestens so wichtig ist wie die eingesetzte Technik: Eine Backdoor-Anordnung kann die Verschlüsselung umgehen, ohne sie zu knacken.

Was bedeutet die Gag-Klausel des IPA praktisch?

Sie verpflichtet den Anbieter zum Schweigen: Apple darf offiziell weder bestätigen noch verneinen, dass eine Anordnung vorliegt. Für Kunden heißt das, dass sie sich nicht darauf verlassen können, von solchen Eingriffen erfahren zu werden. Transparenz über den konkreten Anlass ist gesetzlich ausgeschlossen - was die Bewertung der Vertrauenswürdigkeit eines britischen Anbieters erschwert.