iCloud: Synchronisierungsfehler mit Namensvetter

Beim Einrichten seines neuen iPhones erschienen plötzlich Adressen und Fotos eines Fremden aus Apples iCloud. Der Fremde hatte zwar den gleichen Namen, aber eine geringfügig andere E-Mail-Adresse als Apple ID.

Artikel veröffentlicht am 21. März 2014, 9:05 Uhr, Jörg Thoma

Die Namensgleichheit zweier Nutzer brachte Apples iCloud durcheinander. (Bild: Apple/Screenshot: Golem.de)

Zwei Menschen mit identischen Vor- und Zunamen kann Apples iCloud offenbar gehörig durcheinanderbringen. Als ein Anwender sein iPhone 4 einrichten und anschließend mit der iCloud synchronisieren wollte, tauchten plötzlich persönliche Daten auf seinem neu erworbenen Smartphone auf, obwohl er sich mit seiner eigenen Apple ID dort angemeldet hatte, berichtet die Webseite Inside-handy.de.

Die für die Apple-ID verwendeten E-Mail-Adressen der beiden Namensvetter unterschieden sich lediglich durch einige zusätzliche Zahlen. Als der iPhone-4-Besitzer eine neue Apple ID einrichten wollte, teilte ihm Apple mit, dass er sich mit dieser E-Mail-Adresse bereits angemeldet hätte. Laut Inside-handy.de habe sich der Anwender nicht mehr genau erinnern können, ob er möglicherweise zuvor mal einen Einkauf bei iTunes getätigt hatte und ignorierte die Warnung. Vorsichtshalber setzte er noch das Passwort zurück. Sein iPhone 4 hatte er von seiner Tochter erhalten, es war zuvor ordentlich auf den Werkszustand zurückgesetzt worden.

Zugriff auf sämtliche Einkäufe

Als er sich dann bei der iCloud anmeldete, tauchten plötzlich fremde Kontakte und Bookmarks in Safari auf, die nicht von ihm sein konnten. Darüber hinaus hatte er Zugriff auf sämtliche Einkäufe seines Namensvetters. In den iCloud-Einstellungen entdeckte er Backups von zwei iPads und einem weiteren iPhone, die er nie besessen hatte. Außerdem war der Cloud-Speicher von kostenlosen 5 GByte auf kostenpflichtige 15 GByte erhöht worden.

In den fremdem Kontakten entdeckte der iPhone-4-Benutzer auch den seines Namensvetters, rief ihn an und schilderte dem überraschten Namenszwilling die offensichtliche Verwechslung durch die iCloud. Bei anschließenden Telefonaten mit einer Apple-Mitarbeiterin wurde der Fehler überprüft und schließlich die beiden Apples IDs getrennt. Wie es jedoch zu dem Fehler gekommen sei, bleibe weiterhin unklar, berichtet Inside-handy.de. Die Apple-Mitarbeiterin sprach von einem einmaligen Fehler.

Richtig gehandelt

Der Anwender habe in diesem Falle vollkommen richtig gehandelt, sagte die Sprecherin des Bayerischen Landesamtes für Datenschutz Miriam Meder Inside-handy.de. Der Betreiber der Cloud müsse informiert werden und den Fehler unverzüglich beheben. "Werden personenbezogene Daten in der Weise bekanntgegeben, dass die Daten an einen Dritten weitergegeben oder ein Dritter zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft", verstoße das Cloud-Unternehmen gegen den Datenschutz nach § 3 Abs. 4 S.2 Nr. 3 BDSG.

"Eine Löschung der Daten ist insoweit problematisch, als oftmals nicht erkennbar ist, wie und wo die Daten gelöscht werden. Unklar ist oftmals, ob diese nur auf dem Endgerät gelöscht oder aus der Cloud entfernt werden. Eine Löschung der Daten durch den Nutzer, dem die Daten nicht zuzuordnen sind, könnte also dazu führen, dass die Daten auch für den Nutzer, dem die Daten zuzuordnen sind, gelöscht werden", sagte Meder.

Zwei-Faktor-Authentifizierung ist sicherer

Die Auswirkungen einer Account-Übernahme spürte einmal der Wired-Journalist Matt Honan, dessen gesamtes digitales Leben ausgelöscht wurde. Damals hatten die Angreifer Apple-Mitarbeiter per Social-Engineering davon überzeugt, dass sie rechtmäßiger Besitzer des Zugangs sind.

Anfang 2013 wurde eine weitere Schwachstelle mit Apple IDs bekannt: Wer sein Passwort für eine Apple ID vergessen hat, muss normalerweise einige Sicherheitsabfragen bestätigen. Kurzzeitig reichten aber wenige Informationen bei iForgot, um beliebige Zugänge zu übernehmen. Apple bietet inzwischen eine Zwei-Faktor-Authentifizierung an, die möglicherweise den oben geschilderten Fall hätte verhindern können.