Es kann nur einen geben: Dieses Prinzip gilt seit jeher bei Apple, wenn es um Browser auf iPhones und iPads geht. Drittentwickler dürfen zwar Alternativen zu Safari anbieten, müssen hierfür aber zwingend dessen Engine namens WebKit nutzen. Das kalifornische Unternehmen begründet diesen Zwang damit, dass nur so Sicherheit und Privatsphäre der Nutzer zu gewährleisten seien. Apple hat iOS und iPadOS darüber hinaus mit weiteren Datenschutzfeatures ausgestattet, unter anderem der mit Version 14.5 eingeführten App Tracking Transparency (ATT). Dieser Trackingschutz ist insbesondere Meta ein Dorn im Auge, denn er sorgt beim Facebook-Mutterkonzern nach dessen Angaben für Umsatzeinbußen in Milliardenhöhe.


In-App-Browser können Nutzer ausschnüffeln
Das von Mark Zuckerberg geführte Unternehmen hat allerdings offenbar eine Methode entwickelt, mit deren Hilfe sich unter anderem ATT aushebeln lässt. Die Apps von Facebook und Instagram enthalten nämlich einen In-App-Browser. Klickt man also in den Anwendungen der Sozialen Netzwerke auf einen Link, wird dieser nicht an Safari weitergeleitet und dann von Apples hauseigenem Internetbetrachter geöffnet und dargestellt. Vielmehr erfolgt die Anzeige der Inhalte direkt in den Apps. Das eröffnet Facebook und Instagram die Möglichkeit, das Nutzerverhalten zumindest teilweise nachzuvollziehen und die Mitglieder somit auszuschnüffeln. Darüber hinaus lassen sich auf diese Weise auch die Aktivitäten der App-Anwender tracken. Das fand jetzt der bekannte Sicherheitsforscher Felix Krause heraus. Die Ergebnisse seiner Analyse veröffentlichte er in einem umfangreichen Blogbeitrag.

Meta: App Tracking Transparency wird respektiert
Krause zufolge sind Facebook und Instagram durch den Einsatz von In-App-Browsern in der Lage, alle aufgerufenen Webinhalte mitzulesen und somit auszuwerten. Zudem modifizieren die Anwendungen den Code der Internetseiten und fügen diesem Javascript-Elemente zu Tracking-Zwecken hinzu. Theoretisch ist es den beiden Sozialen Netzwerken darüber hinaus sogar möglich, in den Besitz von Zugangsdaten oder Kreditkarteninformationen zu gelangen. Der Sicherheitsforscher fand während seiner Analyse allerdings keine Hinweise darauf, dass dies tatsächlich geschieht. Meta teilte auf Krauses Nachfrage mit, man halte sich auch im Falle der In-App-Browser an die von den Nutzern in iOS/iPadOS vorgenommenen Anti-Tracking-Einstellungen. Im Umkehrschluss bedeutet das allerdings mit hoher Wahrscheinlichkeit, dass die Apps bei deaktiviertem ATT viele (wenn nicht alle) Inhalte und Aktivitäten auf Webseiten mitschneiden, welche von ihnen dargestellt werden.

Sicherheitsforscher: Apple sollte Praktiken unterbinden
Nutzer können sich vor derartiger Schnüffelei in In-App-Browsern schützen, indem sie Links stets mit Safari öffnen. Manche Anwendungen bieten hierfür eine entsprechende Option an. Ist eine solche nicht vorhanden, kann man die URL mittels Copy&Paste an Apples Browser übergeben. Krause zufolge sollte Apple möglichst bald Maßnahmen ergreifen, um derartige Tracking-Praktiken zu unterbinden. Dem kalifornischen Unternehmen stehen dafür diverse Möglichkeiten zur Verfügung. Dazu gehören etwa eine Verschärfung der App-Store-Richtlinien im Zusammenhang mit dem Rendern von Webseiten sowie zusätzliche Schutzvorkehrungen in iOS und iPadOS.