Apple schließt Bug, den das FBI zur Extraktion gelöschter Signal-Nachrichten nutzte

Apple hat am 22. April 2026 das Sicherheitsupdate iOS 26.4.2 veröffentlicht, das eine kritische Schwachstelle im Benachrichtigungssystem schließt. Der Bug ermöglichte es Strafverfolgungsbehörden, Nachrichten aus verschlüsselten Apps wie Signal auszulesen – selbst wenn diese bereits gelöscht oder per Selbstlöschungs-Timer entfernt worden waren. Ursache war ein Cache-Fehler: Benachrichtigungsinhalte blieben bis zu einen Monat lang in der internen Datenbank des Betriebssystems gespeichert. Apple bestätigt in seinem Sicherheitshinweis (CVE-2026-28950), dass „zur Löschung vorgesehene Benachrichtigungen unerwartet auf dem Gerät erhalten blieben“.

Der Hintergrund ist brisant: Das Investigativ-Portal 404 Media berichtete Anfang April 2026, dass das FBI in einem Verfahren forensische Tools einsetzte, um gelöschte Signal-Nachrichten von einem iPhone zu extrahieren. Dabei griffen die Ermittler gezielt auf den Cache der Push-Benachrichtigungen zu. Signal-Präsidentin Meredith Whittaker forderte Apple daraufhin öffentlich auf Bluesky zur Nachbesserung auf: „Benachrichtigungen für gelöschte Nachrichten dürfen in keiner OS-Datenbank verbleiben.“ Apple reagierte prompt und stellte den Fix neben iOS 26 auch für ältere Geräte mit iOS 18 bereit.

Für Nutzergruppen mit hohem Schutzbedarf – wie Journalisten oder Aktivisten – verdeutlicht dieser Vorfall eine systemische Schwachstelle. Die App-seitige Ende-zu-Ende-Verschlüsselung und automatische Löschung greifen ins Leere, wenn das Betriebssystem Inhalte unabhängig davon persistent speichert. Da forensische Dienstleister wie Cellebrite diese Lücken bereits aktiv ausnutzen, ist die Installation von iOS 26.4.2 für die digitale Integrität unerlässlich.