Apple Podcasts: Geister-Apps öffnen sich automatisch

Die Podcasts-App startet plötzlich ohne Zutun und zeigt obskure Episoden. Was nach Software-Bug aussieht, ist eine Sicherheitslücke, die Angreifer gezielt ausnutzen – ganz ohne Nutzerzustimmung.

Es passiert einfach so: Das iPhone liegt entsperrt auf dem Tisch, da öffnet sich die Podcasts-App. Statt der letzten Episode erscheinen alte, merkwürdige Inhalte aus Kategorien wie Religion oder Spiritualität. Seit gestern ist klar: Dahinter steckt keine harmlose Macke, sondern ein Einfallstor für Cyberkriminelle.

Sicherheitsforscher haben bestätigt, dass diese “Geister-Starts” gezielt ausgelöst werden. Ziel: Nutzer auf Webseiten mit Schadcode locken. Die Schwachstelle zeigt, wie Angreifer das Vertrauen in vorinstallierte System-Apps missbrauchen können.

Sie nutzen ein iPhone, aber Begriffe wie “Deep Links”, RSS-Feed oder System-App-Berechtigungen sind unklar? Gerade solche Fachbegriffe beeinflussen, wie Sie Sicherheitsrisiken einschätzen. Das kostenfreie iPhone-Lexikon erklärt die 53 wichtigsten Apple-Begriffe leicht verständlich, inklusive praktischer Hinweise zu App-Sicherheit und System-Einstellungen – damit Sie Phishing- oder Link-Tricks schneller erkennen. Jetzt kostenloses iPhone-Lexikon anfordern

Das Problem steckt in einer eigentlich praktischen Funktion: dem automatischen Öffnen von Apps durch sogenannte “Deep Links”. Während die meisten Anwendungen unter iOS und macOS mittlerweile eine Bestätigung verlangen, macht die Podcasts-App eine Ausnahme.

Patrick Wardle, renommierter macOS-Sicherheitsexperte und Gründer von Objective-See, hat das Verhalten analysiert. Sein Befund: Eine präparierte Webseite reicht aus, um die App zu starten und einen beliebigen Podcast zu laden. “Anders als bei anderen externen App-Starts ist hierfür keine Genehmigung durch den Nutzer erforderlich”, erklärt Wardle.

Diese Lücke ermöglicht einen perfiden Trick: Der Nutzer wird aus dem Browser in eine vertrauenswürdige Apple-App geworfen. Ein psychologischer Kniff, der die Wachsamkeit senken soll.

Schadcode in den Metadaten versteckt

Der automatische Start ist nur der Köder. Die eigentliche Gefahr lauert in den Podcast-Beschreibungen. Recherchen von 404 Media zeigen: Einige zwangsweise geladene Episoden enthalten Links zu schädlicher Infrastruktur.

Besonders auffällig ist ein Podcast mit dem kryptischen Titel “5../XEWE2…”. In der Sektion “Webseite der Sendung” verstecken sich Links, die Cross-Site-Scripting (XSS) Angriffe ausführen sollen. Dabei wird bösartiger Code in legitime Webseiten injiziert.

Die Masche funktioniert, weil Nutzer Links innerhalb offizieller Apple-Apps oft blind vertrauen. Die betroffenen Podcasts sind oft verwaiste Inhalte aus dem Jahr 2018, die nun als Träger für Schadlinks “reaktiviert” werden.

Ein systemisches Problem

In der Sicherheits-Community gilt der Vorfall nicht als isolierter Bug. Dass eine System-App ohne Nutzerzustimmung von außen gesteuert werden kann, widerspricht Apples eigenem Konzept des “Walled Garden” – der geschlossenen, streng kontrollierten Umgebung.

Experten erinnert das Phänomen an das “Google Kalender Spam”-Problem: Auch dort wurde eine Komfortfunktion zur Waffe umfunktioniert. “Das beunruhigendste Verhalten ist, dass die App automatisch mit einem Podcast der Wahl des Angreifers gestartet werden kann”, warnen Sicherheitsforscher.

Die Hürde für Angreifer sinkt drastisch. Statt teure Zero-Day-Exploits zu entwickeln, reicht ein Logikfehler in der App-Interaktion. Kriminelle nutzen legitime Funktionen (“Living off the Land”) für ihre Zwecke.

Apples Vertrauensdilemma

Für Apple kommt der Vorfall zur Unzeit. Der Konzern sieht sich weltweit regulatorischem Druck ausgesetzt, sein Ökosystem zu öffnen. Die aktuelle Attacke zeigt: Selbst im strikt kontrollierten App Store klaffen Lücken durch mangelnde Überprüfung von Inhalten.

Während Apps strengen Kontrollen unterliegen, sind Podcast-Feeds dezentral organisiert. Ein Angreifer muss keinen Schadcode in den App Store schmuggeln – es reicht, einen RSS-Feed zu manipulieren, den die Apple-App arglos interpretiert.

Die Schwachstelle erinnert daran: Sicherheit ist kein statischer Zustand. Auch vermeintlich sichere Plattformen sind anfällig für Social-Engineering-Tricks, die technische Hürden durch menschliche Psychologie umgehen.

Was Nutzer jetzt tun sollten

Apple hat bislang weder Stellung bezogen noch ein Update angekündigt. Vermutlich wird das Unternehmen in kommenden iOS- und macOS-Versionen eine Bestätigungsabfrage erzwingen – wie bei anderen Apps bereits üblich.

Bis dahin raten Experten:

• Nicht klicken: Öffnet sich die Podcasts-App unerwartet, keine Links in der Beschreibung anklicken
• App schließen: Anwendung sofort über den App-Umschalter beenden
• Keine Panik: Der bloße Start infiziert das Gerät nicht – die Gefahr geht von der Interaktion mit Links aus

Wie schnell Apple reagiert, wird zeigen, wie ernst der Konzern die Integrität seiner System-Apps nimmt.

PS: Übrigens — wenn Sie künftig Sicherheitswarnungen und technische Begriffe rund um Ihr iPhone schneller verstehen wollen, lohnt sich das Gratis-Lexikon: Kurz erklärt, praxisnah und direkt per E-Mail. Es enthält Aussprachehilfen, typische Einstellungen und Tipps, wie Sie verdächtige Links und App-Verhalten richtig einschätzen. Gratis iPhone-Lexikon sichern