Brenden Mulligan staunte nicht schlecht, als er unlängst die "Meinen Mac suchen" in seinem iCloud-Account öffnete. Fand der Softwareentwickler dort doch einen Rechner, den er so gar nicht zuordnen konnte: "Michael's iMac" stand da geschrieben. Ein Klick darauf verstärkte das Mysterium nur weiter, wurde doch eine Position rund 160 Kilometer von Mulligans aktuellem Standort angezeigt.

Spurensuche

Mit einer kurzen Recherche ließ sich dann das Geheimnis lüften, und es wurde ein eklatantes Privacy-Defizit von Apples Service offenbar. Wie sich herausstellte, handelte es sich bei dem betreffenden Gerät um einen iMac, den Mulligan vor rund drei Jahren verkauft hatte. Obwohl er vor dem Verkauf einen kompletten Factory Reset durchgeführt hatte, hatte der Entwickler nicht nur weiterhin laufend Zugriff auf den Standort, sondern hätte das Gerät sogar blockieren oder alle lokalen Daten des neuen Besitzers aus der Ferne löschen können. Hätte es sich dabei um ein mobiles Gerät wie einen Laptop gehandelt, wäre es zudem ein leichtes gewesen, sämtliche Bewegungen des Benutzers zu verfolgen.

Verbindung

Grund dafür ist ein zweifelhaftes Verhalten der "Meinen Mac suchen"-Funktion: Ein Rechner bleibt nämlich so lange mit einem iCloud-Account assoziiert, bis diese Verbindung manuell getrennt wird, oder jemand neuer diesen Rechner für sich beansprucht. In diesem Fall war es aber so, dass der neue Besitzer den iMac nie mit seinem iCloud-Zugang verbunden hat, womit die Registrierung von Mulligan erhalten blieb.

Konsequenz

Für Mac-Nutzer heißt die Lehre daraus, dass bei nicht neu gekauften Macs Vorsicht geboten ist. Muss man doch darauf achten, dass der originale Besitzer die Verbindung zu seinem iCloud-Account explizit trennt – und sich das demonstrieren lassen. Ist dies nicht möglich, bleibt eigentlich nur das Verbinden des erworbenen Macs mit dem eigenen Account, um sicher zu stellen, dass der Vorbesitzer keinerlei Kontrolle mehr hat.

Am Rande erwähnt Mulligan übrigens noch ein zweites zweifelhaftes Verhalten dieser Funktion: Verbindet der Neo-Besitzer den Rechner nämlich mit seinem eigenen iCloud-Account weist Apple auch gleich aus, wie der vorherige Besitzer geheißen hat beziehungsweise wie dessen Rechnername war.

Das hat aber zumindest auch etwas Gutes: Erhöht sich dadurch doch der Anreiz für den Originalbesitzer, selbst den eigenen iCloud-Account vor dem Factory Reset vom Rechner zu entfernen. Diese Reihenfolge ist übrigens wichtig, da sich die Trennung nur am lokalen Gerät durchführen lässt. Wer den Rechner einmal verkauft hat, kann diesen Schritt also gar nicht mehr selbst vornehmen. (red, 28.2.2018)