Apple schließt Lücke, durch die das FBI gelöschte Signal-Nachrichten lesen konnte
Apple hat am 22. April 2026 die Updates iOS 26.4.2 und iPadOS 26.4.2 veröffentlicht – als Notfall-Patch für eine Sicherheitslücke (CVE-2026-28950), die es dem FBI ermöglichte, vermeintlich gelöschte Signal-Nachrichten von einem iPhone auszulesen. Wer Signal nutzt und sein Gerät noch nicht aktualisiert hat, sollte das jetzt nachholen.
Das Problem
Die Verschlüsselung von Signal war dabei nicht gebrochen. Das eigentliche Problem lag im Benachrichtigungsdienst von iOS. Wenn eine Nachricht eingeht, legt das Betriebssystem eine Vorschau für den Sperrbildschirm an – gespeichert in einer internen Datenbank namens NotificationCenter. iOS löschte diese Vorschauen nicht zuverlässig, auch dann nicht, wenn die App deinstalliert oder die Funktion „Nachrichten, die verschwinden" aktiviert war.
FBI-Spezialisten konnten mit forensischer Software diese Vorschauen direkt aus dem Gerätespeicher extrahieren, wie 404 Media (original reporting) erstmals ausführlich berichtete. Nur eingehende Nachrichten waren betroffen – ausgehende werden im System anders behandelt und blieben im Cache unauffindbar.
Der Fall dahinter
Bekannt wurde die Methode durch ein US-amerikanisches Strafverfahren im Zusammenhang mit einem Angriff auf eine ICE-Einrichtung in Texas im Juli 2024. Die Beschuldigte hatte Signal-Nachrichten auf automatisches Löschen eingestellt und die App anschließend deinstalliert – und glaubte damit, keine verwertbaren Spuren zu hinterlassen. Die Ermittler fanden die Nachrichteninhalte dennoch in der Benachrichtigungsdatenbank des iPhones.
Apple beschrieb das Problem intern als Fehler bei der Protokollierung und unzureichende Datenlöschung in den Notification Services. Der Konzern erklärte gegenüber TidBITS:
> „Wir haben das Problem mit der Protokollierung durch verbesserte Mechanismen zur Löschung sensibler Daten in der Systemdatenbank behoben."
Was das für Nutzer bedeutet
Geräte in Deutschland und anderen EU-Ländern waren von CVE-2026-28950 genauso betroffen wie in den USA – die Sicherheitslücke gilt für alle iPhones und iPads unabhängig vom Verkaufsort. Behörden in Deutschland können Benachrichtigungsdaten über rechtlich vorgeschriebene Kanäle bei Apple anfordern; die Lücke hätte bei physischem Gerätezugriff jedoch auch ohne diesen Umweg genutzt werden können.
Der Patch gilt für iOS 26.4.2 und – für ältere Geräte – für iOS 18.7.8. Wer Signal für sensible Kommunikation einsetzt, sollte zusätzlich in den Signal-Einstellungen unter „Benachrichtigungen" den Inhalt auf „Kein Name oder Inhalt" setzen. Das verhindert, dass Nachrichteninhalte überhaupt erst in den Benachrichtigungs-Cache geschrieben werden.
Das Update ist ab sofort über Einstellungen → Allgemein → Softwareaktualisierung verfügbar.
