HTML-Mails: Sicherheitslücke in der Spotlight-Suche von Yosemite

Die in OS X Yosemite aufgebohrte Spotlight-Suche geriet bereits im Oktober 2014 in das Visier von Datenschützern. Nun sorgt die Suchfunktion erneut für Schlagzeilen. Einem Bericht von Heise Online zufolge konnte eine weitere Datenschutzpanne ausfindig gemacht werden. Findet die Suche Inhalte von HTML-Mails, werden im Hintergrund automatisch und ohne Zustimmung des Nutzers Inhalte aus externen Quellen nachgeladen.

Apples neue Spotlight-Suche ist in der Lage Apps, Dateien, Kontakte und auch E-Mails, die mit Apple Mail empfangen wurden, nach Stichworten zu durchsuchen. Wird die Spotlight-Suche beispielsweise bei einer Mail fündig, kann der Treffer unter Umständen dafür sorgen, dass im Nachhinein an den Absender noch umfassende Details über den Empfänger gesendet werden. In den Fokus rücken dabei HTML-Mails. Befindet sich beispielsweise ein Bild in der Mail, welches auf einem Server im Internet gespeichert ist, verrät der Abruf, dass es den Empfänger wirklich gibt, die E-Mail angekommen ist und auch geöffnet wurde. Diese Daten dürften vor allem für Spammer ziemlich interessant sein.

Tracking-Firmen können darüber hinaus dem Bildcode noch individuelle URL-Parameter anhängen und somit eindeutige Kundenprofile zuordnen. Heise Online betont dabei, dass die Grafiken sogar oftmals nur 1×1 Pixel groß sind und dieses Verfahren gängige Praxis ist. Darüber hinaus wird der Absender auch über die IP-Adresse in Kenntnis gesetzt und erfährt welche Versionsnummern von Mac OS X und QuickTime verwendet werden. Die beiden zuletzt genannten Informationen dürften vor allem für Hacker interessant sein.

Zur Überraschung der Experten werden die Inhalte selbst dann abgerufen, wenn das Nachladen von Bildern aus externen Quellen deaktiviert wurde. Apples Mailprogramm ermöglicht schließlich diese Einstellung. Heise Online zufolge kann das Tracking nur unterbunden werden, wenn innerhalb der Spotlight-Einstellungen das Durchsuchen von "Mail & Nachrichten" abgeschaltet wird. Im Gegensatz zu der der Übertragung der Standortdaten an Apples Server, die im letzten Jahr bereits kritisiert wurde, hat Apple im aktuellen Fall keinen Einfluss auf den verbleib der übertragenen Dateien.

[via Heise Online]