Verschlüsselt eine iCloud-Sicherung Ihre Sprachmemos auf dem iPhone?

Eine Aufnahme mit etwas Sensiblem darin, auf einem Telefon, das sich von selbst auf iCloud sichert, wirft eine ganz bestimmte Frage auf: Sperrt diese Sicherung die Datei zu, und wovor genau. „Ist das verschlüsselt?" klingt nach einer Ja-oder-Nein-Frage. Es sind tatsächlich zwei Fragen in einem Satz, und genau da wird es unübersichtlich.

Wie eine Aufnahme überhaupt in eine iCloud-Sicherung gelangt

Eine App ohne eigenes Konto und ohne eigene Synchronisierung hat nichts, das sie absichtlich zu iCloud schickt — es gibt keine Serverbeziehung, über die sie Daten schicken könnte. Eine iCloud-Sicherung des gesamten Geräts funktioniert dagegen, sobald sie eingeschaltet ist, nach einem völlig anderen Prinzip: Sie ist keine Funktion, der sich jede App einzeln anschließt, sondern eine Momentaufnahme des gesamten Telefons, und diese schließt standardmäßig die lokalen Dateien ein, die jede App im eigenen Speicher hält — Aufnahmen eingeschlossen. Das ist die einzige Tür, durch die eine Aufnahme ohne eigene Cloud-Synchronisierung überhaupt zu iCloud gelangt, und sie öffnet sich nur, wenn die iCloud-Sicherung für das Gerät eingeschaltet ist.

Zwei unterschiedliche Dinge, die „verschlüsselt" hier bedeuten kann

Die erste Bedeutung ist die, die sich fast jeder vorstellt: so verwürfelt, dass jemand, der die Datei abfängt oder in den Server einbricht, auf dem sie liegt, sie ohne einen Schlüssel nicht lesen kann. Die zweite ist enger und genauer: so verwürfelt, dass nicht einmal das Unternehmen, das die Datei aufbewahrt — hier Apple —, einen Schlüssel besitzt, der sie öffnen kann. Beides kann bei einer iCloud-Sicherung gleichzeitig zutreffen, oder nur das erste trifft zu — und welches der beiden tatsächlich gilt, entscheidet darüber, wer eine Aufnahme lesen kann, die darin mitgereist ist.

Apples Standardeinstellung

Standardmäßig ist eine iCloud-Sicherung verschlüsselt, während sie zu Apples Servern unterwegs ist und während sie dort liegt. Für genau diese Datenkategorie bewahrt Apple aber zusätzlich eine Kopie des Schlüssels auf — vor allem damit ein vergessenes Apple-ID-Passwort nicht zu einer dauerhaft unlesbaren Sicherung führt und eine Kontowiederherstellung möglich bleibt, wenn man ausgesperrt ist. Dieselbe Regelung bedeutet, dass Apple eine Standard-iCloud-Sicherung selbst entschlüsseln kann: um bei der Kontowiederherstellung zu helfen, und um einer gültigen rechtlichen Anfrage nachzukommen, falls eine eintrifft. Nichts davon hängt davon ab, welcher App die Dateien in der Sicherung gehören — eine Gerätesicherung folgt einer einzigen Regelung für alles, was sie enthält, nicht einer eigenen pro App.

Erweiterter Datenschutz

Apple bietet außerdem eine Einstellung namens Erweiterter Datenschutz an, die eine längere Liste von iCloud-Datenkategorien — Gerätesicherungen eingeschlossen, wo sie angeboten wird — auf Ende-zu-Ende-Verschlüsselung anhebt, was bedeutet, dass Apple keinen Schlüssel mehr besitzt, der sie öffnen könnte. Schaltet man sie ein, liegt dieselbe Sicherung, die eine Aufnahme mitgenommen hat, hinter einer Verschlüsselung, die selbst Apple nicht rückgängig machen kann — egal ob die Anfrage von einem Support-Mitarbeiter kommt, der bei einem gesperrten Konto helfen will, oder von einer Behörde mit einem Durchsuchungsbeschluss. Der Tausch geht in beide Richtungen: Verliert man das Gerät und die eigenen Wiederherstellungsdaten gleichzeitig, kann auch Apple diese Sicherung nicht mehr öffnen. Eine Zwischenstufe gibt es nicht — eine Datenkategorie ist entweder über Apple wiederherstellbar, oder eben wirklich nicht.

Das ist eine Einstellung für das gesamte Konto, einmal eingeschaltet unter Einstellungen → eigener Name → iCloud → Erweiterter Datenschutz, nicht etwas, das jede App einzeln für ihre eigenen Dateien aktiviert. Einmal eingeschaltet, gilt sie für die Sicherung als Ganzes, was bedeutet, dass die lokalen Dateien jeder App, die darin mitreist — die Aufnahmen einer Aufnahme-App eingeschlossen —, dieselbe Zusicherung im selben Moment erben, ohne dass eine dieser Apps irgendetwas anders macht.

Warum das eine andere Frage ist als „Ist die App selbst verschlüsselt?"

Die an den Code gebundene Verschlüsselung im Ruhezustand ist eine völlig andere Ebene, die ein Telefon schützt, das physisch verloren geht oder gestohlen wird — sie sagt nichts über eine Sicherungskopie aus, die anderswo auf einem Server liegt, falls es eine gibt. Eine App ohne eigenes Konto hat dieser Ebene direkt nichts hinzuzufügen, und sie entscheidet auch nicht, ob eine spätere Sicherungskopie standardmäßig oder Ende-zu-Ende verschlüsselt landet. Diese Entscheidung fällt einmal, für das ganze Telefon, auf einem einzigen Einstellungsbildschirm, der mit keiner bestimmten App etwas zu tun hat.

Die beiden Schutzebenen addieren sich, statt zu konkurrieren: Die Code-Verschlüsselung deckt ein verlorenes oder gestohlenes Telefon ab, und die Verschlüsselung der iCloud-Sicherung — standardmäßig oder erweitert — deckt eine Kopie ab, die ganz woanders liegt. Welche der beiden Varianten gilt, ist eine Frage einer einzigen, kontoweiten Einstellung, keine Eigenschaft der Aufnahme, der App oder der Datei selbst.

Was tatsächlich entscheidet, ob eine bestimmte Aufnahme betroffen ist

• Ob die iCloud-Sicherung für das Gerät überhaupt eingeschaltet ist. Ist sie aus, verlässt eine Aufnahme nie die lokale, an den Code gebundene Verschlüsselung, und nichts davon gilt für sie.
• Ob genau diese App auf dem Bildschirm Speicher verwalten von der Sicherung ausgeschlossen wurde. Die Dateien einer ausgeschlossenen App gelangen nie in die Sicherung, also stellt sich die Frage Standard gegen Erweitert für sie erst gar nicht.
• Ob Erweiterter Datenschutz für das Konto eingeschaltet ist. Das ist die eine Einstellung, die entscheidet, welche der beiden oben genannten Verschlüsselungsstufen für das gilt, was tatsächlich in der Sicherung landet.

Wie Voice Studio dazu passt

Voice Studio hat kein Konto, keine CloudKit-Synchronisierung und keinen eigenen Server, trifft also keine dieser Entscheidungen selbst. Aufnahmen und Transkriptionen liegen im eigenen Speicher der App, und der einzige Weg, wie sie überhaupt in Richtung iCloud gelangen, ist dieselbe iCloud-Sicherung des gesamten Geräts, die auch die lokalen Dateien jeder anderen App mitnehmen würde, falls diese Einstellung auf dem Telefon eingeschaltet ist. Ob eine Sicherung mit diesen Dateien danach hinter Apples Standardschlüssel oder hinter der Ende-zu-Ende-Sperre des Erweiterten Datenschutzes liegt, entscheidet sich einmal, für das gesamte Gerät, auf demselben Einstellungsbildschirm — nicht durch Voice Studio, und nicht anders für die App als für alles andere, was lokal auf dem Telefon liegt.

Häufige Fragen

Ändert das Einschalten von Erweitertem Datenschutz etwas in Voice Studio selbst?

Nein. Voice Studio hat kein Konto und keinen eigenen Server, auf den sich die Einstellung auswirken könnte — Erweiterter Datenschutz ändert, wie die iCloud-Sicherung des gesamten Geräts verschlüsselt wird, die möglicherweise die lokalen Dateien der App mitnimmt, nicht etwas an der App selbst.

Spielt das alles eine Rolle, wenn ich die iCloud-Sicherung nie einschalte?

Nein. Eine Aufnahme erreicht iCloud nur, indem sie in einer Sicherung des gesamten Geräts mitreist. Ist diese ausgeschaltet, bleibt sie im eigenen Speicher der App, hinter der an den Code gebundenen Verschlüsselung des Telefons, und erreicht Apples Server so oder so nie.

Kann Apple eine Standard-iCloud-Sicherung ohne Durchsuchungsbeschluss lesen?

Nicht routinemäßig, aber bei Apples Standardeinstellung besitzt Apple tatsächlich einen Schlüssel, der sie entschlüsseln kann, den es zur Kontowiederherstellung nutzt und rechtlich dazu verpflichtet werden kann, ihn auch sonst zu nutzen. Erweiterter Datenschutz entzieht Apple genau diesen Schlüssel vollständig.

Ändert das Ausschließen einer App von der iCloud-Sicherung, wie ihre Daten verschlüsselt werden?

Nein, es ändert, ob diese Daten überhaupt in der Sicherung landen. Die Dateien einer ausgeschlossenen App gelangen nie hinein, also stellt sich die Frage Standard gegen Ende-zu-Ende für sie gar nicht erst — sie gilt nur für das, was tatsächlich darin bleibt.