Apple verschärft Festplattenvollzugriff: Was Mac-Nutzer prüfen sollten

Apple will die weitreichendste Berechtigung von macOS schwerer zugänglich machen. Der Festplattenvollzugriff erlaubt einer App, praktisch alles auf dem Mac zu lesen, von Dokumenten über Mails bis zum Nachrichtenverlauf. In einer Mitteilung an Entwickler begründet Apple den Schritt ausdrücklich mit KI-Agenten: Je fähiger und selbstständiger sie werden, desto größer sei das Risiko dieser Zugriffsstufe. Für Mac-Nutzer ist das ein guter Anlass, die eigene Freigabeliste schon jetzt durchzusehen.

Das Wichtigste in Kürze

• Apple kündigte am 2. Oktober zusätzliche Kontrollen an: Festplattenvollzugriff soll sich künftig nur noch durch „sehr explizite“ Nutzeraktion erteilen lassen.
• Begründung: Manche Entwickler nutzten die Berechtigung so, dass Dateien, Mails, Nachrichten und Browserverlauf ohne volles Wissen der Nutzer offenliegen; KI-Agenten verschärften das Problem.
• Einen Zeitplan oder eine macOS-Version nennt Apple nicht.
• Im Hintergrund stehen ein umstrittener Fall um Metas KI-Agenten Muse und eine inzwischen behobene Lücke in der ChatGPT-App für den Mac.
• Wer prüfen will, welche Apps heute Vollzugriff haben, findet die Liste unter Systemeinstellungen, Datenschutz & Sicherheit.

Was Apple angekündigt hat

Die Mitteilung auf Apples Entwicklerportal ist kurz, aber deutlich. Apple stelle Entwicklern mächtige Schnittstellen bereit, die durch Kontrollen zum Schutz privater Daten abgesichert seien. Der Festplattenvollzugriff umgehe diese Kontrollen weitgehend, damit Backup-Programme auf dem Mac funktionieren. Einige Entwickler setzten die Berechtigung aber so ein, dass sie Nutzer gefährden und alles auf ihren Systemen offenlegen, einschließlich Dateien, Mails, Nachrichten und sogar des Browserverlaufs, ohne dass die Nutzer das voll verstehen. Bei Kommunikations-Apps betreffe das zudem die Privatsphäre der Menschen, mit denen man schreibt.

Künftig will Apple zusätzliche Kontrollen einführen, damit nur noch erteilen kann, wer das wirklich will, und zwar durch sehr explizite Nutzeraktion. Den Kern der Begründung formuliert Apple so: Mit zunehmend fähigen und autonomen KI-Agenten würden die Risiken dieser Zugriffsstufe erheblich wachsen. Wie die neuen Kontrollen aussehen und ab welcher macOS-Version sie greifen, lässt die Mitteilung offen. Auf eine Anfrage von TechCrunch antwortete Apple nicht.

Warum gerade diese Berechtigung so heikel ist

Apples eigene Hilfeseiten beschreiben, was Festplattenvollzugriff bedeutet: Zugriff auf alle Dateien des Computers, einschließlich der Daten anderer Apps wie Mail, Nachrichten, Safari und Home, auf Time-Machine-Backups und auf bestimmte Verwaltungseinstellungen für alle Benutzer des Macs. Normalerweise muss eine App für jeden dieser Bereiche einzeln fragen. Mit Vollzugriff entfällt diese Feinsteuerung.

Für klassische Software war das ein überschaubares Risiko, weil ein Backup-Programm tut, wofür es gebaut ist. Ein KI-Agent dagegen entscheidet selbst, welche Dateien er öffnet, und lässt sich im ungünstigen Fall durch präparierte Inhalte zu Dingen verleiten, die niemand angeordnet hat. Hinzu kommt eine Eigenheit von macOS, die bei Kommandozeilen-Agenten wichtig wird. Startet man ein Programm im Terminal, gilt für die Rechteprüfung das Terminal als verantwortliche App. Ein Apple-Mitarbeiter hat das im Entwicklerforum knapp so formuliert: Für ein vom Nutzer im Terminal gestartetes Werkzeug sei der verantwortliche Code das Terminal. Wer also dem Terminal Vollzugriff gibt, gibt ihn faktisch jedem Programm, das darin läuft, auch einem KI-Agenten.

Die Fälle im Hintergrund

Apple nennt keine Namen, doch TechCrunch verweist auf zwei Vorfälle der vergangenen Tage. Der erste betrifft Metas KI-Agenten Muse, über dessen Einkaufsfunktionen und den Streit mit Amazon wir bereits berichtet haben. Der Inc.-Kolumnist Jason Aten schrieb, Muse habe rund 187.000 Zeilen aus der Nachrichten-Datenbank seines Mac mini synchronisiert, obwohl er den Zugriff auf Nachrichten bei der Einrichtung abgelehnt und den Festplattenvollzugriff ausgeschaltet gelassen habe.

Meta widerspricht. David Singleton von Meta Superintelligence Labs erklärte, die Nachrichten-Integration der Mac-App sei optional und erfordere drei getrennte Freigaben, die macOS auch bei einem Programmfehler nicht umgehen lasse. Meta-Sprecher Andy Stone sagte, Muse könne Nachrichten nur lesen, wenn sowohl der Festplattenvollzugriff als auch der Nachrichten-Konnektor in Muse aktiviert seien. Wie Muse in Atens Fall dennoch an die Nachrichten kam, ist bislang nicht geklärt.

Der zweite Fall betrifft OpenAIs ChatGPT-App für den Mac. Sicherheitsforscher der Objective-See Foundation um Patrick Wardle fanden eine Lücke, über die ein Angreifer die App auf dem Rechner des Opfers übernehmen und auf den Gesprächsverlauf sowie verbundene Dienste zugreifen konnte. Die Prüfung, welche Prozesse der App Befehle geben dürfen, ließ sich mit wenigen Zeilen Code austricksen. OpenAI hat die Lücke nach eigenen Angaben am 25. September geschlossen und räumte ein, bei der Sicherheit schneller werden zu müssen. Wardle sieht darin ein grundsätzliches Muster: KI-Firmen seien derzeit auf neue Funktionen fixiert, und mehr Funktionen bedeuteten mehr Angriffsfläche.

Was Mac-Nutzer jetzt tun können

Bis Apple die neuen Kontrollen ausliefert, lässt sich die Lage mit wenigen Klicks selbst prüfen. Unter Apple-Menü, Systemeinstellungen, Datenschutz & Sicherheit steht der Eintrag Festplattenvollzugriff. Die Liste dort zeigt jede App, die heute alles lesen darf. Backup-Software und manche Sicherheitsprogramme brauchen den Zugriff tatsächlich. Bei Assistenz-Apps, Chat-Clients und Agenten lohnt die Frage, ob sie ihn wirklich benötigen oder ob gezielte Freigaben reichen, etwa unter Dateien und Ordner für Schreibtisch, Dokumente und Downloads.

Wer Kommandozeilen-Agenten nutzt, sollte besonders auf das Terminal achten. Hat es Vollzugriff, gilt dieser für jeden Agenten, der darin arbeitet. Sinnvoller ist es, dem Terminal den Vollzugriff nur vorübergehend für eine konkrete Aufgabe zu geben und ihn danach wieder zu entziehen, oder Agenten in einem eigenen Projektordner arbeiten zu lassen, ohne Zugang zu Mail und Nachrichten.

Ausblick: Agenten brauchen feinere Rechte, keine pauschalen

Apples Schritt ist bemerkenswert, weil er eine Berechtigung aus der Zeit vor den KI-Agenten neu bewertet. Der Festplattenvollzugriff war als Ausnahme für Backups gedacht und ist zur Abkürzung für Software geworden, die möglichst viel Kontext haben will. Gerade Agenten werden nützlicher, je mehr sie über ihre Nutzer wissen, und genau deshalb zieht Apple hier eine Linie. Entscheidend wird sein, ob die neuen Kontrollen mehr sind als ein zusätzlicher Warndialog, den man reflexhaft wegklickt. Die bessere Lösung für Agenten liegt in fein abgestuften Freigaben, die genau den Ordner oder das Postfach öffnen, das eine Aufgabe braucht, und nicht den ganzen Rechner. Wer heute seine Liste aufräumt, ist darauf schon vorbereitet.