Dunkle technische Illustration eines iPhones mit einem iCloud-Symbol und einem Schloss, das in zwei verschiedene Schlüsselverwahrungszustände aufgeteilt ist

Sind iCloud-Fotos Ende-zu-Ende-verschlüsselt?

Standardmäßig sind iCloud-Fotos nicht Ende-zu-Ende-verschlüsselt. Apple speichert sie mit Verschlüsselungsschlüsseln, die es selbst kontrolliert, und kann sie bei gesetzlicher Anforderung entschlüsseln. Die Aktivierung des erweiterten Datenschutzes für iCloud ändert das: Deine vertrauenswürdigen Geräte halten die Schlüssel, Apple nicht. ADP ist optional, standardmäßig deaktiviert und erfordert die Einrichtung einer Wiederherstellungsmethode, bevor es aktiviert werden kann.

iCloud-Fotos sind verschlüsselt, aber beim Standarddatenschutz hält Apple die Verschlüsselungsschlüssel und kann auf deine Fotos reagierend auf eine richterliche Anordnung oder zur Kontowiederherstellung zugreifen. Mit aktiviertem erweitertem Datenschutz für iCloud werden iCloud-Fotos echte Ende-zu-Ende-verschlüsselte Inhalte: Deine Geräte halten die Schlüssel, Apple hält nichts. ADP muss manuell aktiviert werden. Es ist nicht die Standardeinstellung und wurde für britische Nutzer im Februar 2025 auf eine Regierungsforderung hin entfernt, die Apple rechtlich nicht ablehnen konnte.

Was 'verschlüsselt' bedeutet, wenn Apple die Schlüssel hält

iCloud verschlüsselt deine Fotos. Diese Aussage ist richtig und gleichzeitig irreführend, wenn man dabei stehen bleibt.

Beim Standarddatenschutz, der Standardeinstellung für jeden Apple Account, werden deine Fotos bei der Übertragung verschlüsselt und in verschlüsseltem Format auf Apples Servern gespeichert. Die Verschlüsselung ist real. Das Kleingedruckte besagt jedoch, dass Apple die Verschlüsselungsschlüssel in Hardware-Sicherheitsmodulen in seinen eigenen Rechenzentren hält. Apples Supportdokumentation stellt es klar: Die Schlüssel sind für Apple-Server zugänglich, und Apple kann dir bei der Wiederherstellung deiner Daten helfen, wenn du den Zugang zu deinem Konto verlierst.

Diese Architektur hat einen Namen: serverseitige Verschlüsselung. Der Anbieter verschlüsselt die Daten, und der Anbieter hält den Schlüssel. Sie schützt deine Fotos vor jemandem, der die Speicherschicht ohne Zugangsdaten überwindet. Sie schützt sie nicht vor Apple selbst, vor einer richterlichen Anordnung an Apple oder vor einem Angriff auf die Schlüsselmanagement-Systeme. Wenn Journalisten und Forscher iCloud als Ziel für Strafverfolgungsanfragen beschreiben, meinen sie diesen Mechanismus. Die Daten sind abrufbar, weil Apple sie abrufen kann.

Das ist kein versteckter Fehler. Apple veröffentlicht es in seiner iCloud-Datensicherheitsübersicht. Es ist der bewusste Kompromiss für die Kontowiederherstellung: Du kannst deine Fotos nach dem Verlust deines Geräts zurückerhalten, weil Apple sie in deinem Namen entschlüsseln kann.

Fünfzehn iCloud-Datenkategorien sind beim Standardschutz Ende-zu-Ende-verschlüsselt, darunter Passwörter und Schlüsselbund, Gesundheitsdaten und einige andere. iCloud-Fotos, iCloud-Backup, Notizen und die meisten anderen sind es nicht.

Erweiterter Datenschutz für iCloud: wenn iCloud-Fotos wirklich Ende-zu-Ende-verschlüsselt werden

Der erweiterte Datenschutz für iCloud, den Apple am 7. Dezember 2022 ankündigte, ändert das Schlüsselverwahrungsmodell für die meisten iCloud-Daten. Wenn ADP aktiviert ist, halten deine vertrauenswürdigen Geräte die Verschlüsselungsschlüssel, nicht Apple. Die Anzahl der mit Ende-zu-Ende-Verschlüsselung geschützten Datenkategorien steigt von 15 auf 25, und iCloud-Fotos gehören zu den Ergänzungen.

Ein Hinweis zu dieser Kategorienanzahl: Apples ursprüngliche Ankündigung vom Dezember 2022 gab an, dass die Abdeckung von 14 auf 23 Kategorien erweitert wurde. Aktuelle Apple-Supportseiten geben 25 an. Apple hat die ADP-Abdeckung seit dem Start erweitert. Dieser Artikel verwendet 25 als aktuelle Zahl aus der aktuellen Apple-Supportdokumentation und vermerkt die Abweichung aus Gründen der Genauigkeit.

Ivan Krstić, Apples Leiter für Sicherheitstechnik und Architektur, beschrieb es beim Start: Der erweiterte Datenschutz für iCloud ist Apples höchste Ebene der Cloud-Datensicherheit und gibt Nutzern die Wahl, den Großteil ihrer sensibelsten iCloud-Daten mit Ende-zu-Ende-Verschlüsselung zu schützen, sodass sie nur auf ihren vertrauenswürdigen Geräten entschlüsselt werden können.

Diese Beschreibung ist zutreffend. Wenn ADP aktiviert ist, verfügt Apple nicht über die Schlüssel, die zum Entschlüsseln der Fotos in deiner persönlichen Bibliothek erforderlich sind. Apple ist möglicherweise weiterhin in der Lage, verschlüsselte Daten und zugehörige Konto- oder Dienstmetadaten als Reaktion auf eine berechtigte rechtliche Anforderung bereitzustellen; entscheidend ist, dass es den geschützten Foto-Geheimtext nicht in Klartext umwandeln kann. Für freigegebene Alben und andere ausgeschlossene Kategorien gilt ein anderes Schutzmodell.

ADP ist eine echte Verbesserung der Privatsphäre. Mit aktiviertem ADP wird iCloud zu echtem Ende-zu-Ende-verschlüsselten Fotospeicher. Wenn du iCloud für Fotos nutzt, die du privat halten möchtest, und du nicht im Vereinigten Königreich bist, lohnt sich die Aktivierung von ADP trotz des Einrichtungsaufwands.

Was ADP weiterhin nicht schützt

Die Abdeckung ist breit, aber nicht vollständig. Drei Kategorien bleiben auch bei aktiviertem ADP außerhalb der Ende-zu-Ende-Verschlüsselung.

Mail, Kontakte und Kalender. Apples Begründung ist die Interoperabilität: Diese Dienste tauschen Daten mit externen Systemen aus, E-Mail-Servern, CalDAV-Anbietern, CardDAV-Diensten, und für diesen Austausch ist die Standardverschlüsselung erforderlich. Apple verschlüsselt diese Daten, hält aber die Schlüssel.

Geteilte Alben in Fotos. Ein mit anderen Personen geteiltes oder mit einer URL 'jeder mit dem Link' veröffentlichtes Album ist im Web zugänglich. Dieser Zugang erfordert, dass Apple den Inhalt bereitstellen kann, was serverseitige Schlüssel erfordert. Die Fotos in deiner persönlichen Bibliothek sind bei aktiviertem ADP Ende-zu-Ende-verschlüsselt; dieselben Fotos in einem geteilten Album sind es nicht.

iWork-Zusammenarbeit. Die Echtzeit-Bearbeitung geteilter Keynote-, Numbers- und Pages-Dokumente läuft über Apples Server zur Vermittlung. Diese Koordination erfordert Serverzugang zum Inhalt.

Das sind keine Fehler von Apple. Es sind die architektonischen Kosten von Funktionen, die einen Server in der Mitte benötigen. Wenn du Ende-zu-Ende-verschlüsselte Fotos möchtest, halte sie aus geteilten Alben heraus.

Wie man prüft, ob ADP aktiviert ist, und wie man es aktiviert

ADP ist standardmäßig nicht aktiviert. So prüfst du es: Öffne Einstellungen auf deinem iPhone, tippe oben auf deinen Namen, tippe auf iCloud, scrolle nach unten und tippe auf „Erweiterter Datenschutz“. Steht bei „Erweiterter Datenschutz“ „Ein“, ist er eingeschaltet. Wenn du eine Aufforderung zur Aktivierung siehst, ist er nicht eingeschaltet.

Die Aktivierung erfordert zwei Dinge, die Apple verlangt, bevor der Schalter etwas bewirkt: Zwei-Faktor-Authentifizierung für deinen Apple Account und mindestens eine Wiederherstellungsmethode, entweder ein Wiederherstellungskontakt (eine andere Person mit einem Apple-Gerät) oder ein Wiederherstellungsschlüssel (eine 28-stellige Zeichenkette, die du an einem sicheren Ort aufbewahrst). Das ist Pflicht, nicht optional. Apple kann dir bei der Wiederherstellung Ende-zu-Ende-verschlüsselter Daten nicht helfen, wenn du den Zugang verlierst. Du musst also deinen eigenen Wiederherstellungsweg angeben, bevor ADP aktiviert werden kann.

Die Aktivierung von ADP auf einem Gerät aktiviert es für deinen gesamten Apple Account auf allen kompatiblen Geräten. Es gilt kontoweit. Geräte müssen iOS 16.2, iPadOS 16.2, macOS 13.1 oder neuer verwenden.

Die Frage der Dauerhaftigkeit: was im Vereinigten Königreich geschah

Im Februar 2025 entfernte Apple den erweiterten Datenschutz für iCloud für britische Nutzer. Der unmittelbare Anlass war ein Technical Capability Notice, das vom britischen Innenministerium unter dem Investigatory Powers Act ausgestellt wurde und Apple aufforderte, Zugang zu den in iCloud gespeicherten verschlüsselten Nutzerdaten zu gewähren.

Anstatt eine Hintertür zu bauen, zog Apple ADP für das Vereinigte Königreich zurück. Britische Nutzer, die ADP bereits aktiviert hatten, erhielten am 21. Februar 2025 Benachrichtigungen, die sie aufforderten, es zu deaktivieren, oder sie riskierten den Verlust des Zugangs zu ihren iCloud-Konten. Neue britische Nutzer können ADP überhaupt nicht aktivieren. Die standardmäßig verschlüsselten 15 Kategorien bleiben geschützt; alles andere, Fotos, Backup, Notizen und der Rest der 25 ADP-Kategorien, kehrte zur Standardverschlüsselung (Apple hält die Schlüssel) für britische Konten zurück.

Das ursprüngliche Notice forderte Berichten zufolge Zugang zu iCloud-Daten aller weltweiten Nutzer. Nach erheblichem Druck von US-Gesetzgebern und, laut Berichten vom August 2025, einer Erklärung des US-Direktors für Nationale Geheimdienstkoordination, dass das Vereinigte Königreich die umfassendere Forderung zurückgezogen hatte, änderte das Innenministerium die Anordnung, um nur britische Nutzer abzudecken. Apple zog daraufhin seine Rechtsbeschwerde gegen den überarbeiteten Notice zurück. Das Investigatory Powers Tribunal wies die Berufung am 14. Oktober 2025 mit dem Hinweis auf eine 'Änderung der Umstände' ab.

Apples Erklärung zu diesem Zeitpunkt: 'Wir sind zutiefst enttäuscht, dass die durch ADP bereitgestellten Schutzmaßnahmen angesichts der weiterhin zunehmenden Datenschutzverletzungen und anderer Bedrohungen der Privatsphäre der Kunden unseren Kunden im Vereinigten Königreich nicht zur Verfügung stehen.'

Stand Juni 2026 ist ADP für britische Nutzer laut Apples eigener Supportseite unter support.apple.com/en-gb/122234 weiterhin nicht verfügbar. Privacy International und Liberty haben aktive Rechtsklagen gegen die Überwachungsanordnungen des Innenministeriums, die bis 2026 geplant sind. Diese Fälle zielen jedoch darauf ab, die Anordnungen anzufechten, nicht ADP als kurzfristiges Ergebnis wiederherzustellen. Ob ADP in das Vereinigte Königreich zurückkehren wird, ist eine offene Frage ohne bestätigte Antwort zum Zeitpunkt der Verfassung dieses Artikels.

Der Fall des Vereinigten Königreichs ist für Nutzer überall relevant aus einem Grund: Es ist ein dokumentierter Machbarkeitsnachweis. Eine Regierung kann einen plattformweiten Schalter für alle Nutzer eines gesamten Landes deaktivieren, ohne dass diese Nutzer individuell ins Visier genommen oder benachrichtigt werden. Der Mechanismus, ein geheimes Notice unter einem nationalen Sicherheitsgesetz, ist nicht auf das Vereinigte Königreich beschränkt. Der Investigatory Powers Act hat Entsprechungen in anderen Rechtsordnungen. Es geht nicht darum, Alarm zu schlagen; es geht darum, dass 'die Plattform verspricht Ende-zu-Ende-Verschlüsselung' etwas anderes ist als 'die Fähigkeit der Plattform, Ende-zu-Ende-Verschlüsselung bereitzustellen, ist rechtlich dauerhaft'. Das sind zwei getrennte Aussagen.

Wo Vaultaire passt: eine andere Architektur

Vaultaire ist eine andere Architektur, kein Ersatz für alles, was ADP tut.

ADP ist plattformweit, kontobezogen und mit der Cloud verbunden. Die Daten liegen weiterhin in iCloud; die Innovation besteht darin, dass Apple den Schlüssel nicht mehr hält. Du erhältst iClouds Synchronisierung, Mehrgeräte-Zugang und Backup, wobei die Schlüsselverwahrung auf deine Geräte verlagert wird. Das ist für die meisten Menschen ein guter Kompromiss.

Vaultaire arbeitet lokal zuerst. Deine Tresordateien verlassen das iPhone nur als clientseitig verschlüsselte Kopien, über die unten beschriebenen Wege Backup, Synchronisierung und Freigaben. Ein auf dem 5x5-Raster gezeichnetes Muster und ein geräteweites Salt durchlaufen PBKDF2-HMAC-SHA512, um den lokalen Tresorschlüssel abzuleiten. Dieser Schlüssel authentifiziert den verschlüsselten Index und entpackt einen separaten, zufälligen Hauptschlüssel, der für die AES-256-GCM-Dateiverschlüsselung verwendet wird. Wiederherstellungsfelder werden in einer AES-GCM-verschlüsselten Keychain-Datenbank gespeichert, statt ungeschützt im Gerätespeicher zu liegen.

Für die verschlüsselte iCloud-Sicherung, die standardmäßig aktiv ist und sich abschalten lässt, leitet Vaultaire einen separaten, geräteunabhängigen Sicherungsschlüssel aus dem Muster ab und verschlüsselt damit aufgefüllte CloudKit-Datensätze auf dem Gerät. Apple erhält Chiffretext, Aufzeichnungs- und Übertragungsmetadaten und ein verschlüsseltes Wiederherstellungsmanifest, keinen Klartext-Sicherungsschlüssel. Die Wiederherstellungsphrase, eine erzeugte Phrase aus neun Wörtern oder eine eigene aus mindestens sechs Wörtern, leitet einen weiteren Schlüssel ab, der dieses Manifest öffnen kann, wenn die übereinstimmenden verschlüsselten Datensätze verfügbar bleiben.

Die Anbietergrenzen sind spezifisch: Vaultaire betreibt keinen Dienst, der über einen Klartext-Tresor oder einen Backup-Schlüssel verfügt. Ein Einbruch beim Anbieter kann weiterhin Chiffretext und Dienstmetadaten offenlegen, während der Client, iOS, Keychain, Wiederherstellungsanmeldeinformationen und ein entsperrtes Gerät Teil des Vertrauensmodells bleiben.

Der Unterschied zu ADP besteht darin, wo die Kontrolle liegt. Mit ADP und iCloud-Fotos wird deine Bibliothek geräteübergreifend synchronisiert und kann über das konfigurierte Wiederherstellungsmodell von Apple wiederhergestellt werden. Vaultaire startet keine CloudKit-Übertragungen von Tresordaten, außer über das standardmäßig aktivierte Backup oder wenn du Synchronisierung oder Freigabe nutzt, und deren CloudKit-Wiederherstellung hängt von der Wiederherstellungsphrase und den entsprechenden verschlüsselten Datensätzen ab. Getrennte iOS- oder Computer-Backups werden auf Betriebssystemebene gesteuert. Vaultaire hat keinen von Wraxle gehaltenen Ersatzschlüssel.

Keines der beiden Modelle ist absolut überlegen. ADP ergänzt unterstützte iCloud-Kategorien um Ende-zu-Ende-Schutz und behält iCloud-Synchronisierung und -Wiederherstellung bei. Vaultaire benötigt kein Identitätskonto, und sein clientseitig verschlüsseltes CloudKit-Backup ist standardmäßig aktiv, weil ein einzelnes Gerät zu anfällig ist; du kannst es in den Einstellungen abschalten. Keine der beiden Optionen entfernt den Endpunkt, den Wiederherstellungspfad, die Metadaten, die Backup-Einstellungen des Betriebssystems oder die Client-Implementierung aus dem Bedrohungsmodell.

Du kannst beides nutzen. Die meisten Menschen, die Vaultaire nutzen, verwenden weiterhin iCloud-Fotos für ihre tägliche Bibliothek, mit aktiviertem ADP.

Weiterführende Artikel:

Quellen

Häufig gestellte Fragen

Sind iCloud-Fotos standardmäßig Ende-zu-Ende-verschlüsselt?

Nein. Beim Standarddatenschutz speichert Apple iCloud-Fotos mithilfe von Verschlüsselungsschlüsseln, die es in seinen eigenen Rechenzentren kontrolliert. Apple kann deine Fotos bei Bedarf entschlüsseln: für die Kontowiederherstellung und als Reaktion auf gültige richterliche Anordnungen. Nur 15 iCloud-Datenkategorien sind standardmäßig Ende-zu-Ende-verschlüsselt; Fotos gehört nicht dazu.

Was macht der erweiterte Datenschutz für iCloud eigentlich für meine Fotos?

Mit aktiviertem ADP schließen sich iCloud-Fotos den 25 iCloud-Datenkategorien an, die Ende-zu-Ende-Verschlüsselung verwenden. Deine vertrauenswürdigen Geräte halten die Schlüssel, nicht Apple. Apple kann deine Fotos nicht lesen, sie nicht als Reaktion auf eine richterliche Anordnung für iCloud-Daten übergeben und sie nicht wiederherstellen, wenn du dein Konto verlierst. Die Wiederherstellung liegt in deiner Verantwortung, deshalb erfordert ADP die Einrichtung eines Wiederherstellungskontakts oder Wiederherstellungsschlüssels vor der Aktivierung.

Kann Apple meine iCloud-Fotos sehen?

Beim Standarddatenschutz: Ja, Apple kann auf iCloud-Fotos zugreifen und sie bei Bedarf entschlüsseln. Mit erweitertem Datenschutz für iCloud: Nein, Apple hält keinen Schlüssel für deine Ende-zu-Ende-verschlüsselten Daten. Die 15 standardmäßigen Kategorien, einschließlich Gesundheits- und Schlüsselbundpasswörter, sind für Apple unabhängig vom ADP-Status stets unzugänglich.

Wie aktiviere ich den erweiterten Datenschutz für iCloud?

Öffne Einstellungen, tippe auf deinen Namen, tippe auf iCloud, scrolle nach unten und tippe auf „Erweiterter Datenschutz“. Du benötigst zunächst aktivierte Zwei-Faktor-Authentifizierung und mindestens eine eingerichtete Wiederherstellungsmethode, entweder einen Wiederherstellungskontakt oder einen Wiederherstellungsschlüssel. Geräte müssen iOS 16.2 oder neuer verwenden. Die Aktivierung auf einem Gerät aktiviert es für deinen gesamten Apple Account.

Welche Daten sind nicht durch den erweiterten Datenschutz für iCloud abgedeckt?

Mail, Kontakte und Kalender sind auch bei aktiviertem ADP nicht Ende-zu-Ende-verschlüsselt, da sie Daten mit externen Servern austauschen müssen. Geteilte Alben in Fotos sind ebenfalls nicht Ende-zu-Ende-verschlüsselt: Sie sind im Web zugänglich. Dokumente der iWork-Echtzeitzusammenarbeit sind ebenfalls nicht abgedeckt. Alles, was 'mit jedem mit dem Link' geteilt wird, liegt außerhalb des ADP-Schutzes.

Kann die Regierung über Apple auf meine iCloud-Fotos zugreifen?

Beim Standarddatenschutz ja: Eine gültige richterliche Anordnung an Apple kann dazu führen, dass deine Fotos übergeben werden. Mit aktiviertem ADP hält Apple keinen Schlüssel zum Übergeben. Der britische Fall vom Februar 2025 zeigte, dass eine Regierung eine Plattform auch zwingen kann, ADP für ein gesamtes Land zu deaktivieren, sodass Nutzer vom Ende-zu-Ende-Schutz zum Standardschutz wechseln, ohne ihre individuelle Zustimmung.

Was ist ein iCloud-Fotospeicher?

Der Begriff beschreibt die Verwendung von iCloud-Fotos als Ort zum Speichern sensibler Fotos. Mit aktiviertem ADP funktionieren iCloud-Fotos als echter Ende-zu-Ende-verschlüsselter Cloud-Fotospeicher. Die praktische Einschränkung ist, dass dies weiterhin kontobezogen ist: Der Zugang erfordert deinen Apple Account, und die Dauerhaftigkeit der Verschlüsselung hängt von der Fähigkeit von Apple ab, sie unter rechtlichem Druck in deinem Rechtsraum aufrechtzuerhalten.

Gibt es eine Möglichkeit, Fotos zu speichern, auf die Apple nicht zugreifen kann?

Ja, auf zwei Arten. Erstens hält der erweiterte Datenschutz für iCloud die Schlüssel für geschützte iCloud-Fotos von Apple fern. Zweitens kann ein lokaler Tresor Dateien vom Cloud-Speicher fernhalten oder sie vor jedem Upload auf dem Gerät verschlüsseln. Apple verfügt möglicherweise weiterhin über Konto-, Dienst- und Chiffretext-Metadaten, jedoch nicht über einen Klartext-Inhaltsschlüssel für diese geschützten Dateien.

Vaultaire kostenlos herunterladen