Ende Jänner sorgte eine zuvor weitgehend unbekannte Facebook-App für Aufregung: 20 Dollar monatlich bot das Unternehmen unter anderem Teenagern, wenn diese dem Unternehmen einen praktisch uneingeschränkten Einblick in ihren Smartphone-Alltag gewähren.

Apple-Konflikt

Neben der darauffolgenden Empörungswelle brachte das Ganze Facebook aber auch Ärger mit Apple ein. Stellte sich doch heraus, dass Facebook die betroffene App jenseits von Apples App Store vertrieb, und für die Installation ein eigentlich nur für die interne Nutzung gedachtes Zertifikat nutzte. Ein klarer Verstoß gegen die Regeln des iPhone-Herstellers. Apple reagiert mit dem kurzfristigen Rückzug des Zertifikats und sorgte damit für gehörige Probleme bei Facebook, da so vorübergehend auch dessen interne App-Tests sabotiert wurden. Kurz darauf wurde bekannt, dass auch Google auf diesem Weg eine Marktforschungs-App verbreitete.

Verbreitetes Phänomen

Während die Konflikte mit Facebook und Google längst beigelegt sind, zeigt sich nun, dass diese Praxis weit über die beiden Unternehmen hinausgehen. Bei Techcrunch ist man der Frage nachgegangen, ob auch andere Firmen Enterprise-Zertifikate missbrauchen, um die App-Store-Regeln zu umgehen, und kommt dabei zu einem erschreckenden Ergebnis.

Im Laufe der Recherche fand Techcrunch tausende Seiten, die die manuelle Installation von zweifelhaften Apps jenseits von Apples Kontrolle anbieten. Alle greifen sie dafür auf ein solches Enterprise-Zertifikat zurück. Betrachtet man die Apps wird auch schnell klar, warum sie diesen Weg wählen: Handelt es sich dabei doch durchgehend um Apps, die Apples Vorschriften für den App Store widersprechen. Sie verbreiten Pornografie oder bieten eine Plattform für illegale Wetten.

Reaktion

Noch unerfreulicher ist, was Reuters aufgespürt hat: Stellt sich doch heraus, dass auch raubkopierte Versionen von populären Apps auf diesem Weg vertrieben werden. Dazu zählen modifizierte Ausgaben von Spotify, Pokémon Go, Minecraft und Angry Birds. In all diesen Fällen hat Apple nach Information durch die Nachrichtenagentur mit einem Entzug des Zertifikats reagiert. Das scheint aber nichts gefruchtet zu haben, die Apps wurden nur wenige Tage später wieder mit neuen Zertifikaten zum Download gestellt.

Angesichts dessen muss sich natürlich auch Apple die Frage gefallen lassen, wie sorgsam man mit der Vergabe von Enterprise-Zertifikaten umgeht. Immerhin scheint man diese nicht komplett im Griff zu haben. Bei einem großen Teil der betreffenden Anbieter handelt es sich recht offensichtlich um Tarnfirmen, aber zumindest ein Wettanbieter findet sich auch mit echtem Namen in der Liste. (red, 14.2.2019)