Per Standort-Spoofing: Zugriff auf EU-exklusive iOS-Funktionen

Mit ihren neuen Digitalgesetzen verpflichtet die Europäische Union Apple dazu alternative App Stores in Europa zuzulassen. Diese Funktionen sind jedoch geografisch so eingeschränkt, dass diese nur innerhalb der EU genutzt werden können. Ein Entwickler aus den USA zeigt nun eine (recht umständliche) Methode auf, um iOS-Geräte so zu manipulieren, dass sie sich virtuell in der EU befinden und damit Zugriff auf entsprechende Zusatzfunktionen erhalten.

Alternative App Stores: Bislang nur in der EU verfügbar

Apples Standortbestimmung kombiniert verschiedene Signale wie GPS, WLAN und Mobilfunk. Entscheidend ist dabei eine Prioritätenliste: Ist GPS aktiv, werden andere Quellen ignoriert. Im Flugmodus verlässt sich das System jedoch auf WLAN-Daten – eine Schwachstelle, die ausgenutzt werden kann.

WLAN-Spoofing als Schlüssel

Die Methode basiert auf der Manipulation von WLAN-Informationen durch ESP32-Module. Diese simulieren WLAN-Netzwerke, die zu einer EU-Region gehören. Wenn sich ein iPhone oder iPad ausschließlich mit diesen Netzwerken verbindet, glaubt das System, sich in der EU zu befinden.

Zum Einsatz kamen:

• Zwei ESP32-Module zur Erstellung gefälschter WLAN-Netze
• Ein iPhone 15 mit iOS 18.2.1 sowie ein iPad Mini (6. Gen.)
• Ein Router mit VPN-Anbindung an ein EU-Land
• Eine Faraday-Tasche zur Abschirmung anderer Signale

Nach dem Einrichten einer neuen Apple-ID mit EU-Regionseinstellung war der Zugang zu den regionalen Funktionen so möglich.

Ein aufwändiges Setup gestattet einen virtuellen Trip nach Europa

Einschränkungen und mögliche Gegenmaßnahmen

Sobald das Gerät wieder reguläre Signale empfängt, beginnt eine 30-tägige Übergangsfrist, bevor die EU-Funktionen deaktiviert werden. Um den Zugriff zu erhalten, müsste der Vorgang regelmäßig wiederholt werden.

Ob Apple diese Lücke schließen wird, bleibt offen. Möglich wären strengere Standortprüfungen oder Software-Updates. Aktuell scheint das Unternehmen keinen akuten Handlungsbedarf zu sehen, da die Methode nicht nur eine gehörige Portion Motivation, sondern auch technisches Wissen und spezielle Hardware erfordert. Interessant, da dies bei US-exklusiven Funktionen auch in die andere Richtung funktionieren dürfte.