Eingebaute Verteidigungen und ihre Überprüfung

macOS wird mit mehreren bereits eingeschalteten Verteidigungen ausgeliefert. Das Nützlichste, was Sie damit tun können, ist nicht, sie weiter zu konfigurieren, sondern gelegentlich zu prüfen, dass nichts sie still ausgeschaltet hat. Jeder Befehl in dieser Lektion ist schreibgeschützt: Keiner davon ändert eine Einstellung.

Es lohnt sich klarzustellen, warum eine Prüfung überhaupt wichtig ist, wenn diese Verteidigungen standardmäßig aktiv sind. Software-Installationsprogramme bitten manchmal im Rahmen ihrer eigenen Einrichtung um Erlaubnis, Sicherheitseinstellungen zu ändern, ein Familienmitglied oder Kollege bei der Fehlerbehebung könnte etwas ausschalten und vergessen, es wieder einzuschalten, und ein vor Jahren eingerichteter Mac könnte schlicht älter sein als eine Einstellung, die heute Standard für Neuinstallationen ist. Nichts davon ist wahrscheinlich, aber die folgenden Prüfungen dauern wenige Sekunden und ändern nichts, weshalb es kaum einen Grund gibt, sie auszulassen.

System Integrity Protection (SIP)

SIP schränkt selbst das Root-/Administratorkonto darin ein, geschützte Teile des Systems zu verändern: zentrale Ordner wie /System, /usr, /bin und /sbin, sowie Apples eingebaute Apps. Apple erklärt, diese „können nur von Prozessen verändert werden, die von Apple signiert sind und über die passenden Berechtigungen verfügen“, was schädliche Software mit Administratorzugriff daran hindert, das darunterliegende Betriebssystem still umzuschreiben. Drittanbietersoftware kann weiterhin nach /Applications, /Library und /usr/local schreiben. Prüfen Sie den Status mit:

$ csrutil status
System Integrity Protection status: enabled.

SIP auszuschalten erfordert das Starten in recoveryOS und das absichtliche Ausführen von csrutil disable; es schaltet sich nie von selbst aus. Dieser Kurs wird diesen Vorgang nicht durchgehen, denn es gibt selten einen guten Grund für einen von einer Person genutzten Mac, das zu tun, und es entfernt einen Schutz, der für schädliche Software sonst sehr schwer zu umgehen ist.

Gatekeeper und Notarisierung

Gatekeeper prüft Apps, bevor sie zum ersten Mal ausgeführt werden dürfen. Apple beschreibt es als Technologie, „die sicherstellen soll, dass nur vertrauenswürdige Software auf Ihrem Mac läuft“, indem sie überprüft, dass eine App von einem identifizierten Entwickler signiert oder aus dem App Store heruntergeladen wurde. Seit macOS Catalina muss die meiste außerhalb des App Store verteilte Software zusätzlich notarisiert sein: bei Apple eingereicht und auf bekannt schädliche Inhalte geprüft, bevor Gatekeeper einem Nutzer erlaubt, sie zu öffnen, und Apple kann diese Notarisierung später widerrufen, falls schädliche Software gefunden wird. Prüfen Sie, ob das Bewertungssystem, auf das sich Gatekeeper stützt, aktiv ist:

$ spctl --status
assessments enabled

XProtect

Während Gatekeeper Software vor ihrer ersten Ausführung prüft, prüft XProtect danach weiter. Apples Plattform-Sicherheitsleitfaden beschreibt es als eingebaute Technologie zur signaturbasierten Erkennung und Entfernung schädlicher Software, die Apps beim Start und bei Dateiänderungen scannt und ihre Signaturen unabhängig von vollständigen macOS-Updates aktualisiert. Gatekeeper, Notarisierung und XProtect wirken als Schichten: Die ersten beiden versuchen, schädliche Software erst gar nicht auf den Mac zu lassen, und XProtect fängt ab, was durchrutscht.

Blockierungsmodus

Der Blockierungsmodus ist eine andere Art von Verteidigung: keine Hintergrundprüfung, sondern ein bewusster, sichtbarer Tausch von Bequemlichkeit gegen Schutz. Apple beschreibt ihn als „einen optionalen, extremen Schutz, der für die sehr wenigen Personen konzipiert ist, die … persönlich von einigen der raffiniertesten digitalen Bedrohungen ins Visier genommen werden könnten“, und erklärt ausdrücklich, dass „die meisten Menschen nie von Angriffen dieser Art angegriffen werden.“ Aktiviert blockiert er die meisten Anhangstypen und Linkvorschauen in Nachrichten, schränkt komplexe Webtechnologien in Safari ein, blockiert FaceTime-Anrufe von unbekannten Kontakten, und verlangt, dass ein Gerät entsperrt ist, bevor sich ein Zubehörteil damit verbinden kann. Er findet sich unter Systemeinstellungen → Datenschutz & Sicherheit → Blockierungsmodus, und es lohnt sich, ihn zu kennen, ohne ihn notwendigerweise zu nutzen: Er ist für Menschen gebaut, die konkret zu dem Schluss gekommen sind, ein Ziel dieser Art sein zu können, nicht als allgemeiner Härtungsschritt.

Alles aktuell halten

Nichts davon zählt, wenn der Mac alte Software mit bekannten, bereits behobenen Schwächen ausführt. Systemeinstellungen → Allgemein → Softwareupdate ist der Hauptweg, macOS aktuell zu halten, und kann so eingestellt werden, dass Updates automatisch installiert werden. Über das Terminal können Sie prüfen, was verfügbar ist, ohne etwas zu installieren:

$ softwareupdate --list
Software Update found the following new or updated software:
* Label: macOS 26.1-26A123
	Title: macOS 26.1, Version: 26.1, Size: 11728377KiB, Recommended: YES, Action: restart