Wie macOS die Apps prüft, die du öffnest

Jedes Mal, wenn du eine App zum ersten Mal öffnest, führt macOS eine kurze Reihe von Prüfungen durch, bevor sie starten darf. Meistens bekommst du davon nichts mit; du bemerkst es nur, wenn eine dieser Prüfungen etwas stoppt. Diese Lektion folgt dem tatsächlichen Ablauf, anhand von Apples eigener Beschreibung jedes Schritts.

Code-Signierung: beweisen, wer sie gebaut hat

Apples Sicherheitsdokumentation erklärt, dass unter macOS „die Code-Signierung vom Entwickler mit seinem Developer-ID-Zertifikat (ausgestellt von Apple) durchgeführt wird. Die Überprüfung dieser Signatur beweist dem Nutzer, dass die Software eines Entwicklers seit dem Erstellen und Signieren durch den Entwickler nicht verändert wurde.“ Eine Signatur sagt nicht, dass die App sicher ist; sie sagt, dass die App genau die Datei ist, die dieser Entwickler erstellt hat, seither unverändert.

Notarisierung: Apples eigene Prüfung

Notarisierung ist ein separater, zusätzlicher Schritt. Apple erklärt, dass sie „von jedem in der Software-Vertriebskette durchgeführt werden kann und beweist, dass Apple eine Kopie des Codes zur Prüfung [auf schädliche Inhalte] erhalten hat und keine [bekannte schädliche Software] gefunden wurde. Das Ergebnis der Notarisierung ist ein Ticket, das auf Apple-Servern gespeichert und optional an die App angeheftet werden kann.“ Seit macOS Catalina gilt diese Prüfung standardmäßig für fast alles, was du öffnest, unabhängig davon, wie es auf deinen Mac gelangt ist.

Gatekeeper: die Prüfung, die beim Öffnen einer App abläuft

Gatekeeper ist das, was diese Ergebnisse in dem Moment tatsächlich anwendet, in dem du auf etwas doppelklickst. Apple beschreibt ihn als darauf ausgelegt, „sicherzustellen, dass auf dem Mac eines Nutzers nur vertrauenswürdige Software läuft. Wenn ein Nutzer eine App, ein Plug-in oder ein Installationspaket von außerhalb des App Store herunterlädt und öffnet, überprüft Gatekeeper, dass die Software von einem identifizierten Entwickler stammt, von Apple als frei von [bekannten schädlichen Inhalten] notarisiert wurde und nicht verändert wurde. Gatekeeper fordert zudem beim erstmaligen Öffnen heruntergeladener Software eine Bestätigung des Nutzers an, um sicherzustellen, dass der Nutzer nicht dazu verleitet wurde, ausführbaren Code zu starten, den er für eine einfache Datendatei hielt.“ Das ist die Meldung, die du siehst, wenn du zum ersten Mal etwas aus dem Internet Heruntergeladenes öffnest.

1. Du lädst eine App von außerhalb des App Store herunter und doppelklickst darauf.
2. Gatekeeper prüft die Signatur des Entwicklers und schlägt Apples Notarisierungsticket dafür nach.
3. Wenn die Prüfungen bestanden werden, fragt macOS dich trotzdem, ob du sie beim ersten Mal öffnen willst.
4. Wenn Apple die App widerrufen hat oder etwas nicht stimmt, verweigert macOS das Öffnen und erklärt dir, warum.

XProtect: Beobachtung, nachdem die App gelaufen ist

Die letzte Ebene wirkt im Nachhinein. Apples Leitfaden beschreibt XProtect als macOS „integrierte Antiviren-Technologie zur signaturbasierten Erkennung und Entfernung [bekannter schädlicher Software]“, die „auf bekannte [schädliche] Inhalte prüft, wann immer: eine App zum ersten Mal gestartet wird, eine App geändert wurde [oder] XProtect-Signaturen aktualisiert werden“, wobei Apple diese Signaturen automatisch aktualisiert, unabhängig von vollständigen Systemupdates. Findet XProtect eine bekannte Bedrohung, erklärt Apple, dass es sie „blockiert und in den Papierkorb verschiebt. Anschließend benachrichtigt es den Nutzer im Finder.“