In der Woche des 1. April 2025 kündigte Apple rückwirkend Sicherheits-Updates für drei als kritisch eingestufte Zero-Day-Schwachstellen an – gezielt für ältere iOS- und macOS-Versionen. Diese Schwachstellen wurden von Angreifern bereits aktiv ausgenutzt. Dass ein Technologie-Gigant wie Apple gezwungen ist, für veraltete Systeme Sicherheitslücken zu schließen, ist mehr als nur ein technisches Detail: Es offenbart ein alarmierendes Versäumnis in der Risikobewertung vieler Unternehmen. Wer heute noch auf veraltete Endgeräte oder Systeme setzt, öffnet Hackern nicht nur die Tür – er bittet sie regelrecht herein.
CISOs, CIOs, CSOs und CEOs sollten spätestens jetzt aufhorchen. Denn es geht nicht nur um Schwachstellen einzelner Smartphone-Modelle. Es geht um grundsätzlich versäumte Sicherheitsstrategien im IT-Fundament zahlreicher Unternehmen. Und es geht um Widerstandsfähigkeit in Zeiten industrialisierter Cyberbedrohungen, staatlich unterstützter Spionage und datengetriebener Wirtschaftskriminalität.
Apple nominierte drei konkrete Schwachstellen, die aktiv ausgenutzt wurden. Jede für sich ist gefährlich, gemeinsam jedoch stehen sie symptomatisch für ein strukturelles Problem:
CVE-2025-24085:
Ein sogenannter „Use-after-free“-Fehler in der Core Media-Komponente erlaubt es einer einmal installierten App, höhere Systemrechte zu erlangen. Angreifer können somit tief in Systemprozesse eingreifen – mit potenziell unkontrollierbarem Schadensausmaß.
CVE-2025-24200:
Ein Berechtigungsfehler in der Accessibility-Komponente kann genutzt werden, um auf gesperrten Geräten den USB Restricted Mode zu deaktivieren. Damit wird der physische Zugriff auf sensible Unternehmensdaten ermöglicht – ein perfektes Einfallstor für forensisch sensible Angriffe, zum Beispiel durch verdeckt agierende Akteure aus Wirtschaft oder Staat.
CVE-2025-24201:
Ein Fehler im WebKit – der Rendering Engine von Safari – gestattet es Angreifern, durch präparierte Webseiten aus der sog. Web-Sandbox auszubrechen. So wird der Weg frei für systemfremde Codeausführung – ein klassischer Schritt in zielgerichteten Angriffsketten.
Die Tatsache, dass es sich um sogenannte „Zero-Day“-Lücken handelt – also Schwachstellen, für die zum Zeitpunkt der Ausnutzung kein öffentlicher Patch verfügbar war – ist kolossal. Noch gravierender ist: Die Lücken betrafen nicht nur die neuesten Betriebssysteme, sondern wurden durch Apple ausnahmsweise für ältere Versionen nachträglich gepatcht – ein klarer Hinweis auf eine besonders kritische Bedrohungslage.
Für Entscheider im Unternehmen ist das zentral:
Angriffe auf Legacy-Systeme verlaufen heute professionell, effizient und oftmals unbemerkt. Wer auf einem veralteten iPhone über eine unsichere WebKit-Komponente gezielt kompromittiert wird, merkt das im Zweifel erst dann, wenn ganze Verhandlungsstrategien beim Wettbewerber landen – oder wenn Vorstände auf diplomatischem Parkett plötzlich auf relevante Schwächen angesprochen werden, die nur intern bekannt sein dürften.
Der Schaden lässt sich dabei kaum noch auf IT-Sicherheitsvorfälle begrenzen. Gerichtsverwertbare Beweise für Industriespionage sind selten. Der Vertrauensverlust gegenüber Partnern – enorm. Und die Frage nach der Haftung? Die wird bei grober Fahrlässigkeit im Sinne eines nicht gehandhabten Software-Schattenportfolios sehr real.
Viele Unternehmen verfügen zwar über gut dokumentierte Asset-Listen für Server und Business-Systeme – aber beim mobilen Endgerätepark sieht es häufig düster aus:
Damit entstehen systematische Lücken, die sich beliebig skalieren lassen – vor allem bei systemrelevanten Nutzern mit hohen Berechtigungen.
Die Tatsache, dass Schwachstellen wie die genannten Lücken (CVE-2025-24085 / -24200 / -24201) nicht theoretisch, sondern praktisch aktiv ausgenutzt werden, zeigt: Angreifer gehen nicht pauschal vor. Sie kennen reale Geräteflotten, testen spezifische Versionen und kombinieren Schwachstellen intelligent zu Exploit-Chains.
Insbesondere wirtschaftlich motivierte Angreifer – etwa bei Übernahmeverhandlungen, Infrastruktur-Projekten oder technologischen Innovationszyklen – sind mittlerweile spezialisiert auf Mobile Exploits. Wer sich hier auf zufällige Treffer verlässt, hat die Lage nicht verstanden.
Was bedeutet das für die Unternehmensführung?
ProSec hilft Unternehmen dabei, genau diese Schattenrisiken sichtbar zu machen – bevor ein Angreifer schneller ist:
Letztlich gilt: Jedes veraltete Gerät in Ihrem Unternehmen ist ein strategischer Risikofaktor. Wer verstehen will, wie moderne Cyberangriffe wirklich ablaufen, muss bei der eigenen Mobillandschaft anfangen.
Apple hat in einer seltenen Ausnahme Sicherheitslücken für längst abgekündigte Geräte nachgepflegt – nicht aus Nostalgie, sondern weil die Bedrohung real ist. Das ist mehr als ein Zeichen. Es ist ein Aufruf an alle Unternehmen, ihr Sicherheitsverständnis neu zu bewerten. In einer Welt, in der Wirtschaftskriege längst im Datenraum beginnen und Industriespione nicht mehr im Trenchcoat, sondern per Exploit kommen, ist es Zeit, Entscheidungen mit Weitsicht zu treffen.
Die Verantwortung beginnt an der Spitze.
