Apple plant Datenwarnung bei KI-Agenten am Mac, die Ausnahme ist von Apple

Wer auf dem Mac einem Programm den Festplattenvollzugriff gibt, englisch Full Disk Access, legt ihm nach Apples eigenen Worten Dateien, Mail, Nachrichten und sogar den Browserverlauf offen. Apple hat diese Ausnahme für Backup-Software eingebaut, in einen Schutz, den macOS seit 2018 um genau diese Daten legt. In einer Entwicklermitteilung vom 2. Oktober nennt Apple die eigene Ausnahme nun ein Risiko, und zwar bei Apps aller Art. Seit Sonntagmorgen berichten ZEIT, Stern, Welt, Tagesspiegel und FAZ mit derselben dpa-Meldung von einer „Datenwarnung“ bei KI-Agenten; den Wortlaut des Papiers zitiert sie nicht.

Apples Papier nennt KI-Agenten erst im vorletzten Satz#

Die Mitteilung „Updates to Full Disk Access in macOS“¹ erschien am Freitagabend deutscher Zeit, die dpa-Meldung am Sonntag um 04:59 Uhr. Apple beschreibt darin zuerst die eigene Konstruktion: „Full Disk Access largely sidesteps these controls in order to allow backup apps to function properly on the Mac.“

Manche Entwickler, schreibt Apple weiter, nutzten den Vollzugriff so, dass „everything on their systems—including files, mail, messages, and even browsing history“ offenliege, ohne dass die Betroffenen es ganz verstünden; bei Kommunikations-Apps leide auch die Privatsphäre der Gesprächspartner. Künftig soll der Zugriff nur noch mit „very explicit user action“ möglich sein, und wer ihn erteilt, soll die Risiken vorher verstehen. Das Wort Warnung trifft also Apples Absicht. Die KI-Agenten folgen erst danach: „As AI agents become increasingly capable and autonomous, the risks associated with this level of access will grow substantially.“

Bei dpa greifen nun „auch Entwickler von KI-Software“ auf den Vollzugriff zurück, und Anwender sollen die Gefahren kennen, bevor sie „einem Datenzugang für Künstliche Intelligenz“ zustimmen. Apple schreibt „some developers“ und „grant an app“. Einen Termin oder eine macOS-Version nennt die Mitteilung nicht, und was die angekündigten „additional controls“ sein werden, lässt Apple offen.

2018 stellte Apple Mail und Nachrichten unter Schutz#

Am 4. Juni 2018 stellte Apple macOS Mojave² vor. Apps bräuchten künftig die Erlaubnis der Anwender, bevor sie auf Kamera, Mikrofon oder „personal data like user Mail history and Messages database“ zugreifen, hieß es in der Pressemitteilung. Beides steht auch in Apples Aufzählung von 2026.

Der Vollzugriff selbst ist älter. Apples Sicherheitsleitfaden zur Dateikontrolle in macOS³, datiert auf den 18. Februar 2021, setzt ihn auf macOS 10.13 an, High Sierra aus dem Jahr 2017. Eine Abfrage, mit der eine App darum bitten könnte, sieht der Leitfaden nicht vor: In seiner Tabelle ist „Full internal storage access“ in der Spalte „User needs to edit system privacy settings“ angehakt, nicht bei „User prompted by app“.

Mojave kam im September 2018 heraus. Der Sicherheitsautor Rich Mogull schrieb damals bei TidBITS, Mail, Nachrichten und Safari seien nun ohne eigene Abfragen geschützt; Apps erschienen stattdessen in der Liste für den Vollzugriff. Der Entwickler Michael Tsai sah am 10. September 2018⁴ keinen Weg, wie eine App den Vollzugriff programmatisch anfordern könnte. In einem Nachtrag vom 19. September zitiert er Mike Bombich, der das Backup-Programm Carbon Copy Cloner entwickelt. Bombich hatte Apples Datenschutzteam im Juni auf der Entwicklerkonferenz einen einfachen Dialog zum Erlauben vorgeschlagen. Die Antwort fasste er so zusammen: „They were adamant that users should not get a simple dialog; they want it to be hard for you.“

US-Medien verweisen auf Metas Agenten Muse#

TechCrunch und Engadget lesen die Mitteilung vor dem Hintergrund von Muse, das Meta im September 2026 als Mac-App herausbrachte. Der Inc.-Kolumnist Jason Aten berichtete am 19. September, Muse habe seine Nachrichtendatenbank bis Zeile 187.462 synchronisiert, obwohl er den Zugriff abgelehnt habe. Meta bestreitet das: Muse lese Nachrichten nur, wenn man den Vollzugriff und zusätzlich den Messages-Connector in der App einschalte, schrieb Kommunikationschef Andy Stone. Apples Mitteilung erwähnt Meta nicht.

Für macOS ist ein Agent eine App wie jede andere. Desktop-Agenten wie OpenClaw, Dots oder Muse legen ihren Anwendern laut Engadget oft nahe, ihnen den Vollzugriff zu geben, über denselben Schalter in den Systemeinstellungen, den auch ein Backup-Programm braucht.

Als Grund für die höhere Hürde nennt Apple zwei Dinge: Entwickler, die mit dem Vollzugriff schon heute Daten offenlegen, ohne dass die Betroffenen es ganz verstehen, und Agenten, bei denen das Risiko mit ihrer Selbstständigkeit wächst. Für das Erste führt die Mitteilung keinen Fall an, auch nicht bei den Kommunikations-Apps.