iOS-Sicherheitslücke worse_query: Sind Krypto-Wallets auf dem iPhone in Gefahr?

Die iOS-Sicherheitslücke „worse_query“ kann Krypto-Wallets auf dem iPhone gefährden, aber nur unter einer Bedingung: Auf dem Gerät muss eine App laufen, die nicht aus dem App Store stammt, und die Wallet muss ihre Seed-Phrase oder ihren Schlüsselspeicher unverschlüsselt in ihrem Dateiordner ablegen. Bestätigte Diebstähle gibt es bisher keine. Binance und die Sicherheitsfirma SlowMist haben am Dienstag trotzdem gewarnt, weil der Code seit Sonntag öffentlich ist und Apple noch nicht bestätigt hat, ob die Updates vom Montag die Lücke schließen.

Für Anleger in Deutschland geht es damit um eine handfeste Frage der Verwahrung. Wer Bitcoin oder Ether in einer App auf dem iPhone hält, besitzt eine sogenannte Hot Wallet: eine Software-Wallet, deren privater Schlüssel auf einem internetfähigen Gerät liegt. Genau diese Schlüssel sind das Ziel, wenn eine fremde App plötzlich in die Ordner anderer Apps schauen kann. Wie groß das Risiko im Einzelfall ist, hängt von drei Dingen ab: der iOS-Version, der Herkunft deiner Apps und der Art, wie deine Wallet ihre Geheimnisse speichert.

Was der Sandbox-Escape worse_query auf dem iPhone öffnet

Jede App auf dem iPhone läuft in einer Sandbox. Die Sandbox ist ein abgeschotteter Bereich des Betriebssystems, in dem eine App nur ihre eigenen Dateien sehen darf. Dieses Prinzip ist der Kern der iOS-Sicherheit: Eine Taschenlampen-App kommt nicht an die Fotos, eine Spiele-App nicht an die Daten deiner Banking-App.

„worse_query“ hebelt diese Trennung aus. Der Sicherheitsforscher, der unter dem Namen forcequitOS auftritt, hat den Code am Sonntag auf GitHub veröffentlicht und einen zweiten Forscher als Mitentdecker genannt. Nach Darstellung von The Hacker News erreicht der Proof of Concept, also der funktionsfähige Nachweis der Lücke, die Datencontainer aller Apps auf dem Gerät, unter iOS 27 zusätzlich einige Systemordner. Ein Entwickler hat auf dieser Grundlage bereits einen Dateimanager gebaut, der die Daten anderer Apps lesen, ändern und löschen kann, ohne Jailbreak und ohne Angriff auf den Systemkern.

Der Forscher selbst schreibt, der Code sei für sich genommen nicht nützlich und richte sich an Entwickler. Er habe ihn früher als geplant veröffentlicht, weil Apple seine Meldung nur zögerlich beantwortet habe und andere bereits mit der Lücke prahlten. SlowMist bezeichnet die Lücke als Ausbruch aus dem App-Container, ausdrücklich nicht als Jailbreak. Der Unterschied ist wichtig: Ein Jailbreak entfernt die Schutzmechanismen des ganzen Systems, worse_query öffnet nur den Blick in fremde App-Ordner.

Betroffene iOS-Versionen: SlowMist und Binance nennen unterschiedliche Stände

Bei der Frage, welche Geräte betroffen sind, gehen die Angaben auseinander. SlowMist nennt nach den Unterlagen des Entdeckers iOS 26.0 bis 26.7.2 sowie iOS 27.2. Binance führt in der eigenen Warnung iOS 26.7.1, 27.0.1 und 27.2 auf. Die Börse beschreibt damit die Versionen, die in den Versionshinweisen des Dateimanagers als getestet stehen, der Entdecker selbst gibt eine breitere Spanne an.

Sinnvoll ist deshalb, von der weiteren Spanne auszugehen: Jedes iPhone mit iOS 26 oder iOS 27 bis einschließlich 27.2 gilt als potenziell betroffen. Ältere Geräte mit iOS 18 tauchen in keiner der beiden Listen auf. Deine Version findest du unter Einstellungen, Allgemein, Info, im Feld iOS-Version.

Schließen iOS 27.2.1 und iOS 26.7.3 die Sicherheitslücke?

Apple hat am Montag iOS 27.2.1, iOS 26.7.3 und iOS 18.7.12 veröffentlicht. Laut den Sicherheitshinweisen von Apple beheben die Updates Fehler in iMessage und Bluetooth. worse_query oder ein Problem mit der Sandbox wird dort nicht erwähnt. Apple gibt grundsätzlich keine Auskunft über Sicherheitslücken, bevor die Prüfung abgeschlossen und ein Patch verfügbar ist. Auf eine Anfrage des Fachmediums Cointelegraph hat der Konzern bis zur Veröffentlichung des Berichts nicht geantwortet.

Ob das jüngste Update hilft, ist also offen. Installieren solltest du es trotzdem, weil es andere belegte Lücken schließt und weil ein späterer Fix für worse_query auf diesem Stand aufbauen wird. Ein aktuelles System ist kein Beleg für Sicherheit gegen diese eine Lücke, aber ein veraltetes System ist gegen mehr Angriffe offen.

Kurz zum Stand: Ein CVE-Eintrag, also die offizielle Kennnummer einer Sicherheitslücke, existiert nach den bisherigen Berichten noch nicht.

Wann eine Krypto-Wallet auf dem iPhone wirklich gefährdet ist

SlowMist betont, dass die Lücke allein nichts stiehlt. Damit eine Wallet tatsächlich ausgelesen werden kann, müssen mehrere Bedingungen zusammenkommen. Erstens braucht es eine bösartige App auf deinem Gerät, die den Code ausführt. Zweitens muss diese App ein sogenanntes App-Group-Verzeichnis einrichten, einen gemeinsamen Speicherbereich, den Apps desselben Entwicklers normalerweise teilen. Drittens muss die Wallet ihre Seed-Phrase oder ihren Keystore unverschlüsselt im eigenen Ordner speichern.

Die Seed-Phrase ist die Liste aus zwölf oder 24 Wörtern, aus der sich alle Schlüssel einer Wallet ableiten lassen. Wer sie kennt, kann das Guthaben auf jedem Gerät der Welt wiederherstellen und abziehen. Ein Keystore ist eine Datei, in der der private Schlüssel abgelegt ist, idealerweise mit einem Passwort verschlüsselt. Seriöse Wallet-Apps legen beides verschlüsselt ab oder nutzen den Schlüsselbund (Keychain) und den gesicherten Hardwarebereich des iPhones. Ob der Schlüsselbund von worse_query erreicht wird, hat bisher keine der Quellen bestätigt oder ausgeschlossen.

Binance hat keine einzelne Wallet-App als betroffen benannt. Ein Sprecher der Börse sagte Cointelegraph, das zugrunde liegende Risiko beim Dateizugriff könne das gesamte iOS-Ökosystem betreffen. Fälle, in denen Angreifer über diese Lücke Krypto-Wallets geöffnet oder Guthaben gestohlen hätten, seien nicht bekannt.

Sideloading und alternative App-Marktplätze tragen das Hauptrisiko

Die entscheidende Stellschraube ist die Herkunft deiner Apps. Sideloading bedeutet, eine App an Apples App Store vorbei zu installieren, etwa als IPA-Datei über Werkzeuge wie AltStore oder SideStore oder als selbst signierte App mit einer eigenen Apple-ID. Genau diese Werkzeuge richten das App-Group-Verzeichnis automatisch ein, das worse_query braucht. Ob auch eine App aus dem regulären App Store die Technik nutzen könnte, hat bisher niemand beantwortet.

In der EU erlaubt Apple seit dem Digital Markets Act alternative App-Marktplätze. Das erweitert die Auswahl, verschiebt aber einen Teil der Prüfung auf dich. Wer sich in der Szene Wallet-Tools, Trading-Bots oder Airdrop-Helfer aus inoffiziellen Quellen holt, sollte diese Apps jetzt besonders kritisch ansehen. Dasselbe Muster kennst du von Browsern: Auch dort waren es scheinbar harmlose Zusatzprogramme, die als Wallet-Diebe Seed-Phrasen abgegriffen haben.

Prüfen lässt sich das schnell. Unter Einstellungen, Allgemein, VPN und Geräteverwaltung stehen Entwicklerprofile, mit denen Apps außerhalb des Stores signiert wurden. Ein Profil, das du nicht zuordnen kannst, gehört gelöscht, zusammen mit den Apps, die daran hängen.

Hot Wallet gegen Hardware-Wallet: Wo der private Schlüssel liegt

Die Lücke zeigt einen alten Grundsatz der Krypto-Verwahrung in neuem Licht. Eine Hot Wallet auf dem Smartphone ist bequem, aber ihr Schutz hängt am Betriebssystem. Fällt eine Schutzschicht wie die Sandbox, steht der Schlüssel im Zweifel offen. Eine Hardware-Wallet arbeitet anders: Das Gerät erzeugt und verwahrt den privaten Schlüssel auf einem eigenen Chip und gibt ihn nie heraus. Das Smartphone schickt nur die Transaktion zur Unterschrift, die Bestätigung erfolgt per Knopfdruck am Gerät.

Selbst wenn eine fremde App jeden Ordner deines iPhones lesen könnte, fände sie bei einer Hardware-Wallet keinen Schlüssel. Zu sehen wären höchstens öffentliche Adressen und Kontostände. Wer größere Beträge hält, findet im Hardware-Wallet-Vergleich Geräte mit Bluetooth- oder Kabelanbindung an das iPhone. Für kleinere Summen, mit denen du regelmäßig handelst, bleibt eine Software-Wallet sinnvoll, sofern sie ihre Daten verschlüsselt und Face ID oder eine PIN verlangt; der Software-Wallet-Vergleich zeigt die Unterschiede.

Eine sinnvolle Aufteilung sieht so aus: Der Großteil liegt auf der Hardware-Wallet, auf dem iPhone nur der Betrag, den du in den nächsten Wochen bewegen willst. Die Seed-Phrase gehört weder in die Notizen-App noch in einen Screenshot oder die iCloud. Wie du sie offline auf Papier, Stahl oder verteilt sicherst, beschreibt unser Ratgeber Seed Phrase sicher aufbewahren.

Börsen-Apps auf dem iPhone: Zugangsdaten, Sitzungen und Zwei-Faktor-Schutz

Binance spricht in der Warnung ausdrücklich auch von Zugangsdaten. Börsen-Apps speichern keine Seed-Phrase, weil die Börse die Coins verwahrt. Gespeichert sind aber Anmeldedaten und Sitzungstoken, also die digitalen Ausweise, mit denen die App eingeloggt bleibt. Gelangt ein solches Token in fremde Hände, kann ein Angreifer im Extremfall auf dein Konto zugreifen, ohne dein Passwort zu kennen.

Zwei Schutzschichten helfen hier. Die Auszahlungs-Whitelist erlaubt Abhebungen nur an Adressen, die du vorher freigegeben hast, meist mit einer Wartezeit für neue Einträge. Die Zwei-Faktor-Authentifizierung mit einem Hardware-Schlüssel oder einer Authenticator-App auf einem zweiten Gerät sorgt dafür, dass eine Auszahlung mehr braucht als das kompromittierte iPhone. Bei Verdacht beendest du in den Sicherheitseinstellungen der Börse alle aktiven Sitzungen und änderst das Passwort. Auch die Wahl der Plattform zählt: Börsen mit MiCA-Zulassung unterliegen in der EU festen Vorgaben zur IT-Sicherheit und zur Verwahrung von Kundengeldern.

Wallet-Umzug nach Verdacht: Neue Seed-Phrase auf einem sauberen Gerät

Hattest du in den vergangenen Wochen eine App aus fremder Quelle installiert und gleichzeitig eine Software-Wallet auf demselben iPhone, ist ein Umzug die sichere Wahl. Binance rät, das Guthaben auf eine neue Wallet zu übertragen, die auf einem sauberen Gerät erstellt wurde. Sauber heißt: ein Gerät ohne Apps aus fremden Quellen, mit aktuellem System, im Idealfall eine Hardware-Wallet.

Wichtig ist die Reihenfolge. Zuerst richtest du die neue Wallet ein und notierst ihre neue Seed-Phrase offline. Dann überträgst du einen kleinen Testbetrag und prüfst den Eingang. Erst danach folgt der Rest. Die alte Seed-Phrase verwendest du nie wieder, auch nicht für eine neue App, denn ein Angreifer könnte sie bereits kennen. Wie die Wiederherstellung und der Umzug Schritt für Schritt ablaufen, steht in unserem Ratgeber Wallet wiederherstellen.

Bei Token auf Ethereum und anderen EVM-Blockchains lohnt zusätzlich ein Blick auf die erteilten Freigaben, die sogenannten Approvals. Diese Freigaben bleiben an der alten Adresse bestehen und betreffen das neue Konto nicht, sollten aber bei Restguthaben auf der alten Adresse widerrufen werden.

Warum Apples Schweigen bei worse_query die Lage erschwert

Normalerweise läuft eine Sicherheitslücke nach einem festen Schema: Der Forscher meldet sie vertraulich, der Hersteller entwickelt einen Patch, danach wird sie öffentlich. Bei worse_query ist diese Reihenfolge gekippt. Der Code ist frei verfügbar, der Patch nicht bestätigt, und jeder mit Programmierkenntnissen kann die Technik in eine eigene App einbauen. Für die Krypto-Szene ist das heikel, weil Angreifer erfahrungsgemäß schnell reagieren, wenn ein Werkzeug den Zugang zu Wallets erleichtert.

Neu ist die Gefahr für Wallets auf dem iPhone nicht. Im März 2026 beschrieben Sicherheitsforscher die Exploit-Kits Coruna und DarkSword, die auf älteren iOS-Versionen neben Passwörtern und Nachrichten auch Wallet-Daten abgriffen. Gegen diese Malware half vor allem ein aktuelles Betriebssystem. Bei worse_query fehlt dieser Schutz bislang, weil Apple keinen Patch bestätigt hat.

Gleichzeitig ist die Hürde weiterhin hoch. Ein Angriff braucht deine Mithilfe, nämlich die Installation einer App aus unsicherer Quelle. Wer ausschließlich Apps aus dem App Store nutzt und keine Entwicklerprofile installiert hat, ist nach dem aktuellen Stand deutlich weniger exponiert. Auf die Frage, ob auch Apps aus dem Store die Lücke ausnutzen könnten, gibt es bislang keine belastbare Antwort.

iOS-Lücke worse_query: Bis Apple antwortet, zählt die App-Hygiene

1. Apps aus fremden Quellen entfernen und iOS aktualisieren. Lösche Sideload-Apps und unbekannte Entwicklerprofile, installiere iOS 27.2.1 oder 26.7.3 und aktualisiere alle Apps. Größere Bestände ziehst du auf ein Gerät aus dem Vergleich der Hardware-Wallets um.
2. Software-Wallet prüfen. Nutze nur Wallet-Apps, die ihre Daten verschlüsselt speichern und eine Sperre per Face ID oder PIN verlangen. Eine Auswahl zeigt der Software-Wallet-Vergleich.
3. Börsenkonto absichern. Beende alle Sitzungen, ändere das Passwort, aktiviere die Auszahlungs-Whitelist und halte nur so viel Guthaben auf der Börse, wie du zum Handeln brauchst. Welche Anbieter eine Zulassung in der EU haben, steht in der Übersicht der regulierten Krypto-Börsen.

(Stand: 10. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)