Eigenständige Untersuchungen.
Dokumentierte Fachkommunikation.

APPLE PRODUCT SECURITY

Zwei Sicherheitsmeldungen.
Priorisierte Bearbeitung und technische Nachreichungen.

Am 24. Dezember 2025 und am 23. Januar 2026 reichte Roman Jahn zwei eigenständige Sicherheitsmeldungen über Apple Product Security ein. Die Untersuchungen wurden durch technische Erläuterungen, Berichte und weitere Artefaktangebote ergänzt.

Dokumentierte Priorisierung

Der Kommunikationsverlauf zur ersten Meldung enthält eine ausdrückliche Benachrichtigung über die Priorisierung des Berichts zur weiteren Prüfung. Im dokumentierten Ticketstand vom 11. Januar 2026 steht:

“We have prioritized your report for review.”

Diese Mitteilung dokumentiert eine zwischenzeitliche Priorisierung. Der genaue Zeitpunkt ihrer erstmaligen Anzeige wird aus dem genannten Dokumentstand allein nicht abgeleitet.

Fortgesetzte technische Kommunikation und erneute Prüfungsersuchen

Roman Jahn ergänzte seine Einreichung durch technische Erläuterungen, Untersuchungsberichte und Angebote zur Bereitstellung weiterer Reproduktionsartefakte. Die Kommunikationsstände von Ende Dezember 2025 sowie vom 3. bis 6. Januar 2026 dokumentieren Nachreichungen und das Ersuchen, den Sachverhalt erneut fachlich zu bewerten.

Die Ergänzungen behandelten unter anderem die Zuordnung von Geräte- und Synchronisationsartefakten, einen strukturierten Belegindex sowie mögliche Reproduktionsmaterialien. Damit umfasst der Vorgang die Eingrenzung des Prüfgegenstands, die Aufbereitung eigener Befunde und die fortgesetzte Auseinandersetzung mit den Anforderungen einer reproduzierbaren Untersuchung.

In eigenen Untersuchungs- und Eskalationsunterlagen analysiert Roman Jahn den Vorgang unter dem Gesichtspunkt einer möglichen höheren internen Eskalationsstufe. Die Bezeichnung „Tier 1 Escalation“ erscheint dort als eigene Einordnung. Eine Apple-seitig bestätigte interne Klassifizierung ist aus den zugrunde gelegten Statusunterlagen nicht eindeutig ableitbar.

Herstellerstatus in den neu vorgelegten Workflow-PDFs

Die neu vorgelegten Workflow-PDFs enthalten für beide Fallnummern im Kopf die Apple-Bewertung, anhand des Berichts keinen Sicherheitsfehler identifiziert zu haben. Der zweite Verlauf enthält außerdem direkte Herstellerantworten bis zum 15. März 2026. Frühere Prüfmeldungen, eigene Wiedereröffnungsersuchen und spätere Bewertungen werden nach Absender und Datum unterschieden; ein aktueller Live-Status im Oktober 2026 wurde nicht abgefragt.

Die dokumentierte Priorisierung ist eine relevante Herstellerreaktion. Sie bestätigt für sich weder die vermuteten Schwachstellen noch eine bestimmte interne Eskalationsstufe. Eine CVE-Zuteilung oder eine bestätigte Bounty-Auszahlung ist durch diese Unterlagen nicht belegt.

Forschungsleistung: Strukturierung zweier technischer Sicherheitsmeldungen, Aufbereitung von Untersuchungsergebnissen, Dokumentation von Reproduktionsanforderungen und fortgesetzte Kommunikation im Responsible-Disclosure-Verfahren.

Quellenbasis: Apple-Kommunikationsstände vom 27. und 30.12.2025; Nachrichtenverlauf vom 03.–06.01.2026; „Vom 11. Januar 2026 Ticket Workflow“; neu vorgelegte Workflow-PDFs zu beiden Fallnummern mit Nachrichten bis März 2026; ergänzende eigene Untersuchungsunterlagen und erweitertes Leistungsportfolio, Kapitel 13.

ZWEI SEPARATE APPLE-TICKETS · ORIGINALNAHE TEXTVERLÄUFE

Zwei Meldungen.
Zwei Untersuchungsgegenstände.

Die am 17. Oktober 2026 vorgelegten Workflow-PDFs enthalten zwei unterschiedliche Fallnummern, Einreichungsdaten und Titel. Der zweite Bericht bezeichnet sich ausdrücklich als von der früheren Meldung getrennt. Die Text-Exporte dokumentieren die Kommunikation; sie sind kein Live-Abruf des Apple-Portals.

Uhrzeiten wie in den Text-Exporten angegeben; eine verlässliche Zeitzonenzuordnung der Portalangaben ergibt sich daraus nicht. Die PDF-Metadaten nennen eine Erzeugung durch „Notizen“ am 30.07.2026. Dieses Dateidatum ist vom Datum der enthaltenen Nachrichten zu unterscheiden.

Was Apple Product Security tatsächlich zurückmeldete

Die direkte fachliche Kommunikation und die Nachreichungen sind dokumentiert. Eine bestätigte Sicherheitslücke, eine bestätigte staatliche Urheberschaft oder eine Apple-interne Einstufung als „Tier 1“ folgen aus diesen Antworten nicht. Im eigenen Schreiben vom 14. Februar 2026 berichtet Jahn von einer Statusänderung beider Fälle zu „Received“; eine entsprechende gesonderte Portalbestätigung ist in den vorgelegten Ausschnitten nicht unabhängig belegt. Die Schreibweise „SEAR“ in einer Adressierung des Melders belegt allein keine Zuweisung an dieses Team.

FRAUNHOFER SIT

Fachlicher Peer-to-Peer-Austausch.
Angestrebte unabhängige Validierung.

Schriftliche Anfrage vom 3. Januar 2026

Im Januar 2026 wandte sich Roman Jahn mit Untersuchungsunterlagen zu einer von ihm erforschten iCloud-/CKKS-Konstellation an das Fraunhofer-Institut für Sichere Informationstechnologie SIT. Die ursprüngliche E-Mail vom 3. Januar 2026 war als Anfrage nach einer unabhängigen forensischen Begutachtung formuliert. Sie benannte Untersuchungsberichte, eine Executive Summary, die Apple-Ticketdokumentation und ein vorbereitetes Rohdatenpaket für eine gesondert abgestimmte Übergabe.

Das Forschungsziel bestand darin, die eigenen Befunde und Hypothesen einer unabhängigen fachlichen Prüfung zuzuführen. Wissenschaftliche Validierung und ein möglicher formeller Gutachtenauftrag waren dabei miteinander verbundene, aber unterschiedliche Aspekte.

Das dokumentierte Telefongespräch vom 12. Januar 2026

Am 12. Januar 2026 fand ein ausführliches telefonisches Fachgespräch mit einem Vertreter des Fraunhofer SIT statt. Nach Romans vorliegender Anrufdokumentation erfolgte die telefonische Kontaktaufnahme durch das Institut.

Der Gesprächspartner hatte bereits technische Unterlagen erhalten, wies auf die noch nicht abgeschlossene vollständige Lektüre hin und bezeichnete die geschilderte Untersuchung zunächst als interessant. Roman Jahn erläuterte eigene Befunde zu Geräteartefakten, möglichen Veränderungen von Vertrauensbeziehungen und der Synchronisation von Berechtigungszuständen über verschiedene Geräte hinweg.

Er formulierte ausdrücklich den Wunsch nach einer Peer-to-Peer-Validierung seiner eigenständig entwickelten Forschungsergebnisse. Im Transkript werden außerdem die Prüfung möglicher beteiligter Binärdateien und die Frage angesprochen, welche konkreten Artefakte oder Anwendungen zusätzliche Berechtigungen erhalten haben sollen.

Diskussion einer experimentellen Reproduktion

Der Institutsvertreter erörterte einen möglichen technischen Prüfansatz: In einer kontrollierten Versuchsumgebung mit iPhones könnte versucht werden, den beschriebenen Synchronisationsmechanismus nachzustellen und zu untersuchen, ob sich die behaupteten Berechtigungsänderungen auf synchronisierten Geräten reproduzieren lassen.

Das Gespräch behandelte damit konkrete technische Fragestellungen, mögliche Prüfmethoden und die Anforderungen einer reproduzierbaren Untersuchung. Eine entsprechende Untersuchung wurde im Rahmen dieses Austauschs noch nicht durchgeführt.

Wissenschaftliches Ziel und kommerzieller Prüfauftrag

Die angestrebte unabhängige Validierung bildete den fachlichen Ausgangspunkt. Parallel wurden die organisatorischen und finanziellen Voraussetzungen einer Untersuchung im Rahmen eines kommerziellen Projekts besprochen.

Das Gespräch umfasste den möglichen Bezug zu einem laufenden gerichtlichen Verfahren und die Frage einer Finanzierung beziehungsweise Kostenübernahme. Eine Finanzierungszusage wird daraus nicht abgeleitet. Der Institutsvertreter kündigte eine interne Rücksprache an.

Schriftliche Entscheidung vom 13. Januar 2026

Am folgenden Tag teilte Dr. Jens Heider vom Testlab Mobile Security schriftlich mit, dass nach Rücksprache mit Kollegen und der Institutsleitung kein Angebot für ein Gutachten unterbreitet werden könne. Die Antwort nahm ausdrücklich auf die Anfrage und das vorausgegangene Gespräch Bezug.

Die Mitteilung enthielt weder eine konkrete technische Widerlegung der eingereichten Forschungsergebnisse noch eine Bestätigung der vorgetragenen Hypothesen. Eine ausdrückliche Begründung dafür, welche Erwägungen zur Entscheidung führten, wurde in der Antwort nicht genannt.

Die militärischen und verfahrensbezogenen Hintergründe wurden im Gespräch thematisiert. Aus der schriftlichen Antwort ergibt sich nicht, dass diese Angaben ausschlaggebend für die spätere Entscheidung waren. Eine entsprechende Motivfeststellung wird dem Institut deshalb nicht zugeschrieben.

Ergebnis und Forschungsstatus

Dokumentiert sind die Einreichung technischer Forschungsunterlagen, ein ausführlicher fachlicher Austausch, die Diskussion einer möglichen experimentellen Reproduktion und die anschließende Entscheidung, kein Gutachtenangebot zu unterbreiten. Eine abgeschlossene unabhängige Validierung durch Fraunhofer SIT liegt für diesen Vorgang nicht vor.

Forschungsleistung: Eigenständige Untersuchungsarbeit, Vorbereitung einer Peer-to-Peer-Fachprüfung, Diskussion reproduzierbarer Prüfmethoden und nachvollziehbare Dokumentation des externen Validierungsversuchs.