Systemsicherheit bei watchOS

Aktualisieren von watchOS

watchOS kann so konfiguriert werden, dass es nachts aktualisiert wird. Weitere Informationen dazu, wie der Apple Watch-Code gespeichert und während der Aktualisierung verwendet wird, sind im Abschnitt „Keybags“ zu finden.

Handgelenkerkennung

Wenn die Handgelenkerkennung aktiviert ist, wird das Gerät automatisch gesperrt, kurz nachdem Benutzer:innen es vom Handgelenk abgenommen haben. Wenn die Handgelenkerkennung deaktiviert ist, stellt das Kontrollzentrum eine Option zum Sperren der Apple Watch bereit. Wenn die Apple Watch gesperrt ist, kann Apple Pay nur verwendet werden, nachdem der Code auf der Apple Watch eingegeben wurde. Die Handgelenkerkennung wird mit der App „Watch“ auf dem iPhone ausgeschaltet. Diese Einstellung kann mithilfe eines Gerätemanagementdienstes erzwungen werden.

Aktivierungssperre

Wenn „Wo ist?“ für ein iPhone aktiviert ist, kann die damit gekoppelte Apple Watch ebenfalls die Aktivierungssperre verwenden. Die Aktivierungssperre erschwert unbefugten Personen den Verkauf oder die Verwendung einer Apple Watch, die verloren oder gestohlen wurde. Die Aktivierungssperre bewirkt, dass der Apple Account der Person und ihr Passwort eingegeben werden müssen, um die Kopplung aufzuheben, die Daten zu löschen oder die Apple Watch neu zu aktivieren. Weitere Informationen sind unter Sicherheit bei der Aktivierungssperre zu finden.

Sicheres Koppeln mit iPhone-Geräten

Eine Apple Watch kann nur mit jeweils einem iPhone gleichzeitig gekoppelt werden. Wenn die Kopplung der Apple Watch aufgehoben wird, kommuniziert das iPhone Anweisungen zum Löschen aller Inhalte und Einstellungen von dieser Apple Watch.

Das Koppeln einer Apple Watch mit einem iPhone wird über ein Secret gesichert, das in einem animierten Muster auf der Apple Watch angezeigt und von der iPhone-Kamera erfasst wird. Eine sechsstellige PIN wird auch als alternative Kopplungsmethode zur Verfügung gestellt, falls notwendig. Die Art und Weise, wie das Secret oder die PIN verwendet wird, ist von der auf der Apple Watch bzw. auf dem iPhone installierten Betriebssystemversion abhängig.

Wenn die Apple Watch mit watchOS 26 (oder neuer) mit einem iPhone mit iOS 26 (oder neuer) gekoppelt wird, wird die Kopplung durch das Austauschen der Schlüssel über eine sichere IKEv2-Verbindung durchgeführt. Diese Verbindung wird entweder über die standardmäßige PSK-Authentifizierung, über das im animierten Muster verschlüsselten Secret oder über ein von der PIN über SPAKE2+ abgeleitetes verbindungsspezifisches Secret authentifiziert. ML-KEM-1024 wird verwendet, um Quantensicherheit zusätzlich zu der von der elliptischen Diffie-Hellman-Methode angebotenen Sicherheit bereitzustellen.

Nachdem die Verbindung hergestellt wurde, generiert jedes Gerät ein zufälliges öffentliches/privates Ed25519-Schlüsselpaar und die öffentlichen Schlüssel werden ausgetauscht. Die privaten Schlüssel sind in der Secure Enclave auf der Apple Watch verankert. Dies ist auf dem iPhone nicht möglich, da die Wiederherstellung eines iCloud-Backups durch Benutzer:innen auf dasselbe iPhone die bereits vorhandene Apple Watch-Kopplung ohne Migration erhalten bleibt. Jedes Gerät generiert außerdem Secrets für die BLE 4.1-Out-of-Band-Kopplung und tauscht sie aus.

Wenn auf der Apple Watch und auf dem iPhone ältere Software installiert ist, wird das im animierten Muster verschlüsselte Secret für die BLE 4.1-Out-of-Band-Kopplung verwendet und die sechsstellige PIN wird für die Kopplung der standardmäßigen BLE-Passkey-Eingabe verwendet. Nachdem die BLE-Sitzung etabliert und unter Verwendung des höchsten Sicherheitsprotokolls verschlüsselt wurde, das laut Bluetooth Core Specification verfügbar ist, tauschen das iPhone und das Apple Watch-Gerät ihre Schlüssel auf einem der folgenden Wege aus:

• Ein auf Basis von Apple Identity Service (IDS) adaptierter Prozess, der im Abschnitt Sicherheit bei iMessage – Übersicht beschrieben wird.

• Ein Schlüsselaustausch unter Verwendung von IKEv2/IPSec. Der anfängliche Schlüsselaustausch wird entweder mithilfe des Schlüssels der Bluetooth-Sitzung (bei Kopplungsszenarien) oder mithilfe der IDS-Schlüssel (bei der Aktualisierung des Betriebssystems) authentifiziert. Jedes Gerät generiert ein öffentliches und privates Ed25519-Schlüsselpaar, dessen öffentliche Schlüssel im Zuge des anfänglichen Schlüsselaustauschs ausgetauscht werden. Wenn eine Apple Watch mit watchOS 10 (oder neuer) erstmals gekoppelt wird, werden die privaten Schlüssel an die zugehörige Secure Enclave weitergeleitet.

  Auf einem iPhone mit iOS 17 (oder neuer) werden private Schlüssel nicht an die Secure Enclave weitergeleitet, da Benutzer:innen das iCloud Backup auf dasselbe iPhone wiederherstellen können, wodurch die Kopplung einer vorhandenen Apple Watch ohne Migration erhalten bleibt.

Nachdem die Schlüssel ausgetauscht wurden, geschieht Folgendes:

• Der Schlüssel der Bluetooth-Sitzung wird verworfen und die gesamte Kommunikation zwischen dem iPhone und dem Apple Watch-Gerät wird mithilfe einer der oben beschriebenen Methoden verschlüsselt – wobei verschlüsselte Bluetooth-, WLAN- und Mobilfunk-Links eine zweite Verschlüsselungsebene bereitstellen.

  Auch die BLE-Geräteadresse wird in 15-Minuten-Intervallen geändert, um das Risiko zu reduzieren, dass das Gerät durch Senden einer dauerhaften ID lokal verfolgt wird.

• (Nur IKEv2/IPsec) Die Schlüssel werden im Schlüsselbund des Systems gespeichert und für die Authentifizierung künftiger IKEv2/IPsec-Sitzungen zwischen den Geräten verwendet. Die Verschlüsselung zwischen Geräten basiert auf der Hardware und den Betriebssystemen:

  • Ein iPhone mit iOS 26 (oder neuer), das mit einer Apple Watch mit watchOS 26 (oder neuer) gekoppelt ist, verwendet ML-KEM-768 für die Quantensicherheit, zusätzlich zu der von der elliptischen Diffie-Hellman-Methode bereitgestellten Sicherheit.

  • Ein iPhone mit iOS 15 (oder neuer), das mit einer Apple Watch Series 4 (oder neuer) mit watchOS 8 (oder neuer) gekoppelt ist, wird verschlüsselt und die Integrität wird durch AES-256-GCM geschützt.

  • Ältere Geräte oder Geräte mit einer älteren Betriebssystemversion als ChaCha20-Poly1305 mit 256-Bit-Schlüsseln.

Zur Unterstützung von Apps, die Streaming-Daten benötigen, erfolgt die Verschlüsselung mithilfe der Methoden, die im Abschnitt FaceTime-Sicherheit beschrieben werden. Hierzu wird der vom gekoppelten iPhone bereitgestellte IDS-Dienst (Apple Identity Service) oder eine direkte Internetverbindung verwendet.

Die Apple Watch implementiert hardwareverschlüsselten Speicher sowie klassenbasierten Schutz für Dateien und Schlüsselbundobjekte. Darüber hinaus werden zugriffsgesteuerte Keybags für Schlüsselbundobjekte verwendet. Die für die Kommunikation zwischen dem Apple Watch- und dem iPhone-Gerät verwendeten Schlüssel sind durch einen klassenbasierten Schutz gesichert. Weitere Informationen sind unter Keybags für Datensicherheit zu finden.

Bestätigen in macOS mit der Apple Watch

Wenn das automatische Entsperren mit der Apple Watch aktiviert ist, kann die Apple Watch anstelle von oder in Kombination mit Touch ID verwendet werden, um Aufforderungen zur Autorisierung und Authentifizierung von Folgendem zu bestätigen:

• macOS- und Apple-Apps, die eine Autorisierung verlangen

• Drittanbieter-Apps, die eine Authentifizierung verlangen

• Gesicherte Safari-Passwörter

• Geschützte Notizen

Sichere Verwendung von WLAN, Mobilfunk, iCloud und Gmail

Wenn sich die Apple Watch außerhalb der Bluetooth-Reichweite befindet, kann alternativ eine WLAN- oder Mobilfunk-Verbindung verwendet werden. Die Apple Watch stellt automatisch eine Verbindung zu WLANs her, mit denen sich zuvor das gekoppelte iPhone verbunden hat und dessen Anmeldedaten mit der Apple Watch synchronisiert wurden, während sich beide Geräte in Reichweite befanden. Das Verhalten „Automatisch verbinden“ kann danach auf Netzwerkbasis im Bereich „Einstellungen“ > „WLAN“ auf dem Apple Watch-Gerät konfiguriert werden. WLANs, zu denen von keinem der Geräte zuvor eine Verbindung hergestellt wurde, können im Abschnitt „WLAN“ in der App „Einstellungen“ der Apple Watch manuell verbunden werden.

Befinden sich Apple Watch und iPhone außerhalb ihrer Reichweite, stellt die Apple Watch direkt eine Verbindung zu iCloud und Gmail-Servern her, um Mail abzurufen. In dieser Situation erfolgt keine Synchronisation der Mail-Daten mit dem gekoppelten iPhone über das Internet. Bei Gmail-Accounts müssen sich Benutzer:innen im Abschnitt „Mail“ der App „Watch“ auf dem iPhone bei Google authentifizieren. Der von Google empfangene OAuth-Token wird in verschlüsseltem Format über Apple IDS (Identity Service) an die Apple Watch gesendet. Danach kann es zum Abrufen von Mail verwendet werden. Dieser OAuth-Token wird nicht vom gekoppelten iPhone für die Konnektivität mit dem Gmail-Server verwendet.