Was euer Mac über euch und euer Umfeld weiß

Auf jedem aktuellen Mac laufen zwei Hintergrunddienste, die fast niemand kennt: knowledgeconstructiond und intelligenceplatformd. Ihre Aufgabe ist es, einen Wissensgraphen über die Person am Rechner aufzubauen. Wer ihr nahesteht, wer zur Familie gehört, mit wem sie wann kommuniziert, wo sie sich aufhält und welche Termine anstehen.

Die offizielle Dokumentation besteht aus einer Manpage mit drei Sätzen. Was genau drinsteht, haben die Sicherheitsforscher Dario Pasquini und Michał Bazyli von Eighth Rank Ende Oktober auseinandergenommen. Ihre Analyse lief auf Hacker News weit oben. Hier die wichtigsten Punkte, und was ihr damit anfangt.

Was in dem Graphen steckt

Die Dienste legen ihre Daten unter ~/Library/IntelligencePlatform ab, in rund fünfzig SQLite-Datenbanken. Die zentrale heißt graph.db. Sie speichert Aussagen nach dem Muster Subjekt, Beziehung, Objekt, etwa "Person X, Arbeitgeber, Firma Y". Das von Apple mitgelieferte Vokabular kennt 181 Arten von Dingen und 278 Arten von Beziehungen.

Gefüttert wird der Graph laut der Analyse aus:

• Kontakten, Kalender (Titel und Teilnehmende) und Familienfreigabe, inklusive Alter der Familienmitglieder
• Gesichtern in der Fotos-Mediathek und wer mit wem auf Bildern auftaucht
• dem Notfallkontakt aus der Health-App
• Terminen und Kontakten, die Siri-Vorschläge in Mail und Nachrichten findet
• Bestell- und Versandmails sowie Wallet-Daten
• installierten Apps
• einem Kommunikationsprotokoll: wer, wann, über welche App, in welche Richtung. Ohne Nachrichteninhalt, aber über ein Jahr

Das meiste davon ist schlicht kopiert. Spannend wird es bei dem, was das System selbst schließt.

Was der Mac sich selbst zusammenreimt

Zwei mitgelieferte Klassifikatoren entscheiden, wer zur Familie gehört. Sie bekommen 144 Merkmale, und nur ein kleiner Teil davon sind naheliegende Signale wie gleicher Nachname oder gleiche Adresse. Der Großteil beschreibt Verhalten: wie oft ihr jemandem schreibt, zu welcher Tageszeit, an welchen Wochentagen, und wie oft die Person auf euren Fotos auftaucht. Eines der Merkmale heißt wörtlich photosPersonPosteriorProbabilityGivenSaturdayNight.

Dazu kommen laut den Forschern Analysen in Fotos, die Partner, Eltern, Kinder, Kollegen und Freunde aus gemeinsamen Bildern ableiten. Ist Apple Intelligence aktiv, liest das lokale Sprachmodell Nachrichten, um unbekannten Gesichtern einen Namen und eine Beziehung zuzuordnen.

Wie viel aus solchen Metadaten folgt, zeigen die Forscher an einem Beispiel. Allein durch Verknüpfen der Tabellen ließ sich in ihrem Datenbestand ablesen, dass im Haushalt ein Kind lebt, wie alt es ungefähr ist, welche Kita es besucht und unter welchen Nummern die erreichbar ist. Aus den Zeitstempeln der Kommunikation ergibt sich nebenbei, wann jemand schläft. Gespeichert hat das niemand ausdrücklich, es fällt einfach heraus.

Die Forscher kennzeichnen Teile ihrer Zuordnung als Schlussfolgerung. Nicht für jede Klasse im Vokabular haben sie einen Mechanismus gefunden, der sie tatsächlich befüllt.

Drei Punkte, die stören

Euer Umfeld wurde nicht gefragt

Im Graphen stehen nicht nur die Person am Mac, sondern alle, mit denen sie zu tun hat. Familie, Freunde, Kolleginnen, Kunden. Wer einmal in einer Kalendereinladung stand, ist drin.

Löschen löscht nicht überall

Entfernt ihr einen Kontakt, verschwindet er aus dem aktiven Graphen. Die zurückgezogenen Einträge wandern aber in eine zweite Tabelle, expired_stable_graph, samt Konfidenz und Herkunft. Wie lange sie dort bleiben, ist unklar. Auf dem Mac der Forscher fanden sich darin sehr alte Datensätze.

Nichts einsehen, nichts korrigieren

Es gibt keine Oberfläche, die zeigt, was gespeichert ist, und keinen Weg, eine falsche Zuordnung zu berichtigen. Wenn das System entscheidet, dass jemand eure Schwester ist, steht das so drin.

Das Positive: Alles bleibt nach bisherigem Stand lokal. Die Datenbanken liegen zwar unverschlüsselt im Klartext, aber in einem Bereich, den macOS über die Berechtigung "Festplattenvollzugriff" schützt.

Selbst nachgeprüft

Auf unserem Test-Mac mit macOS 27.2 sieht das so aus: Beide Dienste sind als Launch Agents registriert, die Manpage von knowledgeconstructiond trägt das Datum 06.06.2022, und der Ordner ~/Library/IntelligencePlatform existiert seit November 2024. Ein Terminal ohne Festplattenvollzugriff bekommt beim Öffnen nur Operation not permitted. So soll es sein.

Ihr könnt das bei euch mit drei Befehlen prüfen:

man 8 knowledgeconstructiond
launchctl print gui/$(id -u) | grep -iE "knowledgeconstructiond|intelligenceplatformd"
ls -ld ~/Library/IntelligencePlatform

Wer den Graphen lesen kann

An dieser Stelle könnt ihr selbst etwas tun. Jede App mit Festplattenvollzugriff kann die Datenbanken lesen. Bei Terminal-Apps gilt das auch für alles, was ihr darin startet: Skripte, Paketinstallationen und Coding-Agenten.

Viele Entwicklerinnen und Entwickler haben ihrem Terminal irgendwann Festplattenvollzugriff gegeben, weil ein Tool danach verlangt hat. Dann kann ein kompromittiertes npm-Paket oder ein per Prompt Injection umgelenkter Agent den kompletten Beziehungsgraphen mitnehmen. Ein Szenario, wie Angreifer so etwas ausnutzen könnten, spielen die Forscher in einem zweiten Text durch.

Was ihr tun könnt:

1. In den Systemeinstellungen unter "Datenschutz & Sicherheit" die Liste "Festplattenvollzugriff" durchgehen. Alles abschalten, was den Zugriff nicht dauerhaft braucht. Bei Terminal, iTerm, Warp und IDEs genau hinschauen.
2. Coding-Agenten nicht in einem Terminal mit Festplattenvollzugriff laufen lassen, oder nur in einer Sandbox. Was die eingebauten Sandboxen der Agenten leisten, steht in Agenten-Sandbox: Was sie schützt, was nicht.
3. Wer wissen will, was der eigene Mac gespeichert hat, kann das mit iKnow nachsehen, einem Dashboard der Forscher unter Apache-2.0-Lizenz. Es läuft nur lokal, öffnet die Datenbanken schreibgeschützt und braucht nichts außer Python 3. Getestet ist es mit macOS 26.6.2, 26.7.1 und 27.0.1, unter macOS 27 funktionieren laut README noch nicht alle Seiten. Damit es lesen kann, braucht das Terminal Festplattenvollzugriff. Den nach dem Nachsehen wieder entziehen.

Das Repo enthält auch eine Anleitung, mit der ein KI-Agent die Datenbanken selbst durchsuchen kann. Die Forscher raten, dafür ein selbst gehostetes Modell zu nehmen und kein Cloud-Modell. Dem schließen wir uns an: Den kompletten Beziehungsgraphen an einen Cloud-Dienst zu schicken, wäre genau der Abfluss, den man vermeiden will.

Für Firmen-Macs

Auf einem Dienst-Mac mit Firmenmail, Firmenkalender und Firmenkontakten baut der Graph auch ein Bild der Arbeitsbeziehungen. Wer mit wem in Terminen sitzt, wer wem wie oft schreibt, wer abends noch erreichbar ist. Diese Daten betreffen Kolleginnen, Kunden und Geschäftspartner.

Solange alles lokal bleibt, verlässt nichts den Rechner. Trotzdem gibt es Fragen, die Datenschutzbeauftragte und IT gemeinsam klären sollten:

• Zugriffsrechte: Welche Programme haben auf den verwalteten Macs Festplattenvollzugriff? Das sollte die IT wissen und, wo es geht, per MDM steuern.
• Geräterückgabe: Wird ein Mac beim Ausscheiden oder vor der Weitergabe vollständig gelöscht, oder nur das Benutzerkonto bereinigt? Der Graph liegt im Benutzerordner.
• Backups: Landet ~/Library in Firmen-Backups, liegt der Graph dort mit.
• Verzeichnis der Verarbeitungstätigkeiten: Gehört eine Verarbeitung, die das Betriebssystem auf firmeneigenen Geräten ohne Zutun vornimmt, dort hinein? Das ist eine rechtliche Bewertung, die eure Datenschutzbeauftragten treffen müssen.

Mit Apple Intelligence hat das nur teilweise zu tun. Die Manpage stammt aus der Zeit von macOS 13, der Graph ist also deutlich älter. Laut der Analyse hängt nur das Benennen von Gesichtern per Sprachmodell daran, dass Apple Intelligence aktiv ist. Einen dokumentierten Schalter, der den Graphen abstellt, gibt es nicht.

Ähnlich gelagert war im Sommer die Funktion "Computer History" von ChatGPT, die Aktivitäten am Mac in unverschlüsselte Dateien schreibt. Mehr dazu in unserer Meldung ChatGPT merkt sich, was du am Mac tust.