Für alle, die bei Apple bleiben

iPhone härten statt wechseln

Du willst nicht zu GrapheneOS wechseln, sondern im Apple-Universum bleiben? Verständlich. Mit den richtigen Einstellungen holst du aus einem iPhone deutlich mehr Privatsphäre heraus. Hier die kompakte Checkliste zum Abhaken – sortiert nach Bereich.

Ehrliche Einordnung vorweg: iOS bleibt closed-source – „GrapheneOS-Niveau" ist auf einem iPhone nicht erreichbar (kein vom Nutzer prüfbarer Bootchain, keine echte App-Sandbox-Kontrolle, keine Per-App-Netzsperre ohne MDM). Mit dieser Konfiguration kommt man aber sehr weit. Der Angriffsvektor verschiebt sich von Inhalten hin zu Metadaten und Identifikatoren (Apple-Telemetrie, IMSI, Werbe-IDs, Push-Tokens). Wer das Maximum will, findet es weiterhin bei GrapheneOS.
Stand der Anleitung: Diese Checkliste ist mit iOS 26.x geprüft und gültig. Mit neuen iOS-Versionen können sich Menüpfade, Bezeichnungen und einzelne Schalter ändern oder wegfallen – prüfe die Punkte nach einem größeren Update kurz gegen.

1 · Apple-Konto & iCloud

Das Apple-Konto ist die größte Stellschraube – hier lohnt der meiste Aufwand. Geh die Punkte in deinem Tempo durch; du musst nicht alles auf einmal umstellen, und jeder Haken bringt dich schon ein Stück weiter.

Zwei Wege, eine Entscheidung: Entweder iCloud mit Erweitertem Datenschutz (ADP) nutzen – dann sind die Daten Ende-zu-Ende verschlüsselt, du behältst aber Komfort, Web-Zugriff und geräteübergreifende Synchronisierung. Oder iCloud komplett aus – dann liegt nichts bei Apple, du verzichtest aber bewusst auf „Wo ist?" inkl. Diebstahl-Ortung/-Wipe, Cloud-Backups, Web-Zugriff und automatische Synchronisierung. Für die meisten ist ADP der beste Kompromiss; die Komplett-Abschaltung lohnt vor allem bei sehr hohem Schutzbedarf.

2 · Datenschutz & Sicherheit

Einstellungen → Datenschutz & Sicherheit

Lockdown-Modus – nur bei echtem Bedarf

Der Lockdown-Modus ist Apples stärkste Schutzfunktion – aber er ist kein Standard-Tipp für alle. Er ist gezielt für Menschen gedacht, die mit aufwändigen, gezielten Angriffen rechnen müssen.

Was der Modus tut

  • Safari deaktiviert JIT und viele Web-Technologien – die häufigste Einfallstür für Exploits wird stark verkleinert.
  • Nachrichten blockiert die meisten Anhangstypen und Link-Vorschauen.
  • FaceTime/Anrufe von Unbekannten werden blockiert.
  • Kabel-Zubehör funktioniert nur am entsperrten Gerät.
  • 2G-Mobilfunk wird abgeschaltet (Schutz gegen IMSI-Catcher-Downgrades).
  • Verschärfter Speicherschutz, weniger Angriffsfläche im System.

Was es kostet (Komfort)

  • Manche Webseiten laden langsamer, unvollständig oder gar nicht.
  • Bestimmte Nachrichten-Anhänge, Vorschauen und Funktionen fehlen.
  • Manches Zubehör/Profile lassen sich nicht ohne Weiteres nutzen.
  • Einladungen/Anrufe von Unbekannten kommen evtl. nicht durch.

Für wen ist Lockdown gedacht?

✓ Sinnvoll bei besonderem Risiko

Wenn du realistisch ein Ziel gezielter Angriffe sein könntest – oder bei ausgeprägter „Paranoia" 🙂 einfach maximale Ruhe willst:

  • Journalist:innen, Aktivist:innen, Menschenrechtsarbeit
  • Politisch oder beruflich exponierte Personen
  • Personen mit Sorge vor Stalking/Spyware (z. B. „Pegasus"-Klasse)
  • Reisen in Hochrisiko-Umgebungen

— Für die meisten nicht nötig

Im normalen Alltag ist der Modus überdimensioniert. Der Grund ist einfach:

  • Lockdown schützt vor teuren, gezielten Exploits – nicht vor dem alltäglichen Tracking, das ohnehin schon die Einstellungen 1–13 abdecken.
  • Gegen Werbung, Tracker & Datensammlung wirken DNS-Filter, abgeschaltete Telemetrie und ein VPN – nicht der Lockdown-Modus.
  • Die Einschränkungen kosten täglich Komfort, ohne dass dem ein realer Bedrohungs­gewinn gegenübersteht.
Faustregel: Bist du persönlich jemand, den ein Angreifer mit viel Geld und Aufwand gezielt ins Visier nehmen würde? Dann ja. Geht es dir „nur" um weniger Tracking und mehr Privatsphäre im Alltag? Dann reichen die übrigen Maßnahmen auf dieser Seite – und du behältst den vollen Komfort.
Gut zu wissen: Lockdown lässt sich jederzeit unter Datenschutz & Sicherheit → Lockdown-Modus ein- und ausschalten (Neustart nötig). Du kannst ihn also gefahrlos testen – und einzelne Webseiten/Apps bei Bedarf gezielt ausnehmen.

3 · Standortdienste

Den Standort musst du nicht komplett opfern – meist reicht es, pro App bewusst zu entscheiden. Pfad: Datenschutz & Sicherheit → Ortungsdienste

4 · Apple Intelligence, Siri & Diktat

Hier geht es um Sprach- und KI-Funktionen, die bequem sind, aber Daten nach außen tragen können. Was du nicht brauchst, darfst du beruhigt abschalten – einschalten kannst du es später jederzeit wieder.

Bewusst ohne KI: Apple Intelligence kann Siri mit ChatGPT verknüpfen – Anfragen werden dann an einen externen Dienst weitergereicht. Wer diese Datenflüsse bewusst vermeiden will, lässt Siri komplett deaktiviert und installiert die ChatGPT-App gar nicht erst. So nutzt du den aktuell verfügbaren KI-Funktionsumfang (Siri + ChatGPT-Anbindung) ganz bewusst nicht – statt ihn nur halbherzig einzuschränken. KI-Dienste lassen sich bei Bedarf gezielt und getrennt am Rechner oder über bewusst gewählte Tools nutzen, nicht tief ins Telefon verwoben.

5 · Drahtlos-Verbindungen

Funkschnittstellen, die aus sind, können dich nicht verraten. Schalte entspannt ab, was du gerade nicht nutzt – im Alltag merkst du davon wenig.

6 · Mobilfunk – die 5G-Frage

Kurzantwort: 5G „Auto" anlassen, nicht auf LTE downgraden.

Warum?

Konkrete Einstellungen

Einstellungen → Mobilfunk → [SIM] → Sprache & Daten

7 · Safari (falls genutzt)

Nur relevant, wenn du Safari überhaupt nutzt – dann holen schon wenige Schalter eine Menge heraus.

8 · Mitteilungen & Sperrbildschirm

  • Mitteilungs-Vorschauen: „Wenn entsperrt" oder „Nie".
  • Kontrollzentrum auf Sperrbildschirm: AUS.
  • Heutige Ansicht auf Sperrbildschirm: AUS.
  • Wallet auf Sperrbildschirm: AUS (verhindert Pass-Phishing-Tricks).

9 · Tastatur

  • Drittanbieter-Tastaturen entfernen – sie können Tastenanschläge mitlesen. Nur die Apple-Standardtastatur nutzen.
  • Auto-Korrektur/Prädiktion: persönliche Wahl (läuft lokal). „Apple Intelligence beim Tippen" muss AUS sein.
  • Diktat: AUS.

10 · Apps & Berechtigungen

Die Faustregel ist entspannt: Jede App bekommt nur das, was sie wirklich braucht – alles andere darf ruhig zu bleiben.

11 · VPN (Always-On) & DNS

11a · dnsforge-DNS-Profil für iOS installieren

Der bequemste Weg zu verschlüsseltem, werbe- und tracker-filterndem DNS auf dem iPhone: ein fertiges Konfigurationsprofil von dnsforge.de. Es greift systemweit (DoH/DoT), nicht nur im Browser – kein App-Store, keine zusätzliche App nötig.

1) Profil bei dnsforge.de holen

Die fertigen iOS-Profile gibt es direkt beim Anbieter. Öffne dort den Abschnitt iOS und wähle eine Variante – pro Variante stehen zwei Profile bereit: DoH (HTTPS, empfohlene Standardwahl) oder DoT (TLS, Alternative).

So findest du das passende Profil:

  • Normal – Werbung, Tracker, Malware. Die richtige Wahl für fast alle.
  • Clean – zusätzlich Jugendschutz & SafeSearch (Familien-/Kindergeräte).
  • Hard – sehr strenge Listen, keine Ausnahmen (maximaler Schutz).
  • Blank – ohne Filter, nur Verschlüsselung.
Profile bei dnsforge.de öffnen →

2) Profil installieren & aktivieren

Profil öffnen

Die heruntergeladene .mobileconfig-Datei in Dateien → Downloads einmal antippen, bis der Hinweis erscheint, dass das Profil in den Einstellungen installiert werden muss.

Installieren

Einstellungen → Profil geladen öffnen, oben rechts auf Installieren, die „Netzverkehr"-Warnung bestätigen und erneut Installieren.

Aktiv prüfen

Das zuletzt installierte Profil ist automatisch aktiv. Kontrolle unter Einstellungen → Allgemein → VPN, DNS & Geräteverwaltung → DNS.

Cache leeren

Flugmodus einmal ein- und ausschalten, damit der DNS-Cache neu aufgebaut wird.

Verifizieren: Auf dnscheck.tools oder dnsleaktest.com sollten IP-Adressen von dnsforge.de erscheinen.
Zusammenspiel mit VPN: Läuft parallel ein WireGuard-/Always-On-VPN mit eigenem DNS, gewinnt in der Regel der Tunnel-DNS – das Profil greift dann vor allem, wenn kein Tunnel aktiv ist. Beides zusammen ist kein Problem; prüfe im Zweifel per DNS-Leak-Test, welcher Resolver antwortet.

Hinweis: Die Profile stammen direkt vom Anbieter dnsforge.de (Server in Deutschland, kein Logging). Installiere Konfigurationsprofile nur aus Quellen, denen du vertraust.

11b · Profis mit Mac: „Managed Device" via Apple Configurator

Wer einen Mac hat, kann sein iPhone mit Apple Configurator (gratis im Mac App Store) als betreutes („supervised") Gerät einrichten und ein eigenes Konfigurationsprofil bauen. Damit lässt sich Härtung erzwingen statt nur empfehlen und sauber in einem signierten Profil bündeln. Das ist der fortgeschrittene Weg; für die meisten reichen die Schritte 1–13.

Wichtig: Ein Gerät in den Supervised-Modus zu versetzen löscht es vollständig. Mach das nur mit deinem eigenen iPhone und nach einem Backup. Profile ohne Supervision lassen sich auch ohne Löschen installieren – dann lassen sich manche Einstellungen aber nur „empfehlen" statt hart erzwingen.

Was bringt das?

Hinweis zum VPN: Den WireGuard-Tunnel richtest du bewusst in der WireGuard-App selbst ein (mit „VPN bei Bedarf", siehe Abschnitt 11) – nicht im verwalteten Profil. So bleibt die VPN-Konfiguration in deiner Hand und unabhängig vom Profil.

Komfortabler: iMazing Swiss Made

Wem Apple Configurator und die Terminal-Schritte zu sperrig sind, nimmt iMazing aus der Schweiz (DigiDNA). Zwei Bausteine sind relevant:

  • iMazing Profile Editor – kostenlos (Mac & Windows): baut Profile per Oberfläche ohne XML, mit dem größten, dokumentierten Einstellungskatalog. Das macht vor allem das Erstellen sehr komfortabel. Signiert wird das fertige Profil anschließend trotzdem mit den bekannten Schritten (Actalis-Zertifikat, siehe Schritt 4).
  • Supervision & bequemes Ausrollen (stille Installation auf betreuten Geräten) bietet der kostenpflichtige iMazing Configurator (im iMazing-Business-Abo enthalten) – z. B. als Business-Lizenz für 2 Geräte in der Größenordnung von rund 70 €/Jahr (aktuellen Preis im iMazing-Store prüfen). Läuft lokal, ohne MDM-Cloud.

Kurz: Das Erstellen des Profils geht gratis & komfortabel mit dem Profile Editor; signiert wird wie unten beschrieben; nur das komfortable Supervidieren/Ausrollen kostet.

Schritt 1 – Configurator vorbereiten

Installieren & verbinden

Apple Configurator aus dem Mac App Store laden. iPhone per Kabel anschließen und am iPhone „Diesem Computer vertrauen" bestätigen.

(Optional) Supervision aktivieren

Nur für echtes Always-On-VPN nötig: Gerät rechtsklicken → Vorbereiten → „Manuelle Konfiguration", eine lokale Organisation anlegen (ohne MDM-Server). Das Gerät wird dabei gelöscht.

Schritt 2 – Profil erstellen (sinnvolle Payloads)

In Apple Configurator: Datei → Neues Profil. Dann nur die Bereiche („Payloads") konfigurieren, die du brauchst:

Allgemein

  • Name & eindeutige Kennung vergeben.
  • Entfernen des Profils: „Nur mit Autorisierung" oder „Nie" (strenger).

DNS-Einstellungen

  • Typ DoH/DoT, Server von dnsforge (siehe Abschnitt 11a). Greift dann systemweit – verwaltet, nicht löschbar durch Apps.

Code-Richtlinie

  • Mindestlänge erzwingen, alphanumerisch verlangen, Auto-Sperre und „Daten löschen nach 10 Fehlversuchen" festschreiben.

Einschränkungen

  • Gezielt erzwingen: z. B. Analyse/Diagnose an Apple aus, personalisierte Werbung aus, unsichere Funktionen sperren. Sparsam einsetzen.

WLAN

  • Vertraute Netze vorkonfigurieren (Auto-Join), „Private WLAN-Adresse" erzwingen, unsichere Netze ausschließen.

Zertifikate

  • Eigene CA-/S/MIME-Zertifikate hinterlegen – etwa für signierte Mail oder den Zugriff auf eigene Dienste.

Web-Inhaltsfilter

  • Optional: bestimmte Domains erlauben/blocken. Ergänzt den DNS-Filter, ersetzt ihn aber nicht.

Mail / Exchange

  • E-Mail-Konto deines Providers vorkonfigurieren (siehe Schritt 3 unten).

Speichern bzw. exportieren als iPhone_unsigned.mobileconfig – das ist das noch unsignierte Profil, das ich gleich signiere.

Schritt 3 – Mail- bzw. ActiveSync-Konto deines Providers

Im Profil ein Mail-Payload (klassisch IMAP/SMTP) oder ein Exchange-Payload (Exchange ActiveSync) hinzufügen. Tipp: das Passwort-Feld leer lassen – dann fragt das iPhone es bei der Installation einmalig sicher ab, statt es im Profil zu speichern.

AnbieterIMAP (Posteingang)SMTP (Postausgang)Hinweis
mailbox.orgimap.mailbox.org : 993 SSLsmtp.mailbox.org : 465 SSLExchange ActiveSync optional (im Webaccount aktivieren)
Posteoposteo.de : 993 SSLposteo.de : 465 SSLKein ActiveSync; IMAP/SMTP & CalDAV/CardDAV
mailomail.mailo.com : 993 SSLmail.mailo.com : 465 SSL—
Proton Mailnicht auf iOS (Bridge nur Desktop)nicht auf iOSProton Bridge läuft nur auf Win/Mac/Linux – auf dem iPhone die eigene App nutzen
Tutakein IMAPkein SMTPVerschlüsseltes Eigenformat – nur eigene App

Benutzername ist in der Regel die volle E-Mail-Adresse. Maßgeblich sind immer die aktuellen Angaben in der Hilfe deines Anbieters. Für Exchange ActiveSync (Mail, Kalender & Kontakte in einem) trägst du Server, Domain/Benutzer und SSL gemäß Provider-Doku ein.

Maximale Kontrolle – eigener Mailserver: Statt eines Anbieters kannst du auch eine selbstgehostete Mail-Lösung eintragen, etwa Mailcow (Docker-basiert, sehr verbreitet), Stalwart (moderner All-in-One-Server) oder Klassiker wie Mailu oder Postfix/Dovecot. Im Mail- bzw. ActiveSync-Payload trägst du dann einfach deine eigenen Server, Ports und SSL-Einstellungen ein. Vorteil: volle Datenhoheit. Preis: Betrieb, Wartung, Spam- und Reputations­pflege liegen bei dir – ein eigener Mailserver will gekonnt sein.

Schritt 4 – Profil signieren ohne Apple-Developer-Account

Ein unsigniertes Profil zeigt iOS als „nicht verifiziert". Mit einem vertrauenswürdigen Zertifikat signiert, erscheint es grün als „Verifiziert". Dafür brauchst du keinen kostenpflichtigen Apple-Developer-Account – es genügt ein kostenloses europäisches S/MIME-Zertifikat von Actalis (1 Jahr gültig, ein Zertifikat je E-Mail-Adresse gratis).

Gilt für jedes Profil: Egal ob du es mit Apple Configurator oder dem iMazing Profile Editor erstellt hast – signiert wird es über die folgenden Schritte mit deinem Actalis-Zertifikat.

Zertifikat holen

Bei Actalis registrieren, freies S/MIME-Zertifikat für deine E-Mail-Adresse anfordern, E-Mail-Adresse bestätigen. Du erhältst eine ZIP mit einer .p12-Datei (hier als certificate_s_mime_mv.p12) samt Passwort.

OpenSSL 3 via Homebrew installieren

Homebrew ist der beliebteste Paketmanager für macOS – ein Helfer, der Entwickler- und Kommandozeilen-Programme (wie hier OpenSSL) mit einem Befehl sauber installiert und aktuell hält. Er liegt nicht bei macOS dabei; du installierst ihn einmalig von brew.sh (ein Befehl, dort kopierfertig). Danach steht der Befehl brew im Terminal bereit:

brew install openssl@3

OpenSSL ist das Werkzeug, mit dem ich gleich das Profil signiere. Die mitgelieferte Apple-Version ist veraltet – daher die frische über Homebrew.

Kurzbefehl setzen

Damit ossl die Homebrew-Version nutzt (Apple-Silicon-Pfad; bei Intel-Macs /usr/local/opt/...):

alias ossl=/opt/homebrew/opt/openssl@3/bin/openssl

Bestandteile aus der .p12 extrahieren

Privater Schlüssel, eigenes Zertifikat und CA-Kette (Passwort der .p12 wird abgefragt):

# privater Schlüssel
ossl pkcs12 -in certificate_s_mime_mv.p12 -nocerts -nodes -out signer.key
# eigenes Zertifikat
ossl pkcs12 -in certificate_s_mime_mv.p12 -clcerts -nokeys -out signer.crt
# CA-Kette (Zwischenzertifikate)
ossl pkcs12 -in certificate_s_mime_mv.p12 -cacerts -nokeys -chain -out chain.pem

Zertifikat prüfen

Inhaber, Aussteller, Gültigkeit und Verwendungszweck kontrollieren:

ossl x509 -in signer.crt -noout -subject -issuer -dates -ext extendedKeyUsage

Profil auf Gültigkeit prüfen

Stellt sicher, dass das Profil sauberes XML/Plist ist:

plutil -lint iPhone_unsigned.mobileconfig

Profil signieren

Erzeugt das fertige, signierte Profil iPhone.mobileconfig:

ossl smime -sign -in iPhone_unsigned.mobileconfig -out iPhone.mobileconfig \
  -signer signer.crt -inkey signer.key -certfile chain.pem -outform DER -nodetach

Schritt 5 – Installieren

Das signierte iPhone.mobileconfig aufs iPhone bringen (per Apple Configurator, AirDrop oder E-Mail an dich selbst), dann unter Einstellungen → Profil geladen installieren. Es sollte nun grün als „Verifiziert" erscheinen.

Schlüssel schützen: signer.key ist dein privater Schlüssel – sicher aufbewahren und nicht weitergeben. Lösche die Roh-Dateien nach dem Signieren, wenn du sie nicht mehr brauchst.
Warum das Ganze? Ein signiertes, verwaltetes Profil bündelt DNS-Filter, Code-Richtlinie, Einschränkungen und dein Mail-Konto in einem nachvollziehbaren Paket – das Ergebnis kommt der Kontrolle, die GrapheneOS von Haus aus bietet, auf iOS am nächsten.

12 · Hardware & physische Sicherheit

  • Daten löschen nach 10 Fehlversuchen: AN.
  • Code: mindestens 8-stellig alphanumerisch, kein 6-Ziffern-PIN.
  • „Im Sperrzustand zulassen": alles deaktivieren, was geht (Wallet, Heimsteuerung, Antworten, Kontrollzentrum, USB-Zubehör).
  • USB-Zubehör im gesperrten Zustand: AUS.
  • Notruf-SOS-Lockdown (5× Seitentaste) einüben – setzt das iPhone in den BFU-State, in dem nur der Code akzeptiert wird.
  • Inactivity Reboot: seit iOS 18.1 automatisch nach ~72 h ohne Entsperrung. Nicht abschaltbar – gut so.

13 · Updates

  • Automatische iOS-Updates: AN. Der Sicherheitsgewinn überwiegt jedes Mal das Risiko, ein Update „zu schnell" zu installieren.
  • Rapid Security Responses: AN.

14 · Was auf iOS NICHT erreichbar ist

Fazit: Mit ADP, Lockdown-Modus, konsequent abgeschalteter Telemetrie, 5G-Auto und einem Always-On-VPN mit gefiltertem DNS wird aus einem iPhone ein erstaunlich privates Gerät. Die harte Grenze – prüfbarer Bootchain, echte Sandbox-Kontrolle – bleibt aber bei GrapheneOS.
iPhone vs. GrapheneOS im Vergleich → DNS, Mail & mehr