Nach Bekanntwerden der schweren FaceTime-Sicherheitslücke wurde rasch bekannt, dass einige Zeit zwischen erster Meldung und Apples Reaktion verging. Apple hatte zwar in einer der offiziellen Stellungnahmen nicht genau erwähnt, wie lange es dauerte – wohl aber, dass intern Optimierungsbedarf bestehe. Wichtige Meldungen dieser Art müssten schneller an die zuständigen Abteilungen gelangen, so die Kernaussage. Inzwischen gibt es auch eine grobe Chronologie der Ereignisse und die Erklärung, warum eine Woche bis zur Deaktivierung der Gruppentelefonie verstrich.


Entdeckung und Meldung
Entdeckt hatte den Bug ein 14-Jähriger namens Grant Thompson – seine Mutter gab am 22. Januar einen Tweet ab, in dem sie erstmals von der Lücke sprach. Darin heißt es, ihr Sohn habe ein Problem in iOS gefunden, das es ihm ermögliche, andere iPhones und iPads abzuhören. Es gebe Beweisvideos, die Sache sei dem Apple-Support gemeldet worden. Die Antwort des Kundendienstes lautete, Mrs. Thompson möge ihr Beweisvideo bitte dem Product Security Team zukommen lassen. Dazu sei es erforderlich, zunächst einen Entwickleraccount anzulegen, da sie ansonsten keine Bugmeldung einreichen könne.

Lange keine Reaktion
Anscheinend wurde die Meldung aber nicht mit sonderlicher Priorität bearbeitet. Am 29. Januar gab es immer noch keinerlei Reaktion, also sieben Tage nach dem ersten Tweet. Darin führt Mrs. Thompson aus, mehr als zehn Tage seien inzwischen verstrichen – anscheinend hatte sie den Support also schon vor der Veröffentlichung auf Twitter kontaktiert. Apple offenbarte damit übrigens ähnliches Interesse wie beispielsweise Fox-News – dort erkannte ebenfalls niemand die Sprengkraft der Entdeckung.

Plötzlich tut sich etwas
Erst am Abend des 29. Januar ergriff Apple dann die radikale Maßnahme, FaceTime-Gruppenkonferenzen serverseitig stillzulegen und für alle Nutzer komplett zu blocken. Möglicherweise erfolgte dies aber nur, da der Fall inzwischen in den Sozialen Medien an Fahrt gewonnen hatte – und Kritik an Apple Schweigen laut wurde. Apple äußerte sich seitdem zweimal öffentlich und kündigte einen Bugfix an.

Vielleicht lohnt es sich nun sehr für die Thompsons
Gleichzeitig kontaktierte ein nicht namentlich genannter, hochrangiger Apple-Manager die Familie. Man werde nun prüfen, ob der Fehlerbericht in das "Bug Bounty"-Programm aufgenommen werde. Dort winken je nach Schwere eines Sicherheitslecks bis zu 200.000 Dollar an Belohnung. Dies ist im Marktvergleich sehr geizig und die Höchstsumme fließt auch nur bei kapitalen Fehlern auf tiefer Systemebene. Normalerweise hat zu diesem Programm nur Zugang, wer von Apple eingeladen wurde – im vorliegenden Fall könnte es eine Ausnahme geben. Angesichts des Medienechos ist Apple offensichtlich gerade dabei, Scherben aufzukehren.