Apple Security Research Device: Bewerbung endet am 30. Oktober
Apple hat gerade ein iPhone im Angebot, das vermutlich deutlich exklusiver ist als jedes Pro-Modell.
Kaufen kann man es allerdings nicht.
Mit dem Security Research Device, kurz SRD, stellt Apple ausgewählten Sicherheitsforschern ein speziell vorbereitetes iPhone zur Verfügung, mit dem sich deutlich tiefer in iOS hineinschauen lässt als mit einem normalen Gerät.
Wer sich für das aktuelle Programm bewerben möchte, muss sich allerdings beeilen:
Die Bewerbungsphase endet am 30. Oktober 2026.
Und einfach nur großes Interesse an iPhones reicht für eine Teilnahme nicht ganz aus.
Was ist das Apple Security Research Device?
Das Security Research Device ist ein speziell für Sicherheitsforschung vorbereitetes iPhone.
Apple beschreibt es als ein „specially fused iPhone“.
Dabei geht es nicht darum, ein besonders seltenes Sammlermodell mit anderer Gehäusefarbe zu bekommen.
Der Unterschied steckt vielmehr tief im System.
Ein normales iPhone ist bewusst so abgesichert, dass Nutzer und Anwendungen nur sehr eingeschränkten Zugriff auf zentrale Bereiche von iOS bekommen.
Für Sicherheitsforscher ist genau das ein Problem.
Wer beispielsweise Schwachstellen im Kernel untersuchen möchte, muss sich zunächst an verschiedenen Schutzmechanismen vorbeiarbeiten.
Beim SRD öffnet Apple diese Türen bewusst.
Shell-Zugriff direkt auf dem iPhone
Teilnehmer des Programms erhalten unter anderem Shell-Zugriff.
Damit lässt sich das System wesentlich direkter untersuchen.
Forscher können eigene Werkzeuge ausführen und deutlich tiefer analysieren, wie einzelne iOS-Komponenten funktionieren.
Apple erlaubt außerdem, eigene sogenannte Entitlements festzulegen.
Normalerweise kontrollieren diese Berechtigungen sehr genau, auf welche Funktionen eine Anwendung zugreifen darf.
Beim SRD können Forscher diese Grenzen gezielt verändern.
Sogar der Kernel darf angepasst werden
Noch ungewöhnlicher wird es beim Kernel.
Teilnehmer dürfen diesen auf dem Security Research Device anpassen.
Für normale iPhones wäre das praktisch undenkbar.
Apple schützt den Kernel schließlich mit mehreren Sicherheitsebenen davor, verändert oder manipuliert zu werden.
Für die Sicherheitsforschung werden diese Einschränkungen gezielt gelockert.
Dadurch können Forscher beispielsweise untersuchen:
wie bestimmte Systemkomponenten reagieren
welche Auswirkungen Speicherfehler haben
ob Schutzmechanismen umgangen werden können
wie sich potenzielle Schwachstellen reproduzieren lassen
welche Systembereiche miteinander kommunizieren
Das SRD ist damit eher ein mobiles Sicherheitslabor als ein normales Smartphone.
Sicherheitsmechanismen müssen nicht erst geknackt werden
Genau darin liegt der eigentliche Vorteil des Programms.
Bei einem normalen iPhone müsste ein Forscher unter Umständen zunächst eine oder mehrere Schwachstellen finden beziehungsweise vorhandene Exploits verwenden, nur um genügend Zugriff für die eigentliche Analyse zu bekommen.
Das ist etwas paradox.
Man muss erst die Sicherheit umgehen, um anschließend Sicherheit erforschen zu können.
Mit dem SRD nimmt Apple diesen Zwischenschritt weitgehend heraus.
Der Forscher kann sich direkt mit dem interessanten Teil beschäftigen.
Fast ganz iOS darf untersucht werden
Apple erlaubt im Rahmen des Programms die Untersuchung praktisch sämtlicher iOS- und iPhone-Komponenten.
Es gibt allerdings zwei wichtige Ausnahmen:
Apple Pay
Apps von Drittanbietern
Bei Drittanbieter-Code gelten ohnehin andere Zuständigkeiten.
Findet ein Forscher dort eine Schwachstelle, muss diese gegebenenfalls zusätzlich dem jeweiligen Entwickler gemeldet werden.
Apple verlangt grundsätzlich, dass mit dem SRD entdeckte Sicherheitsprobleme zeitnah gemeldet werden.
Zugang zu Beta-Projekten und Spezialwerkzeugen
Das Gerät allein ist nicht der einzige Vorteil des Programms.
Teilnehmer erhalten außerdem Zugang zu weiteren Ressourcen.
Dazu gehören:
Software-Vorabversionen
Security-Beta-Projekte
spezielle Forschungswerkzeuge
die SRD-Forschercommunity
Dadurch können Sicherheitsforscher teilweise bereits Technologien untersuchen, bevor diese regulär veröffentlicht werden.
Für Apple ist das natürlich ebenfalls interessant.
Je früher eine Schwachstelle entdeckt wird, desto größer ist die Chance, sie vor einer breiten Veröffentlichung zu beseitigen.
Gefundene Sicherheitslücken können Geld bringen
Interessant wird das Ganze auch finanziell.
Sicherheitslücken, die mit Hilfe eines Security Research Device entdeckt werden, werden automatisch für das Apple Security Bounty Program berücksichtigt.
Abhängig von der Schwere einer Schwachstelle können entsprechende Meldungen mit Prämien belohnt werden.
Für Sicherheitsprobleme in Beta- oder Preview-Versionen können außerdem zusätzliche Boni vorgesehen sein.
Das SRD ist damit nicht nur Forschungsgerät, sondern indirekt auch ein Werkzeug für professionelle Bug-Bounty-Forschung.
Das iPhone gehört weiterhin Apple
Wer ein Security Research Device bekommt, besitzt es allerdings nicht.
Apple stellt das Gerät lediglich als Leihgerät zur Verfügung.
Die Laufzeit beträgt zunächst:
12 Monate
Danach kann die Leihe verlängert werden.
Das Gerät bleibt während der gesamten Zeit Eigentum von Apple.
Man bekommt also eines der ungewöhnlichsten iPhones der Welt – darf es aber streng genommen nicht einmal wirklich sein eigenes nennen.
Als normales Smartphone darf es nicht verwendet werden
Auch als schickes Zweithandy ist das SRD nicht gedacht.
Apple schreibt ausdrücklich vor, dass das Gerät ausschließlich für Sicherheitsforschung verwendet werden darf.
Es ist nicht für:
private Nutzung
den täglichen Smartphone-Einsatz
das Mitnehmen als normales Mobiltelefon
vorgesehen.
Das Gerät muss in einer kontrollierten Forschungsumgebung bleiben.
Das Gerät darf die registrierten Räume nicht verlassen
Die Regeln gehen sogar noch weiter.
Das Security Research Device muss sich grundsätzlich auf den bei Apple registrierten Räumlichkeiten des Programmteilnehmers befinden.
Man kann damit also nicht gemütlich zum Café fahren und dort ein wenig iOS-Kernelanalyse betreiben.
Auch der Zugriff ist eingeschränkt.
Nur Personen, die von Apple dafür autorisiert wurden, dürfen das Gerät verwenden.
Das zeigt ziemlich deutlich, dass Apple das SRD nicht als Entwickler-Spielzeug betrachtet.
Wer kann sich bewerben?
Das Programm richtet sich sowohl an erfahrene als auch an neue Sicherheitsforscher.
„Neu“ bedeutet allerdings nicht, dass man gestern erstmals einen Hex-Editor installiert haben sollte.
Apple erwartet einen nachweisbaren Hintergrund bei der Entdeckung von Sicherheitsproblemen.
Bewerber müssen bereits erfolgreich Schwachstellen gefunden haben, beispielsweise in:
Apple-Plattformen
modernen Betriebssystemen
anderen aktuellen Softwareplattformen
Damit möchte Apple offenbar sicherstellen, dass die begrenzte Anzahl der Geräte tatsächlich produktiv für Sicherheitsforschung eingesetzt wird.
Weitere Voraussetzungen für die Bewerbung
Zusätzlich gelten einige formale Bedingungen.
Bewerber müssen:
in einem unterstützten Land oder einer unterstützten Region leben
volljährig sein
dürfen aktuell nicht bei Apple beschäftigt sein
dürfen auch innerhalb der vergangenen zwölf Monate nicht bei Apple beschäftigt gewesen sein
Auch Unternehmen oder Universitäten können am Programm teilnehmen.
In diesem Fall muss eine entsprechend bevollmächtigte Person die Bewerbung einreichen und angeben, welche Personen Zugriff auf das SRD benötigen.
Die Zahl der Geräte ist begrenzt
Apple stellt jedes Jahr nur eine begrenzte Anzahl von Security Research Devices zur Verfügung.
Eine Bewerbung bedeutet deshalb nicht automatisch, dass anschließend ein Paket aus Cupertino vor der Tür steht.
Apple prüft die Anträge und entscheidet anschließend, welche Forscher teilnehmen dürfen.
Ein überzeugender Hintergrund in der Sicherheitsforschung dürfte entsprechend wichtig sein.
Bewerbung nur noch bis 30. Oktober
Für die aktuelle Runde endet die Bewerbungsphase am:
30. Oktober 2026
Damit bleibt nur noch wenig Zeit.
Interessierte Sicherheitsforscher sollten ihre Bewerbung deshalb nicht unbedingt bis Donnerstagabend 23:58 Uhr aufschieben.
Wobei das vermutlich ohnehin die traditionellste Vorgehensweise bei Bewerbungsfristen ist.
Warum Apple überhaupt solche Geräte herausgibt
Auf den ersten Blick wirkt es vielleicht ungewöhnlich, dass Apple Sicherheitsforschern bewusst Zugriff auf normalerweise stark geschützte Systembereiche gibt.
Aus Sicherheitssicht ergibt das allerdings Sinn.
Je schwieriger eine Plattform zu untersuchen ist, desto kleiner wird automatisch der Kreis der Menschen, die unabhängig nach Schwachstellen suchen können.
Das schützt ein System nicht unbedingt.
Es erschwert teilweise nur die Sicherheitsforschung.
Mit dem SRD kann Apple ausgewählten Forschern einen kontrollierten Zugang ermöglichen, ohne die Schutzmechanismen gewöhnlicher iPhones lockern zu müssen.
Normale iPhones bleiben weiterhin abgesichert
Wichtig ist deshalb auch:
Die Möglichkeiten eines Security Research Device bedeuten nicht, dass sich ein normales iPhone einfach genauso entsperren lässt.
SRD-Geräte werden von Apple speziell für diesen Zweck vorbereitet.
Shell-Zugriff, eigene Entitlements und Kernel-Anpassungen gehören nicht zum Funktionsumfang eines normalen iPhones.
Wer also nach diesem Artikel sein iPhone 18 anschaut und eine Kernel-Shell sucht, dürfte eine Weile beschäftigt sein.
Ein interessantes Modell für Sicherheitsforschung
Ich finde das Programm grundsätzlich spannend.
Apple verfolgt bei iOS traditionell einen stark abgeschotteten Ansatz.
Das erhöht auf normalen Geräten die Hürde für Angriffe, macht aber gleichzeitig unabhängige Sicherheitsanalysen komplizierter.
Das Security Research Device versucht genau diesen Widerspruch aufzulösen.
Die normalen Geräte bleiben geschlossen.
Forscher bekommen dagegen kontrolliert ein System, auf dem sie wesentlich tiefer arbeiten können.
Das ist aus meiner Sicht sinnvoller, als Sicherheitsforschern künstlich das Leben schwerzumachen.
Mein Eindruck
Das SRD dürfte eines der technisch interessantesten iPhones überhaupt sein.
Nicht wegen einer besseren Kamera, eines schnelleren Chips oder einer neuen Gehäusefarbe.
Sondern weil es Dinge erlaubt, die Apple auf normalen Geräten ganz bewusst verhindert.
Shell-Zugriff, frei wählbare Entitlements und sogar Veränderungen am Kernel machen das Gerät zu etwas völlig anderem als einem normalen iPhone.
Natürlich würde ich so ein Gerät auch gerne einmal in die Finger bekommen.
Mein Bug-Bounty-Lebenslauf dürfte Apple allerdings vermutlich noch nicht unmittelbar dazu bewegen, eines per Expressversand loszuschicken.
Für professionelle Sicherheitsforscher sieht das anders aus.
Fazit
Apple nimmt noch bis zum 30. Oktober 2026 Bewerbungen für sein Security Research Device Program entgegen.
Ausgewählte Forscher erhalten ein speziell vorbereitetes iPhone, das deutlich umfangreichere Eingriffe in iOS erlaubt als ein normales Gerät.
Unter anderem stehen zur Verfügung:
Shell-Zugriff
eigene Forschungswerkzeuge
frei wählbare Entitlements
Kernel-Anpassungen
Software-Previews
Security-Beta-Projekte
Zugang zur SRD-Community
Gefundene Schwachstellen werden außerdem automatisch für Apples Security-Bounty-Programm berücksichtigt.
Das Gerät bleibt allerdings Eigentum von Apple und wird jeweils für zwölf Monate verliehen.
Als privates Smartphone darf es nicht verwendet werden und es muss auf den registrierten Forschungsräumlichkeiten verbleiben.
Damit ist das Security Research Device vermutlich tatsächlich eines der exklusivsten iPhones überhaupt.
Nicht weil es besonders teuer ist – sondern weil Apple erst einmal überzeugt werden muss, dass man überhaupt eines benutzen darf.
Quellen
Neowin:
Apple gives you less than a week to apply for its most exclusive iPhone
https://www.neowin.net/news/apple-gives-you-less-than-a-week-to-apply-for-its-most-exclusive-iphone/
Apple Security Research – Security Research Device Program:
https://security.apple.com/research-device/
Apple – Bewerbung für das Security Research Device:
https://security.apple.com/research-device/apply