Apple vs. DMA: EU prüft Deaktivierung von Progressive Web Apps in iOS 17.4

Mit iOS 17.4 wird auf iPhones das Herunterladen von Apps aus einem alternativen App Store möglich sein. Aufgrund von „Sicherheitsbedenken“ wurde in der Beta zu iOS 17.4 zugleich die Unterstützung von Progressive Web Apps eingestellt. Dieses Vorgehen hat die EU-Regulierer nun veranlasst, eine Prüfung einzuleiten.

Apple deaktiviert Web Apps

Das kommende iOS-Update soll das Gesetz über digitale Märkte (DMA) umsetzen, bevor es Anfang März in Kraft tritt. Apple hat deshalb mit iOS 17.4 vorgelegt und testet die neueste Version des iPhone-Betriebssystems gerade in einer öffentlichen Beta. In einer zweiten Beta Anfang Februar hatte Apple allerdings die Unterstützung für Progressive Web Apps (PWA) gestrichen.

Bisher war es unter iOS möglich Webseiten auf dem Homescreen zu speichern und diese dann als Web App aufzurufen, der Sprung in den Browser entfällt. Doch auch in der aktuellen Beta 4 ist es weiterhin nicht möglich, etwa die PWA von ComputerBase zu öffnen, die Redaktion wurde nur auf den Safari-Browser verwiesen. iPadOS 17.4 ist nicht betroffen.

EU prüft den Vorgang

Apples Vorgehen hat die zuständige Abteilung innerhalb der Europäischen Kommission dazu veranlasst, „im Speziellen“ die Umsetzung des DMAs in Bezug auf die Desintegration von PWAs zu untersuchen, schreibt die EU an die Financial Times. Die EU-Kommission hat dafür bereits Informationen vom iPhone-Konzern sowie von App-Entwicklern zu diesem Vorgang angefordert um zu prüfen, ob die Umsetzung des DMA im Sinne des Gesetzes geschieht.

We are indeed looking at the compliance packages of all gatekeepers, including Apple. In that context, we're in particular looking into the issue of progressive web apps, and can confirm sending the requests for information to Apple and to app developers, who can provide useful information for our assessment.

Europäische Kommission

Die Umsetzung des DMA durch so genannte „Torwächter“ wie Apple wird von der Kommission grundsätzlich beobachtet. Apple ist hierbei also keine Ausnahme, betroffen sein dürften auch Amazon, Alphabet, ByteDance, Meta und Microsoft.

Arglistige Umsetzung des DMA?

Die Umsetzung von Apple steht ohnehin in der Kritik. Die Vorgaben der EU sollen den Wettbewerb stärken und Nutzern mehr Rechte einräumen. Die Umsetzung von Apple (weitere Details) scheint auf den ersten Blick auch demselben Ziel verpflichtet, doch der zweite Blick lässt daran Zweifel aufkommen.

Alternative App Stores kommen...

Mit dem Update auf iOS 17.4 wird Apple erstmalig vom Konzern streng kontrollierte Drittanbieter-App Stores sowie alternative Zahlungsmöglichkeiten zulassen. Dafür hat der Konzern allerdings auch zeitgleich sein Gebührenmodell umgestellt. Um auch außerhalb des App Stores an Umsätzen beteiligt zu sein, hat Apple zwar die Gebühr von 30 Prozent auf 10-17 Prozent für sämtliche Umsätze heruntergesetzt, allerdings eben auch auf die neuen Bezahlmethoden, die Apple nicht bereitstellen wird, ausgeweitet.

...aber nicht ohne neue Gebühren

Der Konzern hat zusätzlich eine sogenannte Grundgebühr („core technology fee“) von 50 Cent je Download eingeführt. Diese Gebühr muss jeder Entwickler zahlen, dessen App über eine Million Downloads verzeichnet, wobei diese erste Million auch dann noch kostenfrei bleibt. Damit betrifft die Änderung vorwiegend große Entwickler – und die Anbieter der neuen alternativen App Stores, denn diese müssen zwar außerhalb des App Stores heruntergeladen werden, unterliegen dann aber dennoch der Grundgebühr von Apple. Der Konzern verdient somit beim Download einer App mit und beim Download des Marktplatzes selbst.

Kein Sideloading wie auf Android

Der Konzern plant dementsprechend selbst bei Apps, die aus alternativen App Stores heruntergeladen werden, mitzuverdienen. Traditionelles Sideloading wie auf Android wird es damit nicht geben, denn Dateien aus dem Internet können genauso wenig installiert werden wie ältere Versionen von Apps. Der Zugriff erfolgt ausschließlich über neue App Stores.

Kürzlich hat bereits Microsoft angekündigt, aufgrund der neuen Gebührenstruktur keine Xbox Cloud Gaming App bereitzustellen. Auch Epic Games beklagt die Umsetzung des DMA, hält aber weiter an einem eigenen App Store fest. Spotify und Epic Games sprechen bei der Umsetzung des DMA laut der Financial Times von einer „bad faith“-Umsetzung.

Apple spricht von Sicherheit

Dem entgegnet Apple, dass das neue Geschäftsmodell fair sei, da der iPhone-Hersteller Tausende APIs und diverse Entwicklungsumgebungen sowie die Plattform als solche bereitstellt. An anderen Stellen wird deutlich, dass die Anforderungen der EU neue Sicherheitsbedürfnisse auslösen sollen, denen der Konzern etwa mit den strengen Auflagen für Drittanbieter-App-Stores und dem Aussetzen von PWAs begegnen möchte.

Der Entwickler aus Cupertino wird nicht müde zu betonen, dass der DMA „eine Reihe von Risiken“ mitführt. Eine geschlossene, von Apple kontrollierte Umgebung etwa bei Browser-Engines habe bisher zu Sicherheit unter anderem auch bei Web Apps geführt.

Apple: PWAs durch neue Browser-Engines potenziell unsicher

So führt der Konzern an durch die unterschiedlichen Browser-Engines könne man die Sicherheit der PWAs nicht mehr gewährleisten. Neue Browser mit neuen Browser-Engines, die nicht mehr unter der Kontrolle von Apple liegen, könnten unbemerkt schädliche PWAs installieren und Daten von anderen PWAs auslesen. Der Konzern habe sich deshalb dazu entscheiden, sie kurzerhand für alle zu deaktivieren. Der Techriese bedauert den Umstand und spricht von einer „kleinen Anzahl an Nutzern“, die betroffen sein werden. Von einer zukünftigen Reaktivierung der Funktion unter neuen Auflagen wird in dem Dokument nicht gesprochen.

Without this type of isolation and enforcement, malicious web apps could read data from other web apps and recapture their permissions to gain access to a user’s camera, microphone or location without a user’s consent. Browsers also could install web apps on the system without a user’s awareness and consent. Addressing the complex security and privacy concerns associated with web apps using alternative browser engines would require building an entirely new integration architecture that does not currently exist in iOS and was not practical to undertake given the other demands of the DMA and the very low user adoption of Home Screen web apps. And so, to comply with the DMA’s requirements, we had to remove the Home Screen web apps feature in the EU.

Apple

Hierbei sollte angemerkt werden, dass Web Apps auf Windows und Android bereits seit Jahren mit mehr Funktionsumfang und verschiedenen Browser-Engines funktionieren. Es ist deshalb nicht auszuschließen, dass auch Apple dies im Laufe der Zeit umsetzen kann. Weshalb eine zweijährige Vorlaufzeit bisher nicht ausreichend war, um die angeführten Sicherheitsrisiken auszumerzen, erläutert der Konzern unterdessen nicht.

Auswirkungen noch nicht absehbar

Zum aktuellen Zeitpunkt handelt es sich bei der Untersuchung der EU nur um ein frühes Sammeln von Informationen. Der DMA greift erst ab dem 6. März und bis dahin hat Apple Zeit jenen umzusetzen. Erst danach wird die EU-Kommission bestimmen können, wer gegen das Gesetz verstößt und den neuen Anforderungen an einen Torwächter nicht nachkommt. Ob die Streichung von PWAs einen Verstoß gegen EU-Regulierungen darstellt, sollte sich also in den kommenden Wochen zeigen.

Neben dem DMA ist mit dem Gesetz über digitale Dienste (DSA) bereits eine weitere Rechtsnorm in Kraft getreten, auf die Apple künftig achten muss.

In einer früheren Version des Artikels hieß es, mit iOS 17.4 würden Standard-Apps eingeführt werden, tatsächlich wird nur eine zusätzliche Abfrage eingeführt. Die Möglichkeit zur Konfiguration besteht seit iOS 14 für Mail und Browser.