Mac-Überwachung: warum macOS die Überwachung selbst schon eingebaut hat

Kurzantwort

macOS bringt die Werkzeuge mit, die auf einem Familien-Mac gebraucht werden: getrennte Benutzerkonten, Bildschirmzeit mit App-Limits und Auszeit, Family Sharing und die Freigabe von Käufen. Alles davon ist kostenlos und wird vom System durchgesetzt, nicht von einer App, die man umgehen kann.

Eine Fremdsoftware müsste dagegen als Systemerweiterung laufen, von Apple signiert sein und vom Benutzer freigegeben werden. Seit macOS Catalina ist das ein mehrstufiger Prozess, und seit Apple Silicon ist er an die Sicherheitsstufe des Rechners gebunden.

Praktisch heißt das: Auf einem Mac ist die Frage nicht, welche App man installiert, sondern wie man die Konten einrichtet. Ein Kinderkonto ohne Administratorrechte ist die wirksamste Maßnahme, die es gibt — und sie kostet nichts.

• Bildschirmzeit und Family Sharing sind eingebaut
• Fremdsoftware braucht Systemerweiterungen
• Apple-Silicon-Sicherheit begrenzt Eingriffe
• Kinderkonto ohne Adminrechte ist der Kern

Die drei Ebenen am Mac

Ebene eins: das Benutzerkonto. Ein Standardkonto darf keine Software installieren, keine Systemeinstellungen ändern und keine Dateien anderer Konten lesen. Das ist die wichtigste Grenze — und die einzige, die zuverlässig hält, weil sie im Kernel durchgesetzt wird.

Ebene zwei: die Bildschirmzeit. Sie verwaltet App-Limits, Auszeiten, Inhaltsfilter und Kommunikationsgrenzen, und sie funktioniert über Family Sharing auch dann, wenn das Kind ein eigenes Gerät hat. Der Bildschirmzeit-Code sollte nicht derselbe sein wie der Anmeldecode.

Ebene drei: Werkzeuge für Fortgeschrittene. Dazu gehören die Konsole, das Terminal, Profile für verwaltete Geräte und die Firewall. Diese Ebene ist für Eltern selten sinnvoll, für Unternehmen mit MDM dagegen Standard — und sie zeigt, warum „Mac-Überwachung" ein Unternehmensbegriff ist, der in den Privatbereich übertragen wurde.

Einrichtung in fünf Schritten

Legen Sie für das Kind ein eigenes Standardkonto an, nicht ein Administratorkonto. Der Unterschied entscheidet darüber, ob Limits später halten.

Aktivieren Sie die Bildschirmzeit für dieses Konto und setzen Sie einen eigenen Code. Ohne diesen Schritt sind Limits nur Vorschläge.

Prüfen Sie die Datenschutzeinstellungen: Standort, Mikrofon, Kamera und Festplattenzugriff. Diese Rechte werden pro App vergeben und sind der Ort, an dem sich Zugriff tatsächlich kontrollieren lässt.

Richten Sie Family Sharing ein, wenn mehrere Geräte im Haushalt sind. Damit gelten Käufe, Limits und Freigaben über alle Geräte hinweg.

Und ein Punkt, den viele übersehen: Aktivieren Sie FileVault und ein Anmeldepasswort, das nicht im Haushalt herumliegt. Ein Mac ohne Anmeldepasswort ist für jeden im WLAN ein offenes Laufwerk.

• Standardkonto statt Admin
• Bildschirmzeit mit eigenem Code
• Datenschutzrechte pro App prüfen
• Family Sharing für alle Geräte
• FileVault und Anmeldepasswort

Was eine Fremdsoftware leisten müsste

Um Bildschirminhalte zu sehen, bräuchte eine App die Freigabe für Bildschirmaufnahme. Um Tastatureingaben zu lesen, bräuchte sie Bedienungshilfen-Rechte. Um Dateien anderer Konten zu lesen, bräuchte sie vollen Festplattenzugriff. Um im Hintergrund zu starten, bräuchte sie einen Launch-Daemon.

Jede dieser Freigaben ist sichtbar. macOS zeigt sie in den Systemeinstellungen, und der Benutzer kann sie jederzeit entziehen. Es gibt keinen versteckten Weg an diesen Freigaben vorbei — das ist der Unterschied zu einem Telefon, auf dem eine App still im Hintergrund laufen kann.

Dazu kommt die Signatur: Systemerweiterungen müssen von Apple beglaubigt sein, und bei aktivierter Systemintegrität lassen sich zentrale Bereiche nicht verändern. Eine Lösung, die „unsichtbar" arbeitet, müsste diese Integrität abschalten — was auf einem Apple-Silicon-Mac nur mit einem Neustart in den Wiederherstellungsmodus möglich ist und dauerhaft sichtbar bleibt.

Apple Silicon, Intel und die Folgen

Auf Intel-Macs sind manche Eingriffe noch möglich, die auf Apple Silicon nicht mehr funktionieren. Das betrifft vor allem Kernel-Erweiterungen, die auf Apple Silicon durch Systemerweiterungen ersetzt wurden, und den Startvorgang, der auf Apple Silicon kryptografisch geprüft wird.

Das erklärt, warum Anleitungen für Mac-Überwachung häufig von 2018 oder 2019 stammen: Sie beschreiben eine Gerätegeneration, die heute kaum noch im Haushalt steht.

Und es erklärt, warum viele Anbieter den Mac nur als „unterstützt" führen, ohne zu sagen, welche Funktionen dort tatsächlich laufen. Wer das prüfen will, fragt nach der macOS-Version und nach der Prozessorarchitektur — nicht nach der Funktionsliste.

Prüfliste vor dem Kauf

Fünf Fragen, die bei einem Mac den Unterschied zwischen Funktion und Fußnote ausmachen.

• Welche macOS-Version wird unterstützt?
• Läuft die Lösung auf Apple Silicon?
• Welche Freigaben verlangt sie, und werden sie offengelegt?
• Was bleibt nach einem Systemupdate übrig?
• Deckt die Bildschirmzeit des Systems dasselbe billiger ab?

Rechtlich gilt dasselbe wie überall

Der Zugriff auf den Mac eines Volljährigen ohne Einwilligung ist ein Eingriff in das Persönlichkeitsrecht und bei Überwindung der Zugangssicherung nach § 202a StGB strafbar. Ein Anmeldepasswort ist eine Zugangssicherung; wer es errät oder umgeht, überwindet sie.

Bei einem minderjährigen Kind ist die Einrichtung im Rahmen der elterlichen Sorge nach § 1626 BGB möglich, solange sie dem Kindeswohl dient. Das ist bei einem Familien-Mac selten ein Problem — solange das Kind weiß, dass es ein Kinderkonto hat, und solange die Limits erklärbar sind.

Praktisch ist der Mac damit der einfachste Fall: Die Rechte sind sichtbar, die Grenzen sind im System verankert, und niemand muss eine App installieren, die im Hintergrund mitliest. Wer den Mac eines Kindes begleiten will, richtet ein Konto ein und spricht über die Regeln — mehr braucht es in den meisten Haushalten nicht.