Dein Mac führt eine Familienakte über dich, und Apple erklärt sie nicht

Darum geht es

Auf deinem Mac läuft seit Jahren etwas, das in keiner Systemeinstellung auftaucht: ein persönlicher Wissensgraph. Das ist eine Datenbank, die nicht einzelne Dateien speichert, sondern Beziehungen zwischen Dingen, etwa „Person A ist die Schwester von Person B“ oder „Termin X findet an Ort Y statt“. Gebaut wird er von zwei Hintergrunddiensten namens knowledgeconstructiond und intelligenceplatformd. Apple beschreibt sie nur in einer knappen Man-Page von 2022, also der technischen Kurzhilfe im Terminal. Dort heißt es, die Dienste analysierten Inhalte auf dem Gerät, um einen Wissensgraphen zu erstellen, der „das Gerät und den Nutzer repräsentiert“. Andere Teile des Betriebssystems könnten ihn abfragen, um „reichhaltigere Erlebnisse“ zu bieten. Mehr erklärt Apple nicht.

Die Sicherheitsforscher Dario Pasquini und Michał Bazyli haben diesen Speicher jetzt unter dem Namen 8rank zerlegt. Ihre Analyse „Every Mac comes with an (undocumented) family member classifier“ kursiert gerade auf Hacker News. Gleichzeitig weitet Apple mit Siri AI, Live Rewind und Siri Recap aus, wie stark persönlicher Kontext genutzt wird. Dieser Artikel geht drei Fragen nach: Was steht in dem Graphen? Was davon ist beobachtet, was nur geschlussfolgert? Und wer bekommt es zu sehen?

Die Datenbanken im Überblick

Laut 8rank liegen in ~/Library/IntelligencePlatform 51 SQLite-Datenbanken, und zwar im Klartext. Geschützt sind sie nur durch die macOS-Berechtigung Full Disk Access, den „Festplattenvollzugriff“, den man einzelnen Programmen in den Einstellungen erteilt. Dazu kommen ältere Aktivitätsspeicher, die Forensiker seit Jahren kennen.

Der Graph selbst basiert auf einer von Apple mitgelieferten Ontologie, also einem festen Begriffskatalog, mit 181 Klassen und 278 Prädikaten. Darunter sind 57 Aktivitätsklassen (Schlafen, Pendeln, Sport, Essen, Telefonieren) und Kategorien für Bestellungen und Zahlungen. Schon 2023 fand ein Hacker-News-Nutzer in ontology.db Prädikate für Religionszugehörigkeit und Parteimitgliedschaft. Dass eine Klasse existiert, heißt allerdings nicht, dass sie auch gefüllt wird. Das betonen auch die 8rank-Autoren.

Als Quellen nennt 8rank Kontakte, Kalender (Titel und Teilnehmer), Fotos (Gesichter und wer mit wem auf einem Bild ist) und die Metadaten von Nachrichten und Mail, also wer wem wann schreibt, nicht aber den Inhalt. Hinzu kommen Familienfreigabe samt Alter der Mitglieder, Notfallkontakt aus dem Notfallpass, Bildschirmzeit, Siri-Vorschläge, installierte Apps und Standortverlauf.

Die Datenbanken sind real, das zeigen unabhängige Forensik-Funde. Das Forensik-Tool iLEAPP von Alexis Brignoni liest graph.db auf iPhones seit einem Merge am 23. September 2026 aus. Die Datei existiert demnach ab iOS 16 und ist ab iOS 17 gefüllt. Die Mac-Variante DLEAPP folgte am 30. Oktober 2026 und wurde an einem macOS-15-Image getestet. Wichtig ist der Hinweis der iLEAPP-Entwickler: Ein Eintrag beweise nicht, dass der Nutzer ihn angelegt, bestätigt oder das Ereignis erlebt habe.

Der Familienklassifikator und was „Konfidenz“ wirklich bedeutet

Der spektakulärste Fund: Im System stecken zwei CoreML-Modelle, also Apples Format für lokal laufende Machine-Learning-Modelle. Sie heißen EntityTagging_Family und EntityTagging_FamilyAndFriends. Es handelt sich um XGBoost-Klassifikatoren, ein klassisches Verfahren aus vielen kleinen Entscheidungsbäumen. Sie rechnen mit 144 Merkmalen: etwa 20 zur Identität (gleicher Nachname, gleiche Adresse, Familienfreigabe, Altersabstand), rund 40 zur Kommunikation (wann und von wo man jemandem schreibt) und rund 84 zu Fotos (wer wann und wo mit dir auf Bildern auftaucht). Die Fotos-App hat laut 8rank außerdem zwölf eigene Analysen, die Partner, Eltern, Kinder, Kollegen und Freunde einschätzen. Ist Apple Intelligence aktiv, kann zusätzlich ein lokales Sprachmodell Gesichtern Namen und Beziehungen zuordnen und nutzt dafür den Text von Nachrichten.

Hier muss man genau trennen, was belegt ist und was nicht:

• Belegt ist laut 8rank, dass es die Modelle, die Merkmalsliste und die 17-spaltige Tabelle gibt.
• Unklar bleibt, wie die anderen 15 Spalten berechnet werden. Nur für „family“ und „familyAndFriends“ liefert Apple ein Modell mit. Unklar ist auch, wie aus den Wahrscheinlichkeiten Konfidenzwerte im Graphen werden.
• Grob sind die Werte selbst: In der echten Tabelle fanden die Autoren nur wenige Stufen, nämlich 0,125, 0,25, 0,5 und 0,96. Ihre schön abgestuften Beispielgrafiken beruhen auf erfundenen Testdaten.
• Missverständlich ist der Begriff „Konfidenz“. Laut dem iKnow-Handbuch gibt der Wert im Graphen meist an, welche Quelle den Eintrag geschrieben hat, und nicht, wie sicher die Aussage ist: Kontakte ergeben 1,0, Fotos 0,9, die meisten anderen Quellen 0,7 bis 0,8. Ein hoher Familienwert allein beweise keine Verwandtschaft.

Hinzu kommt: Die Autoren kennzeichnen ihre Zuordnung von Mechanismen ausdrücklich als Schlussfolgerung. Viele Einträge tragen den Vermerk „could not find mechanism“, also: Wie der Wert zustande kommt, ließ sich nicht klären. Auch die Ansicht „wo du als Nächstes sein wirst“ im Tool iKnow beruht nach unserer Lektüre im Kern auf Kalenderdaten (Uhrzeit, Raum, Teilnehmer, Einwahldaten). Eine eigene Vorhersage-KI für deinen nächsten Aufenthaltsort ist das nicht. Abgeleitet sind auch die Schlafzeiten: Im Beispiel ergab sich aus den Zeitstempeln von Nachrichten ein stilles Fenster von 1 bis 7 Uhr. Gespeichert hat das niemand als „Schlaf“, iKnow rechnet es aus.

iKnow: Selbst nachsehen, mit Vorsicht

Das Tool iKnow ist eine lokale Weboberfläche in Python. Sie öffnet die Datenbanken nur lesend, läuft ausschließlich unter 127.0.0.1 und braucht Full Disk Access für das Terminal. Getestet ist sie auf macOS 26.6.2 und 26.7.1, auf 27.0.1 nur teilweise. Die README räumt selbst ein, das Tool sei „vollständig LLM-generiert und möglicherweise nicht zu 100 % genau“. Das Repository hat derzeit zwei Commits. Wir konnten iKnow nicht selbst auf einem Mac ausführen. Unsere Angaben stützen sich auf README, Agenten-Handbuch und 8rank-Analyse.

Bemerkenswert ist das Handbuch für KI-Agenten. Bevor ein Agent etwas ausliest, muss er wörtlich fragen, ob der Nutzer seinem LLM-Anbieter vertraut. Der Hintergrund: Ein Coding-Agent mit Shell-Zugriff in einem Terminal mit Full Disk Access könnte den Graphen lesen und an seinen Cloud-Anbieter schicken. Unsere Einschätzung: Wer Agenten wie Claude Code oder Codex in einem Terminal mit Vollzugriff laufen lässt, sollte das im Kopf behalten.

Was Siri AI, Private Cloud Compute und Google zu sehen bekommen

Apple schreibt in der Man-Page, dass andere Systemteile den Graphen über intelligenceplatformd abfragen. Welche das sind, sagt Apple nicht. 8rank fand Kopien für einzelne Verbraucher, darunter einen Siri-Ordner, und schreibt vorsichtig, der Speicher sei einer, aus dem Sprachmodelle „angeblich“ Informationen abrufen. Einen Beleg dafür liefern die Autoren nicht.

Offiziell beschreibt Apple die „Personal Context“-Funktionen von Siri AI anders: über einen semantischen Index auf Spotlight-Basis, also eine Bedeutungssuche über Mail, Nachrichten, Fotos, Notizen und Kalender, und über App Intents, die Schnittstelle, mit der Apps Daten bereitstellen. Diese Suche läuft laut Apple auf dem Gerät. Beziehungen wie „Ashley ist meine Mutter“ speichert Siri laut Apple-Support verschlüsselt in den Kontakten, die per iCloud synchronisiert werden. Kontaktbeziehungen sind wiederum eine Eingangsquelle des Graphen. Ob Siri AI direkt auf graph.db oder die Familien-Scorecard zugreift, ist öffentlich nicht dokumentiert.

Was nicht auf dem Gerät erledigt wird, geht an Private Cloud Compute (PCC), Apples abgesicherte Server. Apple verspricht dort zustandslose Verarbeitung: Daten werden nur für die Anfrage genutzt und weder gespeichert noch für Apple zugänglich. Seit der WWDC im Juni 2026 läuft PCC aber teils auf Google-Cloud-Hardware mit Nvidia Confidential Computing, Intel TDX und Googles Titan-Chip. Laut Apple betrifft das „agentische Tool-Nutzung und komplexes Schlussfolgern“. MacRumors und Help Net Security zitieren Apple mit dem Eingeständnis, PCC auf Google Cloud sei während der Beta „nicht vollständig umgesetzt“. Gemini dient als Grundlage von Apples Foundation Models. Apple betont, Nutzerdaten würden nicht direkt auf Google-Servern verarbeitet. Gemeint ist offenbar: Apples Software auf Googles Hardware. Welche Teile deines persönlichen Kontexts pro Anfrage dorthin gehen, legt Apple nicht im Detail offen.

Ein konkretes Beispiel liefert Siri Recap auf der Apple Watch, über das wir zuletzt berichtet haben. Neben dem verdichteten Gesprächstext schickt die Funktion Kalendertermine und grobe Ortsangaben wie „Zuhause“ oder „Arbeit“ an PCC. Das zeigt: Abgeleiteter Kontext verlässt das Gerät in kleinen Portionen, wenn auch zweckgebunden.

Für Deutschland wichtig: Siri AI ist in der EU wegen des Digital Markets Act auf iPhone und iPad vorerst gesperrt. Auf macOS 27 ist sie dagegen verfügbar. Apple begründet die Sperre damit, dass es nach Lesart der EU „jedem virtuellen Assistenten direkten Zugriff auf private Daten der Nutzer“ geben müsste. Pikant ist das, weil diese Daten zu einem Gutteil genau in Speichern wie diesem liegen.

Kann man das abschalten?

Kurz gesagt: nicht auf dokumentiertem Weg.

• Der Graph ist älter als Apple Intelligence (Man-Page von 2022, macOS 13). Wer Apple Intelligence ausschaltet, entfernt laut Apple-Support die lokalen Modelle. CoreGuard weist aber darauf hin, dass damit nicht garantiert alle Wissensdienste verschwinden. Auch ein HN-Nutzer, der „noch auf Sequoia“ bleibt, ist nicht außen vor: macOS 15 ist betroffen.
• „Aus dieser App lernen“ steuert laut Engadget nur App-Vorschläge. Laut 8rank fließen Siri-Vorschläge aber in den Graphen ein. Ob das Abschalten der Vorschläge Daten aus dem Graphen entfernt, hat niemand nachgewiesen. Engadget empfiehlt für Siri AI, pro App „Inhalte in der Suche anzeigen“ zu deaktivieren.
• Wer graph.db löscht, bekommt sie neu aufgebaut. Das berichtet ein Apple-Community-Thread, in dem die Datei über 4 GB groß war. Auf einem anderen Mac hatte sie 3,5 MB. Skripte, die dafür den Systemschutz SIP abschalten, hält CoreGuard für riskant und wirkungslos.
• Gelöschte Kontakte verschwinden aus dem aktiven Graphen, die Einträge wandern aber samt Konfidenz und Quelle in expired_stable_graph. Laut 8rank sollen sie dort etwa 48 Stunden bleiben, die Autoren fanden aber sehr alte Reste. Entfernen lassen sie sich nur per Hand.

Eine Stellungnahme von Datenschutzorganisationen wie noyb oder der Verbraucherzentrale speziell zu dieser Profilbildung auf dem Gerät haben wir nicht gefunden.

Einordnung

Dass Apple personalisiert, ist nicht neu, und die Verarbeitung auf dem Gerät ist ein echter Vorteil gegenüber Cloud-Profilen, wie sie Google oder Meta führen. Neu ist, wie strukturiert das Ergebnis ist. Rohdaten wie Fotos, Chats und Kalender lagen schon immer auf dem Mac. Der Graph macht daraus fertige Antworten: Wer ist Familie, wer steht nahe, wann schläft jemand. Pasquini und Bazyli zeigen in ihrem zweiten Text „Weaponizing Personalization“, dass ein Sprachmodell aus dem Graphen allein einen Erpressungsplan ableiten konnte: Ziele aus den Beziehungswerten, Timing aus dem Kalender. Ihre Formel dafür: Der Wissensgraph „erledigt die Arbeit im Voraus“. Voraussetzung ist allerdings Codeausführung mit Full Disk Access auf dem Ziel-Mac. Es ist also kein Fernangriff, sondern ein Szenario nach einem Einbruch.

Unsere Einschätzung: Das stärkste Argument der Kritiker ist nicht der Klassifikator selbst, sondern das Fehlen jeder Transparenz. Es gibt keine Ansicht in den Einstellungen, keine Korrekturmöglichkeit und keine Doku dazu, welche Dienste lesen. Betroffen sind außerdem Dritte, die nie gefragt wurden: Eltern, Freunde, Kollegen. Gleichzeitig sind viele Detailbehauptungen unsicher. Die Mechanismen sind erschlossen, das Tool ist von einem LLM geschrieben, und die Konfidenzwerte bedeuten weniger, als ihr Name nahelegt. Offen ist vor allem die wichtigste Frage: Ob und wie Siri AI diesen Graphen nutzt und was davon in Private Cloud Compute, nun teils auf Google-Hardware, landet. Das kann nur Apple beantworten.