Die TU Graz veröffentlichte am 28. September 2026 einen Bericht über Sicherheitsrisiken, die ihre Forschenden bei Dateibenachrichtigungen unter Linux, Android, Windows und macOS untersucht haben. Je nach System können solche Meldungen Dateiaktivitäten und Dateinamen offenlegen, nicht aber die Dateiinhalte. Die beschriebenen Szenarien setzen lokalen, nutzerübergreifenden Zugriff voraus – etwa über ein kompromittiertes Benutzerkonto oder einen Systemdienst – oder ein manipuliertes Paket aus der Lieferkette.
Was Dateibenachrichtigungen preisgeben können
Betriebssysteme nutzen Dateibenachrichtigungen, um Anwendungen über Ereignisse an Dateien zu informieren. Die Forschenden beschreiben, wie sich solche Ereignisse in bestimmten Fällen auch außerhalb der direkt zugänglichen Dateien beobachten lassen. Zeitpunkte und Dateinamen können dabei Hinweise auf Nutzeraktivitäten geben, ohne den Inhalt der Dateien offenzulegen.
Die Beispiele auf vier Betriebssystemen
Die untersuchten Systeme nutzen unterschiedliche Mechanismen. Entsprechend unterscheiden sich auch die beobachtbaren Ereignisse und Grenzen.
| Betriebssystem | Benachrichtigungsmechanismus | Berichtetes Beispiel | Sichtbare Informationen und Grenze |
| Linux | inotify | Eine Überwachung des lesbaren Verzeichnisses /dev/input kann Ereignisse für Dateien darin melden, die der Prozess nicht direkt lesen kann. | Ereigniszeitpunkte können Tastaturaktivität erkennen lassen, nicht aber, welche Taste gedrückt wurde. |
| Android | FileObserver | Die Forschenden beobachteten Ereignisse und Dateinamen in privaten WhatsApp-Medienordnern. | Die Meldungen können etwa das Senden, Empfangen oder Löschen von Medien erkennen lassen, nicht deren Inhalt. |
| Windows | ReadDirectoryChangesW | Eine Überwachung von C:\ kann Dateiänderungen und Pfade über Nutzerkonten hinweg melden; Firefox-Speicherordner können Hinweise auf besuchte Websites geben. | Sichtbar werden Dateiereignisse und Pfad- beziehungsweise Dateinamen, nicht die Dateiinhalte. |
| macOS | FSEvents | Die Forschenden berichten, dass sich Aktivitäten von Nutzern, Anwendungen und Systemen verfolgen lassen. | Unter den vier untersuchten Systemen gab macOS laut Forschenden am wenigsten preis; sie berichten keine Einblicke in private Verzeichnisse. |
Unter KDE Plasma demonstrierten die Forschenden außerdem, wie ein Prozess desselben Nutzers /usr/bin/pkexec beobachtet und einen gefälschten Authentifizierungsdialog über der echten Abfrage platziert. Dieser Fall betrifft einen Prozess desselben Nutzers; er ist von den beschriebenen nutzerübergreifenden Szenarien zu unterscheiden.
Welche Zugriffsbedingungen gelten
Die Forschenden beschreiben die Angriffe als Szenarien mit lokalem, nutzerübergreifendem Zugriff, etwa durch ein kompromittiertes Benutzerkonto oder einen kompromittierten Systemdienst. Als weiteren möglichen Angriffsweg nennen sie ein manipuliertes Paket aus der Lieferkette. Die Datei-Meldungen allein liefern dabei keine Dateiinhalte.
Welche Gegenmaßnahmen genannt werden
Linux erhielt im Dezember 2025 eine Teilabsicherung, die access- und modify-Ereignisse an speziellen Dateien unterbindet. Nach Angaben der Forschenden behebt sie das umfassendere Problem nicht vollständig.
Für Windows nennen die Forschenden die Richtlinie EnforceDirectoryChangeNotificationPermissionCheck. Sie kann das beschriebene Verhalten eindämmen, ist aber standardmäßig deaktiviert. Für Android und macOS nennen die Forschenden keine Gegenmaßnahme. Für den KDE-Plasma-Fall beschreiben sie außerdem eine Fensterverwaltungs-Umgehung, bei der die echte Passwortabfrage über anderen Fenstern bleibt.
Der Zeitplan für ACM CCS 2026
Das Forschungspapier wurde für die ACM Conference on Computer and Communications Security (CCS) 2026 angenommen. Die Konferenz ist für den 15. bis 19. November 2026 in Den Haag angesetzt.
