Apple sagsøgt: Private Relay skjulte ikke din IP alligevel

Apple er blevet mødt med et gruppesøgsmål om svindel og vildledende markedsføring, fordi iCloud Private Relay — den betalte funktion, der skal skjule din IP-adresse, når du surfer i Safari — i praksis kan afsløre præcis den IP-adresse, den lover at skjule. Søgsmålet blev anlagt den 11. august 2026 af det amerikanske advokatfirma Clarkson Law Firm, som tidligere har tvunget Apple i et forlig på 250 millioner dollar i sagen om forsinkede Siri-funktioner.

Søgsmålet: svindel, ikke bare en fejl

Anklagen er skarpere formuleret, end man normalt ser i produktsager. Clarkson beskylder ikke Apple for at have leveret en funktion med en fejl — firmaet beskylder Apple for svindel, vildledende markedsføring og urigtige oplysninger over for betalende iCloud+-abonnenter.

Kernen i påstanden er, at Apple vidste eller burde have vidst, at markedsføringen af Private Relay var forkert, allerede da abonnementerne blev solgt. Private Relay er ikke gratis: Den følger med iCloud+, som i Danmark starter ved 15 kroner om måneden og går op til flere hundrede kroner for de største lagerpakker. Kunderne har med andre ord betalt for en beskyttelse, som ifølge søgsmålet ikke virkede.

Tim Giordano, partner i Clarkson Law Firm, kalder ifølge MacRumors sagen "an outrageous violation and betrayal of consumer trust and law" — et grelt brud på og svigt af forbrugernes tillid og af loven. Apple har på nuværende tidspunkt ikke kommenteret søgsmålet offentligt.

Tre fejl i WebKit lækker din IP-adresse

Det tekniske grundlag stammer fra sikkerhedsforskning offentliggjort i begyndelsen af august 2026, som pegede på tre separate måder, hvorpå din rigtige IP-adresse eller dine DNS-oplysninger kan slippe uden om Private Relays proxyservere:

1. Passkeys uden om browseren. Den alvorligste. Når et website understøtter passkeys — eller bare foregiver at gøre det — udløser det en WebAuthn-forespørgsel, som håndteres af selve styresystemet og ikke af Safari. Forespørgslen går derfor helt uden om Private Relays to-lags proxyarkitektur. I nogle tilfælde sker det uden, at brugeren overhovedet får vist en prompt. Et ondsindet website behøver altså ikke at have en fungerende passkey-funktion — det skal blot implementere WebAuthn-kaldet for at aflæse besøgendes rigtige IP-adresse.

2. DNS-prefetching. Under bestemte betingelser kan browserens forudindlæsning af DNS-opslag afsløre enten den rigtige IP-adresse eller hvilken DNS-server, brugeren rent faktisk benytter.

3. WebTransport. Protokollen blev tilføjet i iOS 26 og kan under visse forhold lække IP-oplysninger.

Fordi WebKit er den motor, alle browsere på iOS og iPadOS er bygget på — også Chrome og Firefox på iPhone — rækker problemet ud over Safari. Ifølge TechCrunch har Apple bekræftet, at man undersøger forholdet med henblik på at rette det i en senere opdatering.

Clarkson har slået Apple før

Valget af advokatfirma er ikke tilfældigt. Clarkson Law Firm stod bag søgsmålet om de forsinkede personaliserede Siri-funktioner, som Apple demonstrerede ved WWDC 2024, men ikke leverede. Den sag endte i et forlig på 250 millioner dollar, indgået i december 2025, hvor detaljerne om udbetalingen først blev offentliggjort i maj 2026.

Mønsteret er det samme i begge sager: Apple markedsfører en funktion med meget konkrete løfter, funktionen leverer ikke, og Clarkson argumenterer for, at forbrugerne har betalt for noget, de ikke fik. Forskellen er, at Siri-sagen handlede om en funktion, der ikke kom — mens Private Relay-sagen handler om en funktion, der findes, er slået til og giver brugeren en falsk følelse af beskyttelse. Det er juridisk set en stærkere position.

Hvad betyder det for danske iCloud+-brugere?

Søgsmålet er anlagt i USA, og danske abonnenter kan ikke tilslutte sig direkte. Men den tekniske sårbarhed rammer alle brugere globalt, og det praktiske råd er derfor det samme uanset land.

Private Relay er stadig bedre end ingenting — den skjuler stadig din IP for almindelige websteder, annoncenetværk og din internetudbyder i langt de fleste tilfælde. Men den bør ikke behandles som et VPN. Har du behov for reel anonymitet — eksempelvis som journalist, kilde eller aktivist — er Private Relay ikke det rette værktøj, og det har den strengt taget aldrig været. Apple beskriver selv funktionen i sin danske dokumentation for iCloud Private Relay som en beskyttelse mod profilering, ikke som anonymitet.

Frem til Apple udsender en rettelse er det mest effektive, du kan gøre, at bruge et rigtigt VPN til følsom browsing, og at være opmærksom på, at websteder, der beder om passkey-login, kan aflæse din rigtige IP-adresse i samme sekund, siden indlæses.

Konklusion

Sagen har to spor, og de bevæger sig i forskellig hastighed. Det tekniske spor lukkes formentlig relativt hurtigt — Apple har bekræftet, at en rettelse er på vej, og de tre lækager er hver især afgrænsede fejl med kendte løsninger. Det juridiske spor tager år. Gruppesøgsmål af denne type afgøres sjældent før to-tre år efter anlæggelsen, og det mest sandsynlige udfald er endnu et forlig.

Det interessante er præcedensen. Apple har i mere end et årti markedsført privatliv som produktets kernefunktion — og betalt for det med hele reklamekampagner. Får Clarkson medhold i, at konkrete privatlivsløfter kan udgøre vildledende markedsføring, når teknikken ikke holder, får det konsekvenser langt ud over Private Relay. Også for EU, hvor markedsføringsloven og GDPR stiller tilsvarende krav til, at påstande om databeskyttelse skal kunne dokumenteres.