So prüfst du selbst, ob eine Live-Hintergrund-App für den Mac sicher ist

Manche Live-Hintergrund-Apps für den Mac sind sicher, andere nicht. Du musst keiner Liste vertrauen: Drei mitgelieferte macOS-Befehle und ein Einstellungsbereich zeigen, wer die App signiert hat, ob Apple sie geprüft hat und welche Rechte sie anfordern kann. Eine App, die Pixel zeichnet, muss sie nicht lesen.

Aktualisiert am 2026-09-10 · 9 Min. Lesezeit · Getestet auf macOS 26.6.2 (Build 25G83)

Die Grundregel: Pixel zeichnen ist nicht Pixel lesen

macOS 26 führt unter Systemeinstellungen > Datenschutz & Sicherheit 24 Kategorien. Sie schützen Daten wie Ort, Kontakte, Fotos, Dateien und Ordner oder den vollständigen Festplattenzugriff. Andere betreffen Sensoren und Kontrolle: Kamera, Mikrofon, Bildschirmaufnahme, Bedienungshilfen, Eingabeüberwachung und Automatisierung. Keine dieser Kategorien gibt einer App einfach das Recht, etwas auf dem Schreibtisch anzuzeigen.

Das ist die praktische Sortierregel. Ein Hintergrund-Renderer zeichnet Pixel auf den Schreibtisch und muss dafür weder Dokumente lesen noch andere Apps steuern. Jede verlangte Berechtigung muss zu einer Funktion passen, die du wirklich verwendest: Ein Wetter-Widget kann das lokale Netzwerk benötigen, eine Finder-Funktion für Ordnersymbole Dateien und Ordner. Der Hintergrund selbst ist keine Begründung.

Besonders kritisch ist Aufnahme von Bildschirm & Systemaudio. Apple beschreibt damit den Zugriff auf und die Aufnahme von Bildschirm und Ton. Ohne diese Berechtigung kann eine App weiterhin erkennen, dass ein Fenster existiert und wo es liegt; sie erhält nur nicht dessen Titel oder Inhalt. Ein Fenster zu erkennen, das den Hintergrund verdeckt, erfordert daher keine Bildschirmaufnahme. Eine App mit Desktop-Vorschau oder einem Effekt, der auf Bildschirminhalte reagiert, ist die ehrliche Ausnahme und muss das vor der Abfrage erklären. Die Akku-Frage behandelt der Beitrag zum MacBook-Akku, nicht diese Sicherheits-Checkliste.

Lies vor dem Start, was die App anfordern kann

Lege die App in Programme, starte sie aber noch nicht. Die Begründungen, die macOS in Berechtigungsdialogen anzeigen kann, stehen bereits im Paket in Info.plist:

plutil -p "/Applications/Beispiel.app/Contents/Info.plist" | grep -i usage

Das Ergebnis zeigt, was die App anfordern kann, nicht automatisch, was sie nutzt. Enthält eine App zum Zeichnen des Hintergrunds einen Eintrag wie NSScreenCaptureUsageDescription, muss der Anbieter die konkrete Funktion erklären. Danach liest du die signierten Entitlements:

codesign -d --entitlements :- "/Applications/Beispiel.app"

Dort können etwa die Sandbox des Mac App Store oder Apple-Events-Automatisierung auftauchen. Wichtig ist die Grenze des Tests: Viele Apps tragen keine Purpose Strings ein; bei Google Chrome wurden am 29.08.2026 keine gefunden. Ein vorhandener Eintrag ist ein Signal für eine Rückfrage. Ein fehlender Eintrag ist kein Unbedenklichkeitszertifikat.

Ersetze den Beispielpfad durch den echten und setze ihn bei Leerzeichen in Anführungszeichen. Beide Befehle lesen nur Metadaten und ändern keine Systemeinstellungen.

Zwei Befehle zeigen Signatur und Apple-Prüfung

Fordere zuerst die Bewertung von macOS an:

spctl -a -vv "/Applications/Beispiel.app"

Veraltete Artikel, die spctl für abgeschaltet erklären, verwechseln die Bewertung mit den entfernten Optionen zum Ändern der Regelbasis. -a funktioniert unter macOS 26.6.2 weiter. Am 29.08.2026 wurden diese fünf Kombinationen beobachtet:

Wer dahintersteht, liest du mit:

codesign -dv --verbose=4 "/Applications/Beispiel.app"

Achte auf Authority=, TeamIdentifier=, Notarization Ticket=stapled und runtime in flags. Authority nennt den Signierenden, die Team ID besteht aus zehn Zeichen, das angeheftete Ticket erlaubt die Prüfung ohne Netzwerk und runtime zeigt das Hardened Runtime. Für ein DMG prüft stapler validate ein Ticket mit Internetzugang; das ist nicht dasselbe wie die Bewertung der enthaltenen App.

Vier Datenschutzbereiche, in denen sie nicht auftauchen sollte

Nach einer normalen Sitzung öffnest du Systemeinstellungen > Datenschutz & Sicherheit. Ohne konkrete Erklärung des Anbieters sollte die App dort nicht unter diesen vier Bereichen stehen:

• Aufnahme von Bildschirm & Systemaudio: Zugriff auf Pixel, Fenstertitel und Ton.
• Bedienungshilfen: Zugriff und Kontrolle über den Mac; Apple rät zu Vorsicht und Vertrauen in den Anbieter.
• Festplattenvollzugriff: globale Ausnahme für geschützte Bereiche und weitere Dialoge.
• Eingabeüberwachung: Tastatureingaben in allen Apps.

Dateien und Ordner, Automatisierung oder lokales Netzwerk können zu einer von dir genutzten Zusatzfunktion passen. Entscheidend ist nicht, dass eine App überhaupt eine Berechtigung hat, sondern ob du jede einzelne mit einer gewünschten Funktion verbinden kannst. „Bessere Leistung“ ist dafür keine ausreichende Erklärung.

Prüfe, was sie installiert und nach außen sendet

Sieh zuerst unter Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen nach. Mit der Bundle-ID aus der Signatur kannst du launchd prüfen:

launchctl list | grep com.beispiel.app

Kontrolliere außerdem ~/Library/LaunchAgents, /Library/LaunchAgents und /Library/LaunchDaemons. Der aussagekräftige Vergleich erfolgt nach der Deinstallation: Was danach bleibt, sollte der Anbieter erklären.

Für den Netzwerkblick ist kein Zusatzprogramm nötig:

nettop -P -t external -p "Beispiel-App"

-P fasst nach Prozess zusammen, -t external zeigt echte Schnittstellen und -p filtert den Prozess. Bei lokal gerenderten Hintergründen wäre im normalen Betrieb fast kein Datenstrom zu erwarten, höchstens eine Lizenz- oder Updateprüfung. LuLu von der Objective-See Foundation kann ausgehende Verbindungen blockieren; KnockKnock listet persistente Installationen auf. Beides ergänzt die Bordmittel, ist aber keine Voraussetzung.

Signatur und Notarisierung reichen nicht: die Falle von 2026

Eine Signatur nennt einen Verantwortlichen, macht eine App aber nicht automatisch vertrauenswürdig. Im macOS-Bedrohungsbericht von Moonlock Lab vom 16.07.2026 waren deutlich mehr als die Hälfte der untersuchten schädlichen Mach-O-Binärdateien digital signiert; ungefähr ein Fünftel trug gültige oder kürzlich widerrufene Apple-Entwicklerzertifikate. Objective-See dokumentierte ebenfalls Schadsoftware, die signiert und notarisiert ausgeliefert wurde. Apple bestätigt nur das Fehlen bekannter Schadsoftware zum Prüfzeitpunkt.

Seit dem 30.03.2026 ist eine Kampagne dokumentiert, die eine gefälschte Kopie einer echten Live-Hintergrund-App über ähnliche Domains und einen gekaperten Social-Media-Kanal verbreitete. Ein Weg zeigte einen Base64-kodierten Terminal-Befehl als angebliche Reparatur, ein anderer ein DMG mit Install.sh. Anschließend wurde das Opfer zum Festplattenvollzugriff geführt. Die Regel von Moonlock lautet: Keine Terminal-Befehle aus Browsern oder Dokumenten einfügen.

Wenn Gatekeeper blockiert, befolge keine Anleitung zum Umgehen der Sperre. Unter macOS 26 liegt die kontrollierte Ausnahme in Systemeinstellungen > Datenschutz & Sicherheit > Dennoch öffnen und verlangt eine weitere Bestätigung. Ein seriöser Anbieter braucht keinen intransparenten Befehl und keine Deaktivierung der Schutzmechanismen. Kommt eine kostenlose Hintergrund-App mit einem Umgehungstrick, ist die Prüfung beendet.

Auch Mac+ durchläuft dieselbe Checkliste

Mac+ wird außerhalb des Mac App Store verteilt und muss sich daher derselben Prüfung stellen. Bei der Überprüfung am 29.08.2026 waren die Bundle-ID com.macosengine.app, die Team ID H59XG3G3QT und Hardened Runtime vorhanden. Die deklarierten Fähigkeiten betrafen Apple Events sowie Schreibtisch, Dokumente, Downloads und Wechseldatenträger: Sie gehören zum Aktualisieren von Finder-Ordnersymbolen und zum Anwenden der gewählten Muster, nicht zum Hintergrund-Rendering.

Es gab keinen Zwecktext für Bildschirmaufnahme und keinen für Bedienungshilfen. Rendering, Szenen, Paletten, Widgets und Ordnersymbole bleiben lokal. Die App ist deshalb nicht vollständig offline: Das optionale Konto und der Kauf verbinden sich mit dem Netzwerk, sobald du sie nutzt. nettop oder eine ausgehende Firewall macht das sichtbar.

Mac+ läuft ab macOS 13 auf Apple Silicon und Intel, mit einer kostenlosen Stufe ohne Konto; die Preise sind 1,99 € monatlich oder 9,99 € einmalig. Lies den Preisvergleich ohne Abo und die Seite zu animierten Hintergründen am Mac, nachdem du die App geprüft hast.

Die Checkliste in sieben Schritten

1. Lade die App nur von der Website des Anbieters und starte sie noch nicht.
2. Lies mit plutil -p "/Applications/Beispiel.app/Contents/Info.plist" | grep -i usage, was sie anfordern kann.
3. Führe spctl -a -vv "/Applications/Beispiel.app" aus. Bei einem anderen Ergebnis als accepted mit Mac App Store oder Notarized Developer ID stoppst du.
4. Führe codesign -dv --verbose=4 "/Applications/Beispiel.app" aus und notiere Authority, TeamIdentifier, Ticket und runtime.
5. Prüfe unter Datenschutz & Sicherheit Bildschirmaufnahme, Bedienungshilfen, Festplattenvollzugriff und Eingabeüberwachung.
6. Kontrolliere Anmeldeobjekte & Erweiterungen, launchctl und die drei Agent-Verzeichnisse auf Persistenz.
7. Beobachte mit nettop -P -t external -p "Beispiel-App" die Verbindungen während einer normalen Sitzung.

macOS 13 oder neuer. Apple Silicon und Intel. Kostenlose Stufe ohne Konto; 1,99 €/Monat oder 9,99 € einmalig. Erst prüfen, dann installieren.

Häufige Fragen

Weiterlesen

Quellen

• Apple — Apps auf dem Mac sicher öffnen
• Apple — Zugriff auf Bildschirm- und Systemaudioaufnahme steuern
• Apple — Zugriff von Bedienungshilfen-Apps auf den Mac erlauben
• Objective-See — The Mac Malware of 2025
• Moonlock Lab — notnullOSX: ein neuer Zugangsdaten-Dieb für Mac
• Moonlock Lab — macOS Threat Report Mitte 2026

← Alle Ratgeber