iOS 26.5 bringt RCS-Verschlüsselung: Was das für Ihr Unternehmen und die DSGVO bedeutet

Apple kündigt mit iOS 26.5 eine der bedeutendsten Kommunikationsänderungen der letzten Jahre an: RCS-Nachrichten zwischen iPhone und Android werden künftig Ende-zu-Ende-verschlüsselt. Das klingt nach einer technischen Verbesserung für Verbraucher — hat aber weitreichende Konsequenzen für Unternehmen, die den neuen Standard für ihre Geschäftskommunikation nutzen wollen. Was die Neuerung bedeutet und warum ein IT-Berater jetzt gefragt ist.

Was iOS 26.5 mit RCS-Verschlüsselung ändert

Bislang galt: Wer als iPhone-Nutzer Nachrichten an ein Android-Gerät schickte, kommunizierte über den veralteten SMS/RCS-Standard ohne Ende-zu-Ende-Verschlüsselung. Mit iOS 26.5 ändert Apple das — auf Basis des Messaging Layer Security (MLS) Protokolls der GSMA (Universal Profile 3.0), das auch WhatsApp, Signal und andere Dienste verwenden.

Das Ergebnis: iPhone und Android-Nutzer können erstmals plattformübergreifend verschlüsselt texten — vorausgesetzt, beide Seiten nutzen Mobilfunkanbieter mit RCS-Unterstützung. Laut MacRumors umfasst das in Deutschland alle großen Netzbetreiber (Telekom, Vodafone, o2).

Einschränkungen, die Unternehmen kennen müssen:

• Gruppen-Chats sind (noch) nicht E2EE-verschlüsselt — nur Einzelnachrichten
• Metadaten bleiben sichtbar für Mobilfunkanbieter: wer wann mit wem kommuniziert, wird weiterhin erfasst
• Kein automatisches Update: Nutzer müssen auf iOS 26.5 aktualisieren, der Gesprächspartner ebenfalls

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt grundsätzlich die Nutzung von Ende-zu-Ende-Verschlüsselung für sensible Kommunikation — und wertet den RCS-Fortschritt als positiven Schritt, mahnt aber zur Prüfung der Metadaten-Problematik.

DSGVO und Geschäftskommunikation: Wann wird RCS relevant?

Für Unternehmen stellt sich sofort die Datenschutzfrage. Die DSGVO (Datenschutz-Grundverordnung) verlangt, dass personenbezogene Daten mit angemessenen technischen und organisatorischen Maßnahmen geschützt werden. Ob RCS diese Anforderungen erfüllt, hängt vom konkreten Einsatzszenario ab.

Szenarien, in denen RCS für Unternehmen relevant wird:

• Kundenservice-Teams kommunizieren per Textnachricht mit Kunden
• Außendienstmitarbeiter nutzen Smartphones für interne Koordination
• Vertriebler führen Verhandlungen über Messaging-Dienste
• Mitarbeiter ohne dediziertes Unternehmensgerät nutzen private Smartphones beruflich (BYOD)

In all diesen Fällen kann die Nutzung von RCS — oder dessen Nicht-Nutzung — datenschutzrechtliche Konsequenzen haben. Insbesondere das Metadatenproblem ist kritisch: Selbst wenn Inhalte verschlüsselt sind, können Kommunikationsmuster (wer kommuniziert wann und wie oft mit wem) zur Analyse von Geschäftsbeziehungen herangezogen werden — ein Problem, das Datenschutzbehörden seit Jahren beschäftigt.

Das Metadaten-Problem: Was Unternehmen unterschätzen

Ein verbreitetes Missverständnis: Verschlüsselung schützt Inhalte, aber nicht den Kommunikationskontext. Mobilfunkanbieter sehen bei RCS-Nachrichten weiterhin:

• Absender und Empfänger (Telefonnummern)
• Zeitpunkt und Häufigkeit der Kommunikation
• Nachrichtenlänge
• Geräte-Identifikatoren

Für Anwaltskanzleien, Unternehmensberater, Steuerberater und andere beratende Berufe mit Schweigepflicht ist das ein Problem: Wenn Mandatsgespräche per RCS geführt werden, können Metadaten die Beziehung zwischen Berater und Mandant offenbaren — auch ohne Einblick in den Inhalt.

Datenschutzrechtlich empfehlen Experten daher, für besonders schutzwürdige Kommunikation weiterhin auf dedizierte Ende-zu-Ende-verschlüsselte Messenger wie Signal oder Matrix zu setzen, die keine Metadaten an Mobilfunkanbieter weitergeben.

BYOD-Richtlinien und iOS 26.5: Handlungsbedarf für Unternehmen

Die neue Verschlüsselung macht iPhone-Geräte für Unternehmen nicht automatisch DSGVO-konform. Wer im Unternehmen noch keine klare BYOD-Policy (Bring Your Own Device) hat oder diese seit längerem nicht aktualisiert hat, sollte das jetzt tun.

Konkrete Punkte, die iOS 26.5 auf die Agenda setzt:

1. Messenger-Richtlinie aktualisieren: Welche Kommunikationskanäle sind für welche Gesprächsinhalte freigegeben? E-Mail, Teams, WhatsApp Business, RCS — ohne klare Policy entstehen Compliance-Lücken.

2. Verschlüsselungsstandards prüfen: Erfüllt RCS die unternehmensintern festgelegten Mindeststandards für Datenschutz? Falls ja: Wann ist der Rollout sinnvoll?

3. Mitarbeiterschulung: Welche Mitarbeiter nutzen private iPhones für die Arbeitskommunikation? Wissen sie, dass Metadaten auch bei verschlüsselten RCS-Nachrichten sichtbar bleiben?

4. Datenschutz-Folgenabschätzung (DSFA): Bei systematischer Nutzung neuer Kommunikationstechnologien kann eine DSFA nach Art. 35 DSGVO erforderlich sein.

Diese Schritte klingen technisch — sind es aber nur zum Teil. Die rechtliche Bewertung, welche Maßnahmen für ein konkretes Unternehmen erforderlich und verhältnismäßig sind, erfordert die Kombination aus IT-Expertise und Datenschutzrecht. Ein erfahrener IT-Berater kann dabei die technische Seite übernehmen; bei Unklarheiten über datenschutzrechtliche Pflichten sollte zusätzlich ein auf DSGVO spezialisierter Anwalt hinzugezogen werden.

Sicherheitsupdate-Politik: Warum iOS 26.5 auch für ältere Geräte gilt

Apple veröffentlicht iOS 26.5 nicht nur für die neuesten iPhones. Die aktuelle Update-Richtlinie unterstützt Geräte bis iPhone 13 — was bedeutet, dass Unternehmen mit älteren Geräten im Fuhrpark ebenfalls von der RCS-Verschlüsselung profitieren können, ohne sofort in neue Hardware zu investieren.

Allerdings gilt: Wer ältere Geräte in einem Unternehmensnetz betreibt, sollte prüfen, ob das aktuelle iOS-Update mit unternehmensinternen MDM-Systemen (Mobile Device Management) und App-Versionen kompatibel ist. Ein Software-Update ohne Kompatibilitätsprüfung kann zu Funktionsausfällen in kritischen Unternehmensanwendungen führen.

Die Erfahrung mit früheren iOS-Updates zeigt, wie wichtig IT-Beratung vor dem Rollout ist — das vorherige iOS 26.4 Sicherheitsupdate hatte bereits deutlich gemacht, wie groß die Sicherheitslücken werden können, wenn Updates zu lange aufgeschoben werden.

Was Unternehmen und Privatpersonen jetzt tun sollten

Für Privatpersonen ist die Empfehlung einfach: iOS 26.5 installieren, sobald verfügbar, und davon profitieren, dass Textnachrichten an Android-Nutzer künftig verschlüsselt sind. Für besonders sensible Kommunikation bleibt Signal die sicherere Wahl.

Für Unternehmen ist die Situation komplexer. Die nächsten Schritte:

1. IT-Inventar prüfen: Welche Geräte sind betroffen? Wie viele BYOD-Nutzer gibt es?
2. Update-Planung erstellen: Wann und in welcher Reihenfolge werden Geräte aktualisiert?
3. BYOD- und Messenger-Policy aktualisieren: Mit RCS als neuem Standard muss die Nutzungsrichtlinie angepasst werden.
4. IT-Berater einbeziehen: Besonders für Unternehmen in regulierten Branchen (Gesundheit, Recht, Finanzen) ist eine externe Bewertung der Datenschutzimplikationen empfehlenswert.

Ein auf IT-Sicherheit und Datenschutz spezialisierter IT-Berater kann die spezifische Situation Ihres Unternehmens analysieren, die Risiken bewerten und konkrete Maßnahmen empfehlen — bevor aus einer ungeklärten Messenger-Richtlinie ein DSGVO-Problem wird.

Hinweis: Dieser Artikel dient der allgemeinen Information über technische und datenschutzrechtliche Entwicklungen und ersetzt keine individuelle IT- oder Rechtsberatung.