Auf einem iPhone kann eine Sperr-App, die auf Apples Screen-Time-Frameworks aufsetzt, nicht sehen, welche Apps du ausgewählt hast. Nicht als Frage der Richtlinie, sondern der Architektur: Die Auswahlliste, in der du tippst, zeichnet iOS – und was die App zurückbekommt, ist eine Menge opaker Token, also versiegelter Griffe ohne Namen, ohne Bundle-ID und ohne Symbol darin. Die App kann ein Token an das System zurückgeben, um eine Sperre zu setzen. Öffnen kann sie es nicht. Deine Nutzung pro App bekommt sie ebenfalls nie. Das ist eines der seltenen Datenschutzversprechen, die du nicht glauben musst – und es lohnt sich, das zu verstehen, bevor du irgendetwas installierst.
Was passiert eigentlich, wenn du in einem Blocker auf „Apps auswählen“ tippst?
Fast nichts von dem, was du erwartest.
Jeder seriöse iPhone-Blocker baut auf drei Apple-Frameworks auf: FamilyControls für Berechtigung und Auswahl, ManagedSettings für die Sperre und DeviceActivity für Zeitpläne und Schwellenwerte. Der Ablauf sieht so aus:
- Die App fragt die Bildschirmzeit-Berechtigung an. Du bestätigst sie mit Face ID oder deinem Code – eine einzige sichtbare Freigabe.
- Die App zeigt eine Auswahlliste. Entscheidend: Diese Liste zeichnet nicht die App, sie ist eine Systemansicht. Deine App-Liste rendert iOS hinter einer Grenze, über die die Drittanbieter-App nicht hinweglesen kann – der Entwickler liefert den Rahmen und nichts darin.
- Du triffst deine Auswahl und schließt die Liste. Was die App bekommt, ist eine
FamilyActivitySelection: ein Beutel voller Token.
Schritt drei bricht mit der Intuition. Es fühlt sich an, als hättest du einer App eine Liste übergeben. Hast du nicht. Du hast iOS eine Liste übergeben, und iOS hat der App eine Handvoll Quittungen gegeben.
Was ist ein opakes Token, ganz einfach erklärt?
Denk an eine Garderobenmarke. Sie gehört zu genau einer Jacke und erlaubt dir, mit ihr zu handeln – Marke zurückgeben, Jacke kommt. Aber die Marke sagt nichts über die Jacke: nicht die Farbe, nicht die Marke, nicht wem sie gehört.
Ein ApplicationToken funktioniert genauso. Die App kann es an ManagedSettings reichen und sagen sperre das, es an DeviceActivity reichen und sagen sag mir Bescheid, wenn das fünfzehn Minuten überschreitet, zählen, wie viele sie davon hält, und es speichern, um morgen dieselbe Sperre wieder zu setzen. In einen Namen, ein Symbol, eine Bundle-ID oder eine Nutzungszahl kann sie es nicht verwandeln. Token sind außerdem an die jeweilige App gebunden: Dieselbe App auf deinem Gerät erzeugt in einem anderen Blocker ein anderes Token, sie taugen also nicht dazu, dich zwischen Diensten zu verknüpfen.
Aber mein Blocker zeigt doch App-Namen und Symbole – wie geht das?
Das ist der Einwand, der die meisten überzeugt, das Datenschutzversprechen sei Marketing – und die Antwort ist elegant. SwiftUI stellt eine Label-Ansicht bereit, die ein Token entgegennimmt und den richtigen App-Namen samt Symbol auf dem Bildschirm rendert, innerhalb einer vom System kontrollierten Ansicht. Die Pixel erscheinen in der Oberfläche der App; die zugrunde liegende Zeichenkette gelangt nie in ihren Code, kann nicht protokolliert und nirgendwohin gesendet werden.
Du siehst also Instagram, und der Code der Entwickler sieht ein unlesbares Token, das darauf zeigt. Beides ist gleichzeitig wahr. Es ist der Unterschied zwischen einem Fenster und einer Kopie.
Was kann ein Blocker sehen, und was nie?
| Kann er sehen | Kann er nie sehen |
|---|---|
| Dass du die Bildschirmzeit-Berechtigung erteilt hast | Welche Apps du ausgewählt hast, per Name oder Bundle-ID |
| Wie viele Apps, Kategorien und Domains du gewählt hast | Symbol oder Kategorie einer konkreten Auswahl |
| Dass eine von ihm registrierte Schwelle überschritten wurde | Exakte Minuten pro App oder einen Verlauf pro App |
| Dass eine Sperre gesetzt oder aufgehoben wurde | Was du innerhalb einer App gemacht hast |
| Alles, was du selbst in die App eingibst – Ziele, Notizen, Einstellungen | Deinen Browserverlauf, deine Nachrichten, deinen Datenverkehr |
Das richtige Denkmodell: Der Blocker ist blind und hält einen Schalter. Er weiß, dass der Schalter umgelegt wurde, und ungefähr, wie viel Zeit sich gegen einen von ihm gesetzten Zähler angesammelt hat. Was auf der anderen Seite der Wand ist, weiß er nicht.
Warum sind die Zahlen in einer Drittanbieter-App nur Schätzungen?
Das fällt aus demselben Design heraus, und es ist die ehrliche Kehrseite des Datenschutzgewinns. Ein Blocker bekommt keinen laufenden Minutenzähler. Er registriert Schwellen bei DeviceActivity – benachrichtige mich, wenn die ausgewählten Apps in diesem Intervall fünf Minuten erreichen – und iOS meldet sich zurück, sobald eine überschritten ist. Die Nutzung wird also daraus erschlossen, welche Schwellen ausgelöst haben. iOS misst außerdem kumulativ über ein Intervall und nicht pro Sitzung, für eine Drittanbieter-App existiert ein sauberer Begriff von dieser Sitzung also überhaupt nicht.
Jede iPhone-App, die sekundengenaue Werte pro App zeigt, nutzt entweder Apples eigene Report-Erweiterung auf dem Gerät, die so eng eingesperrt ist, dass sie diese Daten nirgendwohin senden kann – oder sie kommt über einen Weg an die Zahlen, nach dem man fragen sollte. Grobe Zahlen sind ein Symptom eines guten Datenschutzmodells, kein Fehler.
Warum verlangen manche Apps ein VPN- oder ein Konfigurationsprofil?
Weil sie etwas tun, das FamilyControls nicht kann – und genau hier ändert sich die Vertrauensrechnung wirklich.
VPN- oder Inhaltsfilter-Profile. Websites zu sperren bedeutet, eine Browser-Anfrage abzufangen, und Apples App-Sperre reicht nicht in den Datenverkehr von Safari hinein. Eine VPN-Konfiguration leitet deine Netzwerkaktivität durch einen Filter, der die besuchten Domains einsehen kann. Plattformübergreifende Werkzeuge für Windows, Android und iOS nutzen das in der Regel, weil Apples Frameworks nur auf Apple-Plattformen existieren. Es funktioniert und es ist legitim, aber es ist eine grundlegend größere Angriffsfläche: Wer diesen Filter betreibt, kann potenziell sehen, wohin du gehst.
Konfigurations- oder MDM-Profile. Das sind Geräteverwaltungs-Pakete, gedacht für Firmen- und Schulhardware. Je nach Inhalt kann ein Profil Beschränkungen erzwingen, die die nutzende Person nicht entfernen kann, und sehr viel über ein Gerät preisgeben. Eine Consumer-App, die eine Privatperson bittet, so etwas zu installieren, verlangt etwas, das für dieses Verhältnis nie entworfen wurde.
Keins von beidem ist automatisch finster – ein Produkt zur Kindersicherung oder ein Blocker, der auch einen Arbeitslaptop abdecken muss, hat vielleicht keine Alternative. Aber wisse, welchen Handel du eingehst: Ein FamilyControls-Blocker ist strukturell außerstande, viel über dich zu lernen, während ein VPN-basierter Blocker dich bittet, ihm zu vertrauen.
Eine Einschränkung: Das hier ist ein iOS-Artikel. Unter Android stützen sich Blocker typischerweise auf den Accessibility Service und UsageStatsManager, und beide geben Paketnamen und Nutzung pro App im Klartext heraus. Die Token-Garantie ist eine Eigenschaft der Apple-Plattform und überträgt sich nicht.
„Ich arbeite im Krankenhaus, und die Hälfte von dem, was auf meinem Handy ist, ist Arbeit. Ich bin davon ausgegangen, dass jede Fokus-App still und heimlich ein Profil von mir aufbaut, und habe deshalb nie eine installiert. Umgestimmt hat mich, wie diese Auswahlliste tatsächlich funktioniert – die App kann meine Auswahl nicht sehen, weil iOS sie ihr nie gibt. Das ist eine andere Art von Versprechen als eine Datenschutzerklärung.“ — Nadine, Krankenhausapothekerin, 38
Wie bewertest du die Datenschutzversprechen einer Bildschirmzeit-App?
Eine Fünf-Minuten-Checkliste für jede App dieser Kategorie:
- Welche Berechtigungen verlangt sie? Die Bildschirmzeit-Berechtigung allein ist eine schmale, klar begrenzte Freigabe. Ein VPN-Profil, ein Konfigurationsprofil, Bedienungshilfen-Rechte oder voller Netzwerkzugriff weiten sie jeweils erheblich. Frag, was dir die zusätzliche Berechtigung bringt.
- Braucht das Sperren ein Konto? Wenn du erst einen Login anlegen musst, bevor du eine einzige App abschirmen kannst, geht Zustand irgendwohin. Das kann in Ordnung sein – Synchronisierung braucht es –, aber es ist eine Entscheidung und keine Notwendigkeit.
- Wie präzise sind ihre Zahlen? Auf iOS sind minutengenaue Diagramme pro App ein Anlass, genauer hinzuschauen, und kein Feature, das man belohnen sollte.
- Lies das Datenschutzlabel im App Store, speziell „Mit dir verknüpfte Daten“. Analyse und Absturzberichte sind normal; Nutzungsdaten, die an eine Identität gebunden sind, oder alles, was zum Tracking verwendet wird, sind etwas anderes.
- Prüfe die Regelung zu Dritten. Werbe-SDKs und Attributionspartner sind der realistische Weg, auf dem Verhaltensdaten aus einer ansonsten sauber gebauten App entkommen.
- Frag, was passiert, wenn es die Firma nicht mehr gibt. Ein Modell auf dem Gerät verfällt dazu, dass die App nicht mehr funktioniert. Ein Cloud-Modell heißt, dass dein Verlauf in irgendjemandes Übernahme liegt.
Wie hilft Unscrol?
Zuerst die ehrliche Antwort: Das datensparsamste Bildschirmzeit-Werkzeug auf deinem iPhone ist das, das Apple bereits mitliefert. Die Bildschirmzeit, App-Limits und die Auszeit kommen ohne Dritte aus, kosten nichts und halten alles innerhalb von Apples eigenem System. Wenn ein Auszeit-Fenster und ein Bildschirmzeit-Code, den dein Partner oder deine Partnerin kennt, dein Problem lösen, ist das die richtige Antwort – dann hör hier auf.
Unscrol ist eine App für iPhone und Apple Watch für den Fall, dass Apples Limit-Bildschirm nichts mehr verändert – gebaut innerhalb der oben beschriebenen Grenze statt um sie herum.
Du wählst zwei Zahlen, ein Tagesbudget und ein Maximum pro Sitzung, und iOS setzt beides durch: Verbrauchst du einen sitzungsgroßen Block des Budgets, werden deine gewählten Apps für 15 Minuten gesperrt; ist das ganze Tagesbudget weg, sind sie bis morgen gesperrt. Ein planbarer Shield deckt Fenster wie Schlaf oder Arbeit ab, und ihn mitten in einer Sitzung abzuschalten ist bewusst langsam – eine Atemübung und eine Wartezeit statt eines Wegtippens.
Zum Datenschutz konkret: Unscrol fragt die Bildschirmzeit-Berechtigung an und sonst nichts. Kein VPN. Kein Konfigurationsprofil. Die Auswahlliste, die du siehst, gehört dem System, und die App bekommt nur opake Token – sie kann also nicht lesen, welche Apps du gewählt hast, nicht ihre Namen, nicht ihre Symbole und nicht deine Nutzung pro App. Sperrlisten und Nutzungsdaten verarbeitet iOS auf dem Gerät; sie erreichen die Server von Unscrol nie. Der Nachteil steht offen in der App: Nutzungswerte sind Schätzungen aus überschrittenen Schwellen und keine Stoppuhr, weil das die einzige Zahl ist, die diese Architektur hergeben kann. Der Download ist kostenlos; die optionale Premium-Stufe ergänzt Serien-Retter für einen verpassten Tag und fünf gleichzeitige Challenge-Plätze statt einem.
Häufige Fragen
Kann eine Bildschirmzeit-App sehen, welche Apps ich gesperrt habe?
Auf iOS nicht. Ein Blocker, der auf Apples FamilyControls-Framework aufsetzt, bekommt niemals App-Identitäten. Die Auswahlliste, in der du tippst, zeichnet das System und nicht die App, und zurück kommt eine Menge opaker Token: versiegelte Griffe, die die App an iOS zurückgeben kann, um eine Sperre zu setzen, die sie aber nicht in einen Namen, eine Bundle-ID oder ein Symbol auflösen kann. Die App weiß, wie viele Dinge du ausgewählt hast, und sonst nichts darüber. Das erzwingt das Betriebssystem – es steht nicht bloß in einer Datenschutzerklärung.
Was ist ein opakes Token in Apples Screen-Time-Framework?
Ein opakes Token ist eine bedeutungslose Referenz, die stellvertretend für eine App, eine Website-Domain oder eine Kategorie steht, die du ausgewählt hast. Apples FamilyControls-Framework gibt solche Token aus, damit eine Drittanbieter-App auf deiner Auswahl handeln kann, ohne je zu erfahren, worum es sich handelt. Das Token lässt sich an iOS zurückgeben, um die App abzuschirmen oder eine Nutzungsschwelle zu setzen – mehr nicht. Token sind außerdem an die jeweilige App gebunden: Dieselbe App auf deinem Gerät erzeugt in einem anderen Blocker ein anderes Token und taugt nicht dazu, dich über Dienste hinweg zu verknüpfen.
Warum verlangen manche App-Blocker ein VPN-Profil?
Meistens, weil sie Websites sperren oder plattformübergreifend arbeiten, etwa unter Windows und Android, wo es Apples Screen-Time-Frameworks gar nicht gibt. Den Datenverkehr durch einen Filter zu leiten, ist die einzige Möglichkeit, eine Browser-Anfrage abzufangen. Das ist eine legitime Technik, aber ein erheblich größerer Vertrauensvorschuss als eine Sperre auf dem Gerät: Wer diesen Filter betreibt, kann potenziell die Domains sehen, die du aufrufst. Dasselbe gilt für jede Consumer-App, die dich bittet, ein Konfigurations- oder Verwaltungsprofil zu installieren – eine Technik, die für Firmengeräte gedacht ist.
Woran erkenne ich, ob eine Bildschirmzeit-App wirklich datensparsam ist?
Schau dir an, was sie verlangt und was sie dir zeigt. Eine App, die nur die Bildschirmzeit-Berechtigung anfragt und nie ein VPN, ein Konfigurationsprofil oder Bedienungshilfen-Rechte will, ist strukturell darin begrenzt, was sie überhaupt erfahren kann. Prüfe, ob du für das Sperren zwingend ein Konto anlegen musst, und lies das Datenschutzlabel im App Store, besonders den Abschnitt „Mit dir verknüpfte Daten“. Sei skeptisch bei minutengenauen Diagrammen pro App: Auf iOS bedeutet diese Detailtiefe meistens, dass die Daten irgendwo verarbeitet werden, wo das Betriebssystem sie nicht mehr schützt.