Zum Inhalt springen

~/CodeBlog.at

System Integrity Protection (SIP): Status prüfen, deaktivieren & aktivieren

·2 Min. Lesezeit

Veröffentlicht
Überarbeitet

Was ist neu: Neu aufgebaut: Anleitung für Apple Silicon und Intel, wann SIP überhaupt deaktiviert werden muss, und Warnhinweise.

Kurz & knapp

Die System Integrity Protection (SIP) schützt Systemordner wie /System, /usr und /bin selbst vor root. Den Status zeigt csrutil status. Deaktivieren lässt sie sich nur in der macOS-Wiederherstellung mit csrutil disable – das brauchst du heute fast nie, z. B. nicht mehr für PHP oder Homebrew – und danach sofort wieder mit csrutil enable einschalten.

Getestet mit: macOS 27 (Apple Silicon)

Inhalt
  1. Was schützt SIP?
  2. Status prüfen
  3. Muss ich SIP deaktivieren?
  4. SIP deaktivieren
  5. Mac mit Apple Silicon
  6. Intel-Mac
  7. SIP wieder aktivieren

Mit OS X El Capitan (10.11) hat Apple 2015 die System Integrity Protection eingeführt, kurz SIP – oft auch „Rootless“ genannt. Seitdem darf selbst der root-Benutzer geschützte Teile des Systems nicht mehr verändern. Damals sorgte das für Frust, weil bewährte Tricks plötzlich nicht mehr funktionierten, etwa das Ersetzen des mitgelieferten PHP. Heute ist SIP ein zentraler Baustein der Mac-Sicherheit und muss im Alltag praktisch nie deaktiviert werden.

Was schützt SIP?

Laut Apple sind folgende Bereiche geschützt:

  • /System, /usr, /bin, /sbin und /var
  • alle Apps, die mit macOS vorinstalliert sind

Ausgenommen sind unter anderem /Applications, /Library und /usr/local – dort dürfen Installationsprogramme und Drittanbieter-Software weiterhin schreiben. Änderungen an den geschützten Bereichen dürfen nur von Apple signierte Prozesse vornehmen, zum Beispiel Softwareupdates.

Status prüfen

Ob SIP aktiv ist, zeigt ein Befehl im ganz normalen Terminal:

csrutil status
System Integrity Protection status: enabled.

Muss ich SIP deaktivieren?

Apple nennt als legitimen Grund vor allem die Entwicklung und das Testen von Treibern, Kernel- und Systemerweiterungen. Für das Ausführen und Debuggen normaler Apps aus Xcode ist das Deaktivieren nicht nötig.

SIP deaktivieren

csrutil disable funktioniert ausschließlich in der macOS-Wiederherstellung. Wie du dorthin kommst, hängt vom Prozessor deines Macs ab.

Mac mit Apple Silicon

  1. Menü Apple → Ausschalten und warten, bis der Mac komplett aus ist.

  2. Den Ein-/Ausschalter gedrückt halten, bis das Startvolume und die Taste „Optionen“ erscheinen.

  3. „Optionen“ wählen, auf „Fortfahren“ klicken und mit einem Admin-Account anmelden.

  4. In der Menüleiste Dienstprogramme → Terminal öffnen und eingeben:

    csrutil disable

  5. Über Menü Apple → Neustart normal neu starten.

Intel-Mac

  1. Menü Apple → Neustart wählen.

  2. Sofort ⌘ + R gedrückt halten, bis das Apple-Logo bzw. der Startbildschirm erscheint.

  3. In der Menüleiste Dienstprogramme → Terminal öffnen und eingeben:

    csrutil disable

  4. Über Menü Apple → Neustart normal neu starten.

SIP wieder aktivieren

Genauso wie beim Deaktivieren: in die macOS-Wiederherstellung starten, das Terminal öffnen und eingeben:

csrutil enable

Nach dem Neustart mit csrutil status prüfen, ob wieder enabled angezeigt wird.

Häufige Fragen

Wie prüfe ich, ob SIP aktiv ist?

Im Terminal csrutil status eingeben. Die Ausgabe System Integrity Protection status: enabled. bedeutet, dass SIP aktiv ist.

Muss ich SIP für Homebrew oder PHP deaktivieren?

Nein. Homebrew installiert nach /opt/homebrew (Apple Silicon) bzw. /usr/local (Intel) – beide Bereiche sind nicht durch SIP geschützt. Auch PHP wird heute nicht mehr ins System installiert.

Kann ich SIP im normalen Betrieb deaktivieren?

Nein. csrutil disable und csrutil enable funktionieren nur im Terminal der macOS-Wiederherstellung. Im normalen Betrieb ist nur csrutil status möglich.

Ist es gefährlich, SIP deaktiviert zu lassen?

Ja. Ohne SIP kann Software mit Administratorrechten Systemdateien verändern. Apple empfiehlt, SIP nur vorübergehend zu deaktivieren und so bald wie möglich wieder zu aktivieren.

Quellen & weiterführende Links

  1. Informationen zum Systemintegritätsschutz auf dem Mac (öffnet in neuem Tab) – Apple Support
  2. Disabling and Enabling System Integrity Protection (öffnet in neuem Tab) – Apple Developer
  3. Verwenden von macOS-Wiederherstellung auf einem Mac mit Apple Chips (öffnet in neuem Tab) – Apple Support
  4. Verwenden von macOS-Wiederherstellung auf einem Intel-basierten Mac (öffnet in neuem Tab) – Apple Support

Geschrieben von

Christoph Schwob (öffnet in neuem Tab)

Ich bin Christoph Schwob, halbkreativer Entwickler aus Österreich und arbeite seit über 10 Jahren an und mit TYPO3. Hier sammle ich Lösungen, Code-Snippets und Notizen rund um TYPO3, macOS, Server, Homelab und alles andere.

Das könnte dich auch interessieren

Suche

Tippe einen Suchbegriff ein.