Sicherheitslücke: „E‑Mail verbergen“ von Apple gibt echte Adressen preis

In Apples iCloud‑Plus-Funktion „E‑Mail verbergen“ ist seit über einem Jahr eine Sicherheitslücke offen, die echte E‑Mail-Adressen sichtbar macht. Apple wurde informiert, hat das Problem aber bislang nicht behoben.

Versteckte Adresse, echte Identität

Die Lücke in „E‑Mail verbergen“ ermöglicht es laut einer Sicherheitsforscher-Gruppe und eigenen Tests von 404 Media, die reale E‑Mail-Adresse hinter einer eigentlich anonymen Adresse herauszufinden. Die Redaktion von 404 Media veröffentlicht die technischen Details nicht, weil sich die Schwachstelle nach aktuellem Stand weiterhin ausnutzen lässt.

Tyler Murphy, Mitgründer des Dienstes EasyOptOuts, hat die Schwachstelle entdeckt und Apple gemeldet. Gegenüber 404 Media erklärte er, Apple „E‑Mail verbergen“ gebe E‑Mail-Adressen preis, die eigentlich verborgen sein sollen. Sein Team habe das Problem inklusive Anleitungen zur Reproduktion vor über einem Jahr gemeldet. Warum Apple es bislang nicht behoben habe, wisse man nicht, aber man wolle nicht länger abwarten. Nutzer:innen von „E‑Mail verbergen“ müssten wissen, dass Angreifer:innen ihre versteckten Adressen möglicherweise herausfinden können.

Murphy weist zudem darauf hin, dass frei zugängliche Personensuchseiten im Netz E‑Mail-Adressen leicht mit weiteren persönlichen Informationen verknüpfen können. Menschen, die sich aus Sicherheitsgründen auf „E‑Mail verbergen“ verlassen, könnten dadurch gefährdet sein.

So funktioniert „E‑Mail verbergen“ – und wie der Test lief

„E‑Mail verbergen“ ist Teil des kostenpflichtigen Angebots iCloud+. Die Funktion erzeugt zufällige, anonyme E‑Mail-Adressen, die Nutzer:innen statt ihrer privaten Adresse zum Registrieren bei Diensten oder zum Schreiben von Nachrichten verwenden können. Diese Alias-Adressen bestehen typischerweise aus zwei zufälligen Wörtern und einer Zahl und enden auf die Domain @icloud.com.

Das soll dabei helfen, Spam zu reduzieren, Konten zu erstellen, die nicht direkt mit der persönlichen Identität verknüpft sind, und persönliche Daten von Diensten fernzuhalten, die später Opfer eines Datenlecks werden könnten. Der Autor des ursprünglichen Berichts gibt an, selbst bereits über 400 solcher Adressen mit „E‑Mail verbergen“ erzeugt zu haben.

Für einen Test erstellte er eine neue „E‑Mail verbergen“-Adresse und übermittelte sie an Murphy. Etwa fünf Minuten später antwortete Murphy mit der echten E‑Mail-Adresse des Apple-Kontos, die durch die Funktion eigentlich verborgen bleiben sollte. In begrenzten Tests mit freiwilligen Teilnehmer:innen seien nach Murphys Angaben 100 Prozent der geprüften „E‑Mail verbergen“-Adressen anfällig gewesen.

Apples Reaktion und geplante Änderungen

Murphy meldete die Schwachstelle im Juni 2025 an Apple und legte 404 Media eine Kopie des Nachrichtenaustauschs vor. Einen Monat später antwortete Apple, man untersuche das Problem. Im März dieses Jahres teilte Apple mit, man habe das gemeldete Problem „in einer kürzlichen Systemänderung behoben“. Murphy stellte jedoch fest, dass die Lücke weiterhin bestand. Nach weiteren Informationen von ihm erklärte Apple noch im selben Monat erneut, man prüfe den Sachverhalt, und bekräftigte dies im Mai.

Im Mai bat Apple darum, die Informationen nicht zu veröffentlichen, um Kund:innen nicht zu gefährden, und bedankte sich für die Unterstützung bei der Verbesserung der Produktsicherheit. Murphy schlug daraufhin vor, neue Verkäufe von „E‑Mail verbergen“ bis zur Behebung des Problems zu stoppen, um die Zahl der potenziell Betroffenen zu begrenzen. Ende Mai kündigte Apple an, die Schwachstelle in einem zukünftigen Sicherheitsupdate „in den kommenden Wochen“ zu adressieren.

Da das Problem dennoch weiterbesteht, wandte sich Murphy am Montag an 404 Media, legte Details offen und wiederholte, dass man sich mit einem weiteren Abwarten nicht mehr wohlfühle. Apple reagierte nicht auf mehrere Anfragen von 404 Media.

Bereits im Juni berichtete TechCrunch, Apple plane Änderungen an „E‑Mail verbergen“, die die Funktion deutlich weniger effektiv machen könnten. Demnach sollen neu generierte Adressen künftig nicht mehr die Domain @icloud.com, sondern @private.icloud.com verwenden. Dadurch könnten Websites und Dienste Registrierungen über diese Alias-Adressen leichter blockieren.

Via: https://www.404media.co

Den Beitrag in unserem Forum kommentieren