Apple wirbt seit Jahren mit starkem Datenschutz. Nun zeigt eine Schwachstelle in „E-Mail verbergen“, wie angreifbar ein zentrales iCloud+-Feature derzeit ist.
Alias-Adressen lassen sich offenbar auf die echte E-Mail zurückführen – und das laut Berichten seit über einem Jahr, ohne dass Apple den Fehler behoben hat.
Was bei „E-Mail verbergen“ schiefläuft
„E-Mail verbergen“ ist Teil von iCloud+ und wird auch in „Mit Apple anmelden“ eingesetzt. Der Dienst erstellt zufällige Alias-Adressen, die Nachrichten an Eure echte Mail weiterleiten sollen, ohne diese preiszugeben. Laut einem Bericht von 404 Media existiert jedoch eine Schwachstelle, mit der sich die dahinterliegende reale Adresse ermitteln lässt. Betroffen sind demnach Alias-Adressen, die über iCloud+ oder im Rahmen von „Mit Apple anmelden“ genutzt werden.
404 Media beruft sich auf eine Sicherheitsforscherin und eigene Tests. Die Redaktion hat die technischen Details bewusst zurückgehalten, weil die Schwachstelle nach eigener Darstellung weiterhin ausnutzbar ist. Dennoch konnten die Autor:innen nach eigenen Angaben zeigen, dass sich die eigentlich verborgene Hauptadresse mit vergleichsweise geringem Aufwand rekonstruieren lässt. Medienberichte von MacRumors und Six Colors bestätigen die Darstellung und verweisen ebenfalls auf die Untersuchung von 404 Media.
Besonders brisant ist der Zeitraum: Die Schwachstelle soll Apple seit mehr als einem Jahr gemeldet sein, ohne dass bislang ein Fix ausgeliefert wurde. Öffentliche Hinweise auf eine Behebung gibt es aktuell nicht. Damit steht ein Feature infrage, das Apple wiederholt als wichtigen Baustein für mehr Privatsphäre im Alltag präsentiert hat.
Risiken für iCloud+- und „Mit Apple anmelden“-Nutzer:innen
Wenn Alias-Adressen nicht zuverlässig anonym bleiben, verlieren sie einen Großteil ihres Nutzwerts. Laut den vorliegenden Berichten könnte praktisch jede:r, der oder die die Schwachstelle kennt und technisch in der Lage ist, sie anzuwenden, die echte Adresse hinter einer Alias-Mail ermitteln. Das betrifft alle, die „E-Mail verbergen“ aktiv mit iCloud+ einsetzen, etwa zur Registrierung bei Diensten, Newslettern oder Apps. Auch Nutzer:innen, die auf „Mit Apple anmelden“ setzen, sind potenziell betroffen, sofern dort Alias-Adressen generiert werden.
Die Gefahr liegt weniger in einem direkten Account-Hack, sondern in der Deanonymisierung. Wer auf „E-Mail verbergen“ setzt, tut das häufig, um die eigene Kontaktadresse gegenüber Websites, Apps oder Dienstleistern abzuschirmen. Fällt diese Trennung, lassen sich Profile besser zusammenführen und Kommunikationsdaten konkreten Personen zuordnen. Das kann zu mehr Spam, gezielteren Phishing-Versuchen oder unerwünschter Profilbildung führen. Konkrete Fälle von Missbrauch werden in den Berichten zwar nicht genannt, das theoretische Risiko ist aber klar beschrieben.
Was Ihr jetzt konkret tun könnt
Bis Apple die Schwachstelle behebt oder sich offiziell dazu äußert, solltet Ihr Eure Nutzung von „E-Mail verbergen“ bewusst überprüfen. Schaut in den iCloud-Einstellungen nach, welche Alias-Adressen Ihr aktiv nutzt und zu welchen Diensten sie gehören. Ihr könnt gezielt entscheiden, kritische Konten – etwa für Finanzen, Gesundheit oder berufliche Kommunikation – vorerst nicht über Alias-Adressen laufen zu lassen. Stattdessen könnt Ihr dort direkt Eure Hauptadresse oder separate, selbst verwaltete Konten verwenden, bis klar ist, wie Apple reagiert.
Überlegt Euch außerdem eine Alias-Strategie: Nutzt „E-Mail verbergen“ vor allem dort, wo ein möglicher Rückschluss auf Eure Hauptadresse weniger schwer wiegt, etwa bei Newslettern oder Testanmeldungen. Achtet generell auf verdächtige Mails, auch wenn sie über Alias-Adressen hereinkommen, und behandelt Links sowie Anhänge mit Vorsicht. So reduziert Ihr das Risiko, dass eine deanonymisierte Adresse gleich zum Einfallstor für weitere Angriffe wird.
Bis zu einer offiziellen Stellungnahme bleibt die Lage unklar. Fest steht: Die Berichte stellen Apples Selbstbild als Datenschutz-Vorreiter infrage und werfen Fragen zur internen Sicherheitskultur auf – vor allem, wenn eine zentrale Schutzfunktion so lange verwundbar bleibt.
Via: wabetainfo.com · www.zdnet.com · www.techradar.com
