Apple hat eine Schwachstelle in „Hide meine E‑Mail“ geschlossen, die reale E‑Mail-Adressen sichtbar machen konnte. Recherchen zeigen jedoch, dass der Fehler über ein Jahr bekannt war und der Fix verzögert sowie uneinheitlich wirksam war.
Wie die Schwachstelle in Hide meine E‑Mail funktionierte
Die Lücke betraf die iCloud+-Funktion „Hide meine E‑Mail“, mit der sich anonyme Alias-Adressen erzeugen lassen, die Nachrichten an das eigentliche Postfach weiterleiten. Nutzer:innen können so für jede Website oder jeden Dienst eine eigene Adresse nutzen, ohne ihre dauerhafte E‑Mail preiszugeben. Laut 404 Media und EasyOptOuts führte jedoch ein Fehler dazu, dass Absender:innen hinter den Alias blicken konnten.
Wurde eine gezielt an einen Hide‑meine‑E‑Mail‑Alias gerichtete Nachricht von einem Mailserver als Spam abgelehnt, tauchte die reale E‑Mail-Adresse der betroffenen Person in bestimmten E‑Mail-Protokollen auf. Für viele große Mail-Hosts reichte eine automatische Spam-Ablehnung, auch bei eigentlich legitimen Nachrichten. Diese Mails erreichten die Posteingänge nicht, Betroffene konnten daher ihre Spam-Ordner nicht prüfen, um festzustellen, ob sie betroffen waren.
Apple zufolge wurde die Schwachstelle mit einem Software-Patch vom 3. Juli 2026 vollständig behoben. 404 Media bestätigt, dass die konkrete Angriffsmethode seitdem nicht mehr ausnutzbar ist und hat daraufhin technische Details veröffentlicht. Die Lücke griff ausschließlich die Vertraulichkeit der eigentlichen E‑Mail-Adresse an; Passwörter, Apple-IDs oder Zugriffe auf Postfächer waren nicht betroffen.
Langer Umgang mit dem Fehler und widersprüchliche Fix-Daten
Tyler Murphy, Mitgründer des Dienstes EasyOptOuts, meldete die Hide‑meine‑E‑Mail-Probleme erstmals im Juni 2025 an Apple. Laut EasyOptOuts tauschten Murphy und Mitgründer Ben Weiner rund ein Jahr lang Berichte und Testergebnisse mit Apple aus. Apple erklärte die zugrundeliegenden Schwachstellen am 3. März und 30. Juni 2026 jeweils für behoben, doch EasyOptOuts konnte das Verhalten nach beiden Terminen erneut reproduzieren.
Erst nachdem Murphy befürchtete, Apple werde das Problem nicht ernsthaft angehen, wandte er sich an 404 Media, das den Fehler am 1. Juli 2026 öffentlich machte. Apple teilte 404 Media danach mit, ein Patch vom 3. Juli 2026 habe die Lücke komplett geschlossen. AppleInsider konnte die Schwachstelle jedoch am 17. Juli 2026 noch nachstellen: Sobald ein Absender einen bestimmten Alias besaß, ließ sich mit geringem technischem Wissen die dahinterliegende Adresse für diesen Einzelfall ermitteln.
Apple hat bislang nicht erklärt, ob der Patch gestaffelt ausgerollt wurde, wann die Verteilung abgeschlossen war oder warum die Tests vom 17. Juli noch Erfolg hatten. Fest steht lediglich, dass die Schwachstelle heute nicht mehr reproduzierbar ist. Die widersprüchlichen Daten erschweren jedoch die Einordnung von Apples Aussage, der Fehler sei bereits am 3. Juli vollständig behoben gewesen.
Bleibendes Datenschutzrisiko und Klage gegen Apple
Murphy und Weiner betonen, dass der konkrete Bug zwar gefixt sei, das Risiko für Nutzer:innen von Hide meine E‑Mail aber nicht vollständig verschwunden sei. Da auch nicht-bösartige E-Mails abgewiesen wurden und Mail-Transfer-Protokolle häufig langfristig gespeichert werden, gehen sie davon aus, dass jede reale Adresse hinter einem Alias, der vor dem 7. Juli 2026 erstellt wurde, möglicherweise in Protokollen Dritter aufgetaucht ist und dort weiterhin gespeichert sein könnte.
EasyOptOuts weist darauf hin, dass zunächst ein bestimmter Alias bekannt sein musste, um eine Adresse gezielt anzugreifen. Das begrenzte die praktische Angriffsfläche, und es gibt keine öffentlichen Hinweise auf koordinierte Ausnutzung der Lücke in großem Stil. Dennoch untergrub der Fehler das zentrale Versprechen von Hide meine E‑Mail, da die angeblich verborgene Adresse mit geleakten oder öffentlich verfügbaren Informationen verknüpft werden konnte.
Die rechtlichen Folgen ließen nicht lange auf sich warten. In den USA wurde eine Sammelklage gegen Apple eingereicht, in der unter anderem Verstöße gegen kalifornische Verbraucherschutz- und Werbegesetze geltend gemacht werden. Die Klage wirft Apple vor, gewusst zu haben, dass Hide meine E‑Mail nicht wie beworben funktionierte, und fordert die Rückerstattung von iCloud+-Abogebühren sowie weitere Entschädigungen. Wie das Verfahren ausgeht und ob Apple noch detailliert zum Ablauf der Fehlerbehebung Stellung nimmt, bleibt abzuwarten.
Via: www.engadget.com · appleinsider.com · www.macrumors.com
