Sicherheitsforscher:innen und Journalist:innen berichten von einer Lücke in Apples E-Mail-Verbergen. Unter bestimmten Umständen lässt sich trotz Alias die echte Mail-Adresse ermitteln.

Wie E-Mail-Verbergen funktioniert – und wo es hakt

E-Mail-Verbergen, Teil von iCloud+, erstellt für Registrierungen zufällige Alias-Adressen. Mails werden an euer echtes Postfach weitergeleitet, der Dienst sieht nur den Alias. Das hilft gegen Spam und lässt sich bei Bedarf pro Alias abschalten. Im Kern ist es eine Maske, keine vollständige Tarnung. Laut den Hinweisen soll die Lücke es ermöglichen, aus einer versteckten Adresse die reale herauszufinden. Die technischen Details wurden bewusst nicht veröffentlicht. Die Schwachstelle soll seit über einem Jahr ausnutzbar sein und erfordert gezieltes Vorgehen sowie Fachwissen. Das ist unangenehm, aber kein automatischer Freifahrtschein für jeden Anbieter.

Wer betroffen ist – und was es bedeutet

Relevant sind vor allem Privatsphäre und Sicherheit. Wer E-Mail-Verbergen nutzt, möchte die echte Adresse vor Diensten schützen. Wenn diese Trennung umgangen werden kann, ist das ärgerlich. Kritischer ist der Sicherheitsaspekt: Über die Mail-Adresse laufen Passwort-Resets, Bestätigungen und oft Zwei-Faktor-Codes. Kennt jemand eure echte Adresse, sind gezieltere Phishing-Angriffe möglich. Realistisch im Fokus stehen Personen mit wertvollen Zugängen, sensiblem Datenzugriff, öffentlicher Rolle oder bestehender Angriffshistorie. Für viele Nutzer:innen ist das Risiko geringer, weil Massenangriffe meist über gekaufte Listen, Phishing oder Datenlecks laufen. Panik ist daher unangebracht, übertriebene Erwartungen an Anonymität aber auch.

So nutzt ihr die Funktion jetzt sinnvoll

Ihr begegnet E-Mail-Verbergen in iOS, iPadOS und macOS, etwa bei „Mit Apple anmelden“ oder als Alias-Vorschlag in Safari-Formularen. Prüft in euren iCloud- bzw. Apple-Account-Einstellungen, welche Alias-Adressen existieren. Räumt alte Alias-Adressen auf, die nur noch Spam bringen. Nutzt E-Mail-Verbergen dort weiter, wo Flexibilität wichtig ist, etwa bei Newslettern oder weniger kritischen Diensten. Für zentrale Konten wie Online-Banking, Versicherungen oder staatliche Portale ist eine gut geschützte Hauptadresse oft sinnvoller. Gleiches gilt für Konten, bei denen ihr langfristig zuverlässig erreichbar bleiben müsst, etwa Ärzt:innenportale, Vereinskonten oder berufliche Tools. „Mit Apple anmelden“ bleibt praktisch, aber verlasst euch nicht allein auf die versteckte Adresse.

Unabhängig davon gilt: Starke, einzigartige Passwörter für jeden Dienst sind Pflicht. Nutzt einen Passwort-Manager und aktiviert die Zwei-Faktor-Authentifizierung. Apple verlangt 2FA inzwischen in der Regel verpflichtend. Sichert eure Geräte mit Sperrcode, Face ID oder Touch ID und haltet automatische Updates aktiv. Achtet besonders auf Phishing: Klickt keine übereilten Links, öffnet Dienste lieber über offizielle Apps oder direkt im Browser. Seid misstrauisch bei Mails, die Druck aufbauen. Euer Bauchgefühl ist keine Technik, aber oft eine wirksame Bremse.

Die Schwachstelle wurde öffentlich benannt und erfordert Nachbesserungen. Solche Korrekturen können Zeit brauchen. Haltet iPhone, iPad und Mac aktuell und installiert Sicherheitsupdates zügig. Nutzt E-Mail-Verbergen bewusst als zusätzliche Schicht – kombiniert mit starken Passwörtern, Zwei-Faktor-Authentifizierung und Aufmerksamkeit.

Den Beitrag in unserem Forum kommentieren