In den USA läuft eine geplante Sammelklage gegen Apple wegen einer Schwachstelle in Hide My Email – obwohl bislang weder konkrete Angriffe noch ein Missbrauch von E-Mail-Adressen der Klägerseite behauptet werden. Im Kern geht es um den Vorwurf, Apple habe Datenschutz versprochen, den das Unternehmen technisch nicht vollständig liefern konnte.
Vorwürfe gegen Apples Vermarktung von Hide My Email
Anthony Alvarez hat am 15. Juli vor dem U.S. District Court für den Northern District of California Klage gegen Apple eingereicht. Die Klageschrift wirft Apple unter anderem irreführende Werbung, Betrug und Vertragsverletzung im Zusammenhang mit der Vermarktung von Hide My Email vor. Betroffen sein sollen sowohl die Vollversion des Dienstes im Rahmen kostenpflichtiger iCloud+‑Abos als auch die eingeschränkten Relay-Adressen, die über Sign in with Apple erzeugt werden.
Nach Auffassung der Klägerseite habe Apple Kund:innen einen Datenschutznutzen verkauft, der technisch nicht in vollem Umfang gegeben sei. Alvarez strebt an, vier Sammelklassen zu vertreten, die Apple-Kund:innen in den gesamten USA umfassen sollen, darunter zwei eigene Unterklassen für Kalifornien. Die Klage zielt auf Schadenersatz ab und fordert zudem eine gerichtliche Anordnung, nach der Apple Hide My Email technisch nachbessern oder die Einschränkungen des Dienstes klar offenlegen müsste.
Bislang wurden die Vorwürfe vor Gericht nicht geprüft, und keine der vorgeschlagenen Klassen ist zertifiziert.
Reale Schwachstelle ohne belegten Missbrauch
Die zugrunde liegende Schwachstelle in Hide My Email hatte der Sicherheitsforscher Tyler Murphy im Juni 2025 entdeckt und an Apple gemeldet. Öffentlich bekannt wurde sie am 1. Juli, nachdem das Problem über ein Jahr hinweg nicht behoben worden war. Apple erklärte im März 2026, eine Systemänderung habe die Schwachstelle beseitigt. Tests von Murphy zeigten jedoch, dass die Lücke weiterhin bestand. Später teilte Apple ihm mit, man wolle das Problem mit einem künftigen Sicherheitsupdate adressieren.
Das Magazin 404 Media bestätigte am 29. Juni unabhängig, dass die Schwachstelle es ermöglicht, eine Hide My Email‑Relay-Adresse mit dem dahinterliegenden echten E-Mail-Konto zu verknüpfen. Die technischen Details behielt die Redaktion zurück, weil die Lücke nach eigener Einschätzung weiterhin ausnutzbar war.
Kritik an Apple entzündet sich daran, dass das Unternehmen Hide My Email weiter als Datenschutzfunktion von iCloud+ bewarb, obwohl das Feature in dieser Form ein wichtiges Versprechen nicht voll einlösen konnte: Eine Weiterleitungsadresse, die auf das reale Konto zurückführbar ist, verliert einen wesentlichen Teil ihres Schutzwerts.
Weder die Klageschrift noch öffentliche Berichte nennen allerdings konkrete bösartige Angriffe, die die Schwachstelle ausgenutzt hätten. Alvarez behauptet nicht, dass seine Adresse offengelegt oder missbraucht wurde, dass er unerwünschte Nachrichten aufgrund der Lücke erhalten hat oder dass die Schwachstelle in seinem konkreten Fall anderweitig ausgenutzt wurde.
Finanzieller Schaden und weit gefasste Forderungen
Als Schaden führt Alvarez ausschließlich finanzielle Einbußen an. Er gibt an, am oder um den 15. März 2025 ein iPhone gekauft und das 200‑GB‑iCloud+‑Abo abgeschlossen zu haben. Hätte er gewusst, dass Hide My Email versagen könne, hätte er nach seiner Darstellung nicht denselben Preis bezahlt. Dieses „Überzahlungs“-Argument will die Klage auf alle vier vorgeschlagenen Sammelklassen ausdehnen – einschließlich Personen, die Apple‑Hardware gekauft und die gebündelte Version von Hide My Email über Sign in with Apple genutzt haben.
Das Argument bezogen auf iCloud+ ist vergleichsweise klar strukturiert: Apple weist Hide My Email explizit als Teil eines kostenpflichtigen Abos aus, Kund:innen dürfen erwarten, dass die Funktion ihre beworbene Aufgabe erfüllt. Deutlich weiter greift der Versuch, einen Anteil des Gerätepreises von iPhone oder Mac unmittelbar auf Hide My Email zurückzuführen. Die Klageschrift, über die zuerst MacRumors berichtete, legt weder konkret dar, welchen Wert die Funktion im Verhältnis zum Gesamtprodukt haben soll, noch wie ein Gericht diesen Anteil aus dem Gerätepreis herauslösen könnte.
Apple positioniert Datenschutz grundsätzlich als Argument für seine Produkte, und ein prominenter Fehler kann Vertrauen beschädigen – auch ohne dokumentierten Angriff. Aus der Hide My Email‑Lücke folgt aber nicht automatisch, dass alle betroffenen Kund:innen für ein ganzes Gerät zu viel bezahlt haben. Die Sammelklage wurde 14 Tage nach der öffentlichen Bekanntmachung der Schwachstelle eingereicht, setzt auf sehr breit definierte Gruppen und kommt ohne konkrete Angriffe auf die Klägerseite aus.
Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.
Via: appleinsider.com
