E-Mail-Adresse verbergen: Apple schließt die Sicherheitslücke

Monatelang ließ sich die echte Adresse hinter Apples Alias-Funktion offenlegen – jetzt erklärt Apple das Leck für gestopft. Der Patch kam bereits am 3. Juli, vollständig ausgestanden ist die Sache damit aber nicht. Wer iCloud+ nutzt, sollte einen Punkt im Hinterkopf behalten.

Apples iCloud+-Funktion „E-Mail-Adresse verbergen“ (im Original „Hide My Email“) soll genau das Gegenteil dessen verhindern, was ein kürzlich publik gewordener Fehler möglich machte: Statt die echte Adresse zu schützen, ließ eine Sicherheitslücke die tatsächliche Adresse hinter einem Alias sichtbar werden. Nach über einem Jahr und mehreren gescheiterten Anläufen erklärt Apple das Problem nun offiziell für behoben.

Was die Lücke offenlegte

Die Funktion erzeugt zufällige Wegwerf-Adressen – zwei Wörter, eine Ziffernfolge und die Domain icloud.com –, die eingehende Nachrichten an das echte Postfach weiterleiten. Genau diese Zuordnung ließ sich unter bestimmten Bedingungen aufdecken: Die reale Adresse tauchte in Mail-Protokollen auf, etwa wenn eine Nachricht abgewiesen oder als Spam zurückgewiesen wurde. Betroffen war ausschließlich die Alias-Ebene – Passwörter und der Apple Account selbst lagen nicht offen.

Wie oft dabei tatsächlich echte Adressen abflossen, lässt sich nicht beziffern. Da der Leak schon durch eine automatisch zurückgewiesene Mail ausgelöst werden konnte, landeten solche Nachrichten oft gar nicht erst im Posteingang – ein Blick in den Spam-Ordner hilft also nicht, um eine mögliche Betroffenheit zu prüfen.

Ein Fix mit langer Vorgeschichte

Gemeldet wurde die Lücke bereits im Juni 2025 von Tyler Murphy, Mitgründer des Dienstes EasyOptOuts. Apple bestätigte den Eingang, erklärte das Problem im März 2026 für gelöst – doch bei erneuten Tests ließ es sich weiterhin ausnutzen. Ein weiterer Reparaturversuch Ende Juni verlief ebenfalls im Sande. Erst nachdem das Magazin 404 Media die noch offene Lücke Anfang Juli öffentlich machte, kam Bewegung in die Sache: Am 3. Juli spielte Apple den Patch aus, den der Konzern nun als vollständige Lösung bezeichnet.

Die technischen Details wurden erst jetzt veröffentlicht, da sich die Lücke nicht mehr ausnutzen lässt. Ein Rest Skepsis bleibt dennoch angebracht – schließlich hatte Apple die Schwachstelle schon einmal für geschlossen erklärt, ohne dass sie es war.

Was iCloud+-Nutzer jetzt beachten sollten

Der Fix läuft serverseitig und greift damit automatisch – auch für iCloud+- und Apple-One-Kundschaft in Deutschland, Österreich und der Schweiz ist kein Update nötig. Einen Haken gibt es aber: Adressen, die vor dem 7. Juli 2026 erstellt wurden, könnten bereits in Protokollen von Drittanbietern gelandet und dort weiterhin gespeichert sein. Der Patch verhindert neue Lecks, macht frühere aber nicht rückgängig.

Für besonders sensible Anmeldungen kannst du daher neue Alias-Adressen erzeugen, um von der Vergangenheit sauber getrennt zu starten. Wer seine iCloud-Daten grundsätzlich stärker absichern möchte, kann zusätzlich die stärkste Verschlüsselungsstufe für iCloud aktivieren.

Apples Datenschutz-Versprechen steht unter Beobachtung

Parallel läuft eine Sammelklage: Anthony Alvarez reichte sie am 15. Juli vor dem US-Bundesgericht für den nördlichen Distrikt Kaliforniens ein und wirft Apple irreführende Werbung, Betrug und Vertragsbruch vor. Gefordert werden Schadenersatz beziehungsweise die Rückerstattung der Abogebühren sowie eine gerichtliche Anordnung. Ein realer Angriff über die Lücke ist bislang nicht belegt. Eine Funktion, die Werbung als Privatsphäre-Schutz verkauft, verliert ihren Wert, sobald sich die verborgene Adresse zurückverfolgen lässt – entsprechend genau dürfte beobachtet werden, ob der Fix diesmal hält. (Bild: Apple)