Die iCloud+-Funktion „E-Mail-Adresse verbergen“ erstellt zufällige Adressen, die Nachrichten an dein persönliches Postfach weiterleiten. Webseiten, Apps und Absender sollen dadurch deine tatsächliche E-Mail-Adresse nicht erfahren. Apple führte die Funktion ausdrücklich als Werkzeug ein, mit dem Nutzer ihre persönliche Adresse privat halten können.
Eine Schwachstelle unterlief dieses Prinzip. Sicherheitsforscher Tyler Murphy konnte die echte Zieladresse hinter einem Alias ermitteln. In begrenzten Tests mit Freiwilligen waren nach seinen Angaben sämtliche geprüften Adressen betroffen. Auch 404 Media bestätigte den Fehler mit einer eigenen Testadresse. Die vollständige technische Methode blieb zunächst unveröffentlicht, um eine weitere Ausnutzung zu erschweren.
Eine abgewiesene Nachricht konnte die Zieladresse verraten
Nach dem Patch wurden weitere Details bekannt. Vereinfacht gesagt ließ sich das Problem auslösen, indem eine Nachricht an die versteckte Adresse von einem Mailserver als Spam abgewiesen wurde. Bei diesem Vorgang konnte die dahinterliegende echte Adresse an den Absender zurückgegeben und in dessen Mailprotokollen gespeichert werden.
Besonders problematisch: Die betroffene Nachricht musste nicht im Posteingang oder Spamordner des Nutzers erscheinen. Du kannst deshalb nicht zuverlässig anhand deines Postfachs erkennen, ob eine deiner Adressen offengelegt wurde.
Murphy hatte den Fehler bereits im Juni 2025 an Apple gemeldet. Apple erklärte zwischenzeitlich, das Problem behoben zu haben, doch der Forscher konnte es weiterhin reproduzieren. Erst nach der öffentlichen Berichterstattung Anfang Juli 2026 spielte Apple nach eigenen Angaben am 3. Juli einen serverseitigen Patch ein. Das Unternehmen erklärte gegenüber 404 Media, die Schwachstelle sei damit vollständig geschlossen.
Der Patch entfernt keine Daten aus fremden Logfiles
Für neue Angriffe über diese konkrete Methode ist die Lücke laut Apple geschlossen. Das beseitigt jedoch keine Informationen, die vorher bereits an externe Mailserver übertragen wurden.
Mailanbieter und andere Absender speichern technische Übertragungsprotokolle häufig über längere Zeit. Eine darin enthaltene Verbindung zwischen Alias und echter Adresse kann deshalb weiterhin bestehen. Die Forscher empfehlen vorsichtshalber davon auszugehen, dass vor dem 7. Juli 2026 erstellte und verwendete Hide-My-Email-Adressen betroffen sein könnten. Dieses Datum ist eine Sicherheitsempfehlung der Entdecker und nicht das von Apple genannte Patch-Datum.
Das bedeutet nicht, dass jede Alias-Adresse tatsächlich ausgelesen wurde. Es gibt bislang keine belastbaren Zahlen zur Zahl der betroffenen Nutzer oder zu einer systematischen Ausnutzung. Eine individuelle Prüfung ist ebenfalls nicht möglich.
Alte Aliase musst du nicht pauschal löschen
Für Newsletter, Shops und gewöhnliche Registrierungen bleibt „E-Mail-Adresse verbergen“ praktisch: Einzelne Aliase lassen sich deaktivieren, ohne dass deine Hauptadresse geändert werden muss. Ein vorsorglicher Austausch kann sinnvoll sein, wenn eine Adresse viel Spam erhält, auf unbekannten Plattformen verwendet wurde oder deine Identität besonders schützen sollte.
Bei Bankkonten, Passwortmanagern, Cloudzugängen und anderen wichtigen Diensten solltest du dagegen langfristig kontrollierbare Adressen verwenden. Geeignet sind etwa getrennte Aliase oder eine eigene Domain. Dabei ist wichtig, dass du dauerhaft Zugriff auf die Adresse behältst. Ein sofortiger Wechsel kann sonst selbst zum Risiko werden, wenn ein Anbieter die alte Adresse für Anmeldung oder Kontowiederherstellung benötigt.
Unabhängig vom verwendeten Alias schützt eine starke, einzigartige Passphrase zusammen mit Zwei-Faktor-Authentifizierung dein Konto besser als die Geheimhaltung der Mailadresse allein.
Kommentare (0)