Apple behebt Fehler in „E-Mail-Adresse verbergen“, durch den echte Adressen von Nutzern offengelegt werden konnten

Apple hat eine Schwachstelle in seinem Dienst „E-Mail-Adresse verbergen“ behoben, durch die die mit einem Datenschutz-Alias verknüpfte persönliche E-Mail-Adresse in E-Mail-Übertragungsprotokollen offengelegt werden konnte.

Das Problem, über das 404 Media berichtete, wurde Apple am 13. Juni 2025 von Tyler Murphy, dem Mitgründer des Opt-out-Dienstes EasyOptOuts, gemeldet. Apple setzte den Bericht zufolge am 3. Juli 2026 einen Fix um, nachdem frühere Behebungsversuche im März und am 30. Juni erfolglos geblieben waren.

Wie die Offenlegung erfolgte

„E-Mail-Adresse verbergen“, das Abonnenten von iCloud+ zur Verfügung steht, erstellt zufällige Weiterleitungsadressen, über die Nutzer kommunizieren können, ohne ihre primäre E-Mail-Adresse preiszugeben. An einen Alias gesendete Nachrichten werden an den regulären Posteingang des Nutzers weitergeleitet.

Forscher erklärten, dass die Schwachstelle ausgelöst werden konnte, wenn eine an einen bestimmten Alias gesendete Nachricht als Spam abgewiesen wurde. Unter bestimmten Umständen führte der Ablehnungsprozess dazu, dass die zugrunde liegende E-Mail-Adresse des Empfängers in den von E-Mail-Anbietern geführten Mailprotokollen erschien. Die Nachricht musste den Posteingang des Nutzers nicht unbedingt erreichen. Betroffene Personen hatten daher möglicherweise keine praktische Möglichkeit, die Offenlegung durch eine Prüfung ihrer E-Mails zu erkennen.

Murphy und der EasyOptOuts-Mitgründer Ben Weiner erklärten gegenüber 404 Media, dass die Zahl der möglicherweise in Protokollen erfassten Adressen unbekannt sei. Sie sagten außerdem, dass das Problem mehrere große E-Mail-Anbieter betraf, wobei die genauen Bedingungen je nach Dienst unterschiedlich gewesen sein könnten.

Mögliche historische Offenlegung

Obwohl das technische Problem behoben wurde, könnten mit „E-Mail-Adresse verbergen“-Aliasen verknüpfte Adressen, die vor dem 7. Juli 2026 erstellt wurden, in Mail-Übertragungsprotokollen erfasst worden sein, wenn legitime Nachrichten abgewiesen oder zurückgesendet wurden. Apple hat nicht angegeben, wie viele Nutzer möglicherweise betroffen waren.

Die Offenlegung erfolgt, während Apple mit einer geplanten Sammelklage konfrontiert ist, in der behauptet wird, das Unternehmen habe den Schutz der Privatsphäre durch „E-Mail-Adresse verbergen“ übertrieben dargestellt und zugleich über iCloud+ den Zugang kostenpflichtig gemacht. In der Klageschrift heißt es, Apple habe seit mehr als einem Jahr von der Schwachstelle gewusst, den Dienst jedoch weder ausgesetzt noch Kunden benachrichtigt oder seine Datenschutzerklärungen angepasst.

Nutzer, die auf „E-Mail-Adresse verbergen“ angewiesen sind, sollten weiterhin die aktualisierte Software des Dienstes verwenden und, soweit möglich, ihre Kontoaktivitäten überprüfen. Dabei sollten sie berücksichtigen, dass historische Protokolle der Anbieter möglicherweise nicht abgerufen werden können oder für Kunden nicht sichtbar sind.