Apples kostenpflichtige Datenschutzfunktion „E-Mail-Adresse verbergen“ hat ausgerechnet jene Information preisgegeben, die sie schützen sollte: die echte E-Mail-Adresse des Nutzers. Ein Sicherheitsforscher meldete das Leck bereits im Juni 2025. Apple erklärte nun gegenüber 404 Media, die Schwachstelle sei am 3. Juli 2026 vollständig behoben worden.

„E-Mail-Adresse verbergen“ gehört zum kostenpflichtigen Dienst iCloud+. Apple erzeugt dabei zufällige Alias-Adressen, über die Nachrichten an das eigentliche Postfach weitergeleitet werden. Nutzer können für verschiedene Webseiten unterschiedliche Adressen verwenden, um ihre feste Identität vor Plattformen, Datenhändlern und späteren Datenlecks zu schützen.

Tyler Murphy, Mitgründer des Datenschutzdienstes EasyOptOuts, entdeckte jedoch, dass ein Absender die hinter einem solchen Alias liegende echte Adresse ermitteln konnte. In begrenzten Tests mit freiwilligen Teilnehmern seien sämtliche geprüften Alias-Adressen angreifbar gewesen. Murphy meldete Apple den Fehler samt Anleitung zur Reproduktion vor mehr als einem Jahr.

Der technische Auslöser war ebenso banal wie gefährlich: Schickte jemand eine Nachricht an den Alias und wurde diese von einem Mailserver als Spam zurückgewiesen, konnte die Fehlermeldung die echte Zieladresse offenlegen. Die betroffene Nachricht musste deshalb nicht einmal im Posteingang oder Spamordner des Opfers auftauchen. Spuren der offengelegten Adresse können dennoch in Protokollen fremder Mailanbieter gespeichert worden sein.

Apples Zeitlinie überzeugt nicht. Der Konzern wusste seit Juni 2025 von der Lücke, erklärte sie zwischenzeitlich mehrfach für erledigt und wurde von den Forschern wiederholt auf das Fortbestehen hingewiesen. Erst nachdem 404 Media Anfang Juli berichtete, folgte nach Apples Darstellung die endgültige Reparatur. Inzwischen wurde zudem eine Sammelklage eingereicht, die unter anderem die Rückzahlung von Abonnementkosten verlangt.

Selbst das behauptete Patch-Datum ist umstritten. AppleInsider konnte das Verhalten am 17. Juli noch reproduzieren, zwei Wochen nach dem angeblich vollständigen Patch. Aktuell gelingt der Test dort nicht mehr. Ob Apple den Schutz schrittweise ausrollte oder das genannte Datum schlicht nicht für alle Nutzer galt, hat der Konzern bislang nicht erklärt.

Passwörter, Apple-Konten oder Postfächer wurden durch die demonstrierte Schwachstelle nicht geöffnet. Das Leck zerstörte jedoch den eigentlichen Sinn des Dienstes: Eine dauerhafte Adresse konnte mit einem vermeintlich anonymen Alias verknüpft und anschließend über Datenlecks oder Personensuchdienste einer Identität zugeordnet werden.

EasyOptOuts rät dazu, echte Adressen hinter Hide-My-Email-Aliasen, die vor dem 7. Juli 2026 erstellt wurden, vorsichtshalber als möglicherweise offengelegt zu betrachten. Ein Geräteupdate ist nach bisherigem Stand nicht erforderlich, weil der Fehler auf Apples Servern lag. Löschen oder Deaktivieren eines Alias entfernt allerdings keine Daten, die bereits in fremden Mailserver-Protokollen gespeichert sind. Apple verkaufte Privatsphäre als iCloud+-Leistung und brauchte öffentlichen Druck, um eine seit einem Jahr bekannte Lücke endlich zu schließen.