Apple hat die schwerwiegende Sicherheitslücke in der iCloud+-Funktion „Hide My Email“ nach eigenen Angaben geschlossen. Die Schwachstelle ermöglichte es unter bestimmten Umständen, die echte E-Mail-Adresse hinter einer anonymisierten Alias-Adresse zu ermitteln – und bestand laut dem Sicherheitsforscher Tyler Murphy mehr als ein Jahr lang, obwohl Apple bereits frühzeitig darüber informiert worden war.
Nach Angaben von Apple gegenüber 404 Media wurde der Fehler mit einem Software-Update am 3. Juli 2026 vollständig behoben. Die Lücke war Anfang des Monats durch den Sicherheitsforscher Tyler Murphy öffentlich geworden. Kurz darauf reichten betroffene Nutzer in den USA eine Sammelklage gegen Apple ein und warfen dem Unternehmen irreführende Datenschutzversprechen vor.
Apple kannte das Problem seit 2025
Tyler Murphy, Mitgründer des Datenschutzdienstes EasyOptOuts, hatte die Schwachstelle bereits im Juni 2025 an Apple gemeldet. Obwohl Apple mehrfach erklärte, an einer Lösung zu arbeiten und zwischenzeitlich sogar eine Behebung ankündigte, blieb die Sicherheitslücke nach Angaben des Forschers weiterhin ausnutzbar. Erst nach der Berichterstattung Anfang Juli wurde der Fehler endgültig beseitigt.
Die technischen Details der Schwachstelle wurden während dieser Zeit bewusst nicht veröffentlicht, um einen möglichen Missbrauch zu verhindern. „Hide My Email“ ist Bestandteil von iCloud+ und erzeugt zufällige Alias-Adressen, damit Nutzer ihre echte E-Mail-Adresse bei Registrierungen oder der Kommunikation mit Dritten nicht preisgeben müssen.
Risiko für ältere Alias-Adressen bleibt bestehen
Trotz des Patches warnt Murphy davor, dass das Risiko nicht vollständig verschwunden sei. Zwar könne die Schwachstelle künftig nicht mehr ausgenutzt werden, jedoch könnten echte E-Mail-Adressen bereits zuvor in Mailserver-Protokollen oder anderen Logdateien gespeichert worden sein.
Nach Einschätzung des Forschers könnten daher Alias-Adressen, die vor dem 7. Juli 2026 erstellt wurden, möglicherweise bereits offengelegt worden sein. Ob und in welchem Umfang dies tatsächlich geschehen ist, lässt sich allerdings nicht feststellen.
