Apple behebt Schwachstelle bei „E-Mail-Adresse verbergen“

Apple hat die zu Monatsbeginn bekannt gewordene Schwachstelle in der Funktion „E-Mail-Adresse verbergen“ offenbar endlich behoben. Über ein Jahr lang ließ sich die tatsächliche E-Mail-Adresse von Nutzern des Dienstes vergleichsweise einfach herausfinden, während Apple damit geworben hatte, dass diese nicht preisgegeben werde. „E-Mail-Adresse verbergen“ ist eine von Apple im Rahmen des kostenpflichtigen iCloud+-Pakets angebotene Funktion.

Öffentlicher Druck zeigt Wirkung

Offenbar konnte erst der mit der Berichterstattung darüber verbundene öffentliche Druck Apple dazu bewegen, sich des Fehlers anzunehmen. Nach Angaben der Entdecker der Schwachstelle haben sie Apple seit dem 11. Juni vergangenen Jahres mehrfach kontaktiert und detailliert auf den Fehler aufmerksam gemacht.

Die Reaktion von Apple darf man als träge bezeichnen. Nach einer längeren „Überprüfungsphase“ wurde der Fehler im März 2026 als behoben gemeldet. Dies war laut den Entdeckern der Schwachstelle aber weiterhin nicht der Fall. Die mit einer „verborgenen“ E-Mail-Adresse verknüpfte tatsächliche E-Mail-Adresse ließ sich weiterhin auf vergleichsweise einfachem Weg aufdecken.

Fehler ließ sich einfach ausnutzen

Offenbar hat es genügt, wenn eine an den Apple-Dienst gerichtete E-Mail als Spam abgewiesen wurde, damit im Rücksendeprotokoll die tatsächliche Adresse ausgewiesen wurde. Die Spam-Abweisung hätte sich zumindest theoretisch gezielt provozieren lassen, um an die Originaladresse eines Nutzers zu kommen.

Apple hat die Korrektur des Problems gegenüber dem Onlinemagazin 404 Media bestätigt. Die Entdecker der Schwachstelle weisen allerdings darauf hin, dass für Nutzer von Apples „E-Mail-Adresse verbergen“ dennoch ein Restrisiko bestehe, da zuvor offengelegte Adressen möglicherweise weiterhin in gespeicherten Protokolldaten Dritter enthalten sind. Betroffen sein könnten alle Hide-My-Email-Adressen, die vor dem 7. Juli 2026 erstellt wurden.

Keine vollständige Anonymität

Vollständige Anonymität darf man bei der Nutzung des Apple-Angebots aber ohnehin nicht erwarten. Apple kann nachvollziehen, welcher Nutzer hinter einer „verborgenen“ E-Mail-Adresse steht und gibt diese Information zumindest in begründeten Verdachtsfällen auch an Strafverfolgungsbehörden weiter.