„Hide my Email“: Apple schließt nach einem Jahr Sicherheitslücke

Apple hat eine kritische Sicherheitslücke in der hauseigenen Funktion „Hide My Email“ behoben, die die echten E-Mail-Adressen von Nutzern und Nutzerinnen preisgeben konnte. Wie 404 Media berichtet, wurde der Fehler erst nach öffentlichem Druck am 3. Juli 2026 mit einem Patch geschlossen, und das, obwohl er Apple bereits im Juni 2025 gemeldet worden war. Auch wir berichteten vor kurzem über diesen Vorfall und eine daraus resultierende Sammelklage in den USA.

Tyler Murphy, Mitbegründer von EasyOptOuts und Entdecker der Lücke, hatte Apple frühzeitig informiert. Das Unternehmen teilte ihm zunächst mit, das Problem sei im März 2026 behoben worden – doch dem war nicht so. Nach monatelangen Verzögerungen und unklaren Aussagen wandten sich Murphy und sein Team schließlich an 404 Media, um die Angelegenheit öffentlich zu machen. Erst dann reagierte Apple.

So funktionierte der Fehler

Die Sicherheitslücke trat auf, wenn eine Nachricht an eine „Hide My Email“-Adresse gesendet und als Spam zurückgewiesen wurde. In diesem Fall erschien die echte E-Mail-Adresse des Nutzers bzw. der Nutzerin in den Protokollen. Murphy und sein Mitbegründer Ben Weiner betonen: „Wir wissen nicht, wie oft versteckte E-Mail-Adressen in E-Mail-Protokollen offengelegt wurden. Bei vielen großen E-Mail-Anbietern wurde die Offenlegung allein dadurch ausgelöst, dass eine E-Mail automatisch als Spam zurückgewiesen wurde – selbst wenn es sich um eine legitime Nachricht handelte.“

Obwohl der Fehler nun behoben ist, könnte die Lücke bereits vor dem 7. Juli 2026 zu Datenlecks geführt haben. Weiner und Murphy erklären: „Der Fehler, der dazu führte, dass Apples ‚Hide My Email‘ versteckte E-Mail-Adressen an Absender weitergab, wurde behoben. Wir glauben jedoch nicht, dass das Risiko für Nutzer von ‚Hide My Email‘ vollständig beseitigt wurde.“ Da E-Mail-Protokolle oft lange gespeichert werden, könnten betroffene Adressen weiterhin in den Systemen von Drittanbietern zugänglich sein.

Die Panne hat auch rechtliche Folgen: Apple wurde wegen der Schwachstelle verklagt. Die Kläger werfen dem Konzern in einer Sammelklage vor, gegen das kalifornische Gesetz gegen irreführende Werbung verstoßen zu haben. Die Begründung: Apple habe gewusst, dass „Hide My Email“ nicht wie beworben funktioniere, und Nutzer damit in falscher Sicherheit gewiegt.