Apple hat einen Fehler in der iCloud+ Funktion „E-Mail-Adresse verbergen“ korrigiert, über den die echten Mail-Adressen von Nutzern ausgelesen werden konnten. Laut 404 Media wurde die Lücke mit einem Patch am 3. Juli vollständig geschlossen.
E-Mail-Alias konnte zurückverfolgt werden
Gemeldet hatte den Fehler Tyler Murphy, Mitgründer des Datenschutzdienstes EasyOptOuts, im Juni 2025. Apple stellte ihm zunächst eine Prüfung in Aussicht und erklärte die Lücke im März 2026 für behoben. In der Praxis konnte die Sicherheitslücke aber weiterhin ausgenutzt werden. Weil Murphy nicht mehr damit rechnete, dass Apple von sich aus handelt, wandte er sich Anfang Juli an 404 Media.
Nachdem 404 Media die Existenz der Sicherheitslücke öffentlich gemacht hatte, erhielt das Thema große Aufmerksamkeit in den Medien, was sogar zu einer Klage führte. Nach der Meldung folgte dann auch der finale Patch von Apple. 404 Media hat Apples Fehlerbehebung nun überprüft und beschreibt die technischen Details jetzt öffentlich, da sich der Fehler nicht mehr ausnutzen lässt.
Die Funktion gehört zum kostenpflichtigen iCloud+ Abo und erzeugt anonyme Adressen, die Nutzer bei Website-Anmeldungen oder im Mail-Verkehr angeben können, ohne ihre echte Adresse preiszugeben. Wies der Mailserver des Empfängers eine Nachricht an eine solche verborgene Adresse als Spam ab, tauchte die echte Adresse des Nutzers in den Übertragungsprotokollen auf. Bei vielen großen Mail-Anbietern genügte dafür eine automatische Abweisung, die auch legitime Nachrichten treffen konnte.
Auch wenn die Sicherheitslücke nun geschlossen ist, halten Murphy und sein Geschäftspartner Ben Weiner das Risiko für Nutzer trotzdem nicht für ausgeräumt. Wie oft echte Adressen in Mail-Protokollen gelandet sind, lässt sich laut den beiden nicht nachvollziehen, weil die abgewiesenen Nachrichten nie im Spam-Ordner der Betroffenen ankamen. Da Mailserver ihre Protokolle oft lange aufbewahren, sollten Nutzer davon ausgehen, dass jede vor dem 7. Juli 2026 angelegte verborgene Adresse mit ihrer echten Adresse verknüpft in fremden Logs stehen könnte.
0 Kommentare