Apples „Hide My Email“-Bug: Echte Adresse nach über einem Jahr ohne Fix enthüllt

Apples „Hide My Email“-Funktion wird als ein zentrales Feature des kostenpflichtigen iCloud+-Abonnements beworben. Es soll Nutzern ermöglichen, einmalige, anonyme E-Mail-Adressen zu generieren, die Nachrichten an das echte Postfach weiterleiten – ohne die wahre Adresse preiszugeben. Doch eine Sicherheitslücke, die bereits vor über einem Jahr entdeckt wurde, macht dieses Versprechen zunichte.

Die Sicherheitslücke: Echte E-Mail in nur fünf Minuten

Der Sicherheitsforscher Tyler Murphy, Mitbegründer von EasyOptOuts, entdeckte eine Methode, mit der sich aus einem zufällig generierten „Hide My Email“-Alias die echte iCloud-E-Mail-Adresse des Besitzers zurückverfolgen lässt . In einem Test mit dem Online-Magazin 404 Media gelang es, eine frisch erstellte Alias-Adresse innerhalb von etwa fünf Minuten mit der tatsächlichen Apple-ID-E-Mail zu verknüpfen . Die Sicherheitslücke betraf alle Arten von generierten Adressen (@icloud.com und @privaterelay.appleid.com) und funktionierte in Tests angeblich in 100 Prozent der Fälle bei neu angelegten Aliasen .

Wie der Bug das Privatsphäre-Versprechen von iCloud+ untergräbt

„Hide My Email“ soll es iCloud+-Abonnenten ermöglichen, sich mit Wegwerf-E-Mail-Adressen bei Diensten anzumelden, ohne die eigene, echte Adresse preiszugeben . Die neu entdeckte Lücke macht diesen Schutz wirkungslos: Jeder, der Zugriff auf eine generierte Alias-Adresse hat – eine Website, ein Datenhändler oder ein Angreifer –, kann die wahre Identität des Nutzers ermitteln. Damit ist der Zweck der Funktion für Privatsphäre-, Anti-Tracking- und Spam-Schutz ausgehebelt .

Apples Reaktion und die umstrittene Domain-Änderung

• Juni 2025: Murphy meldete die Sicherheitslücke an Apple. Der Konzern bestätigte den Erhalt und leitete eine Untersuchung ein .
• März 2026: Apple teilte Murphy mit, das Problem sei „durch eine kürzliche Systemänderung behoben“ worden. Murphys Nachtest zeigte jedoch, dass der Fehler weiterhin bestand .
• 16. Juni 2026: Apple kündigte an, dass alle neu erstellten „Hide My Email“- und „Sign in with Apple“-Aliasse in Zukunft eine gemeinsame, neue Domain erhalten: @private.icloud.com. Diese ersetzt die bisherige Aufteilung zwischen @icloud.com und @privaterelay.appleid.com .

Warum die Domain-Änderung auf Kritik stößt

Diese Änderung behebt nicht die eigentliche Sicherheitslücke. Im Gegenteil: Sie macht die Funktion aus Sicht von Datenschützern in anderer Hinsicht noch schlechter . Bisher war eine „Hide My Email“-Adresse (z. B. abc123@icloud.com) nicht von einer normalen privaten iCloud-E-Mail zu unterscheiden. Websites konnten daher nicht erkennen, ob ein Nutzer anonym war . Die neue Domain @private.icloud.com kennzeichnet jede Adresse eindeutig als Datenschutz-Alias. Für Websites und Dienste ist es dadurch trivial, anonyme Anmeldungen zu blockieren, zu markieren oder abzulehnen . Datenschutzaktivisten bezeichnen dies als einen Schritt, der „die gesamte Ambiguität beseitigt“ und die Funktion für ihren eigentlichen Zweck weniger brauchbar macht .

Stand 1. Juli 2026 ist die Kern-Sicherheitslücke weiterhin ungepatcht – mehr als ein Jahr nach der ersten Meldung .

Weitere Bedenken: Ausbleibender Fix und Offenlegung gegenüber Behörden

Ungelöster Bug seit über 13 Monaten

Die Tatsache, dass Apple die Rückverfolgungslücke seit über einem Jahr nicht behoben hat – obwohl das Unternehmen im März 2026 einen Patch vorgab –, wirft Fragen zu Apples Sicherheitsprozessen auf. Zweifel werden laut, ob die Privatsphäre-Funktionen von iCloud+ ausreichende technische Aufmerksamkeit erhalten .

Offenlegung gegenüber Strafverfolgungsbehörden

Im März 2026 berichteten mehrere Medien, dass Apple dem FBI im Rahmen einer Bedrohungsermittlung die echte iCloud-E-Mail-Adresse hinter einem „Hide My Email“-Alias übergeben hatte . Gerichtsakten zeigten, dass Apple die Identität von mindestens zwei iCloud+-Abonnenten offenlegte, die die Funktion genutzt hatten . Zwar erlauben Apples Nutzungsbedingungen dies bei rechtmäßigen Anfragen, doch der Vorfall offenbarte, wie viele Informationen Apple kann und wird – einschließlich der Zuordnung zwischen Alias und echtem Konto . Dies widerspricht dem Werbeversprechen der „anonymen“ E-Mail-Verschleierung und hat das Vertrauen in die Privatsphäre-Funktion weiter geschwächt .

Zusammenfassung der Vertrauensprobleme

• Die Funktion ist gleichzeitig technisch angreifbar (der ungepatchte Bug) und rechtlich transparent für Behörden (Apple speichert die Zuordnung und gibt sie auf Anfrage heraus) .
• Apples einzige öffentliche Änderung – die Umstellung auf @private.icloud.com – behebt die Sicherheitslücke nicht und erleichtert es Diensten, anonyme Nutzer zu blockieren .
• Sicherheitsforscher und Datenschutzaktivisten argumentieren, dass die Kombination dieser Probleme „Hide My Email“ zu einem irreführenden Datenschutzprodukt macht, das die beworbene Anonymität nicht bieten kann .