iCloud Hide My Email: Sicherheitslücke erst nach 13 Monaten gefixt
Veröffentlicht am: 23.07.2026 um 19:15 Uhr | Redaktion boerse-global.de
Die Privatsphäre-Funktion von iCloud+ war monatelang angreifbar. Echte E-Mail-Adressen konnten an Dritte gelangen.
Apple hat eine Sicherheitslücke in seinem Dienst „Hide My Email“ geschlossen – mehr als ein Jahr, nachdem der Fehler gemeldet wurde. Die Funktion ist Teil des kostenpflichtigen iCloud+-Abos und soll Nutzern ermöglichen, ihre echte E-Mail-Adresse hinter zufällig generierten Alias-Adressen zu verbergen. Genau dieser Schutz war jedoch ausgehebelt.
Fehlerhafte Patches und eine lange Leidensgeschichte
Der Sicherheitsforscher Tyler Murphy, Gründer des Dienstes EasyOptOuts, entdeckte die Schwachstelle bereits im Juni 2025 und meldete sie Apple. Das Problem: Wurde eine an einen Alias gesendete Nachricht als Spam abgewiesen oder zurückgesendet (sogenannter Bounce), konnte dahinter die echte E-Mail-Adresse des Nutzers sichtbar werden. Der Dienst offenbarte also genau das, was er verbergen sollte.
Apple unternahm mehrere Versuche, den Fehler zu beheben – doch die ersten Patches im März 2026 und Ende Juni 2026 blieben wirkungslos. Erst am 3. Juli 2026 folgte ein umfassenderer Fix. Allerdings zeigten Tests am 17. Juli, dass die Lücke unter bestimmten Bedingungen noch immer ausnutzbar war. Endgültig geschlossen wurde sie schließlich am 21. Juli 2026.
Bleibende Risiken für betroffene Nutzer
Auch wenn die technische Schwachstelle nun behoben ist: Für viele iCloud+-Kunden könnten die Folgen noch lange spürbar sein. Sicherheitsexperten warnen, dass alle Alias-Adressen, die vor dem 7. Juli 2026 erstellt wurden, möglicherweise bereits echte E-Mail-Adressen in die Server-Logs Dritter durchsickern ließen. Da diese Protokolle außerhalb der Kontrolle von Apple liegen, können die durchgesickerten Daten nicht mehr zurückgeholt werden.
Durchgesickerte E-Mail-Adressen sind oft das erste Einfallstor für gezielte Hacker-Angriffe auf Unternehmen. Wie Sie sich und Ihre Firma proaktiv vor den neuesten Betrugsmaschen schützen, erfahren Sie in diesem kostenlosen Ratgeber. Experten-Checkliste zur Hacker-Abwehr jetzt gratis anfordern
Die Empfehlung der Experten: Betroffene Nutzer sollten alle Alias-Adressen, die vor dem endgültigen Patch angelegt wurden, stilllegen und durch neue ersetzen.
Klage gegen Apple eingereicht
Die lange Verzögerung bei der Behebung des Problems hat rechtliche Konsequenzen. Am 15. Juli 2026 reichten betroffene Nutzer eine Sammelklage gegen Apple ein. Die Kläger werfen dem Konzern vor, die versprochene Privatsphäre nicht gewährleistet zu haben. Sie fordern eine einstweilige Verfügung sowie Rückerstattungen für iCloud+-Abonnenten, die für den Dienst bezahlt haben, während die Sicherheitslücke aktiv war.
Stichproben während der Zeit, in der die Schwachstelle bestand, zeigten eine hohe Ausbeutungsrate der Alias-Adressen. Private Identitäten ließen sich so mit den eigentlich anonymisierenden Adressen verknüpfen.
Der Fall Apple zeigt, wie schnell vermeintlich sichere Systeme zur Gefahr für die Privatsphäre werden können. Dieser Gratis-Report enthüllt die psychologischen Tricks, mit denen Kriminelle solche Datenlecks für Phishing-Attacken ausnutzen. Kostenloses Anti-Phishing-Paket für Ihr Unternehmen sichern
Apple selbst hat den Fehler nun offiziell als behoben gemeldet. Damit endet ein Sicherheitsprozess, der vier separate Reparaturversuche an der E-Mail-Weiterleitungsinfrastruktur umfasste.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
