Apple hat am 3. Juli 2026 einen erheblichen Sicherheitsmangel in seinem iCloud+ Feature Hide My Email behoben, mehr als 13 Monate nachdem die Sicherheitslücke erstmals gemeldet wurde. Der Fix kam erst, nachdem ein Tech-News-Outlet den Bug öffentlich machte, was ernsthafte Fragen darüber aufwirft, wie eines von Apples am meisten beworbenen Datenschutz-Tools eine bekannte Sicherheitslücke über mehr als ein Jahr lang ignoriert hat.
Was der Fehler wirklich tat
Hide My Email generiert eindeutige, zufällige E-Mail-Adressen, die Nachrichten an den persönlichen Posteingang eines Benutzers weiterleiten. Der Zweck besteht darin, die Privatsphäre des Benutzers zu schützen und unerwünschte Spam zu reduzieren. Das Feature erfordert ein bezahltes iCloud+ Abonnement und wurde von Apple im Juni 2021 eingeführt.
Der Fehler untergrub dieses Versprechen auf eine spezifische, aber ernsthafte Weise. Murphy entdeckte, dass das Versenden einer speziell manipulierten E-Mail, die als Spam abgelehnt wurde, die echte E-Mail-Adresse des Empfängers in Mail-Transfer-Protokollen sichtbar machen konnte. Wenn jemand eine Nachricht an eine versteckte Adresse sendete und diese als Spam zurückgewiesen wurde, konnte die tatsächliche E-Mail-Adresse des Benutzers in den Mail-Protokollen des Absenders sichtbar werden. Der Benutzer hätte keine Möglichkeit gehabt, dies zu erfahren, da die zurückgewiesene Nachricht nie seinen Posteingang erreicht.
Die Sicherheitslücke legte keine Passwörter, Apple-Konten oder Postfachinhalte offen. Stattdessen untermauerte sie Hide My Emails Datenschutzversprechen, indem sie potenziell ermöglichte, dass ein Alias mit der permanenten E-Mail-Adresse eines Benutzers verknüpft wird.
Laut Murphy und seinem EasyOptOuts Co-Gründer Ben Weiner, wie von iClarified berichtet: "Bei vielen großen E-Mail-Anbietern wurde das Leck einfach dadurch ausgelöst, dass eine E-Mail automatisch als Spam abgelehnt wurde, selbst wenn es sich um eine legitime Nachricht handelte."
Ein Jahr der Untätigkeit, bis eine öffentliche Offenlegung den Fix erzwang
404 Media berichtete, dass Apple am 3. Juli 2026 einen Fix bereitstellte, mehr als ein Jahr nachdem die Sicherheitslücke von Tyler Murphy, Co-Gründer von EasyOptOuts, dem Unternehmen offenbart worden war.
Die zeitliche Abfolge erzählt eine frustrierende Geschichte. Murphy meldete den Fehler im Juni 2025, aber obwohl Apple behauptete, ihn im März 2026 behoben zu haben, bestätigten unabhängige Tests, dass er mindestens bis 3. Juli 2026 ausnutzbar blieb. In den folgenden Monaten sagte Apple, dass es das Problem erneut untersuchen würde, aber Murphy war nicht überzeugt, dass Apple es tatsächlich beheben würde. Deshalb kontaktierte er 404 Media, um es öffentlich zu machen.
Nach einem weiteren fehlgeschlagenen Fix-Versuch Ende Juni kontaktierte er 404 Media, das die Geschichte am 1. Juli veröffentlichte. Apple stellte den Patch zwei Tage später bereit.
Die Sicherheitslücke erwies sich als relativ simpel: Die Hauptadresse wurde nicht in Spam-E-Mail-Protokollen versteckt, die nach Ablehnung an den Absender zurückgesendet wurden.
Der Fix ist eingespielt, aber ältere Aliase könnten noch immer offengelegt sein
Apple behauptet, die Sicherheitslücke am oder um den 3. Juli behoben zu haben, aber AppleInsider konnte den Fehler zwei Wochen nach dem angegeblichen Reparaturdatum erfolgreich reproduzieren. Am 21. Juli bestätigten sowohl Apple als auch Murphy, dass der Bug vollständig behoben worden war.
Trotzdem ist die Warnung des Forschers an die Benutzer deutlich. Wie Engadget berichtet, erklärte Murphy: "Da legitime E-Mails zurückgewiesen werden konnten und damit Ihre versteckte E-Mail-Adresse offenlegten, und da Mail-Transfer-Protokolle häufig aufbewahrt werden, müssen wir davon ausgehen, dass jede versteckte E-Mail-Adresse, die mit einer vor dem 7. Juli 2026 erstellten Hide My Email Adresse verknüpft ist, möglicherweise offengelegt wurde und sich noch immer in Protokollen von Drittanbietern befinden könnte."
Benutzer sollten echte Adressen, die älteren Aliasen zugeordnet sind, als potenziell offengelegt behandeln und verstehen, dass das Löschen eines Alias Informationen, die bereits in den Protokollen eines anderen Anbieters gespeichert sind, nicht löscht.
Juristische Konsequenzen und ihre Bedeutung für Marketer
Die Offenlegung führte zu Rechtsmaßnahmen. Gemäß der Sammelklage meldeten Forscher den Fehler erstmals im Juni 2025, und obwohl Apple die Meldung bestätigte, unternahm das Unternehmen angeblich "fast ein Jahr lang nichts", während Forscher im Juli 2026 nach einem Jahr der Untätigkeit und ohne Sicherheitsaktualisierung von Apple an die Öffentlichkeit gingen. Der Kläger erklärt, dass er einer von Millionen Kunden ist, die Apple für iCloud+ bezahlten und sich auf Apples Zusicherungen verließen, dass Hide My Email seine persönliche E-Mail-Adresse verborgen halten würde.
Für E-Mail-Marketer und Growth Teams trägt diese Geschichte eine praktische Implikation über die Datenschutzdebatte hinaus. Abonnenten, die Hide My Email Adressen mit der Endung @privaterelay.appleid.com oder @icloud.com nutzen, tun dies, weil sie ihre echte Identität vor den Diensten, bei denen sie sich anmelden, schützen möchten. Ein ungewöhnlicher Anstieg von iCloud-Adressen auf Ihrer Liste könnte signalisieren, dass Menschen Ihrer Marke nicht vertrauen. Wie ein E-Mail-Zustellbarkeitsspezialist bemerkte: "Das ist schon immer ein Spiegel des Vertrauensniveaus gewesen, das der Empfänger zu Ihrem Unternehmen oder Ihrer Organisation hat." 
Wenn Abonnenten Alias-Adressen verwenden, wirkt sich dies auf die Suppressionsverwaltung, Re-Engagement-Kampagnen und die Listenhygiene aus. Wenn eine Relay-Adresse nicht zugestellt werden kann (wie dieser Fehler zeigte, dass es möglich ist), können E-Mail-Service-Provider diese Adresse als fehlgeschlagen kennzeichnen oder unterdrücken und eine echte Person aus Ihrer Liste entfernen, ohne dass angezeigt wird, was passiert ist. Growth Teams sollten ihre Bounce-Protokolle auf Relay-Domain-Muster überprüfen und besonders vorsichtig mit Hard Bounces von privaterelay.appleid.com Adressen umgehen, bis der vollständige Umfang der historischen Offenlegung besser verstanden ist.
Apples verzögerte Reaktion verstärkt auch eine breitere Lektion: Datenschutzversprechen in Ihrem eigenen Marketing müssen einer genauen Überprüfung standhalten. Abonnenten werden sich zunehmend ihrer E-Mail-Datenschutz-Tools bewusst, und Marken, die mit Kontaktdaten transparent umgehen, mit klaren Opt-In-Praktiken und respektvoller Datennutzung, sind diejenigen, die echte Adressen überhaupt erst erhalten.
