LONDON (IT BOLTWISE) – Apple hat eine Sicherheitslücke in „Hide My Email“ behoben, bei der reale E-Mail-Adressen trotz Anonymisierung auslesbar wurden. Laut Apple wurde der Patch bereits am 3. Juli ausgerollt und das Problem vollständig geschlossen. Die Diskussion folgt auf eine öffentliche Berichterstattung und eine anschließende Sammelklage. Kritiker warnen jedoch, dass nicht alle früher erzeugten Adressen automatisch geschützt sind, weil Bounce- und Transfer-Logs bei Mail-Hosts weiter auftauchen können.
Apple hat nach einer längeren Phase der Ermittlungen einen Fehler in der Funktion „Hide My Email“ behoben, die eigentlich reale E-Mail-Adressen vor dem Abgleich durch Webseiten und Dienstanbieter schützen soll. Betroffen war ein Verhalten, das im Ergebnis dazu führte, dass Sender die echte Adresse eines Nutzers ermitteln konnten, obwohl die Anwendung eine anonymisierte Zieladresse bereitstellt. Die technische Idee hinter Hide My Email ist dabei klar: Nutzer erstellen temporäre Postfächer, die typischerweise aus zwei Zufallswörtern, einer Zahl und der Domain „@icloud.com“ bestehen. In der Praxis geht es damit weniger um vollständige Geheimhaltung gegenüber jedem denkbaren Logsystem, sondern um den Schutz vor dem schnellen „Cross-Referencing“ über viele Anmeldevorgänge hinweg.
Im Kern beschreibt Apple den Schritt als klassisches Security-Patching in einem produktiven Feature: Das Unternehmen erklärte, es habe am 3. Juli einen Patch ausgerollt, der das Leck „vollständig“ behebt. Die öffentliche Debatte hatte sich allerdings zeitlich verdichtet, nachdem die Schwachstelle zuvor bereits länger intern bekannt gewesen sein soll. In der Schilderung des Entdeckers begann die Meldekette mit einer privaten Meldung an Apple im Juni 2025, gefolgt von wiederholten Aussagen seitens Apple, man prüfe den Sachverhalt. Erst nachdem der Fehler nach eigenen Tests weiterhin ausnutzbar blieb, wurde er öffentlich gemacht, und erst dann kommunizierte Apple einen konkreten Fix-Termin.
Aus technischer Sicht lässt sich das Leck als Problem in der Wechselwirkung zwischen anonymen Zieladressen und dem Verhalten von E-Mail-Hosts einordnen. „Hide My Email“ erzeugt zwar eine scheinbar zufällige Empfängeradresse, aber der Schutz hängt davon ab, dass die Mail-Übermittlung nicht durch Rückweisungen (Bounces) oder Log-Einträge indirekt verrät, wer hinter der Anonymisierung steckt. In der Darstellung des Entdeckers ist der entscheidende Auslöser eine automatisch generierte Ablehnung als Spam: Wenn ein an „Hide My Email“ adressierter Versandversuch vom Empfängersystem als unerwünscht/ungültig behandelt wird, kann genau dieser Mechanismus dem Absender Signale liefern, die eine Zuordnung zur echten Adresse ermöglichen. Murphy und Weiner beschreiben den Hintergrund explizit, indem sie betonen, dass der Bounce-Effekt bei vielen großen Mail-Hosts bereits bei automatisch abgelehnten Nachrichten einsetzt.
„We don’t know how often hidden email addresses were leaked in email logs. For many major email hosts, the leak was triggered simply by an email being automatically rejected as spam, even if it was a legitimate message. Such emails probably didn’t make it to your inbox, so you can’t review your spam folder to learn whether you were affected, “ sagte Tyler Murphy zusammen mit Ben Weiner in einer neuen Stellungnahme. Und sie legen nach: „The bug that caused Apple’s Hide My Email to leak hidden email addresses to senders has been fixed. However, we don’t think the risk to Hide My Email users has been eliminated. Because non-malicious emails could bounce, revealing your hidden email address, and because mail transfer logs are often retained, we’d assume that any hidden email address linked to a Hide My Email address created before July 7, 2026, may have been exposed and could still be in third-party logs, “ so die beiden weiter. Das ist wichtig, weil es den Unterschied zwischen „Patch wirkt für neue Interaktionen“ und „Historische Logdaten sind vollständig bereinigt“ adressiert.
Damit rückt auch die juristische und organisatorische Dimension in den Fokus: Parallel zur technischen Korrektur gibt es Berichte über eine Sammelklage, die sich auf die Abo-Kosten für das Feature sowie auf eine gerichtliche Anordnung gegen Apple wegen des beanstandeten Verhaltens konzentriert. Für Unternehmen und Sicherheitsteams ist dieser Kontext nicht nur prozessual relevant. Er verdeutlicht, dass Vertrauen in Privacy-Features nicht ausschließlich über die Existenz eines Kryptoschemas entsteht, sondern über die End-to-End-Sicherheit der gesamten Datenpfade – inklusive der Nebenkanäle wie Mail-Transfer-Logs, automatisierter Zustelllogik und Host-spezifischem Spam-Handling.
Historisch passt die Episode in ein Muster: Privacy-Funktionen wie „Einmal-Identitäten“ oder Alias-Postfächer gelten nur dann als robust, wenn sie nicht durch Standardschichten wie SMTP-Fehlercodes, Bounce-Meldungen oder Metadaten der Zustellung wieder „deanonymisiert“ werden. Viele Nutzer erwarten, dass ein Alias eine echte Entkopplung herstellt. Technisch betrachtet wird die Sicherheit jedoch davon bestimmt, welche Informationen Sendern und Zwischenstationen sichtbar werden, wenn die Zustellung fehlschlägt. Genau dort liegt der Unterschied zwischen „Anonymisierung im UI“ und „Anonymisierung im gesamten Zustellpfad“, und der ist für die Architekturentscheidungen in modernen Kommunikations-Stacks entscheidend.
Der Markt reagiert auf solche Fälle typischerweise mit zwei Dynamiken: Erstens steigt der Druck auf Anbieter, Security-Fixes schneller und transparenter in produktive Wege zu bringen. Zweitens nehmen Nutzer-Organisationen und unabhängige Sicherheitsforscher stärker den Blick auf den realen Betrieb – etwa auf die Logaufbewahrung Dritter und die Kettenreaktion durch automatische Ablehnungssysteme. Für iCloud+-Kunden heißt das nach dem Patch vor allem: Neue Hide-My-Email-Adressen sind laut Apple wieder als Schutzmaßnahme nutzbar. Gleichzeitig sollte man die Warnung ernst nehmen, dass bereits erstellte Adressen in Drittlogs persistieren könnten, selbst wenn das Leck im aktuellen Codepfad gestoppt ist.
Unterm Strich zeigt der Fall, wie eng Datenschutz-Features mit klassischer E-Mail-Sicherheitslogik verzahnt sind. Apple liefert den Fix über einen klar benannten Patch-Start, doch die Risikoabschätzung bleibt differenziert, weil Zustellungssysteme häufig nicht „zustandsgleich“ sind und Logdaten eine lange Halbwertszeit haben. Für Sicherheitsverantwortliche in Unternehmen ist das eine Blaupause: Wenn Alias-Adressen als Schutz gegen Konto-Korrelation dienen sollen, müssen Tests nicht nur die erfolgreiche Zustellung abdecken, sondern auch den Failure-Fall – also genau die Situationen, in denen Spam-Filter und Bounce-Antworten die letzte Entscheidungsinstanz bilden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Apple schließt Leck in „Hide My Email“ nach 404-äußerungen – Patch seit 3. Juli" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Apple schließt Leck in „Hide My Email“ nach 404-äußerungen – Patch seit 3. Juli" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Apple schließt Leck in „Hide My Email“ nach 404-äußerungen – Patch seit 3. Juli« bei Google Deutschland suchen, bei Bing oder Google News!