Sicherheitslücke bei Apple iCloud+: Warum das Verbergen von E-Mail-Adressen ein Risiko darstellt

Im Juli 2026 hat Apple eine kritische Schwachstelle in der iCloud+-Funktion "E-Mail-Adresse verbergen" behoben. Die Lücke ermöglichte es, die eigentlichen privaten E-Mail-Adressen der Nutzer unter bestimmten Umständen offenzulegen. Da die Funktion von vielen Menschen zur Vermeidung von Spam und zur Wahrung der Privatsphäre genutzt wird, hat die Sicherheitslücke erhebliche Auswirkungen auf den Datenschutz und die Datensicherheit der Betroffenen.

Wie funktioniert die iCloud+-Funktion "E-Mail-Adresse verbergen"?

Die Funktion ist Teil des kostenpflichtigen iCloud+-Dienstes und erzeugt für jede Online-Registrierung eine zufällige, anonyme E-Mail-Adresse. Eingehende Nachrichten werden automatisch an das eigentliche Postfach des Nutzers weitergeleitet, während Antworten über die Tarnadresse zurückgesendet werden. Ziel ist es, unerwünschtes Tracking zu reduzieren und die Datenmenge, die Dienste über den Nutzer sammeln, zu minimieren.

Entdeckung und Behebung der Sicherheitslücke

Der Sicherheitsforscher Tyler Murphy vom Dienstleister EasyOptOuts identifizierte die Schwachstelle bereits im Juni 2025. In Tests konnte er zeigen, dass bei abgewiesenen Spam-Nachrichten das Rücksende-Protokoll die reale Zieladresse enthielt. Trotz erster interner Prüfungen blieb die Lücke weiter nutzbar. Erst nach erheblichem öffentlichen Druck setzte Apple Anfang Juli 2026 ein serverseitiges Update um, das die Weitergabe der realen Adresse in Fehlerprotokollen unterbindet.

Technischer Ablauf der Datenexposition

• Ein Nutzer erstellt über iCloud+ eine anonyme Alias-Adresse.
• Eine an den Alias gerichtete E-Mail wird vom empfangenden Server verarbeitet.
• Wird die Nachricht als Spam abgewiesen, erzeugt das System ein Rücksende-Protokoll.
• Dieses Protokoll enthielt bis zur Behebung im Juli 2026 die tatsächliche Zieladresse des Nutzers.
• Angreifer konnten durch Analyse der Protokolle die privaten E-Mail-Adressen auslesen.

Wie viele Nutzer sind potenziell betroffen?

Laut einer Umfrage von Statista aus dem Jahr 2023 nutzen 43 % der Internetnutzer in Deutschland regelmäßig Alias-E-Mails, um Spam zu vermeiden. Diese weit verbreitete Nutzung verdeutlicht das hohe Risiko, das eine Sicherheitslücke in einem solchen System für eine große Nutzerbasis darstellt. Die genaue Anzahl der von der Lücke betroffenen Nutzer bleibt unbekannt (Quelle S1).

Risiken durch öffentlich zugängliche Datenquellen

Fachleute warnen, dass öffentliche Personensuchdienste die offengelegten Informationen ausnutzen könnten, um private Daten zu korrelieren. Eine Untersuchung des Privacy Rights Clearinghouse aus dem Jahr 2022 zeigte, dass über 50 % der Nutzer nicht über solche Risiken informiert sind. Damit besteht die Gefahr, dass Angreifer die offengelegten realen E-Mail-Adressen mit öffentlich zugänglichen Profilen verknüpfen.

Rechtliche Konsequenzen und Sammelklage

In den USA wurde eine Sammelklage gegen Apple eingereicht, die 5 000 000 US-Dollar Schadenersatz sowie die Erstattung von iCloud+-Gebühren fordert (Quelle S2). Die Klage unterstreicht die rechtlichen Folgen, die aus Datenschutzverletzungen resultieren können.

Alternative Lösungen und Handlungsempfehlungen

Für sicherheitsbewusste Anwender gibt es etablierte Alternativen zu Apples Dienst, etwa SimpleLogin (zu Proton) oder Addy.io. Diese Dienste sind Open Source, erlauben die Nutzung eigener Domains und bieten mehr Kontrolle über den Datenfluss.

• Verwenden Sie nach Möglichkeit dedizierte Wegwerf-E-Mail-Anbieter, wenn absolute Anonymität gefordert ist.
• Prüfen Sie regelmäßig, ob ältere Alias-Adressen noch aktiv sind und löschen Sie nicht mehr benötigte Alias-Adressen, um das Risiko durch alte Logdateien zu minimieren.
• Informieren Sie sich über die Risiken öffentlich zugänglicher Personensuchdienste und passen Sie Ihre Privatsphäre-Einstellungen entsprechend an.

FAQ

Wie wird die Sicherheit der Alias-Adressen gewährleistet?
Die Sicherheit hängt stark von der Anfälligkeit der genutzten Plattform ab. Nutzer sollten sich bewusst sein, dass Sicherheitslücken wie diese ihre Daten gefährden können.

Zusammenfassung

Apple korrigierte im Juli 2026 eine kritische Sicherheitslücke, bei der echte E-Mail-Adressen bei blockiertem Spam im Protokoll offengelegt wurden. Der Fehler wurde bereits im Juni 2025 von Tyler Murphy entdeckt, doch die Reaktion von Apple erfolgte erst nach erheblichem öffentlichem Druck. Trotz des Updates bleiben Risiken durch ältere Logdateien für Nutzer bestehen. In den USA wurde eine Sammelklage auf fünf Millionen Dollar eingereicht.

Eine Umfrage von Statista aus dem Jahr 2023 zeigt, dass 43 % der Internetnutzer in Deutschland regelmäßig Alias-Adressen verwenden, um sich vor Spam zu schützen. Dieses weit verbreitete Interesse macht deutlich, wie bedeutend Sicherheitslücken in solchen Systemen sind und welche Konsequenzen sie für eine große Anzahl an Nutzern haben können.

Zusätzlich warnen Fachleute, dass öffentliche Personensuchdienste Sicherheitslücken ausnutzen könnten, um private Informationen mit Alias-Adressen zu verknüpfen. Eine Studie des Privacy Rights Clearinghouse aus dem Jahr 2022 ergab, dass mehr als 50 % der Nutzer sich der Risiken offener Datenquellen nicht bewusst sind. Dies verdeutlicht die Notwendigkeit, Nutzer besser zu informieren und zu sensibilisieren.

Fazit

Die iCloud+-Funktion "E-Mail-Adresse verbergen" bietet zwar einen praktischen Schutz vor Spam, doch die entdeckte Sicherheitslücke hat gezeigt, dass keine Lösung vollkommen anonym ist. Die breite Nutzung von Alias-Adressen in Deutschland erhöht das potenzielle Schadensausmaß, während das fehlende Bewusstsein über Risiken öffentlicher Datenquellen die Gefahr weiter verstärkt. Nutzer sollten die aktuelle Lage aufmerksam verfolgen, alternative Dienste prüfen und insbesondere ältere Alias-Adressen deaktivieren, um das Restrisiko zu minimieren.