Apple schließt Sicherheitslücke in Hide My Email

Apple behebt einen Fehler im Dienst Hide My Email. Durch einen Fehler beim Umgang mit Spam-Mails wurden echte E-Mail-Adressen in Server-Logs offengelegt.

Der US-Technologiekonzern Apple hat eine Sicherheitslücke in seinem gebührenpflichtigen Dienst Hide My Email behoben. Die Funktion erstellt zufällige E-Mail-Adressen und leitet eingehende Nachrichten an das persönliche Postfach von Anwendern weiter, um deren Privatsphäre zu schützen. Durch einen Fehler in der Verarbeitung von Nachrichten war es möglich, die tatsächliche E-Mail-Adresse hinter einer anonymisierten Adresse aufzudecken. Auslöser für die Offenlegung in den Server-Protokollen von Mail-Hostern war das automatische Abweisen von Nachrichten als Spam.

Mehrere Korrekturversuche und Behebung der Schwachstelle

Die Gründer des Dienstes EasyOptOuts, Tyler Murphy und Ben Weiner, beschreiben das Ausmaß der Datenoffenlegung folgendermaßen:

„Wir wissen nicht, wie oft versteckte E-Mail-Adressen in E-Mail-Protokollen durchgesickert sind. Bei vielen großen E-Mail-Hostern wurde das Leck einfach dadurch ausgelöst, dass eine E-Mail automatisch als Spam abgelehnt wurde, selbst wenn es sich um eine legitime Nachricht handelte. Solche E-Mails haben es wahrscheinlich nicht in Ihren Posteingang geschafft, sodass Sie Ihren Spam-Ordner nicht überprüfen können, um zu erfahren, ob Sie betroffen waren.“

Tyler Murphy und Ben Weiner, Gründer von EasyOptOuts

Anzeige

Sammelklage wegen irreführender Datenschutzversprechen

Der Fehler wurde Apple erstmals am 13. Juni 2025 von Tyler Murphy gemeldet. Nach erfolglosen Korrekturversuchen im März und Juni 2026 stellte das Unternehmen am 3. Juli 2026 eine wirksame Behebung bereit. E-Mail-Adressen, die vor dem 7. Juli 2026 über den Dienst erstellt wurden und deren Nachrichten abgewiesen wurden, können weiterhin in historischen Mail-Transfer-Logs von Servern gespeichert sein. Aufgrund des Vorfalls sieht sich Apple mit einer Sammelklage konfrontiert, die dem Konzern vorwirft, Kunden über den tatsächlichen Schutzumfang der kostenpflichtigen Funktion getäuscht zu haben.

(red)