Kinderleicht konnte jedermann die echten E-Mail-Adressen herausfinden, die Apples Dienst „Hide my E-Mail” (E-Mail-Adresse verbergen) eigentlich verbergen sollte. Es reichte, eine so deutlich als Spam zu erkennende Mitteilung an die Alias-Adresse zu senden, dass Apples Server sie zurückwies. Und die Zurückweisung (Englisch bounce) nannte die echte, eigentlich zu versteckende E-Mail-Adresse. Deren Inhaber bekam von all dem nichts mit. Apple wusste das mehr als ein Jahr lang, scheiterte aber mehrmals an der Korrektur.
Erst nach Berichten durch 404 Media sowie in der Folge heise online und anderen Medien stopfte Apple die Datensicherheitslücke Anfang Juli. Doch die Entdecker des Fehlers, Ben und Tyler Murphy, weisen darauf hin, dass alle vor 7. Juli eingerichteten Alias-Adressen aufgedeckt worden sein können. Die Gebrüder Murphy sind Gründer des Dienstes Easy Opt Outs.
Nach eigenen Angaben haben die Murphys am 11. Juni 2025 Apple über das Problem mangelnder Datensicherheit informiert. Weitere Informationen folgten am 13. und 20. Juni, eine weitere Variante wurde am 9. Juli 2025 gemeldet. Am 14. Juli 2025 kündigte Apple demnach an, die Sache zu prüfen. Es dauerte so lange wie eine menschliche Schwangerschaft, bis der Konzern am 3. März 2026 verkündete, den Fehler bereinigt zu haben.
Doppelter Fehlschlag Apples
Allein, das stimmte nicht, worauf die Entdecker Apple am 19. März 2026 auch aufmerksam machten. Am 22. Mai wollen sie Apple zudem eine schwerwiegendere Variante gemeldet haben. Am 30. Juni 2026 meldete Apple erneut, den Fehler bereinigt zu haben, was wieder nicht stimmte. Daraufhin wandten sich die Firmengründer an 404 Media.
Das Medienecho machte Apple Beine: Seit Anfang Juli funktioniert der Spam-Trick offenbar nicht mehr, wie auch Tyler Murphy bestätigt. „Allerdings glauben wir nicht, dass das Risiko für Benutzer Hide my Emails eliminiert worden ist”, warnt er gegenüber 404 Media. „Weil auch nicht-schädliche E-Mails bouncen und die echte E-Mail-Adresse verraten können, und weil Mail-Logs oft lange aufbewahrt werden, gehen wir davon aus, dass die vor 7. Juli mit Hide my Email verbundenen Adressen aufgedeckt worden sein können.”
Am 15. Juli hat ein Kalifornier Apple auf Schadenersatz verklagt. Er beantragt zudem eine Unterlassungsverfügung, ein Geschworenenverfahren sowie die Zulassung als Sammelklage im Namen aller US-Nutzer von Hide my Email. Das Verfahren heißt Anthony Alvarez v Apple ist und ist am US-Bundesbezirksgericht für den Norden Kaliforniens unter dem Az. 26-CV-07274 anhängig.
(ds)
English (US) ·