„Meine E-Mail verbergen“ soll dabei helfen, die wertvolle digitale Identität vor Spam und Tracking zu schützen. Bittet ein Dienst um Registrierung via E-Mail, offeriert iCloud+ das Anlegen eines Alias – dieses dient nur zur Kommunikation mit diesem einen Anbieter. Nutzer können die Adresse jederzeit löschen und sich so vor weiteren Kontaktaufnahmen des Dienstes schützen. Doch bestand die Möglichkeit, durch Umwege die echte Adresse zu ermitteln. Apple kannte den Fehler seit über einem Jahr und konnte ihn erst jetzt beheben. Die Entdecker offenbarten nun, wie sich die Lücke ausnutzen ließ.


Im Nachhinein betrachtet, erscheint die Methode erstaunlich trivial: Angreifer mussten lediglich eine Nachricht an das E-Mail-Alias senden, welche automatisch als Spam zurückgewiesen wurde. Die Zurückweisung an den Mail-Server des Absenders enthielt dann die echte Adresse; somit genügt ein Blick in Protokolldateien, um von Hide-my-Email-Adresse auf echte Adressen zurückzuschließen. Da die Zurückweisung bereits auf Apples Mail-Servern erfolgt, bekommt der Nutzer von dieser Ausspähung nichts mit und kann nicht einmal Indizien davon entdecken.

Protokolle können lange bleiben
Seit dem 7. Juli 2026 funktioniert diese Masche nicht mehr. Der Entdecker weist jedoch darauf hin, dass davor angelegte Aliase möglicherweise längst kompromittiert sind: Durch Zurückweisungen in der Vergangenheit lassen sich mittels Auswertungen von Server-Log-Dateien wahrscheinlich viele Aliase nachträglich auflösen und so die echten iCloud-Mail-Adressen herausfinden.

Tricksereien mit der Kommandozeile
Damit nicht genug: Jeff Johnson, Entwickler der Browsererweiterung „StopTheMadness“, hat möglicherweise einen weiteren Weg gefunden, um die von iCloud+ angelegten Aliasse zu entschlüsseln. Ihm gelang es mithilfe des Kommandozeilenwerkzeugs curl, eine E-Mail zu versenden, welche einen Ursprung aus Apples „Hide my Email“ vortäuscht. Wenn der Inhalt einer Nachricht den Empfänger zu einer Antwort verleitet, erfolgt diese vom iCloud-Account, mit der persönlichen Adresse – auch wenn die auslösende E-Mail an ein anderes Konto ging. Der einzige Hinweis, den Nutzer darauf aufmerksam machen könnte, dass etwas nicht mit rechten Dingen vor sich geht: Ein Banner weist (inkorrekterweise) darauf hin, dass diese Nachricht von „Meine E-Mail verbergen“ weitergeleitet wurde.