Hide My Email bleibt dort, wo die Tarnadresse am wenigsten auffällt: auf icloud.com. Apple hat den im Juni angekündigten Umzug dieser Adressen am 24. August zurückgenommen.[1] Für Betreiber von Shops und Newslettern ändert sich trotzdem etwas, denn eine zweite Apple-Domain kommt hinzu.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

  • Neue Adressen für Sign in with Apple laufen noch 2026 auf private.icloud.com. Die alten Adressen auf privaterelay.appleid.com leiten unverändert weiter.
  • Die Tarnadressen von iCloud+ Hide My Email behalten die Domain icloud.com.
  • Entwickler ergänzen jetzt E-Mail-Validierung und Allowlists um private.icloud.com.
  • Ohne registrierte Absenderdomain im Developer-Konto prallt jede Mail an eine Relay-Adresse zurück.

Warum entscheidet die Domain über die Tarnung?

Weißer Umschlag mit „Getarnt“ und orangefarbener Marke
Eine Filterregel sperrt private.icloud.com, nicht aber icloud.com, wo Millionen Apple-Kunden ihre regulären Postfächer haben. Shops verlieren damit zahlende Kundschaft

Eine einzige Filterregel sperrt eine eigene Subdomain aus, icloud.com dagegen nicht. Auf icloud.com liegen die regulären Postfächer von Millionen Apple-Kunden. Ein Shop, der die Domain auf die Sperrliste setzt, verliert damit zahlende Kundschaft und nicht nur Tarnadressen. Genau diese Vermischung hätte der Umzug auf private.icloud.com aufgelöst, den Apple am 15. Juni ankündigte.[2]

Für Sign in with Apple bleibt der Umzug bestehen. Neue Anmeldeadressen vergibt der Konzern noch in diesem Jahr auf private.icloud.com, während die bestehenden Adressen weiterleiten.[1] Beide Domains gehören ab sofort in jede Prüfregel und in jede Unterdrückungsliste. Ein Kunde, der sich zweimal anmeldet, taucht sonst als zwei Datensätze auf. Der Abgleich im Einwilligungsmanagement greift dann daneben.

War die Tarnadresse jemals dicht?

Dreizehn Monate lang gab Apples Relay die echte Adresse preis. Ben und Tyler, die Gründer des Löschdienstes EasyOptOuts, meldeten dem Konzern am 11. Juni 2025 eine Lücke im Bounce-Verfahren: Wies ein Server eine Mail an eine Tarnadresse als Spam ab, trug die Fehlermeldung die dahinterliegende iCloud-Adresse im Klartext. Apple schloss die Lücke erst am 7. Juli 2026.[3] In den Protokollen der Versanddienstleister stehen die Adressen weiter.

Versteckte Kennungen sind ohnehin selten so versteckt wie gedacht, wie zuletzt das lautlose WebAudio-Fingerprinting bei AliExpress zeigte. Die Sperrlisten wiederum lassen die Relay-Domains bislang in Ruhe. Die meistgenutzte offene Liste für Wegwerf-Adressen führt am 25. August 2026 genau 8.354 Einträge und darunter keine einzige Relay-Domain von Apple, Mozilla oder DuckDuckGo.[4]

Der eigentliche Stolperstein sitzt beim Absender. Jede Absenderdomain muss im Apple-Developer-Konto registriert sein und einen passenden SPF-Eintrag im DNS führen, sonst weist das Relay die Mail als unautorisiert zurück. Einzelentwickler hinterlegen bis zu 32 Quellen, Organisationen bis zu 100.[5]

Apple lässt die Tarnadresse dort, wo sie in der Masse verschwindet. Shops, die Relay-Domains aussperren, sortieren zahlende Kunden aus und bemerken davon nichts.

— Markus Seyfferth, Chefredakteur Dr. Web
Apples Relay-Adressen: die Zahlen für Entwickler
Was sich an den Tarnadressen ändert und was bleibt
2
Domains, die Anmeldesysteme künftig akzeptieren müssen: privaterelay.appleid.com und private.icloud.com
32 / 100
registrierbare Absender-Quellen im Developer-Konto: 32 für Einzelentwickler, 100 für Organisationen
13 Monate
von der Meldung der Bounce-Lücke am 11. Juni 2025 bis zur Behebung am 7. Juli 2026
8.354 / 0
Domains auf der offenen Wegwerf-Sperrliste, davon null Relay-Domains von Apple, Mozilla oder DuckDuckGo (Stand 25. August 2026)
Kehrtwende in zehn Wochen: Am 15. Juni 2026 kündigte Apple an, auch Hide My Email auf private.icloud.com zu verlegen. Am 24. August 2026 nahm der Konzern genau diesen Teil zurück. Die Tarnadressen bleiben auf icloud.com.

Quellen: Apple Developer, Mitteilungen vom 15. Juni und 24. August 2026; Apple Developer Support, Private Email Relay Service; EasyOptOuts, Offenlegung vom Juli 2026; Projekt disposable-email-domains, Sperrliste im Stand vom 25. August 2026.

© 2026 Dr. Web | Das Fachportal für Entscheider | Infografik von Dr. Web

Was müssen deutsche Shops jetzt tun?

Eine gesperrte Relay-Domain drängt den Kunden zurück zur Klaradresse. Artikel 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen, Artikel 5 Absatz 1 Buchstabe c die Datensparsamkeit. Eine Tarnadresse erfüllt beide Vorgaben von allein. Die eingesammelte Klaradresse dagegen belastet den Shop weiter, sobald ein Dienstleister sie verliert, wie der Vorfall bei Netze BW gezeigt hat.

Praktisch schwerer wiegt die Zustellbarkeit. Deaktiviert ein Kunde seine Tarnadresse, laufen alle weiteren Mails als harter Bounce auf. Die Absenderreputation sinkt mit jeder Versandrunde. Für den Nachweis der Einwilligung nach Paragraf 7 UWG genügt die Relay-Adresse dagegen problemlos, weil die Bestätigungsmail ankommt. Welche Versandwerkzeuge Bounces sauber aussortieren, zeigt der Newsletter-Tool-Vergleich.

  • Beide Apple-Domains in Validierung, Allowlist und Unterdrückungsliste aufnehmen.
  • Die eigene Absenderdomain im Developer-Konto hinterlegen und den SPF-Eintrag prüfen.
  • Tarnadressen aus der Zeit vor dem 7. Juli 2026 im CRM als potenziell offengelegt kennzeichnen.

Der Umzug kostet eine Stunde Konfiguration, die Sperre kostet Kunden. Wie stark ein Geschäftsmodell an fremden Plattformentscheidungen hängt, zeigt der Blick auf die Abhängigkeit von Plattformen; die eigene First-Party-Datenbasis bleibt die Größe, über die Sie selbst bestimmen.

FAQ: Hide My Email und die neue Apple-Domain

Welche Apple-Domains müssen Shops künftig akzeptieren?

Anmeldesysteme müssen sowohl privaterelay.appleid.com als auch private.icloud.com als gültige Adressen durchlassen, dazu weiterhin icloud.com. Apple vergibt neue Adressen für Sign in with Apple noch 2026 auf der neuen Domain, während die alten Adressen unverändert weiterleiten.

Ändert sich für bestehende Hide-My-Email-Adressen etwas?

Nein. Bereits vergebene Tarnadressen auf icloud.com bleiben gültig und leiten weiter. Apple hat den im Juni angekündigten Umzug dieser Adressen auf private.icloud.com am 24. August 2026 zurückgenommen. Nur Sign in with Apple bekommt die neue Domain.

Darf ein Onlineshop Adressen von Hide My Email blockieren?

Eine gesetzliche Annahmepflicht besteht nicht, die Sperre bringt aber zwei Probleme mit sich. Auf icloud.com liegen auch die regulären Postfächer von Apple-Kunden, eine Domain-Sperre trifft also zahlende Kundschaft. Zudem läuft der Ausschluss der Datensparsamkeit nach Artikel 5 DSGVO entgegen.

Warum kommen Mails an eine Apple-Relay-Adresse nicht an?

Meistens fehlt die Registrierung der Absenderquelle. Apple nimmt nur Mail von Domains und Adressen an, die im Developer-Konto hinterlegt sind und einen passenden SPF-Eintrag im DNS führen. Alles andere weist das Relay als unautorisierten Absender zurück.

Sind ältere Hide-My-Email-Adressen noch vertraulich?

Adressen aus der Zeit vor dem 7. Juli 2026 gelten als potenziell offengelegt. Bis zu diesem Tag konnte eine als Spam abgewiesene Mail die dahinterliegende iCloud-Adresse in der Fehlermeldung mitführen. Diese Protokolle liegen bei Versanddienstleistern außerhalb von Apples Zugriff.

Quellen

[1] Apple Developer: „Update: New domain for Sign in with Apple“, 24. August 2026

[2] Apple Developer: „New domain for Sign in with Apple and iCloud+ Hide My Email“, 15. Juni 2026

[3] EasyOptOuts: „How Apple’s Hide My Email exploit worked and why you’re still at risk“

[4] disposable-email-domains: Sperrliste für Wegwerf-Domains, abgerufen am 25. August 2026

[5] Apple Developer Support: „Configure Private Email Relay Service“

Mehr Newshunger?

4,3 13 Bewertungen

Wie hat Ihnen dieser Artikel gefallen?

Artikel teilen
X LinkedIn Facebook XING WhatsApp E-Mail