Ein Cloud-Speicherkonto soll sich anfühlen wie eine verschlossene Schublade. Doch für rund 5.000 Dropbox-Nutzer öffnete sich diese Schublade, ohne dass jemand ein Passwort eingab. Der Dropbox-Sicherheitsvorfall, der diese Woche bekannt wurde, lässt sich auf eine unwahrscheinliche Quelle zurückführen: ein fehlerhaftes Anmeldesystem von Lenovo, dem Computerhersteller, das Angreifern erlaubte, in Konten einzudringen, indem sie einfach die E-Mail-Adresse einer anderen Person angaben.
Summary
Wichtigste Erkenntnisse
- Angreifer nutzten eine Schwachstelle in der Lenovo-ID-Authentifizierung aus, um auf Dropbox-Konten zuzugreifen, ohne die Passwörter der Opfer zu benötigen.
- Unbefugte Zugriffe fanden laut Dropbox zwischen dem 4. August und dem 21. August 2026 statt.
- Etwa 5.000 Dropbox-Konten waren betroffen, und bei weniger als einem Drittel wurden Dateien angesehen oder heruntergeladen.
- Nur Konten ohne aktivierte Zwei-Faktor-Authentifizierung von Dropbox waren verwundbar.
- Dropbox hat geändert, wie Lenovo-IDs mit Konten verknüpft werden können, und jeden betroffenen Nutzer direkt per E-Mail informiert.
Wie die Lenovo-ID-Authentifizierungsschwachstelle Hacker hereinließ
Der Vorfall begann nicht mit gestohlenen Passwörtern oder einem gehackten Server. Er begann mit einer Lücke darin, wie Lenovo den Besitz von E-Mail-Adressen verifizierte. Dropbox bietet Lenovo ID als Single-Sign-On- oder SSO-Option an, sodass sich Nutzer über eine verifizierte Lenovo-Identität statt mit einem Dropbox-Passwort anmelden können. Diese Bequemlichkeit wurde zum Einstiegspunkt, den Angreifer benötigten.
Laut einem Dropbox-Sprecher, der mit Decrypt sprach, ergab die Untersuchung des Unternehmens, dass „ein Problem mit Lenovos E-Mail-Verifizierungsprozess es einer unbefugten Partei ermöglichte, eine Lenovo-ID mit der E-Mail-Adresse einer anderen Person zu registrieren und diese Lenovo-ID dann zu verwenden, um sich in das mit dieser E-Mail-Adresse verknüpfte Dropbox-Konto einzuloggen.“ Einfach ausgedrückt konnte jemand ein völlig neues Lenovo-Konto mit der E-Mail-Adresse eines Fremden erstellen, ohne jemals nachweisen zu müssen, dass er dieses Postfach tatsächlich kontrollierte. Dropbox vertraute dann der Lenovo-Anmeldung als ausreichendem Identitätsnachweis und ließ die Person direkt hinein.
Genau das machte den Vorfall so beunruhigend: Die Opfer mussten keinen Phishing-Link anklicken, kein geleaktes Passwort wiederverwenden oder auf einen offensichtlichen Betrug hereinfallen. Die Schwachstelle lag vollständig im Zusammenspiel der Systeme zweier Unternehmen, nicht in einem Fehler der Nutzer.
Warum das für die Sicherheit von Single Sign-On wichtig ist
Der Vorfall unterstreicht ein größeres Risiko darin, wie Plattformen Vertrauen an externe Identitätsanbieter delegieren. Als Dropbox eine von Lenovo ausgestellte Anmeldung als Eigentumsnachweis akzeptierte, lagerte es seine eigene Eingangskontrolle faktisch aus. Ist der Verifizierungsschritt des Partners schwach, wird der Fehler auch zu einem Problem von Dropbox. Sicherheitsforscher, die den Vorfall untersuchten, stellten fest, dass Dropbox selbst niemals eine Verifizierung des bestehenden Kontos verlangte, bevor die neue SSO-Verknüpfung akzeptiert wurde, was bedeutet, dass die Schwachstelle nicht ausschließlich Lenovo anzulasten ist.
Umfang und Zeitrahmen des Vorfalls
Dropbox gibt an, dass das Fenster für unbefugte Zugriffe vom 4. August bis zum 21. August 2026 reichte – ein Zeitraum von etwa drei Wochen, in dem Angreifer über den kompromittierten Lenovo-ID-Pfad in Konten eindringen konnten. Nach Zählung des Unternehmens wurden etwa 5.000 Konten berührt.
Diese Zahl klingt für sich genommen alarmierend, doch aussagekräftiger ist, was geschah, nachdem die Angreifer im Konto waren. Bei weniger als einem Drittel der betroffenen Konten wurden tatsächlich Dateien angesehen oder heruntergeladen. Für die übrige Mehrheit sagt Dropbox, dass die Protokolle keinen Hinweis darauf zeigten, dass irgendeine Datei geöffnet oder aus dem Speicher abgerufen wurde. Dieser Unterschied – Zugriff ohne Datenexposition – trennt einen ernsten Schreckmoment von einem vollumfänglichen Datenleck, und auf diese Nuance stützt sich Dropbox in seiner Kommunikation mit den Nutzern.
Wer verwundbar war – und wie Dropbox reagierte
Nicht jeder Dropbox-Nutzer war betroffen. Der Angriff funktionierte nur bei Konten, die mit einer Lenovo-ID verknüpft waren und bei denen die Zwei-Faktor-Authentifizierung von Dropbox nicht aktiviert war. Dieser zweite Faktor – ein an ein Telefon gesendeter oder von einer App generierter Code – hätte die Angreifer blockiert, selbst wenn sie erfolgreich eine betrügerische Lenovo-ID mit der E-Mail-Adresse eines Opfers registriert hätten.
Dropbox sagt, es habe inzwischen geändert, wie Lenovo-IDs auf Konten zugreifen können, und damit den spezifischen Pfad geschlossen, den die Angreifer nutzten. Das Unternehmen bestätigte außerdem, dass es alle betroffenen Nutzer direkt per E-Mail informiert hat, anstatt zunächst eine breite öffentliche Warnung herauszugeben. Wie der Dropbox-Sprecher gegenüber Decrypt formulierte: „Wir haben alle betroffenen Nutzer direkt per E-Mail kontaktiert. Kunden mit Fragen zu ihrer Kontenaktivität sollten sich an unser Support-Team wenden. Wenn ein Nutzer keine E-Mail von uns erhalten hat, war sein Konto nicht betroffen.“
Diese Aussage ist wichtig für alle, die sich Sorgen machen, aber unsicher sind, ob sie von dem Vorfall betroffen waren – wenn keine E-Mail eingegangen ist, sagt Dropbox, dass das Konto sauber ist.
Ein Fall aus der Praxis: Der London-Login, der keiner war
Die abstrakten Mechanismen einer Authentifizierungsschwachstelle werden deutlich greifbarer, wenn man sieht, wie sie einer realen Person widerfährt. Entwickler Yoni Levy, einer der betroffenen Nutzer, veröffentlichte Screenshots der Warn-E-Mails von Dropbox auf X und gab Außenstehenden damit einen seltenen Einblick, wie der Angriff aus Sicht eines Betroffenen tatsächlich aussah.
Eine Warnung teilte Levy mit, dass am 18. August um 6:06 Uhr Ortszeit eine Browser-Anmeldung bei seinem Konto von „Near Canary Wharf, England, United Kingdom“ aus erfolgt sei, mit Chrome unter Windows. Levy sagte, er habe nie ein Lenovo-Konto gehabt und sei noch nie im Vereinigten Königreich gewesen. Eine nachfolgende Nachricht von Dropbox bestätigte, was passiert war: Eine unbefugte Partei hatte eine Lenovo-ID mit seiner E-Mail-Adresse registriert und diese gefälschte Identität dann genutzt, um sich direkt in sein Dropbox-Konto einzuloggen – kein Passwort, kein Zugriff auf das Postfach, kein zweiter Faktor erforderlich, weil er keinen aktiviert hatte.
Sicherheitsforscher, die das Muster untersuchten, beschrieben es als massenhaftes, wenig aufwendiges Kontozieling statt eines gezielten Angriffs auf einzelne Personen. In mindestens einem Fall, der mit derselben Schwachstelle zusammenhing, stellte ein Opfer, das eine in seinem Namen registrierte, missbräuchliche Lenovo-ID zurückeroberte, fest, dass der Anzeigename des Kontos auf „John Madden“ – den verstorbenen NFL-Kommentator – gesetzt war. Dieses Detail deutet darauf hin, dass Angreifer E-Mail-Adressen im großen Stil durchprobierten, statt bestimmte Personen zu verfolgen.
Was dieser Vorfall für die Kontosicherheit bedeutet
Der Dropbox-Sicherheitsvorfall ereignet sich in einer Phase, in der identitätsgebundene Logins – die „Mit X anmelden“-Buttons, die im Web zum Standard geworden sind – verstärkt hinterfragt werden. Single Sign-On soll das Leben einfacher machen: eine verifizierte Identität, weniger Passwörter zum Merken. Doch dieser Vorfall zeigt, was passiert, wenn die Vertrauenskette zwischen zwei Unternehmen ein schwaches Glied hat, das keiner Seite vollständig gehört.
Für Alltagsnutzer ist die praktische Schlussfolgerung klar: Die Zwei-Faktor-Authentifizierung hätte diesen spezifischen Angriff vollständig gestoppt, selbst bei fortbestehender Lenovo-Schwachstelle. Für Unternehmen, die Drittanbieter-SSO-Integrationen entwickeln oder akzeptieren, ist der Vorfall eine Erinnerung daran, dass die Verifizierung, wer eine E-Mail-Adresse kontrolliert, nicht optional ist – sie ist das Fundament, auf dem der gesamte Login-Prozess aufbaut. Dropbox hat inzwischen seine Seite dieser Lücke geschlossen, doch der Vorfall wirft die offene Frage auf, wie viele andere Dienste, die auf dieselben oder ähnliche Identitätsanbieter-Integrationen setzen, vergleichbare blinde Flecken aufweisen könnten.
FAQ
Wie gelang es Angreifern, ohne Passwörter auf Dropbox-Konten zuzugreifen?
Angreifer nutzten eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo aus, um Lenovo-IDs mit den E-Mail-Adressen der Opfer zu registrieren und so passwortlosen Zugriff auf verknüpfte Dropbox-Konten über die Single-Sign-On-Funktion zu erhalten.
Wie viele Dropbox-Konten waren von dem Vorfall betroffen?
Etwa 5.000 Dropbox-Konten waren betroffen, wobei unbefugte Zugriffe zwischen dem 4. August und dem 21. August 2026 stattfanden.
Haben Angreifer Dateien aus den kompromittierten Dropbox-Konten angesehen oder heruntergeladen?
Bei weniger als einem Drittel der betroffenen Konten wurden Dateien angesehen oder heruntergeladen. Dropbox sagt, es habe in der Mehrheit der Fälle keine Hinweise auf das Ansehen oder Herunterladen von Dateien gefunden.
Was hat Dropbox unternommen, um die Sicherheitslücke zu beheben?
Dropbox hat geändert, wie Lenovo-IDs auf Konten zugreifen können, um den ausgenutzten Pfad zu schließen, und alle betroffenen Nutzer direkt per E-Mail benachrichtigt.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wie gelang es Angreifern, ohne Passwörter auf Dropbox-Konten zuzugreifen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Angreifer nutzten eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo aus, um Lenovo-IDs mit den E-Mail-Adressen der Opfer zu registrieren und so passwortlosen Zugriff auf verknüpfte Dropbox-Konten über die Single-Sign-On-Funktion zu erhalten.“}},{„@type“:“Question“,“name“:“Wie viele Dropbox-Konten waren von dem Vorfall betroffen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Etwa 5.000 Dropbox-Konten waren betroffen, wobei unbefugte Zugriffe zwischen dem 4. August und dem 21. August 2026 stattfanden.“}},{„@type“:“Question“,“name“:“Haben Angreifer Dateien aus den kompromittierten Dropbox-Konten angesehen oder heruntergeladen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Bei weniger als einem Drittel der betroffenen Konten wurden Dateien angesehen oder heruntergeladen. Dropbox sagt, es habe in der Mehrheit der Fälle keine Hinweise auf das Ansehen oder Herunterladen von Dateien gefunden.“}},{„@type“:“Question“,“name“:“Was hat Dropbox unternommen, um die Sicherheitslücke zu beheben?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Dropbox hat geändert, wie Lenovo-IDs auf Konten zugreifen können, um den ausgenutzten Pfad zu schließen, und alle betroffenen Nutzer direkt per E-Mail benachrichtigt.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
