Zwischen dem 4. und 21. August griffen Unbekannte auf fremde Dropbox-Konten zu, ganz ohne Passwort. Der Weg dorthin führte über einen Lenovo-Login, den die Angreifer selbst auf die E-Mail-Adresse des Opfers anlegten. Der eigentliche Fehler saß aber bei Dropbox, das der fremden Identität ohne Rückfrage vertraute.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Eine Kontoübernahme bei Dropbox begann in diesem Fall nicht mit einem gestohlenen Passwort, sondern mit einem Anmeldeknopf. Ende August verschickte der Cloud-Anbieter Warnmails an betroffene Nutzer und räumte einen unbefugten Zugriff ein, der wochenlang unbemerkt lief.
Das Wichtigste in Kürze
- Zeitraum: unbefugter Zugriff vom 4. bis 21. August 2026, Warnmails ab dem 31. August.
- Einfallstor: die SSO-Option „Weiter mit Lenovo“; eine Schwäche in Lenovos E-Mail-Prüfung ließ fremde Lenovo-IDs auf beliebige Adressen anlegen.
- Kernfehler: Dropbox akzeptierte die E-Mail-Angabe des Anbieters als Identitätsnachweis, ohne Passwort und ohne Bestätigung.
- Reaktion: alle Lenovo-Sitzungen beendet, Verknüpfung gekappt, jetzt Passwortpflicht; laut Dropbox keine Hinweise auf Dateizugriffe.
Was ist bei Dropbox passiert?
Der unbefugte Zugriff lief über gut zwei Wochen, ohne dass die Betroffenen etwas bemerkten. Öffentlich wurde er erst, als der Entwickler Yoni Levy seine Warnmail auf X veröffentlichte und das Fachportal 9to5Mac sie auswertete.[1]
Nach eigener Protokollauswertung fand Dropbox keine Belege für angesehene oder heruntergeladene Dateien. Die Angreifer meldeten sich an einer regulären Sitzung an, statt eine Lücke im Code auszunutzen. Der Fall ist damit ein Problem der Anmeldung, nicht der Verschlüsselung.
Warum genügte ein fremder Login?
Die Übernahme lief in vier Schritten. Zuerst sammelten die Angreifer öffentlich auffindbare E-Mail-Adressen. Dann legten sie bei Lenovo eine Lenovo-ID auf genau diese Adresse an, weil Lenovos Prüfung den Nachweis über das Postfach nicht erzwang. Ein Klick auf „Weiter mit Lenovo“ genügte danach. Lenovos Server stellte ein Token aus, dessen E-Mail-Angabe zum bestehenden Dropbox-Konto passte.
Der tiefere Fehler lag im letzten Schritt. Dropbox löste die E-Mail-Angabe auf das vorhandene Konto auf und startete eine Sitzung, ohne Passwort, ohne zweite Stufe und ohne Rückfrage, ob diese neue Identität wirklich verknüpft werden soll. Eine E-Mail-Adresse ist aber kein Eigentumsnachweis. Eine fremde Anbieter-Angabe über diese Vertrauensgrenze hinweg als Ausweis zu nehmen, ist dieselbe Klasse von Autorisierungsversagen wie beim koordinierten Zugriff auf Hugging-Face-Konten. Eine Anmeldung ganz ohne Passwortabfrage kennt die Branche zudem von den ServiceNow-Lücken ohne Login.
Neu ist das Muster nicht. Schon 2023 zeigte die als nOAuth bekannte Schwäche in Microsofts Entra ID, wie eine ungeprüfte E-Mail-Angabe fremde Konten öffnet. Dropbox selbst räumte 2024 einen Einbruch bei Dropbox Sign mit abgeflossenen Kundendaten ein.
Der eigentliche Fehler ist nicht der Lenovo-Login, sondern das blinde Vertrauen in eine E-Mail-Adresse als Ausweis. Eine fremde Identität gehört geprüft, bevor sie ein Konto öffnet.
— Michael Dobler, Herausgeber Dr. Web
Was sollten Nutzer und Entwickler jetzt tun?
Für Betroffene zählt der Sofortschutz. Dropbox empfiehlt, das Konto-Passwort und das Passwort des E-Mail-Postfachs zu wechseln und die Zwei-Faktor-Anmeldung zu aktivieren. Sinnvoll ist zusätzlich, in den Kontoeinstellungen jede verknüpfte Anmeldemethode zu prüfen und ungenutzte Social-Logins zu entfernen.
Für Unternehmen im DACH-Raum hat der Fall eine rechtliche Kante. Betriebe, die personenbezogene Daten über Dropbox verarbeiten, fallen bei einem solchen Zugriff unter die Meldepflichten der DSGVO nach Artikel 33 und 34, also die 72-Stunden-Frist an die Aufsichtsbehörde und die Information der Betroffenen bei hohem Risiko. Das BSI rät ohnehin zu Zwei-Faktor-Verfahren und Passkeys. Der Vorfall zeigt zugleich, warum sich der Markt für Cyberversicherungen gerade so bewegt, wie es die Übernahme von At-Bay durch die Münchener Rück belegt.
Entwickler, die selbst einen „Login mit …“-Knopf einbauen, ziehen die härteste Lehre. Eine E-Mail-Angabe aus einem Token taugt nie als Identität. Maßgeblich ist die stabile Nutzerkennung des Anbieters, nicht die Adresse. Eine verifizierte E-Mail gehört zusätzlich geprüft, bevor eine neue Identität mit einem Konto verknüpft wird. Dieselbe Sorgfalt beim Zugriffsmodell fehlte auch, als ein Prompt-Injection-Angriff den Auto-Modus von Claude Code überlistete.
Quelle
[1] 9to5Mac: „Dropbox breach seemingly caused by egregious authentication failure“ (1. September 2026), auf Basis der Dropbox-Benachrichtigung an betroffene Nutzer.
Mehr Newshunger?
- Drei kritische ServiceNow-Lücken: Angreifer brauchen kein Login
- TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code
- Hugging-Face-Hack: Wie sich OpenAIs KI-Agenten heimlich koordinierten
- Claude Code: Ein Prompt-Injection-Angriff überlistet den Auto-Modus
- WPLP Cookie Consent: Kritische Upload-Lücke erlaubt die Komplettübernahme
