5.000 Dropbox-Konten kompromittiert: Wenn ein alter Login die Cloud-Tür öffnet
Ein aktueller Sicherheitsvorfall bei Dropbox zeigt, wie gefährlich eine solche vergessene Tür werden kann. Im August 2026 erhielten Angreifer unbefugten Zugriff auf rund 5.000 Dropbox-Konten. Bei weniger als einem Drittel der betroffenen Konten konnten gespeicherte Dateien angesehen oder heruntergeladen werden.
Das Einfallstor war nach den bisher veröffentlichten Erkenntnissen nicht das normale Dropbox-Passwort. Im Mittelpunkt stand eine ältere Verbindung zwischen Dropbox und Lenovo ID.
Unbefugte Zugriffe über mehrere Wochen
Nach Angaben von Dropbox fanden die unbefugten Zugriffe zwischen dem 4. und 21. August 2026 statt. Betroffene Nutzer wurden Ende August direkt informiert. Am 2. September veröffentlichte Reuters die von Dropbox und Lenovo bestätigten Eckdaten.
Rund 5.000 Konten waren demnach kompromittiert. Bei weniger als einem Drittel wurden Dateien tatsächlich angesehen oder heruntergeladen. Das entspricht höchstens knapp 1.700 Konten; ITPro spricht von ungefähr 1.500 Konten mit Zugriff auf Inhalte. Für eine saubere Einordnung sollte jedoch die bestätigte Formulierung „weniger als ein Drittel“ verwendet werden.
Es gibt bislang keine öffentlich bestätigten Hinweise darauf, dass Angreifer die zentrale Dropbox-Infrastruktur vollständig überwunden, eine Passwortdatenbank entwendet oder auf sämtliche Nutzerkonten zugegriffen hätten. Der Vorfall war begrenzt, aber technisch lehrreich: Eine externe Authentifizierungsverbindung reichte aus, um den vorgesehenen Anmeldeweg zu umgehen.
Die Schwachstelle lag in der Vertrauensbeziehung
Dropbox ermöglichte bestimmten Nutzern, sich über eine Lenovo ID anzumelden. Solche Verfahren sind bequem: Ein vorhandenes Konto dient als Identitätsnachweis für einen weiteren Dienst. Der neue Anbieter muss kein eigenes Passwort abfragen, weil er der Bestätigung des Identitätsanbieters vertraut.
Genau dieses Vertrauen wurde zum Problem. Nach der von Dropbox beschriebenen Untersuchung erlaubte ein Fehler in Lenovos E-Mail-Verifizierung einer unbefugten Person, eine Lenovo ID mit der E-Mail-Adresse eines anderen Menschen anzulegen. Diese Identität konnte anschliessend verwendet werden, um sich beim zugehörigen Dropbox-Konto anzumelden.
Lenovo bezeichnete die Verbindung gegenüber Reuters als „legacy integration“, also als ältere, weiterbestehende Integration. Diese habe dazu verwendet werden können, bestimmte Dropbox-Konten unzulässig zu authentifizieren.
Bemerkenswert ist, dass ein betroffenes Dropbox-Konto nicht zwingend aktiv mit einer bewusst genutzten Lenovo ID verbunden gewesen sein musste. Nach der veröffentlichten Erklärung konnte die mangelhafte Verifizierung selbst zur Erstellung der fremden Identität genutzt werden. Damit war für den eigentlichen Kontoinhaber kaum sichtbar, dass neben dem normalen Dropbox-Zugang noch ein weiterer Vertrauenspfad existierte.
Warum fehlende Zwei-Faktor-Authentifizierung entscheidend war
Nach Angaben von Dropbox betraf der unbefugte Zugriff Konten, bei denen keine Dropbox-Zwei-Faktor-Authentifizierung aktiviert war. Ein zusätzlicher Faktor hätte den über Lenovo bestätigten Zugang nicht automatisch in jedem denkbaren Szenario verhindert. Im konkreten Fall war das Fehlen dieser Schutzebene jedoch ein entscheidendes gemeinsames Merkmal der kompromittierten Konten.
Dropbox bietet selbst verschiedene zweite Faktoren an. Dazu gehören Codes aus einer Authenticator-App, SMS, Passkeys und physische Sicherheitsschlüssel. In der offiziellen Dropbox-Anleitung wird erklärt, wie die zusätzliche Anmeldung aktiviert und mit Wiederherstellungscodes abgesichert werden kann. Für Teamkonten können Administratoren die Zwei-Faktor-Authentifizierung verpflichtend vorschreiben.
Dabei sind nicht alle zweiten Faktoren gleich stark. SMS oder manuell eingegebene Codes erhöhen die Sicherheit deutlich, können aber unter bestimmten Umständen abgefangen oder durch Phishing erschlichen werden. Der aktuelle NIST-Standard für digitale Identitäten empfiehlt deshalb, wann immer praktikabel, phishingresistente Verfahren anzubieten. Dazu gehören insbesondere FIDO2-Sicherheitsschlüssel und Passkeys, bei denen kryptografische Schlüssel an den legitimen Dienst gebunden sind.
Für Unternehmen ist daraus eine klare Konsequenz abzuleiten: Mehrfaktor-Authentifizierung darf für geschäftliche Cloudspeicher keine freiwillige Einstellung einzelner Mitarbeiter sein. Sie muss zentral vorgeschrieben, technisch kontrolliert und regelmässig überprüft werden.
Dropbox und Lenovo schliessen die alte Tür
Nach Bekanntwerden des Vorfalls beendete Dropbox sämtliche über Lenovo ID authentifizierten Sitzungen. Die Verknüpfungen zwischen Lenovo IDs und Dropbox-Konten wurden entfernt. Zusätzlich änderte Dropbox den Anmeldeprozess so, dass vor einem Zugriff über Lenovo das Dropbox-Passwort eingegeben werden muss.
Dropbox informierte nach eigenen Angaben betroffene Nutzer und zuständige Datenschutzbehörden. Lenovo erklärte, die eigenen Kunden seien nicht betroffen; die Untersuchung dauere an.
Diese Massnahmen beseitigen den konkret bekannten Zugangsweg. Sie beantworten aber eine grössere Frage nicht automatisch: Wie viele ältere Integrationen existieren in den IT-Umgebungen von Unternehmen, ohne dass noch jemand ihren ursprünglichen Zweck kennt?
Der unsichtbare Teil der Cloud
Bei der Auswahl eines Cloudanbieters prüfen Unternehmen häufig Zertifizierungen, Rechenzentrumsstandorte, Verschlüsselung und Vertragsbedingungen. Weniger Aufmerksamkeit erhalten die Verbindungen, die nach der Einführung entstehen: ein externer Login hier, eine Kalender-App dort, ein altes Mobilgerät, ein Automatisierungsdienst oder ein früher genutztes Projektwerkzeug mit dauerhaftem OAuth-Zugriff.
Jede Integration erweitert die Vertrauensgrenze. Der Cloudanbieter kann seine eigenen Systeme gut absichern und trotzdem über einen verbundenen Dienst angreifbar werden. Das bedeutet nicht, dass Single Sign-on grundsätzlich unsicher wäre. Zentral verwaltete Identitäten können die Sicherheit sogar erheblich verbessern. Problematisch werden unvollständig dokumentierte, technisch veraltete oder nicht mehr benötigte Vertrauensbeziehungen.
Unternehmen sollten deshalb nicht nur Benutzerkonten inventarisieren. Sie benötigen auch eine Übersicht über Identitätsanbieter, SSO-Verbindungen, OAuth-Freigaben, API-Schlüssel, Servicekonten und angemeldete Geräte. Was keinen aktuellen geschäftlichen Zweck mehr erfüllt, sollte entfernt werden.
Was der Vorfall für Schweizer KMU bedeutet
Der Dropbox-Angriff war kein speziell gegen die Schweiz gerichteter Vorfall. Für Schweizer KMU ist das zugrunde liegende Problem dennoch unmittelbar relevant. Cloudspeicher werden häufig für Offerten, Verträge, Buchhaltungsunterlagen, Kundendokumente oder interne Projektdaten verwendet. Ein kompromittiertes Konto kann daher Informationen enthalten, deren Verlust weit schwerer wiegt als der reine Wert des Benutzerzugangs.
Besonders kleine Unternehmen verlassen sich oft auf die Sicherheitseinstellungen, die ein Dienst standardmässig anbietet. Dabei bleibt unklar, ob alle Mitarbeiter einen zweiten Faktor aktiviert haben, welche privaten Geräte verbunden sind und welche Drittanbieter seit Jahren Zugriff besitzen.
Für einen belastbaren Schutz sind mindestens fünf Massnahmen erforderlich:
- Mehrfaktor-Authentifizierung muss für alle geschäftlichen Konten verpflichtend sein.
- Alte SSO-, OAuth- und Drittanbieter-Verbindungen müssen regelmässig geprüft und entfernt werden.
- Administratoren benötigen Protokolle über Anmeldungen, Geräte und Berechtigungsänderungen.
- Kritische Daten brauchen eine getrennte Sicherung ausserhalb desselben Benutzerkontos.
- Für kompromittierte Konten und Systeme muss ein Ablauf für Sperrung, Untersuchung, Wiederherstellung und Benachrichtigung existieren.
Ein synchronisierter Ordner allein ist dabei kein vollständiges Backup. Werden Dateien mit gültigen Zugangsdaten gelöscht, verändert oder verschlüsselt, kann sich dieser Zustand auf verbundene Geräte übertragen. Eine unabhängige Sicherung benötigt getrennte Zugangsdaten, Versionierung und einen getesteten Wiederherstellungsweg.
Eigene Infrastruktur löst nicht jedes Sicherheitsproblem
Der Vorfall ist kein Beweis dafür, dass lokal betriebene Systeme automatisch sicher wären. Auch ein eigener Datei- oder Kollaborationsserver kann durch fehlende Updates, schwache Passwörter oder eine falsche Konfiguration kompromittiert werden. On-Premises verschiebt Verantwortung zurück zum Unternehmen – und diese Verantwortung muss professionell wahrgenommen werden.
Der Unterschied liegt erneut in der Kontrolle. Wer seine Infrastruktur selbst betreibt oder durch einen direkt beauftragten Partner betreiben lässt, kann Authentifizierungswege festlegen, Verbindungen dokumentieren, Protokolle vollständig auswerten und ein betroffenes System unmittelbar isolieren. Bei einem reinen SaaS-Dienst bestimmt der Anbieter, welche technischen Informationen verfügbar sind und welche Gegenmassnahmen Kunden selbst ausführen können.
Eine resiliente Architektur kann deshalb lokale Datenhaltung, getrennte Backups und bewusst ausgewählte externe Dienste kombinieren. Entscheidend ist, dass nicht jede Sicherheits- und Wiederherstellungsfunktion von derselben Identität und Plattform abhängt.
Datenstandort allein ist noch keine Datenhoheit
Viele Clouddebatten konzentrieren sich auf die Frage, in welchem Land Daten gespeichert werden. Der Dropbox-Vorfall zeigt, dass dies nur ein Teil der Betrachtung ist. Selbst Daten in einem gewünschten Rechenzentrum sind nicht unter wirksamer Kontrolle, wenn ein kaum bekannter externer Anmeldeweg den Zugriff ermöglicht.
Datenhoheit umfasst daher mindestens drei Ebenen: den Speicherort, die Kontrolle über die Verschlüsselung und die Kontrolle über Identitäten und Berechtigungen. Hinzu kommt die Fähigkeit, Daten unabhängig zu sichern, zu exportieren und nach einem Vorfall wiederherzustellen.
Dropbox hat den konkreten Zugangsweg geschlossen. Für Unternehmen sollte der Vorfall trotzdem Anlass sein, die eigene Vertrauenskette zu prüfen. Denn die entscheidende Sicherheitsfrage lautet nicht nur: „Wer kennt unser Passwort?“ Sie lautet auch: „Wem glaubt unser System, wenn jemand behauptet, wir zu sein?“
Die Antwort führt direkt zum Kern digitaler Souveränität: Wer die Zugänge zu seinen Daten nicht vollständig überblickt, kontrolliert auch die Daten selbst nicht vollständig.