Dropbox-Sicherheitsvorfall: Rund 5.000 Konten über Lenovo-ID-Zugang betroffen

Dropbox hat einen Sicherheitsvorfall bestätigt, bei dem Unbefugte zwischen dem 4. und 21. August 2026 auf rund 5.000 Nutzerkonten zugreifen konnten. Betroffen war ein älterer Anmelde- und Verknüpfungsweg über Lenovo ID – nicht ein gemeldeter Einbruch in die Kundensysteme von Lenovo. 16

Was wurde abgerufen?

Laut Dropbox wurden Dateien in weniger als einem Drittel der rund 5.000 betroffenen Konten angesehen oder heruntergeladen. Damit betrifft der bestätigte Dateizugriff weniger als etwa 1.700 Konten; in Berichten ist häufig von rund 1.500 Konten die Rede. 568

Die Angaben belegen nicht, dass aus jedem kompromittierten Konto Dateien abgerufen wurden. Welche Dateitypen betroffen waren, geht aus den verfügbaren Berichten ebenfalls nicht hervor.

So wurde der Lenovo-ID-Anmeldeweg ausgenutzt

Die betroffenen Dropbox-Konten hatten zwei gemeinsame Merkmale: Sie waren mit einer Lenovo ID verknüpft und für sie war keine Zwei-Faktor-Authentifizierung (2FA) bei Dropbox aktiviert. 14

Wie aus den von BleepingComputer berichteten Dropbox-Benachrichtigungen hervorgeht, erlaubte ein Problem bei Lenovos E-Mail-Verifizierung, eine Lenovo ID mit der E-Mail-Adresse einer anderen Person zu registrieren. Mit dieser betrügerisch angelegten Lenovo ID konnten Angreifer anschließend auf das Dropbox-Konto zugreifen, das unter derselben E-Mail-Adresse geführt wurde – ohne das Dropbox-Passwort eingeben zu müssen. 2

Der Schwachpunkt lag somit in der Vertrauensbeziehung zwischen beiden Identitätssystemen. Der alte Lenovo-ID-Weg konnte ein verknüpftes Dropbox-Konto authentifizieren, wenn dessen Schutz nicht durch einen zweiten Faktor ergänzt war. 26

Welche Maßnahmen Dropbox ergriffen hat

Nach Bekanntwerden der Aktivität ergriff Dropbox mehrere Schritte:

• Sitzungen, die über Lenovo ID authentifiziert worden waren, wurden beendet. 46
• Die Verbindung zwischen Lenovo IDs und Dropbox-Konten wurde entfernt beziehungsweise deaktiviert. 46
• Betroffene Nutzerinnen und Nutzer wurden informiert. 15
• Der Anmelde- und Verknüpfungsprozess wurde geändert: Vor der Nutzung des Lenovo-ID-Wegs muss nun das Dropbox-Passwort eingegeben werden. 6

Damit soll genau der bei dem Vorfall ausgenutzte Authentifizierungsweg geschlossen sein.

Wurde Lenovo selbst gehackt?

Lenovo erklärte, die betreffende ältere Integration identifiziert und das Problem behoben zu haben. Die eigenen Kundinnen und Kunden sowie die Systeme von Lenovo seien nicht betroffen gewesen; betroffen waren Dropbox-Konten, die den Lenovo-ID-Anmeldeweg nutzten. 68

Diese Unterscheidung ist wesentlich: Berichtet wird über kompromittierte Dropbox-Konten über die Integration, nicht über einen Einbruch in Lenovo-Kundensysteme oder -Konten.

Meldung an Aufsichtsbehörden und Börsenreaktion

Dropbox teilte Reuters mit, Datenschutzaufsichtsbehörden über den Vorfall informiert zu haben. Welche Behörden oder Rechtsräume konkret betroffen sind, nennen die verfügbaren Berichte nicht. 15

Nach Bekanntwerden des Vorfalls gab die Dropbox-Aktie im nachbörslichen Handel nach. 12

Was Nutzer daraus mitnehmen sollten

Der Vorfall zeigt, dass verknüpfte Logins und Single-Sign-on-Zugänge (SSO) denselben Sicherheitsmaßstab erfüllen müssen wie eine direkte Anmeldung mit Passwort und Zwei-Faktor-Authentifizierung. Hier kamen eine Schwäche in der E-Mail-Verifizierung und die fehlende 2FA bei Dropbox zusammen. 26

Ob ein eigenes Konto betroffen war und welche Schritte konkret erforderlich sind, lässt sich am verlässlichsten der Benachrichtigung von Dropbox entnehmen. Grundsätzlich sollten Nutzerinnen und Nutzer die Zwei-Faktor-Authentifizierung aktivieren und auch ältere, selten verwendete Kontoverknüpfungen regelmäßig prüfen.