Wie eine Lenovo-ID-Lücke den Zugriff auf rund 5.000 Dropbox-Konten ermöglichte

Dropbox hat nach eigenen Angaben rund 5.000 Konten kompromittiert. Der unbefugte Zugriff erfolgte vom 4. bis 21. August 2026 über eine Schwachstelle in der Anbindung an Lenovo ID, den externen Single-Sign-on-Dienst (SSO) von Lenovo. Bei weniger als einem Drittel der betroffenen Konten wurden Dateien angesehen oder heruntergeladen. 146

Der entscheidende Punkt: Die Angreifer mussten offenbar weder das Dropbox-Passwort der Opfer kennen noch deren E-Mail-Postfächer öffnen. Sie missbrauchten vielmehr das Vertrauen zwischen zwei Identitätssystemen – Lenovo ID als Identitätsanbieter und Dropbox als Dienst, der diese Identität akzeptierte.

So funktionierte die Kontoübernahme

Die Angriffskette bestand offenbar aus drei Schritten:

1. Ein Angreifer legte eine Lenovo ID mit der E-Mail-Adresse einer anderen Person an.
2. Ein Fehler in Lenovos E-Mail-Verifizierung ließ diese Identität gültig erscheinen, obwohl der Angreifer keinen Zugriff auf das betreffende Postfach hatte.
3. Dropbox verglich die in der Lenovo-Anmeldung übermittelte E-Mail-Adresse mit einem bestehenden Dropbox-Konto und gewährte den Zugriff, ohne das bisherige Dropbox-Passwort zu verlangen. 3511

Die Angreifer mussten also weder die Passwortverwaltung von Dropbox knacken noch die E-Mail-Sicherheit des Opfers überwinden. Sie nutzten eine Schwachstelle in der Vertrauenskette und in der Verknüpfung eines neuen externen Kontos mit einem bereits bestehenden Dropbox-Konto.

Warum die Zwei-Faktor-Authentifizierung schützte

Betroffen waren Konten, die mit einer Lenovo ID verknüpft waren, aber keine Dropbox-Mehrfaktor-Authentifizierung (MFA) aktiviert hatten. 11012

Bei einer föderierten Anmeldung – also wenn ein Dienst die Identität eines anderen Anbieters übernimmt – kann eine erfolgreiche Anmeldung beim Identitätsanbieter direkt eine Sitzung beim Zieldienst eröffnen. Eine bei Dropbox aktivierte MFA hätte anschließend einen weiteren, von Dropbox kontrollierten Prüfschritt verlangt. Eine gefälschte Lenovo ID allein hätte dann nicht ausgereicht. 1015

Der Vorfall zeigt deshalb nicht, dass MFA umgangen wurde. Vielmehr waren vor allem Konten ohne aktivierte Zwei-Faktor-Authentifizierung gefährdet.

Welche Daten betroffen waren

Dropbox erklärte, die Angreifer hätten Inhalte in den betroffenen Konten angesehen und heruntergeladen. Öffentlich verfügbare Berichte sprechen davon, dass Dateien in weniger als einem Drittel der rund 5.000 kompromittierten Konten abgerufen wurden. 145

Die vorliegenden Informationen nennen weder einen einheitlichen Dateityp noch ein gesamtes Download-Volumen oder eine gemeinsame Sensibilitätsstufe der betroffenen Daten. Einige Nutzer erhielten die Mitteilung, dass Dropbox zwar einen unbefugten Kontozugriff festgestellt habe, in den Protokollen aber keine Hinweise auf das Ansehen oder Herunterladen ihrer Dateien gefunden worden seien. 2

Verdächtige Lenovo-IDs und Anmeldungen aus Dublin

Betroffene Nutzer berichteten von unbekannten Lenovo-IDs, die mit ihren eigenen E-Mail-Adressen verknüpft waren. Der Sicherheitsforscher Yoni Levy veröffentlichte eine Kopie einer Dropbox-Benachrichtigung, in der das Unternehmen über den unbefugten Zugriff im Zeitraum vom 4. bis 21. August und das Problem mit der Lenovo-SSO-Anbindung informierte. 23

Berichte erwähnten außerdem Anmeldeaktivitäten mit Bezug zu Dublin. Das passt zu einem Szenario, in dem betrügerische Konten beim Identitätsanbieter als Einstieg genutzt wurden. Daraus lässt sich jedoch weder der Aufenthaltsort aller Angreifer ableiten noch beweisen, dass jedes betroffene Konto exakt nach demselben Muster angegriffen wurde.

Wann Dropbox Nutzer und Behörden informierte

Dropbox begann nach den vorliegenden Berichten um den 31. August und 1. September mit der Benachrichtigung betroffener Nutzer. Das Unternehmen teilte außerdem mit, die zuständigen Datenschutzbehörden informiert zu haben. 346

Zu den gemeldeten Maßnahmen gehörten:

• das Beenden der betroffenen Sitzungen,
• das Entfernen oder Aufheben der Verknüpfung mit Lenovo-Konten,
• die Aufforderung, Passwörter zu ändern und die Zwei-Faktor-Authentifizierung zu aktivieren,
• Einschränkungen und zusätzliche Schutzmaßnahmen für den betroffenen Anmeldeweg. 101230

Geteilte Verantwortung von Lenovo und Dropbox

Der Vorfall war kein einfacher Einbruch in nur ein Unternehmen, sondern ein Fehler im Zusammenspiel zweier Systeme.

• Lenovos mutmaßlicher Fehler: Der ältere Identitätsprozess erlaubte offenbar die Registrierung einer Lenovo ID mit einer E-Mail-Adresse, die der Anmelder nicht kontrollierte. Damit fehlte ein ausreichender Nachweis des E-Mail-Besitzes. 3512
• Dropboxs mutmaßlicher Fehler: Dropbox behandelte die externe Lenovo-Bestätigung als ausreichend, um sie einem bestehenden Konto zuzuordnen. Eine erneute Anmeldung mit einem vorhandenen Dropbox-Zugang, ein zusätzlicher Verifizierungsschritt oder ein robusterer Prozess zur Kontoverknüpfung wurde offenbar nicht verlangt. 3911
• Reaktion beider Unternehmen: Lenovo bezeichnete das Problem als Teil einer älteren Integration und erklärte, die relevante Verifizierungsschwachstelle behoben zu haben. Dropbox erklärte, den Fehler erkannt und beseitigt, Sitzungen beendet, die Integration angepasst sowie Nutzer und Datenschutzbehörden informiert zu haben. 101214

Die Unterscheidung ist wichtig: Lenovos Verifizierungsfehler erzeugte eine falsche Identitätsbehauptung. Doch erst Dropboxs Logik zur Kontoverknüpfung machte es möglich, dass diese Behauptung ein bereits bestehendes Cloud-Konto öffnete.

Wie reagierte die Dropbox-Aktie?

Nach Bekanntwerden des Vorfalls gerieten die Dropbox-Aktien im nachbörslichen Handel unter Druck. Die genaue Größenordnung ist in den verfügbaren Berichten jedoch nicht einheitlich.

Ein Reuters-Bericht nannte einen Rückgang von etwa 2,4 Prozent im erweiterten Handel, Investing.com berichtete von einem Minus von 1,8 Prozent. 69 Ein anderer Bericht sprach von einem Rückgang um mehr als 6 Prozent. 8 Die konkrete Angabe von 6,6 Prozent lässt sich anhand der vorliegenden Informationen nicht verifizieren und könnte sich auf einen anderen Referenzzeitpunkt oder eine andere Handelssitzung beziehen.

Die größere Lehre für föderierte Identitätssysteme

Eine E-Mail-Adresse ist zunächst nur ein Identifikator. Sie beweist nicht automatisch, dass die Person, die sie angibt, das Postfach kontrolliert oder tatsächlich Eigentümerin des damit verbundenen Kontos ist.

Föderierte Anmeldungen machen den Login bequemer, weil ein Dienst die Authentifizierung an einen anderen Anbieter auslagert. Riskant wird das, wenn ein Dienst:

• die E-Mail-Angabe des Identitätsanbieters ohne eigene Prüfung akzeptiert,
• eine neue externe Identität automatisch mit einem alten Konto verknüpft,
• das vorhandene Passwort, eine MFA-Abfrage oder einen verifizierten Wiederherstellungskanal umgeht oder
• eine Änderung der Kontoverknüpfung wie eine gewöhnliche Anmeldung behandelt, statt sie als sicherheitskritisches Ereignis einzustufen.

Ein robusterer Prozess würde vor dem Verknüpfen eines neuen Identitätsanbieters einen ausdrücklichen Nachweis der bisherigen Kontoinhaberin oder des bisherigen Kontoinhabers verlangen. Dafür kommen etwa eine erneute Anmeldung, ein verifizierter Wiederherstellungskanal oder eine phishing-resistente Authentifizierung infrage.

Der Dropbox-Vorfall macht deutlich: Die Vertrauensbeziehung zwischen Identitätsanbietern und angeschlossenen Diensten verdient dieselbe Aufmerksamkeit wie Passwörter. Eine Schwachstelle in einem System kann sonst zum Zugangsschlüssel für ein anderes werden.