Ein Sicherheitsvorfall bei Dropbox hat im August 2026 Tausende Nutzerkonten betroffen. Nach dem vorliegenden Bericht wurden zwischen dem 4. und 21. August 2026 rund 5.000 Dropbox-Accounts kompromittiert. Betroffen waren demnach Konten, bei denen keine Zwei-Faktor-Authentifizierung aktiviert war. Dropbox bestätigte den Vorfall und informierte betroffene Nutzer per E-Mail.
Besonders brisant ist dabei der mutmaßliche Angriffsweg. Die Täter sollen nicht das klassische Dropbox-Passwort geknackt haben. Stattdessen wurde laut Bericht eine Schwachstelle beziehungsweise fehlerhafte Authentifizierung im Zusammenspiel zwischen Lenovo-ID und Dropbox ausgenutzt.
Schwachstelle bei Lenovo-ID wurde zum Einfallstor
Nach den vorliegenden Informationen lag das Problem bei der Überprüfung von E-Mail-Adressen im Rahmen der Lenovo-ID-Integration. Angreifer konnten demnach Lenovo-Konten mit den E-Mail-Adressen von Dropbox-Nutzern erstellen, ohne tatsächlich Zugriff auf die dazugehörigen E-Mail-Postfächer zu besitzen.
Das wurde deshalb zum Problem, weil Dropbox diese Lenovo-ID-Anmeldungen als vertrauenswürdig behandelte. Bei Dropbox-Konten ohne zusätzliche Zwei-Faktor-Authentifizierung konnten sich die Angreifer dadurch Zugang zu den Cloud-Konten verschaffen.
Damit zeigt der Vorfall eine unangenehme Schwachstelle moderner Anmeldesysteme: Selbst wenn der eigentliche Cloud-Dienst nicht über ein klassisch gestohlenes Passwort angegriffen wird, kann eine verknüpfte Identitäts- oder Login-Lösung zum Einfallstor werden.
Bei einem Teil der Opfer wurden tatsächlich Dateien heruntergeladen
Besonders wichtig ist die Unterscheidung zwischen einem kompromittierten Konto und einem tatsächlichen Datenabfluss.
Nach dem Bericht waren rund 5.000 Dropbox-Konten betroffen. Das bedeutet aber nicht, dass bei sämtlichen 5.000 Nutzern Dateien gestohlen wurden.
In weniger als einem Drittel der kompromittierten Konten sollen die Angreifer tatsächlich auf gespeicherte Dateien zugegriffen und diese heruntergeladen haben. Dropbox informierte die Betroffenen individuell darüber, ob in ihrem jeweiligen Fall Daten eingesehen oder heruntergeladen wurden.
Lenovo bestätigte dem Bericht zufolge zudem eine ältere sogenannte „Legacy-Integration“ zwischen Lenovo-ID und Dropbox, die für eine unsachgemäße Authentifizierung ausgenutzt werden konnte.
Welche konkreten Dateien bei den einzelnen Nutzern betroffen waren, lässt sich aus dem vorliegenden Bericht nicht ableiten. Entsprechend wäre es zu weitgehend, pauschal von einem Diebstahl sämtlicher in den betroffenen Dropbox-Konten gespeicherten Daten zu sprechen.
Dropbox beendet Sitzungen und kappt Lenovo-Verknüpfungen
Dropbox reagierte auf den Vorfall mit mehreren Maßnahmen.
Nach Angaben des Berichts wurden sämtliche über Lenovo-IDs authentifizierten Sitzungen beendet. Außerdem entfernte Dropbox die Verknüpfungen zwischen Lenovo-IDs und Dropbox-Konten.
Für einen erneuten Zugriff über ein Lenovo-Konto verlangt Dropbox nun zusätzlich ein Dropbox-Passwort. Der Sicherheitsvorfall wurde außerdem den zuständigen Datenschutzbehörden gemeldet.
Damit wurde genau der Authentifizierungsweg eingeschränkt, über den die Angreifer nach den vorliegenden Informationen Zugang erhalten hatten.
Besonders gefährdet waren Konten ohne zweiten Sicherheitsfaktor
Der Fall unterstreicht zugleich die Bedeutung einer Zwei-Faktor-Authentifizierung. Laut Bericht waren ausschließlich Dropbox-Konten ohne aktivierte 2FA von diesem konkreten Angriff betroffen.
Für Dropbox-Nutzer bedeutet das: Wer noch keine Zwei-Faktor-Authentifizierung eingerichtet hat, sollte die Sicherheitseinstellungen seines Kontos überprüfen und einen zweiten Faktor aktivieren. Dropbox bietet laut dem Bericht darüber hinaus die Anmeldung über Passkeys an.
Wer von Dropbox eine Benachrichtigung über den Sicherheitsvorfall erhalten hat, sollte außerdem besonders genau prüfen, ob im eigenen Konto Dateien eingesehen oder heruntergeladen wurden, aktive Sitzungen kontrollieren und sicherstellen, dass verwendete Zugangsdaten nicht auch bei anderen Diensten eingesetzt werden.
Ein Angriff über die Seitentür
Der Fall ist vor allem deshalb bemerkenswert, weil er zeigt, dass die Sicherheit eines Online-Kontos nicht ausschließlich von dessen eigenem Passwortsystem abhängt.
Verknüpfen Plattformen ihre Konten mit externen Identitätsdiensten, entsteht eine zusätzliche Vertrauenskette. Ist eine solche Integration fehlerhaft, kann unter Umständen der externe Zugang zum schwächsten Glied werden.
Genau das soll hier passiert sein: Eine ältere Lenovo-ID-Integration ermöglichte nach dem vorliegenden Bericht eine fehlerhafte Authentifizierung, während fehlende Zwei-Faktor-Authentifizierung bei den betroffenen Dropbox-Konten den Zugriff erleichterte.
Für die rund 5.000 betroffenen Nutzer ist deshalb entscheidend, ob ihr Konto lediglich unbefugt zugänglich war oder ob tatsächlich Dateien abgerufen wurden. Denn nur bei weniger als einem Drittel der kompromittierten Konten soll es nach den bislang vorliegenden Angaben zu einem tatsächlichen Zugriff auf und Download von Dateien gekommen sein.
