Der Cloud-Speicher-Anbieter Dropbox hat am 31. August 2026 eine Benachrichtigung an seine Nutzer versandt, in der das Unternehmen über einen unbefugten Zugriff auf Nutzerkonten informierte. Nach Angaben des Dienstleisters erstreckte sich der Zeitraum der Vorfälle vom 4. bis zum 21. August 2026. Ursache für die Sicherheitslücke war ein Problem im Zusammenhang mit der Authentifizierung über externe Anbieter.
Schwachstelle in der E-Mail-Verifizierung bei Lenovo-IDs
Die unbefugten Zugriffe erfolgten über eine Schwachstelle im Single-Sign-On-System (SSO) der Lenovo-ID. Den vorliegenden Informationen zufolge konnten Angreifer eine Lenovo-ID unter Verwendung der E-Mail-Adresse eines potenziellen Opfers registrieren. Ein kritischer Fehler in der E-Mail-Verifizierung von Lenovo ermöglichte diesen Vorgang, ohne dass eine tatsächliche Bestätigung durch den rechtmäßigen Inhaber der E-Mail-Adresse erforderlich war.
Durch die so erstellten, unbestätigten Lenovo-IDs gelangten die Angreifer ohne die Eingabe eines Passworts direkt in die damit verknüpften Dropbox-Konten. Ein wesentlicher Aspekt dieses Sicherheitsrisikos war, dass die betroffenen Opfer zuvor selbst keine Lenovo-ID besitzen mussten, um für diesen Angriffsvektor anfällig zu sein. Die Registrierung durch die Angreifer reichte aus, um die Verknüpfung mit dem Dropbox-Konto zu initiieren.
Der Vorfall zeigt deutlich, wie komplexe technische Schwachstellen und neue Bedrohungen die Unternehmenssicherheit gefährden können. Dieses kostenlose E-Book hilft Firmen dabei, Sicherheitslücken proaktiv zu schließen und aktuelle gesetzliche Anforderungen ohne hohe Investitionen zu erfüllen. Gratis-E-Book: Cyber Security Bedrohungen abwenden
Entdeckung durch Sicherheitsforschung und Reaktion von Dropbox
Aufgedeckt wurde die Problematik durch den Sicherheitsforscher Yoni Levy. Nachdem die Schwachstelle identifiziert worden war, leitete Dropbox entsprechende Gegenmaßnahmen ein. Das Unternehmen gab am 31. August 2026 bekannt, dass der Fehler behoben wurde. Im Zuge der Sicherheitsbereinigung beendete Dropbox alle aktiven Sitzungen, die potenziell über diesen Weg legitimiert worden waren.
Um künftige Missbräuche dieser Art zu verhindern, hat der Cloud-Dienst seine Sicherheitsrichtlinien für die Verknüpfung von Drittkonten verschärft. Ab sofort verlangt Dropbox zwingend die Eingabe eines Passworts, bevor ein Lenovo-ID-Konto mit einem bestehenden Dropbox-Account verknüpft werden kann. Diese zusätzliche Authentifizierungsebene soll sicherstellen, dass die Verknüpfung nur durch den autorisierten Nutzer vorgenommen werden kann.
Keine Hinweise auf Datenabfluss
Trotz des unbefugten Zugriffs auf die Kontenstrukturen gibt es laut Dropbox derzeit keine Anzeichen dafür, dass die Sicherheit der gespeicherten Daten in großem Umfang kompromittiert wurde. Das Unternehmen betonte in seiner Mitteilung vom 31. August 2026, dass keine Hinweise darauf vorlägen, dass Dateien durch die Angreifer eingesehen oder von den Servern heruntergeladen wurden.
Da Angreifer oft kleinste Verifizierungsfehler ausnutzen, ist eine umfassende Sensibilisierung für digitale Risiken heute unerlässlich. Erfahren Sie in diesem kostenlosen Report, welche neuen Cyberrisiken auf Unternehmen zukommen und wie man sich effektiv gegen proaktive Angriffe absichert. Kostenlosen Cyber-Security-Report jetzt herunterladen
Die Benachrichtigung der Nutzer dient demnach primär der Transparenz über den Vorfall im August 2026 und der Information über die bereits umgesetzten technischen Korrekturen. Nutzer, deren Konten innerhalb des kritischen Zeitraums betroffen waren, wurden über die notwendigen Schritte zur Absicherung ihrer Profile informiert.
Der Vorfall unterstreicht die anhaltenden Herausforderungen bei der Implementierung von Single-Sign-On-Lösungen und der damit verbundenen Abhängigkeit von der Verifizierungsqualität externer Identitätsprovider.
