Dropbox hat Nutzer über unbefugte Kontozugriffe zwischen dem 4. und 21. August 2026 informiert, nachdem Angreifer eine Schwachstelle in der Handhabung des Single Sign-on (SSO) über Lenovo-IDs durch den Cloud-Speicheranbieter ausgenutzt hatten.

Das Unternehmen erklärte, dass ein Problem in Lenovos E-Mail-Verifizierungsprozess es Unbefugten ermöglichte, Lenovo-IDs mit den E-Mail-Adressen anderer Personen zu registrieren und diese Identitäten dann zum Login in die mit denselben Adressen verknüpften Dropbox-Konten zu verwenden. In einem Schreiben an betroffene Nutzer teilte Dropbox mit, dass die Konten zwar unbefugt aufgerufen wurden, die Protokolle jedoch keine Hinweise darauf ergaben, dass Dateien eingesehen oder heruntergeladen wurden.

„Wir haben kürzlich unbefugte Zugriffe auf Dropbox-Konten festgestellt, die über Lenovo-ID verbunden waren und für die die Dropbox-Zwei-Faktor-Authentifizierung nicht aktiviert war“, teilte ein Dropbox-Sprecher Decrypt mit. „Unsere Untersuchung ergab, dass ein Problem in Lenovos E-Mail-Verifizierungsprozess einer unbefugten Person erlaubte, eine Lenovo-ID mit der E-Mail-Adresse einer anderen Person zu registrieren und sich mit dieser Lenovo-ID dann in das mit dieser E-Mail-Adresse verknüpfte Dropbox-Konto einzuloggen.“

„Etwa 5.000 Dropbox-Konten waren betroffen, und bei weniger als einem Drittel dieser Konten wurden Dateien eingesehen oder heruntergeladen“, fügte der Sprecher hinzu. „Wir haben alle betroffenen Nutzer direkt per E-Mail informiert. Kunden mit Fragen zu ihrer Kontobewegung sollten sich an unser Support-Team wenden. Wer keine E-Mail von uns erhalten hat, dessen Konto war nicht betroffen.“

Laut Dropbox erforderte der Angriff offenbar weder das Dropbox-Passwort des Opfers noch den Zugriff auf dessen E-Mail-Postfach. Betroffene Konten waren mit Lenovo-IDs verknüpft und hatten die Dropbox-Zwei-Faktor-Authentifizierung nicht aktiviert, sodass Angreifer neu registrierte Lenovo-IDs mit übereinstimmenden E-Mail-Adressen ohne zusätzliche Verifizierung für bestehende Konten nutzen konnten. Dropbox hat den Zugriff über Lenovo-IDs inzwischen geändert.

Der Vorfall verdeutlicht ein allgemeines Risiko von Federated-Sign-on-Systemen, bei denen die Identitätsnachweise eines Anbieters Zugang zu Konten bei einem anderen Dienst gewähren: Wenn der vorgelagerte Identitätsanbieter das Eigentum an einer E-Mail-Adresse nicht ordnungsgemäß überprüft, kann jeder nachgelagerte Dienst, der diesen Identitäten vertraut, gefährdet sein – selbst wenn der nachgelagerte Dienst selbst nicht kompromittiert wurde. Zudem zeigt er, warum Dropboxs eigene Zwei-Faktor-Authentifizierung hier die entscheidende letzte Verteidigungslinie war – Konten mit aktivierter Funktion waren nicht betroffen.

Ein betroffener Nutzer, der Entwickler Yoni Levy, veröffentlichte Screenshots des Schreibens auf X:

so dropbox got hacked (never had a Lenovo account, haven't been to UK) pic.twitter.com/UoYRaJFuEC

— yoni | parser.eth (@yonilevy) August 31, 2026

Ein Screenshot zeigte, wie Dropbox Levy davor warnte, dass sich am 18. August um 6:06 Uhr Ortszeit ein neuer Webbrowser von „Near Canary Wharf, England, United Kingdom“ in seinem Konto angemeldet hatte. Der Login erfolgte über Chrome unter Windows. Levy erklärte, er habe nie ein Lenovo-Konto besessen und sei nie im Vereinigten Königreich gewesen.

Eine anschließende Benachrichtigung von Dropbox informierte Levy, dass die Untersuchung ergeben habe, dass eine unbefugte Person eine Lenovo-ID mit seiner E-Mail-Adresse registriert und diese ID anschließend zum Login in sein Dropbox-Konto verwendet hatte.

Die Warnung reiht sich in weitere Kontosicherheitsvorfälle bei großen Online-Plattformen ein. Am Dienstag berichteten X-Nutzer von einer Häufung unerwünschter Passwort-Zurücksetzen-E-Mails, unbekannter Login-Warnungen und Kontosperrungen, obwohl X erklärte, keine Hinweise auf eine neue Datenpanne gefunden zu haben. Ein X-Ingenieur erklärte, Angreifer hätten offenbar versucht, Konten zu übernehmen, um Zugang zu X Money zu erhalten.