Rund 5.000 Dropbox-Konten sind im August unberechtigten Personen zur Verfügung gestanden und die Betroffenen mussten dafür nichts falsch machen. Kein Phishing-Link, kein geleaktes Passwort, kein Klick auf etwas Verdächtiges. Der Zugriff gelang allein über das Zusammenspiel zweier Anmeldesysteme: der Lenovo-ID und dem Login bei Dropbox. Der Fall zeigt eindrücklich, warum die Zwei-Faktor-Authentifizierung kein optionales Extra ist, sondern eine entscheidende Maßnahme.

Was ist passiert?

Dropbox lässt Anmeldungen nicht nur über das eigene Passwort zu, sondern auch über Identitätsdienste Dritter wie Google, Apple und auch Lenovo. Der Gedanke dahinter: Wer sich bei einem dieser Anbieter erfolgreich anmeldet, ist ausreichend als rechtmäßiger Inhaber ausgewiesen. Genau diese Vertrauenskette wurde ausgenutzt.

Bei der Lenovo-ID gab es einen Fehler in der E-Mail-Verifizierung. Es war möglich, eine neue Lenovo-ID mit der E-Mail-Adresse einer fremden Person anzulegen, ohne jemals nachzuweisen, dass man tatsächlich Zugriff auf dieses Postfach hat. Der Angreifer musste also nur eine E-Mail-Adresse kennen oder erraten, die jemand bei Dropbox hinterlegt hatte. Gab es zu dieser Adresse noch keine Lenovo-ID, was häufig der Fall war, legte er einfach selbst eine an.

Dropbox wiederum vertraute der Anmeldung über die Lenovo-ID blind, solange am Dropbox-Konto keine Zwei-Faktor-Authentifizierung aktiv war. Auf ein Passwort kam es dabei nicht an. So konnte der Angreifer sich zwischen dem 4. und 21. August 2026 in rund 5.000 fremden Konten frei umsehen. In weniger als einem Drittel der Fälle fand er Dateien, die ihm interessant genug erschienen, um sie herunterzuladen.

Warum das gefährlich ist

Das Beunruhigende an diesem Vorfall ist, dass die Opfer keinen Fehler gemacht haben. Die Schwachstelle lag vollständig zwischen den Systemen zweier Unternehmen. Wer betroffen war, hatte oft nicht einmal selbst eine Lenovo-ID und wusste nichts von einer Verknüpfung. Einige Nutzer berichteten, dass ihnen auf der Dropbox-Anmeldeseite plötzlich ein Login über Lenovo angeboten wurde, obwohl sie nie ein solches Konto erstellt hatten.

Diese Art von Angriff nutzt keine klassische Sicherheitslücke im Sinne eines Programmierfehlers mit CVE-Nummer, sondern eine kaputte Vertrauensannahme. Solche Fehler sind besonders tückisch, weil sie sich der Kontrolle der Nutzer entziehen. Man kann sein Passwort noch so gut wählen, wenn ein gekoppelter Dienst die Identität falsch bestätigt, hilft das wenig. Der einzige wirksame Schutz auf Nutzerseite war in diesem Fall die Zwei-Faktor-Authentifizierung, denn Konten mit aktivem zweiten Faktor blieben verschont.

Wie Dropbox und Lenovo reagiert haben

Nachdem der Fall bekannt wurde, unter anderem über den Sicherheitsforscher Yoni Levy, der eine der Dropbox-Benachrichtigungen öffentlich machte, haben beide Unternehmen nachgebessert. Dropbox hat alle Sitzungen beendet, die über eine Lenovo-ID authentifiziert wurden, und verlangt jetzt zwingend die Eingabe des Dropbox-Passworts, bevor eine Anmeldung über die Lenovo-ID akzeptiert wird. Lenovo erklärte, es habe sich um eine veraltete Integration zwischen Lenovo-ID und Dropbox gehandelt, und die eigenen Lenovo-Kunden seien nicht betroffen gewesen.

Dropbox hat betroffene Nutzer per E-Mail informiert. Aus diesen Nachrichten geht hervor, ob bei dem jeweiligen Konto lediglich ein Zugriff stattfand oder ob tatsächlich Dateien heruntergeladen wurden.