Dropbox hat einen Sicherheitsvorfall bestätigt, bei dem im August 2026 rund 5.000 Nutzerkonten unbefugt übernommen wurden. Nach Angaben des US-amerikanischen Cloud-Anbieters waren Konten betroffen, die mit einer Lenovo ID verbunden waren und bei denen die Zwei-Faktor-Authentifizierung von Dropbox nicht aktiviert war. Der unbefugte Zugriff fand zwischen dem 4. und 21. August statt. Bei weniger als einem Drittel der kompromittierten Konten wurden gespeicherte Dateien angesehen oder heruntergeladen.
Damit ist der Dropbox Sicherheitsvorfall deutlich begrenzter als ein Angriff auf die gesamte technische Infrastruktur des Dienstes. Hinweise darauf, dass sämtliche Dropbox-Nutzer oder das gesamte Speichersystem kompromittiert worden wären, liegen nicht vor. Dropbox erklärte zudem, alle betroffenen Nutzer direkt informiert zu haben. Wer keine entsprechende Benachrichtigung erhalten habe, sei nach Angaben des Unternehmens von diesem Vorfall nicht betroffen.
Nach Darstellung von Dropbox hing der Vorfall mit einer bestehenden Anbindung von Lenovo ID an Dropbox zusammen. Das Unternehmen erklärte gegenüber Reuters, eine Schwachstelle im Zusammenhang mit der E-Mail-Verifizierung bei Lenovo habe es ermöglicht, eine Lenovo ID mit der E-Mail-Adresse einer anderen Person anzulegen. Diese Identität konnte anschließend unter bestimmten Voraussetzungen für den Zugang zu einem Dropbox-Konto mit derselben Adresse verwendet werden.
Lenovo bezeichnete die Verbindung zu Dropbox als ältere Integration, die zur unzulässigen Authentifizierung bestimmter Dropbox-Konten verwendet werden konnte. Das Unternehmen erklärte zugleich, eigene Lenovo-Kunden seien nicht betroffen. Die Untersuchung des Vorgangs dauere an.
Welche einzelnen technischen Fehler dabei zusammenwirkten, war zunächst nicht vollständig öffentlich dokumentiert. Medienberichte beschreiben Probleme bei der Überprüfung von E-Mail-Adressen und beim Vertrauen zwischen den beiden Anmeldesystemen. Eine darüber hinausgehende unabhängige technische Analyse des vollständigen Angriffswegs lag zunächst nicht vor.
Besonders relevant war offenbar die fehlende zusätzliche Absicherung der betroffenen Dropbox-Konten. Dropbox bestätigte, dass die kompromittierten Konten keine Zwei-Faktor-Authentifizierung bei Dropbox aktiviert hatten. Damit fehlte eine weitere Kontrolle, die einen allein über die verbundene Identität erfolgenden Zugriff hätte erschweren können.
Der Umfang des tatsächlichen Datenzugriffs unterschied sich von Konto zu Konto. Dropbox bezifferte die Zahl der kompromittierten Konten auf rund 5.000. Bei weniger als einem Drittel dieser Accounts wurden nach Unternehmensangaben Dateien angesehen oder heruntergeladen. Das entspricht weniger als ungefähr 1.700 Konten. Die genaue Zahl wurde nicht veröffentlicht.
Welche Arten von Dateien betroffen waren, machte Dropbox zunächst nicht öffentlich. Auch eine umfassende Aufstellung möglicher personenbezogener Daten, Dokumenttypen oder Inhalte lag zunächst nicht vor. Deshalb lässt sich nicht pauschal feststellen, welche Informationen bei einzelnen Nutzern eingesehen wurden.
In einigen zunächst bekannt gewordenen Benachrichtigungen teilte Dropbox betroffenen Nutzern mit, dass die eigenen Protokolle bei ihrem jeweiligen Konto keine Hinweise auf betrachtete oder heruntergeladene Dateien zeigten. Das widerspricht der später genannten Gesamtzahl nicht. Dropbox erklärte für die Gesamtheit der rund 5.000 Konten, dass bei weniger als einem Drittel tatsächlich auf Dateien zugegriffen worden sei.
Dropbox reagierte nach eigenen Angaben mit mehreren technischen Maßnahmen. Das Unternehmen beendete sämtliche Sitzungen, die über Lenovo ID authentifiziert worden waren. Zudem wurden bestehende Verknüpfungen zwischen Lenovo IDs und Dropbox-Konten entfernt.
Das Anmeldeverfahren wurde ebenfalls geändert. Wer über Lenovo auf Dropbox zugreifen will, muss nun zunächst das eigene Dropbox-Passwort eingeben. Damit soll verhindert werden, dass allein eine verbundene externe Identität für den Zugriff ausreicht. Dropbox meldete den Vorfall außerdem den zuständigen Datenschutzbehörden.
Die öffentliche Statusseite von Dropbox zeigte am 2. September alle wesentlichen Dienste als funktionsfähig an. Der Sicherheitsvorfall wurde dort nicht als aktueller großflächiger Ausfall des Cloud-Dienstes geführt.
An der Börse geriet die Dropbox-Aktie nach Bekanntwerden des Vorfalls unter Druck. Im regulären US-Handel am Dienstag, 1. September 2026, schloss die Aktie an der Nasdaq bei 34,26 US-Dollar. Gegenüber dem vorherigen Schlusskurs lag das Minus bei 2,64 Prozent.
Nach Veröffentlichung der Berichte setzte sich die Abwärtsbewegung im nachbörslichen Handel fort. Reuters bezifferte den Rückgang zeitweise auf rund 2,4 Prozent. Andere Kursdienste meldeten zu einzelnen Zeitpunkten geringere Abschläge. Wegen der deutlich geringeren Liquidität können nachbörsliche Kurse stärker schwanken als während der regulären Handelszeiten.
Ein unmittelbarer geschäftlicher Schaden in bestimmter Höhe wurde zunächst nicht veröffentlicht. Der Vorfall fiel zudem in einen insgesamt schwachen Handelstag für US-Technologieaktien. Der Nasdaq Composite verlor am 1. September rund 1,0 Prozent. Eine eindeutige Zuordnung der gesamten Kursbewegung von Dropbox allein zum Sicherheitsvorfall ist daher nicht möglich.
Dropbox empfiehlt grundsätzlich die Aktivierung der Zwei-Faktor-Authentifizierung. Sie ergänzt das Passwort um einen weiteren Nachweis und steht nach Angaben des Unternehmens für alle Nutzerkonten zur Verfügung. Nutzer können dafür unter anderem eine Authenticator-App verwenden. Dropbox empfiehlt außerdem, Wiederherstellungscodes sicher aufzubewahren.
Sinnvoll ist außerdem eine Kontrolle der Sicherheitsseite des eigenen Dropbox-Kontos. Dort lassen sich angemeldete Geräte, verknüpfte Apps und weitere Zugriffe überprüfen. Unbekannte Geräte können aus der Ferne abgemeldet werden. Dropbox rät bei verdächtigen Aktivitäten außerdem dazu, ein starkes und ausschließlich für Dropbox verwendetes Passwort einzusetzen und gegebenenfalls auch das Passwort des zugehörigen E-Mail-Kontos zu ändern.
Wer eine Benachrichtigung von Dropbox über einen unbekannten Zugriff erhalten hat, sollte zunächst prüfen, ob die Nachricht tatsächlich von Dropbox stammt, und das Konto anschließend direkt über die offizielle Website oder App aufrufen. Links aus unerwarteten E-Mails sollten nicht ungeprüft verwendet werden. Betroffene Nutzer können sich zudem an den Dropbox-Support wenden.
Der Vorfall zeigt zugleich ein grundsätzliches Risiko miteinander verbundener Anmeldedienste. Single Sign-on kann die Nutzung mehrerer Plattformen vereinfachen, schafft aber zusätzliche Abhängigkeiten zwischen den beteiligten Identitätssystemen. Eine zusätzliche Authentifizierung direkt beim eigentlichen Dienst kann deshalb entscheidend sein, wenn eine vorgeschaltete Anmeldung kompromittiert oder fehlerhaft verarbeitet wird.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu