Ein Login, den Niemand Erraten Musste

Dropbox gab am 2. September 2026 bekannt, dass rund 5.000 Konten wegen eines Fehlers in Lenovos Identitätssystem kompromittiert wurden, nicht wegen Dropbox' eigener Passwortprüfung. Das Zugriffsfenster lief vom 4. bis zum 21. August 2026, bevor Dropbox es bemerkte. Eine betroffene Nutzerin beschrieb das erste Anzeichen, dass etwas nicht stimmte: Die Dropbox-Anmeldeseite bot für ihre E-Mail-Adresse plötzlich die Option Weiter mit SSO an, obwohl sie nie eine Lenovo-ID erstellt hatte.

Der Mechanismus war simpel, sobald man ihn gefunden hatte. Ein Angreifer konnte mit der E-Mail-Adresse eines Opfers eine Lenovo-ID registrieren, und Lenovos Verifizierungsprozess verlangte nicht, dass diese Person zuerst nachweist, dass sie das Postfach kontrolliert. Dropbox' eigene Systeme, die Lenovos Identity Provider Services Jahre zuvor für Single Sign-on integriert hatten, behandelten diese frisch erstellte und unverifizierte Lenovo-ID dann als ausreichenden Nachweis, um das zugehörige Dropbox-Konto freizuschalten. Lenovo erklärte, dass man nach Feststellung des Problems gemeinsam mit Dropbox das Risiko zügig eingedämmt habe.

Der Fehler Lag Nie in Dropbox' Eigenem Passwort

Das ist das Detail, bei dem man verweilen sollte: Niemandes Dropbox-Passwort wurde erraten, geleakt oder wiederverwendet. Die 5.000 betroffenen Konten wurden nicht kompromittiert, weil ihre Besitzer schwache Zugangsdaten wählten. Sie wurden kompromittiert, weil Dropbox irgendwann entschieden hatte, ein zweites Unternehmen für die Zuordnung einer E-Mail-Adresse bürgen zu lassen, und nie erneut geprüft hat, ob dessen Verfahren tatsächlich zuverlässig war.

Zwei-Faktor-Authentifizierung hätte jede einzelne dieser Übernahmen gestoppt, denn keines der 5.000 Konten hatte sie aktiviert. Die genauere Lehre lautet aber nicht schlicht aktivieren Sie Zwei-Faktor-Authentifizierung. Sie lautet, dass ein föderierter Login keine Komfortfunktion neben der eigentlichen Sicherheit ist. In dem Moment, in dem man ihn aktiviert, wird die Verifizierungsqualität des Partners zur Verifizierungsqualität des eigenen Produkts, ob man sie geprüft hat oder nicht.

Jedes Unternehmen mit Anmelden mit X Hat Diese Frage

Dropbox ist kein ungewöhnlich nachlässiges Unternehmen, und dies ist keine Geschichte über den Fehler eines einzelnen Anbieters. Es ist eine Geschichte über eine Fehlerkategorie, die in jedem Produkt existiert, das je aus Bequemlichkeit einen Anmelden mit Google-, Anmelden mit Microsoft- oder Anmelden mit der ID eines Hardware-Herstellers-Button hinzugefügt hat. Jeder dieser Buttons erweitert still den Sicherheitsperimeter des eigenen Produkts um ein System, das man nicht kontrolliert und nach der Integration selten erneut prüft.

Der praktische Test für jeden Unternehmer ist konkret: Können Sie für jeden von Ihrem Produkt akzeptierten Drittanbieter-Login genau benennen, wie dieser Anbieter bestätigt, dass jemand eine E-Mail-Adresse besitzt, bevor er Ihrem Produkt eine verifizierte Sitzung übergibt? Lautet die ehrliche Antwort wir sind davon ausgegangen, dass die das ordentlich prüfen, ist genau diese Annahme die gesamte Angriffsfläche, und dieser Vorfall zeigt, wie es aussieht, wenn sich die Annahme als falsch erweist.

Was Dropbox Geändert Hat

Dropbox' Lösung war strukturell, nicht kosmetisch. Alle bestehenden Lenovo-ID-Sitzungen wurden beendet, die Verknüpfung zwischen Lenovo-IDs und Dropbox-Konten vollständig entfernt, und nun ist vor jeder Lenovo-verknüpften Anmeldung das tatsächliche Dropbox-Passwort erforderlich, wodurch genau die Lücke geschlossen wurde, die es einer frisch erstellten, unverifizierten Identität erlaubte, für ein bereits bestehendes Konto einzustehen.

Das ist die richtige Lösung, und sie hätte von Anfang an der Standard sein sollen: Die Identitätsbestätigung eines Partners sollte eine bereits bestehende, authentifizierte Sitzung erweitern, niemals von selbst eine neue authentifizierte Sitzung erzeugen.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: 8,7 Millionen Datensätze, ein Schlüssel für alle sichtbar  |  Rhysida besitzt jetzt Berlins Wasser-Schwachpunkte