{"id":50926,"date":"2026-09-02T16:19:04","date_gmt":"2026-09-02T14:19:04","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50926"},"modified":"2026-09-02T16:19:04","modified_gmt":"2026-09-02T14:19:04","slug":"dropbox-lenovo-sicherheitsluecke-email-verifizierung-kompromittiert-5000-nutzer-2025-08-23-sicherheitsvorfall-identity-federation-sso-schwachstelle-aktuell-korrekt-verwendet-manuelle-optionen-wie-2fa","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/dropbox-lenovo-sicherheitsluecke-email-verifizierung-kompromittiert-5000-nutzer-2025-08-23-sicherheitsvorfall-identity-federation-sso-schwachstelle-aktuell-korrekt-verwendet-manuelle-optionen-wie-2fa\/","title":{"rendered":"Dropbox-Konten durch Lenovo-E-Mail-L\u00fccke kompromittiert"},"content":{"rendered":"

Eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo<\/a> hat es Unbefugten erm\u00f6glicht, auf eine begrenzte Anzahl von Dropbox<\/a>a-Konten zuzugreifen. Betroffen sind nach Angaben von Reuters rund 5.000 Nutzer, bei denen die Angreifer ohne Kenntnis des Passworts in die Cloud-Speicher eindringen konnten. Die Sicherheitsl\u00fccke offenbart ein fundamentales Risiko in der Verkettung von Identit\u00e4tsdiensten (Identity Federation).<\/p>\n

Wie die Kompromittierung der Dropbox-Konten durch die Lenovo-L\u00fccke funktionierte<\/h2>\n

Das Kernproblem liegt in der Authentifizierungsarchitektur von Dropbox. Der Cloud-Speicher-Anbieter integriert die Lenovo Identity Provider Services in sein System. Dies bedeutet, dass Nutzer sich mit ihrem verifizierten Lenovo-Konto bei Dropbox anmelden k\u00f6nnen. Ein Angreifer nutzte einen Fehler im E-Mail-Verifizierungsprozess von Lenovo, um eine betr\u00fcgerische Lenovo-ID mit der E-Mail-Adresse<\/a> eines Opfers zu registrieren. Da Dropbox der Behauptung von Lenovo vertraute, dass der Angreifer die Kontrolle \u00fcber die E-Mail-Adresse besitzt, wurde die Identit\u00e4tsverkn\u00fcpfung durchgef\u00fchrt, ohne dass eine zus\u00e4tzliche Best\u00e4tigung \u00fcber die bestehende Dropbox-Anmeldemethode erforderlich war.<\/p>\n

Laut der Benachrichtigung, die an betroffene Nutzer gesendet wurde, war der unbefugte Zugriff m\u00f6glich, weil \u201eein Problem mit Lenovos E-Mail-Verifizierungsprozess\u201c es erlaubte, dass \u201eeine nicht autorisierte Person eine Lenovo-ID mit Ihrer E-Mail-Adresse registrieren konnte\u201c. Der Angreifer nutzte diese gef\u00e4lschte Lenovo-ID dann, um auf das unter derselben E-Mail-Adresse registrierte Dropbox-Konto zuzugreifen. Einige der betroffenen Nutzer besa\u00dfen nicht einmal selbst ein Lenovo-Konto.<\/p>\n

Chronologie des Vorfalls und Reaktionen der Betroffenen<\/h3>\n

Der Zugriff auf die Nutzerkonten erfolgte in einem Zeitfenster zwischen dem 4. und 21. August. Einige Dropbox-Nutzer berichteten, dass sie etwa zwei Wochen vor der offiziellen Warnung Benachrichtigungen \u00fcber verd\u00e4chtige Anmeldeversuche erhalten hatten. Ein Nutzer mit dem Pseudonym xaphod berichtete auf der Plattform Hacker News, dass die Dropbox-Anmeldeseite pl\u00f6tzlich die Option \u201eContinue with SSO\u201c f\u00fcr seine E-Mail anbot, obwohl er niemals eine Lenovo-ID erstellt hatte. Die betroffenen Nutzer wechselten daraufhin sofort ihre Passw\u00f6rter und aktivierten die Zwei-Faktor-Authentifizierung.<\/p>\n

Dropbox selbst erkl\u00e4rte, dass die unbefugten Zugriffe auf das Ausnutzen dieser spezifischen Schwachstelle zur\u00fcckzuf\u00fchren seien und dass man gemeinsam mit Lenovo daran gearbeitet habe, das Risiko zu mindern. Ein Sprecher von Lenovo best\u00e4tigte gegen\u00fcber BleepingComputer, dass das Problem mit einer Legacy-Integration zwischen Lenovo ID und Dropbox zusammenhing, die ausgenutzt werden konnte, um \u201ebestimmte Dropbox-Konten unrechtm\u00e4\u00dfig zu authentifizieren\u201c. Lenovo betonte, dass die eigenen Kunden nicht von dem Problem betroffen waren.<\/p>\n

Sofortma\u00dfnahmen und zuk\u00fcnftige Sicherheitsvorkehrungen<\/h2>\n

Als Reaktion auf den Vorfall hat Dropbox umgehend Ma\u00dfnahmen ergriffen. Das Unternehmen hat alle Sitzungen, die \u00fcber Lenovo-IDs authentifiziert wurden, ung\u00fcltig gemacht und eine neue Anmeldeanforderung implementiert. Zuk\u00fcnftig m\u00fcssen Nutzer, die sich \u00fcber ihren Lenovo-Account anmelden, zwingend ihr Dropbox-Kontopasswort eingeben. Diese zus\u00e4tzliche H\u00fcrde soll verhindern, dass eine kompromittierte oder betr\u00fcgerische externe Identit\u00e4t allein ausreicht, um auf das Konto zuzugreifen.<\/p>\n

W\u00e4hrend die Untersuchungen andauern, best\u00e4tigte Dropbox, dass der Angreifer in einigen F\u00e4llen nicht nur auf die Konten zugreifen, sondern auch Daten einsehen und herunterladen konnte. Diese Tatsache unterstreicht die Ernsthaftigkeit des Vorfalls, selbst wenn er auf eine relativ kleine Anzahl von Nutzern beschr\u00e4nkt war. F\u00fcr Betroffene bedeutet dies, dass potenziell vertrauliche Dokumente und Dateien in die H\u00e4nde Unbefugter gelangt sein k\u00f6nnten.<\/p>\n

Warum die Sicherheitsl\u00fccke f\u00fcr die Branche relevant ist<\/h3>\n

Dieser Vorfall ist ein Paradebeispiel f\u00fcr die Gefahren von Single Sign-On (SSO) und f\u00f6derierten Identit\u00e4ten. Das Vertrauen, das Dropbox in die Verifizierung durch Lenovo gesetzt hat, war der entscheidende Schwachpunkt. Sobald ein Kettenglied in der Vertrauenskette bricht \u2013 hier der E-Mail-Verifizierungsprozess \u2013 ist das gesamte System gef\u00e4hrdet. Die Angriffsmethode zeigt, dass Angreifer nicht mehr nur die Sicherheit des Endprodukts selbst angreifen, sondern sich auf die schw\u00e4cheren Glieder in der Authentifizierungskette konzentrieren.<\/p>\n

F\u00fcr Sicherheitsverantwortliche und Unternehmen, die auf Identit\u00e4tsanbieter von Drittanbietern setzen, ergibt sich daraus eine klare Lehre: Jede externe Identit\u00e4tsverifikation muss intern durch eigene Mechanismen abgesichert werden. Der Fall demonstriert auch, wie wichtig eine konsequente Protokollierung und die Analyse von Anmeldemustern sind. Nutzer, die ihre Sicherheit erh\u00f6hen m\u00f6chten, sollten neben der Zwei-Faktor-Authentifizierung auch die verkn\u00fcpften Dienste und SSO-Optionen in ihren Konten regelm\u00e4\u00dfig \u00fcberpr\u00fcfen.<\/p>\n

Die Kooperation zwischen Dropbox und Lenovo bei der Schadensbegrenzung zeigt, dass die Unternehmen die Dringlichkeit erkannt haben. Dennoch bleibt ein bitterer Beigeschmack: Ein Angreifer konnte wochenlang unentdeckt auf fremde Daten zugreifen, nur weil ein Verifikationsprozess bei einem Partnerunternehmen fehlerhaft war. Die zuk\u00fcnftige Sicherheit von Cloud-Diensten wird nicht nur von der H\u00e4rte der eigenen Systeme abh\u00e4ngen, sondern ebenso von der Sicherheitskultur und -technik der gesamten Partnerlandschaft.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo hat es Unbefugten erm\u00f6glicht, auf eine begrenzte Anzahl von Dropboxa-Konten zuzugreifen. Betroffen sind nach Angaben von Reuters rund 5.000 Nutzer, bei denen die Angreifer ohne Kenntnis des Passworts in die Cloud-Speicher eindringen konnten. Die Sicherheitsl\u00fccke offenbart ein fundamentales Risiko in der Verkettung von Identit\u00e4tsdiensten (Identity Federation). Wie die Kompromittierung […]<\/p>\n","protected":false},"author":5,"featured_media":53945,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50926.png","fifu_image_alt":"Dropbox-Konten durch Lenovo-E-Mail-L\u00fccke kompromittiert","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50926","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50926.png","fifu_image_alt":"Dropbox-Konten durch Lenovo-E-Mail-L\u00fccke kompromittiert","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50926","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50926"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50926\/revisions"}],"predecessor-version":[{"id":50929,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50926\/revisions\/50929"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53945"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50926"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50926"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50926"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}