Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Man stellt sich einen Einbruch in ein Cloud-Konto meistens laut vor: geknackte Passwörter, Brute-Force, Datenbanken aus dem Darknet. Dieser hier war leise. Es reichte eine E-Mail-Adresse. Kein Passwort, kein Zugriff aufs Postfach, kein Trick mit dem Handy. Nur eine Adresse — und eine Verknüpfung, an die seit Jahren niemand mehr gedacht hatte.
DIE ZAHLEN
Dropbox hat den Vorfall am 1. September öffentlich gemacht. Betroffen sind rund 5.000 Konten, der Zugriff fand zwischen dem 4. und dem 21. August 2026 statt — also über 17 Tage hinweg. In weniger als einem Drittel der betroffenen Konten wurden nach Angaben des Unternehmens tatsächlich Dateien angesehen oder heruntergeladen.
Das ist die gute Nachricht in einer ansonsten unangenehmen Meldung. Die schlechte kommt jetzt.
SO FUNKTIONIERTE DER ZUGRIFF
Der Weg führte über eine Altlast: eine alte Integration zwischen Lenovo ID und Dropbox. Wer sich vor Jahren mal über sein Lenovo-Konto bei Dropbox angemeldet hat, trug diese Verknüpfung mit sich herum, ohne es zu merken.
Der Fehler lag bei der E-Mail-Verifizierung auf Lenovo-Seite. Sie ließ zu, dass jemand eine Lenovo ID auf eine fremde E-Mail-Adresse registrierte, ohne diese Adresse tatsächlich zu besitzen. Und weil Dropbox der Lenovo-Anmeldung vertraute, war die frisch registrierte Lenovo ID der Schlüssel zum verknüpften Dropbox-Konto.
Die eigentliche Anmeldung wurde damit komplett umgangen. Nicht ausgehebelt, nicht geknackt — umgangen. Man klopfte einfach an einer anderen Tür, die niemand mehr im Blick hatte.
DER GEMEINSAME NENNER ALLER OPFER
Und hier wird es für dich praktisch relevant. Jedes einzelne der betroffenen Konten hatte eine Eigenschaft gemeinsam: Keines hatte die Zwei-Faktor-Anmeldung aktiviert.
Das ist kein Zufall und keine Statistikspielerei. Es ist der Beweis, dass der zweite Faktor genau da greift, wo der erste versagt hat. Der Angreifer hatte einen gültigen Anmeldeweg — was ihm fehlte, war der Code aus der App oder der Schlüssel am Schlüsselbund. Wo der verlangt wurde, endete der Angriff.
WAS DROPBOX GETAN HAT
Das Unternehmen hat reagiert und alle Lenovo-ID-Verknüpfungen entfernt, die betroffenen Sitzungen beendet und verlangt beim Zugang über Lenovo nun zusätzlich das Dropbox-Passwort. Der Vorfall wurde an die zuständigen Datenschutzbehörden gemeldet.
Dieser konkrete Weg ist damit zu. Die Frage ist, wie viele vergleichbare Verknüpfungen in deinen Konten noch schlummern.
DEINE HAUSAUFGABE — 10 MINUTEN
1. Zwei-Faktor-Anmeldung einschalten. Bei Dropbox, beim Mail-Anbieter, beim Passwortmanager, bei allem, was Dateien oder Zugänge enthält. Eine Authenticator-App ist in fünf Minuten eingerichtet.
2. Verknüpfte Konten durchgehen. In den Sicherheitseinstellungen jedes Dienstes gibt es eine Liste verbundener Konten und Apps. Alles, was du nicht mehr aktiv nutzt, fliegt raus. Jede Verknüpfung ist eine zusätzliche Tür — und du bist für jede davon nur so sicher wie der Anbieter dahinter.
3. Aktive Sitzungen prüfen. Unbekannte Geräte oder Standorte in der Liste? Alle Sitzungen beenden und Passwort wechseln.
4. Über einen Hardware-Schlüssel nachdenken. Eine App mit Einmalcodes ist gut. Ein physischer Sicherheitsschlüssel wie der YubiKey 5 NFC* ist die stabilere Variante, weil er sich weder abfischen noch per SIM-Tausch umleiten lässt — der Schlüssel muss physisch anwesend sein, sonst passiert nichts.
DIE EIGENTLICHE LEHRE: ALTE VERKNÜPFUNGEN ALTERN SCHLECHT
„Anmelden mit …“ ist bequem, und genau deshalb sammeln sich diese Verknüpfungen über Jahre an. Das Problem: Deine Sicherheit hängt danach nicht mehr nur an deinem Anbieter, sondern auch an allen, denen dieser Anbieter vertraut. Fällt einer davon aus — durch einen Fehler in der E-Mail-Prüfung zum Beispiel —, fällt dein Konto mit.
FAZIT: DER SCHUTZ WAR EINEN KLICK ENTFERNT
5.000 Konten, 17 Tage, kein Passwort nötig. Und ein einziger Schalter, der jeden dieser Zugriffe gestoppt hätte. Wenn du heute nur eine Sache aus diesem Artikel mitnimmst, dann diese: Schalte die Zwei-Faktor-Anmeldung ein — bei allem, was dir wichtig ist.