// HEISE ONLINE — CYBERSECURITY
Ich mach mir eine Lenovo-ID und hol mir Deine Dropbox-Dateien
Circa 5.000 Dropbox-Konten ohne 2FA sind ausgespäht worden. Dazu reichte eine Lenovo-ID.
Eine erstaunliche Sicherheitslücke ist Inhabern von rund 5.000 Dropbox-Konten zum Verhängnis geworden, die auf die Einrichtung von Zwei-Faktor-Authentifizierung (2FA) verzichtet hatten: Unbefugte haben sich mittels frisch angelegter Lenovo-Konten Zugriff verschafft.
Diese Meldung Bloombergs hat Dropbox-Aktien am Dienstag im nachbörslichen Handel einige Prozent fallen lassen. Die Angreifer haben sich zunutze gemacht, dass Log-ins bei Dropbox auch über Authentifizierungsdienste Dritter zugänglich sind, darunter Google, Apple und Lenovo. Das sollte grundsätzlich sicher sein, war es im Falle der Lenovo-ID aber nicht. Denn Lenovo patzte bei der Bestätigung der E-Mail-Adresse. Es war offenbar möglich, Lenovo-IDs für fremde E-Mail-Adressen anzulegen und zu verwenden.
Der Angreifer kennt oder erriet E-Mail-Adressen, die Nutzer bei Dropbox angegeben haben. Gab es dafür noch keine Lenovo-ID, was häufig der Fall ist, legte er einfach eine neue Lenovo-ID unter dieser fremden E-Mail-Adresse an. Lenovo prüfte nicht korrekt, ob derjenige überhaupt Zugriff auf an diese Adresse geschickte E-Mails hat. Und Dropbox vertraute den Log-ins via Lenovo-ID blind, sofern keine 2FA eingerichtet war.
So konnte sich der Täter im Zeitraum 4. bis 21. August in rund 5.000 Dropbox-Konten frei umsehen. In weniger als einem Drittel der Fälle soll er Dateien gefunden haben, die ausreichend interessant erschienen, um sie herunterzuladen. Dropbox hat E-Mails an Betroffene versandt, aus denen hervorgeht, ob bei ihnen Dateien heruntergeladen wurden oder nicht.
Das Unternehmen reagiert auch sofort, um sich zu schützen: Die Dienstleistungsvereinbarung wird so geändert, dass sie ab Jahreswechsel jegliche Verantwortung für Dienste Dritter ausschließt. Gleiches gilt, wenn Nutzer die angebotene Zwei-Faktor-Authentifizierung nicht einsetzen: „In keinem Fall erwachsen Dropbox Verpflichtungen oder Haftung gemäß diesem Abschnitt, die sich aus Folgendem ergeben: … (4) unterlassene Nutzung eines von Dropbox bereitgestellten oder zur Verfügung gestellten Updates, einer Änderung oder eines Ersatzes durch den Kunden, wodurch der Anspruch vermieden worden wäre, ... (6) Produkte, Dienste, Anwendungen oder Integrationen von Drittanbietern“, heißt es Abschnitt 10.2 der am Dienstag veröffentlichten neuen Version.
Abschnitt 10.1 wird geändert, um die Haftung der Kunden gegenüber Dropbox zu erweitern. Zudem müssen Dropbox-Nutzer ab Jahreswechsel mindestens 18 Jahre alt sein. Und gebührenfreie Dropbox-Konten können bei Inaktivität bereits nach sechs Monaten gelöscht werden; das ist eine Halbierung der aktuellen Vorhaltefrist von einem Jahr.
Bei der Gelegenheit überarbeitet Dropbox auch seine Datenschutzrichtlinie, die außerdem für Formswift gelten wird: Gespeicherte Dateien werden fortan explizit zur „Verbesserung der Dienstleistungen“ ausgewertet. Details dazu enthält das Vertragsdokument nicht; es verweist lediglich auf die Häufig gestellten Fragen (FAQ), wo dann unter anderem von KI-Training die Rede ist.
Wer Teil eines Dropbox-Teams ist, aber noch weitere Dropbox-Konten hat, muss aufpassen: Der Administrator des Gruppenkontos erhält fortan auch Statusinformationen über die nicht von ihm verwalteten Konten des Users, sofern die hinterlegte E-Mail-Adresse dieselbe ist.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security