Ich mach mir eine Lenovo-ID und hol mir Deine Dropbox-Dateien

Was geschehen ist – die Kernmeldung

Ein gravierender Sicherheitsvorfall hat die Nutzer des Cloud-Speicherdienstes Dropbox erschüttert. Wie bekannt wurde, konnten sich Unbefugte Zugriff auf etwa 5.000 Dropbox-Konten verschaffen, indem sie eine Schwachstelle bei der Lenovo-ID ausnutzten. Die betroffenen Konten zeichneten sich dadurch aus, dass die Nutzer auf die Einrichtung einer Zwei-Faktor-Authentifizierung (2FA) verzichtet hatten. Die Angreifer nutzten die Möglichkeit, über die Lenovo-Plattform Identitäten anzulegen, die mit den E-Mail-Adressen der Dropbox-Nutzer verknüpft waren. Da die Lenovo-ID bei der Registrierung die E-Mail-Adressen nicht korrekt verifizierte, konnten die Täter die Anmeldedienste von Drittanbietern manipulieren. Dropbox vertraute diesen fehlerhaften Authentifizierungen blind, sofern keine zusätzliche Sicherheitsebene in Form der 2FA aktiv war. Der Vorfall ereignete sich in einem Zeitraum zwischen dem 4. und dem 21. August. Die Nachricht über diesen Sicherheitsbruch hatte unmittelbare Auswirkungen auf die Finanzmärkte, wobei die Dropbox-Aktie im nachbörslichen Handel am Dienstag einen spürbaren Wertverlust verzeichnete.

Die Einzelheiten des Vorfalls

Die technischen Details des Angriffs offenbaren eine Kette von Versäumnissen. Der Angreifer nutzte E-Mail-Adressen, die den Dropbox-Nutzern zugeordnet waren. Da für viele dieser Adressen noch keine Lenovo-ID existierte, legten die Täter diese kurzerhand unter den fremden E-Mail-Adressen an. Das entscheidende Problem lag darin, dass Lenovo bei der Erstellung der ID nicht prüfte, ob der Nutzer tatsächlich Zugriff auf die angegebene E-Mail-Adresse besaß. Dropbox wiederum akzeptierte Log-ins über diesen Drittanbieter-Dienst, ohne den Status der E-Mail-Bestätigung kritisch zu hinterfragen. Im genannten Zeitraum vom 4. bis zum 21. August konnten sich die Täter in den betroffenen Konten frei bewegen. Den Berichten zufolge wurden in weniger als einem Drittel der Fälle tatsächlich Dateien heruntergeladen, die für die Angreifer von Interesse waren. Dropbox hat in der Folge betroffene Nutzer per E-Mail informiert und dabei explizit angegeben, ob bei ihnen ein Datenabfluss stattgefunden hat oder nicht.

Hintergrund und bisheriger Verlauf

Die Sicherheitsarchitektur von Dropbox sieht vor, dass Nutzer sich nicht nur mit ihren eigenen Zugangsdaten anmelden können, sondern auch Authentifizierungsdienste von Drittanbietern nutzen dürfen. Zu diesen Diensten zählen neben Google und Apple auch die Lenovo-ID. Dieses System ist grundsätzlich darauf ausgelegt, den Komfort für den Anwender zu erhöhen, indem eine zentrale Anmeldung ermöglicht wird. Dass die Lenovo-ID jedoch bei der Verifizierung von E-Mail-Adressen patzte, untergrub das Vertrauen in dieses Sicherheitsmodell massiv. Die Angreifer mussten lediglich E-Mail-Adressen kennen oder erraten, die bei Dropbox hinterlegt waren, um den Prozess in Gang zu setzen. Dass dies bei 5.000 Konten gelang, deutet auf eine gezielte Ausnutzung der fehlenden E-Mail-Validierung hin. Dropbox reagiert nun mit einer umfassenden Anpassung seiner Dienstleistungsvereinbarungen, um sich rechtlich gegen die Folgen solcher Drittanbieter-Schwachstellen abzusichern und die Verantwortung stärker auf die Nutzer zu verlagern.

Die Beteiligten und ihre Rollen

Direkt betroffen sind die Inhaber der rund 5.000 Dropbox-Konten, deren Privatsphäre durch den Zugriff verletzt wurde. Auf der Seite der Unternehmen steht Dropbox als der betroffene Cloud-Dienstleister, der nun mit den Konsequenzen des Vorfalls und der Kommunikation gegenüber den Kunden befasst ist. Lenovo ist als derjenige Anbieter identifiziert worden, dessen Identitätsmanagement-System die Sicherheitslücke aufwies, da dort die E-Mail-Adressen nicht ordnungsgemäß verifiziert wurden. Zudem ist das Unternehmen Formswift in den neuen Datenschutzbestimmungen von Dropbox explizit erwähnt, da die Richtlinien künftig auch für diesen Dienst gelten sollen. Die Entscheidungsträger bei Dropbox haben bereits reagiert, indem sie die Dienstleistungsvereinbarung und die Datenschutzrichtlinien angepasst haben, um die Haftung bei der Nutzung von Drittanbieter-Diensten auszuschließen und die Bedingungen für die Kontonutzung zu verschärfen.

Einordnung der neuen Regelungen

Einzuordnen ist das Vorgehen von Dropbox als eine deutliche Verschärfung der Haftungsbedingungen. Mit der neuen Version der Dienstleistungsvereinbarung, die ab dem Jahreswechsel in Kraft tritt, schließt Dropbox jegliche Haftung für Dienste Dritter aus. Dies bedeutet, dass Dropbox nicht mehr für Sicherheitslücken bei Partnern wie Lenovo geradesteht. Zudem wird die Verantwortung des Nutzers betont: Wer die angebotene Zwei-Faktor-Authentifizierung nicht nutzt, verliert bei entsprechenden Vorfällen künftig Ansprüche gegenüber dem Unternehmen. Auch die Altersgrenze für die Nutzung von Dropbox wird auf 18 Jahre angehoben, und die Vorhaltefrist für inaktive, gebührenfreie Konten wird von einem Jahr auf sechs Monate halbiert. Ein weiterer Punkt ist die Datenschutzrichtlinie: Dateien werden künftig explizit zur Verbesserung der Dienstleistungen ausgewertet. Den Berichten zufolge verweisen die FAQ des Unternehmens in diesem Kontext explizit auf das Training von Künstlicher Intelligenz, was für Nutzer eine weitreichende Neuerung darstellt.

Offene Fragen und Lücken

Der vorliegende Sachverhalt lässt einige Fragen offen, die für die Betroffenen von Bedeutung sein könnten. So bleibt unklar, wie genau die Angreifer an die E-Mail-Adressen gelangten, die für den Angriff auf die 5.000 Konten notwendig waren. Der Quelltext macht hierzu keine Angaben. Auch bleibt offen, ob Lenovo bereits technische Gegenmaßnahmen ergriffen hat, um die fehlerhafte E-Mail-Validierung bei der Registrierung einer Lenovo-ID dauerhaft zu unterbinden. Es wird zudem nicht detailliert erläutert, welche spezifischen Arten von Dateien in den betroffenen Konten als „ausreichend interessant“ eingestuft wurden, um sie herunterzuladen. Auch die genauen Auswirkungen auf die Nutzer, die Teil eines Dropbox-Teams sind, bleiben in ihrer praktischen Umsetzung vage, insbesondere hinsichtlich der Statusinformationen, die Administratoren über private Konten der Nutzer erhalten können. Die genaue Art und Weise, wie die KI-Auswertung der Nutzerdateien technisch umgesetzt wird, bleibt ebenfalls hinter dem Verweis auf die FAQ verborgen.

Wie es weitergeht

Die Änderungen bei Dropbox treten zum Jahreswechsel in Kraft. Ab diesem Zeitpunkt gelten die neuen Dienstleistungsvereinbarungen, die eine Haftung für Drittanbieter-Dienste ausschließen und die Verantwortung bei unterlassener 2FA-Nutzung klar dem Kunden zuweisen. Nutzer müssen sich zudem auf die verkürzte Vorhaltefrist von sechs Monaten für inaktive Konten einstellen. Administratoren von Team-Konten werden ab dem Jahreswechsel erweiterte Einblicke in die Statusinformationen anderer Konten erhalten, sofern die E-Mail-Adressen identisch sind. Die Datenschutzbestimmungen, die auch für Formswift gelten, sind bereits in der Überarbeitung begriffen, wobei die Auswertung von Nutzerdateien zur Verbesserung der Dienstleistungen und für das KI-Training nun offiziell verankert wird. Betroffene Nutzer, die bereits eine E-Mail von Dropbox erhalten haben, sollten prüfen, ob ihre Daten heruntergeladen wurden und gegebenenfalls weitere Sicherheitsmaßnahmen ergreifen.