Dropbox: 68 Millionen Passwörter gestohlen

Noch Anfang der Woche forderte Dropbox seine Nutzer rein „vorsorglich“ zu einem Passwortwechsel auf, sollte ihr Zugangscode seit mindestens Mitte 2012 unverändert sein, da andernfalls ein unnötiges Sicherheitsrisiko bestehe.

Das Cloud-Storage-Unternehmen betonte dabei, es habe keinen konkreten Vorfall gegeben und es liege kein Verdacht auf Missbrauch vor. Es handle sich nur um einen pragmatischen Hinweis. Im Rahmen von Routinemaßnahmen sei man aber auf einen kursierenden Datensatz aus dem Jahr 2012 gestoßen.

Wie Dropbox jetzt aber bestätigt hat, haben Hacker tatsächlich 68 Millionen Passwörter von Kunden gestohlen. Laut Patrick Heim, Head of Trust & Security bei Dropbox, stammen die Benutzernamen und Passwörter offensichtlich von Mitte 2012. Wie das Unternehmen aber auch erklärte, gebe es bislang aber keine Anzeichen für unberechtigte Zugriffe auf Nutzer-Konten. Das Unternehmen habe Login-Daten von betroffenen Nutzern sicherheitshalber zurückgesetzt, so Heim.

„Dropbox-Accounts sind damit zwar geschützt, betroffene Nutzer, die ihr Passwort aber auch für andere Seiten nutzen, sollten entsprechende Schritte in die Wege leiten, um sich auch dort entsprechend zu schützen“, erklärt Heim.

Auf den Diebstahl der Dropbox-Passwörter hatte diese Woche die Website Motherboard hingewiesen. Dort war von einer im Netz gehandelten Datenbank mit rund 68,7 Millionen Kombinationen aus E-Mail-Adressen und verschleierten Passwörtern die Rede.

Sicherheitsforscher Troy Hunt hatte den Einbruch in das System des Online-Speicherdienstes mithilfe eigener Daten überprüft hat. Auch er kam zu dem Ergebnis, dass Accounts betroffen sind, deren Passwort letztmalig vor Mitte 2012 geändert wurde.

Nutzer mit älteren Zugangsdaten werden aber sicherheitshalber beim nächsten Log-in zu einer Aktualisierung aufgefordert. Zugleich wirbt Dropbox für seine Zwei-Faktor-Authentifizierung. Seit August 2015 unterstützt es in diesem Bereich auch USB-Sicherheitskeys nach der Spezifikation Universal 2nd Factor, kurz U2F – einen Standard der FIDO Alliance. Bekanntester Anbieter solcher Sticks ist Yubico. Anders als SMS- und App-Codes muss nichts eingetippt werden, und der Schlüssel lässt sich weder abfangen noch kopieren.

Über „Have I been pwned“ können Nutzer überprüfen, ob und in welchem Zusammenhang ihre Mail-Adresse und das entsprechende Passwort bereits aufgetaucht ist.

Eine schwerwiegende Sicherheitslücke gab es 2013. Damals führte versehentlich eingespielter Code dazu, dass sich jeder in jedes Dropbox-Konto einloggen konnte, ohne Zugangsdaten zu benötigen. Die Lücke wurde nach einigen Stunden gestopft.

Im gleichen Jahr trat eine Sicherheitslücke unter Android auf. Sie steckte in Dropbox‘ Software Development Kits. Unter bestimmten Umständen konnten Angreifer sie ausnutzen, um Daten abzugreifen, die von Android-Nutzern über Drittanbieter-Apps neu auf Dropbox hochgeladen wurden. Entdeckt wurde der Fehler von IBM-Mitarbeitern.

[mit Material von Laura Hatala, CNET.com]

Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.