Dropbox: 68 Millionen Passwörter gestohlen

Noch Anfang der Woche forderte Dropbox seine Nutzer rein „vorsorglich“ zu einem Passwortwechsel auf, sollte ihr Zugangscode seit mindestens Mitte 2012 unverändert sein, da andernfalls ein unnötiges Sicherheitsrisiko bestehe.

Das Cloud-Storage-Unternehmen betonte dabei, es habe keinen konkreten Vorfall gegeben und es liege kein Verdacht auf Missbrauch vor. Es handle sich nur um einen pragmatischen Hinweis. Im Rahmen von Routinemaßnahmen sei man aber auf einen kursierenden Datensatz aus dem Jahr 2012 gestoßen.

Wie Dropbox jetzt aber bestätigt hat, haben Hacker tatsächlich 68 Millionen Passwörter von Kunden gestohlen. Laut Patrick Heim, Head of Trust & Security bei Dropbox, stammen die Benutzernamen und Passwörter offensichtlich von Mitte 2012. Wie das Unternehmen aber auch erklärte, gebe es bislang aber keine Anzeichen für unberechtigte Zugriffe auf Nutzer-Konten. Das Unternehmen habe Login-Daten von betroffenen Nutzern sicherheitshalber zurückgesetzt, so Heim.

„Dropbox-Accounts sind damit zwar geschützt, betroffene Nutzer, die ihr Passwort aber auch für andere Seiten nutzen, sollten entsprechende Schritte in die Wege leiten, um sich auch dort entsprechend zu schützen“, erklärt Heim.

Auf den Diebstahl der Dropbox-Passwörter hatte diese Woche die Website Motherboard hingewiesen. Dort war von einer im Netz gehandelten Datenbank mit rund 68,7 Millionen Kombinationen aus E-Mail-Adressen und verschleierten Passwörtern die Rede.

Sicherheitsforscher Troy Hunt hatte den Einbruch in das System des Online-Speicherdienstes mithilfe eigener Daten überprüft hat. Auch er kam zu dem Ergebnis, dass Accounts betroffen sind, deren Passwort letztmalig vor Mitte 2012 geändert wurde.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Nutzer mit älteren Zugangsdaten werden aber sicherheitshalber beim nächsten Log-in zu einer Aktualisierung aufgefordert. Zugleich wirbt Dropbox für seine Zwei-Faktor-Authentifizierung. Seit August 2015 unterstützt es in diesem Bereich auch USB-Sicherheitskeys nach der Spezifikation Universal 2nd Factor, kurz U2F – einen Standard der FIDO Alliance. Bekanntester Anbieter solcher Sticks ist Yubico. Anders als SMS- und App-Codes muss nichts eingetippt werden, und der Schlüssel lässt sich weder abfangen noch kopieren.

Über „Have I been pwned“ können Nutzer überprüfen, ob und in welchem Zusammenhang ihre Mail-Adresse und das entsprechende Passwort bereits aufgetaucht ist.

Eine schwerwiegende Sicherheitslücke gab es 2013. Damals führte versehentlich eingespielter Code dazu, dass sich jeder in jedes Dropbox-Konto einloggen konnte, ohne Zugangsdaten zu benötigen. Die Lücke wurde nach einigen Stunden gestopft.

Im gleichen Jahr trat eine Sicherheitslücke unter Android auf. Sie steckte in Dropbox‘ Software Development Kits. Unter bestimmten Umständen konnten Angreifer sie ausnutzen, um Daten abzugreifen, die von Android-Nutzern über Drittanbieter-Apps neu auf Dropbox hochgeladen wurden. Entdeckt wurde der Fehler von IBM-Mitarbeitern.

[mit Material von Laura Hatala, CNET.com]

Tipp: Sind Sie ein Fachmann in Sachen Cloud Computing? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

ZDNet.de Redaktion

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

19 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

19 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

2 Tagen ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

2 Tagen ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

2 Tagen ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

2 Tagen ago