Dropbox-Hack 2026: Sind Sie von der Kontoübernahme betroffen?

Die schnelle Antwort: Zwischen dem 4. und dem 21. August 2026 konnten Unbefugte auf rund 5.000 Dropbox-Konten zugreifen. Der Weg führte über eine Lenovo-ID, die sich ohne Passwortabfrage mit einem Dropbox-Konto verknüpfen ließ. Betroffen waren ausschließlich Konten ohne Zwei-Faktor-Authentifizierung. Seit dem 31. August benachrichtigt Dropbox die Betroffenen per Mail.

Was zwischen dem 4. und 21. August passiert ist

Der Ablauf klingt banal, und genau das ist das Beunruhigende daran. Wer ein Lenovo-Gerät besitzt, kann sich eine sogenannte Lenovo-ID anlegen, das Konto für Garantie, Support und die mitgelieferte Software. Um Dateien direkt vom Gerät aus zu sichern, lässt sich diese Lenovo-ID mit einem Dropbox-Konto verbinden. Bequem gedacht, und viele Menschen haben diese Verknüpfung vor Jahren einmal eingerichtet und seitdem nie wieder angesehen.

Das Problem steckte in zwei Details, die einzeln harmlos wirken. Erstens genügte für das Anlegen einer Lenovo-ID die Bestätigung einer E-Mail-Adresse. Zweitens verlangte die Verknüpfung dieser Lenovo-ID mit einem Dropbox-Konto anschließend kein Dropbox-Passwort. Wer beide Punkte zusammenlegt, sieht den Angriffspfad: Mit einer fremden E-Mail-Adresse eine Lenovo-ID anlegen, diese mit der zugehörigen Dropbox verknüpfen, fertig ist der Zugang zu Ordnern, die einem nicht gehören. Dokumentiert hat den Ablauf zuerst heise online in seiner Recherche zu den über Lenovo-IDs zugänglichen Dropbox-Konten.

Dropbox beziffert den Zeitraum des unbefugten Zugriffs auf den 4. bis 21. August 2026 und die Zahl der betroffenen Konten auf ungefähr 5.000. Die Lücke ist geschlossen, für die Verknüpfung ist inzwischen wieder das Dropbox-Passwort nötig, bestehende Lenovo-Sitzungen wurden beendet und die zuständigen Aufsichtsbehörden informiert. Seit dem 31. August verschickt das Unternehmen Benachrichtigungen, und zwar direkt an die betroffenen Konten. Eine öffentliche Vorwarnung gab es nicht, weshalb der Fall bei vielen Betroffenen bis heute nicht angekommen ist.

Bin ich betroffen? Drei Prüfungen in fünf Minuten

Die naheliegende Antwort lautet: Schauen Sie in Ihr Postfach. Die taugt aber nur bedingt, dazu gleich mehr. Fangen Sie stattdessen bei der Prüfung an, die nicht davon abhängt, dass eine Nachricht bei Ihnen ankommt. Wichtig vorab: Tippen Sie dropbox.com selbst in die Adresszeile Ihres Browsers. Nicht über einen Link aus einer Mail, auch nicht über einen aus dieser Seite. Warum, steht weiter unten.

• Prüfung 1, die Sicherheitseinstellungen Ihres Kontos: Klicken Sie nach der Anmeldung oben rechts auf Ihr Profilbild, dann auf Einstellungen und dort auf den Bereich Sicherheit. Drei Listen sind interessant. Bei den Geräten steht, welche Rechner und Handys mit Ihrem Konto verbunden sind. Bei den Websitzungen stehen die aktiven Anmeldungen samt letzter Aktivität. Und bei den verknüpften Konten und Apps steht, welche fremden Dienste an Ihre Dateien dürfen. Genau dort taucht eine Lenovo-ID auf, falls eine verknüpft ist. Kennen Sie einen Eintrag nicht, trennen Sie ihn.
• Prüfung 2, der Ereignisverlauf: Dropbox protokolliert Anmeldungen, Dateiaufrufe, Downloads und Freigaben. Gehen Sie den Zeitraum vom 4. bis 21. August durch und achten Sie auf Aktivität an Tagen, an denen Sie selbst nichts gemacht haben. Der offizielle Sicherheits-Checkup in der Dropbox-Hilfe führt Sie durch dieselben Punkte, falls Sie sich in den Einstellungen nicht zurechtfinden.
• Prüfung 3, das Postfach als Ergänzung: Suchen Sie in allen Ordnern, ausdrücklich auch im Spam, nach Nachrichten von Dropbox ab dem 31. August 2026. Denken Sie dabei an die Adresse, mit der Sie das Konto damals angelegt haben. Bei vielen ist das eine alte Adresse, die kaum noch jemand liest.
• Und was, wenn keine Mail da ist? Dann ist das kein Freibrief. Benachrichtigungen landen im Spam, werden gelöscht oder gehen an ein Postfach, das Sie nicht mehr abrufen. Aussagekräftig ist der Blick ins Konto, nicht das leere Postfach. Wer dort keine fremden Geräte, keine fremden Sitzungen und keine fremde Verknüpfung findet, kann den Fall für sich abhaken.

Ein Punkt aus der Benachrichtigung sorgt gerade für Verwirrung, deshalb hier die Einordnung. Nach Angaben von Dropbox wurden in weniger als einem Drittel der betroffenen Konten tatsächlich Dateien angesehen oder heruntergeladen. Die übrigen Betroffenen bekommen deshalb einen Text, in dem steht, es gebe keine Hinweise darauf, dass Dateien angesehen oder heruntergeladen wurden. Beides passt zusammen: Die eine Zahl ist die Gesamtbilanz, der andere Satz ist die Auskunft für Ihr konkretes Konto. Fremder Zugriff bestand in beiden Fällen.

Wenn Sie in Ihrem Konto fündig geworden sind, endet die Eigenrecherche hier trotzdem nicht. Was einmal aus einem Cloud-Ordner heruntergeladen wurde, holt niemand zurück. Benachrichtigt zu werden, sobald Ihre Adresse in einem neuen Leak auftaucht, ist der einzige Weg, davon später überhaupt etwas mitzubekommen.

Warum das kein klassisches Datenleck ist

Diese Unterscheidung ist mehr als Wortklauberei, sie entscheidet darüber, was Ihnen jetzt hilft. Bei einem klassischen Datenleck kopiert jemand eine Datenbank. Heraus kommt eine Liste: Adressen, Namen, verschlüsselte Passwörter, manchmal Telefonnummern. Diese Liste wird gehandelt, irgendwann veröffentlicht, und dann schlagen Prüfdienste an, die solche Sammlungen durchsuchen.

Hier war es anders. Es wurde keine Datenbank kopiert, sondern jemand hat sich in einzelnen Konten angemeldet, als wäre er der Inhaber. Was er dort sah, waren keine Zugangsdaten, sondern Dateien. Ihre Dateien. Das hat zwei praktische Folgen. Erstens: Eine Prüfung in bekannten Leak-Sammlungen schlägt zu diesem Vorfall nicht an, weil es nichts gibt, wonach sie suchen könnte. Zweitens: Ein neues Passwort hätte den Angriff nicht verhindert, denn nach dem Passwort wurde ja nie gefragt.

Was in einer privaten Dropbox liegt, ist im Zweifel heikler als eine Passwortliste. Ein Passwort tauschen Sie in zwei Minuten. Den Scan Ihres Personalausweises nicht.

Gehen Sie die linke Spalte durch und überlegen Sie ehrlich, wie viele dieser Punkte auf Ihre Dropbox zutreffen. Bei den meisten Menschen sind es mehr, als sie im ersten Moment vermuten, weil sich über Jahre einfach alles dort ansammelt, was man einmal abfotografiert oder eingescannt hat.

Was Sie jetzt tun sollten, in dieser Reihenfolge

Sortiert nach Wirkung, nicht nach Aufwand. Die ersten beiden Punkte sind die entscheidenden, alles Weitere ist Aufräumen.

• Zwei-Faktor-Authentifizierung aktivieren: Das ist bei diesem Vorfall die Maßnahme, die tatsächlich gewirkt hat. Konten mit zweitem Faktor blieben verschont. Nutzen Sie eine Authenticator-App statt SMS, das ist der Standardweg, den auch die Dropbox-Anleitung zur Zwei-Faktor-Authentifizierung beschreibt. Noch robuster ist ein Passkey, also die Anmeldung per Fingerabdruck oder Gesichtserkennung ohne Passwort. Dropbox unterstützt das, und wie das grundsätzlich funktioniert, erklärt unsere Anleitung zum Einrichten von Passkeys. Die Wiederherstellungscodes, die Sie dabei bekommen, gehören ausgedruckt in eine Schublade und nicht in die Dropbox.
• Alle Verknüpfungen ausmisten: Gehen Sie die Liste der verbundenen Apps und Konten Zeile für Zeile durch. Was Sie nicht in den letzten Monaten aktiv genutzt haben, trennen Sie. Dasselbe gilt für Geräte, die Sie längst verkauft oder ersetzt haben. Beenden Sie anschließend alle aktiven Websitzungen, das wirft auch jeden hinaus, der noch angemeldet sein sollte.
• Passwort nur gezielt wechseln: Für diesen Vorfall bringt ein neues Dropbox-Passwort wenig, es wurde ja keines abgegriffen. Sinnvoll ist der Wechsel trotzdem in zwei Fällen: wenn Sie dasselbe Passwort noch woanders verwenden, oder wenn Sie in Ihrem Konto fremde Aktivität gefunden haben. Dann wechseln Sie das Passwort und beenden danach alle Sitzungen, in dieser Reihenfolge.
• Aufräumen, was dort nicht liegen muss: Ausweiskopien, Steuerbescheide, Passwortlisten, Wiederherstellungscodes. Vieles davon ist vor Jahren zum Verschicken hochgeladen worden und seitdem einfach liegen geblieben. Was Sie nicht regelmäßig brauchen, gehört auf einen verschlüsselten Datenträger zu Hause. Denken Sie beim Löschen an den Papierkorb der Dropbox, dort bleiben gelöschte Dateien noch eine Weile abrufbar.
• Geschäftlich genutzte Konten gesondert prüfen: Lagen dort personenbezogene Daten Dritter, also Kundenlisten, Bewerbungsunterlagen oder Patientendaten, sind Sie in diesem Moment selbst verantwortliche Stelle. Dann läuft für Sie eine eigene Meldepflicht nach Art. 33 DSGVO gegenüber Ihrer Aufsichtsbehörde. Was dabei zu tun ist, steht in unserem Leitfaden zur Datenpanne mit Meldefristen und Betroffenenrechten.

Diese Schritte schließen Ihr Konto. Sie ändern nichts daran, dass dieselbe E-Mail-Adresse, mit der Sie sich überall anmelden, parallel in Werbedatenbanken und bei Adresshändlern liegt und dort mit Namen und Anschrift verknüpft wird. Genau diese Anreicherung macht aus einem einzelnen Fund ein vollständiges Profil. Löschanfragen nach Art. 17 DSGVO an über 100 Datenhändler anstoßen setzt an dieser Stelle an.

Die Benachrichtigungsmail ist ein Steilpass für Phishing

Jetzt zu dem Grund, warum Sie dropbox.com selbst eintippen sollten. Es ist gerade eine Benachrichtigungswelle unterwegs, und das wissen Betrüger genauso gut wie Sie. Eine echte Sicherheitsmail von Dropbox und eine gefälschte sehen für Empfänger fast identisch aus, denn beide behaupten dasselbe: Es gab einen Vorfall, prüfen Sie bitte Ihr Konto. Der Unterschied liegt allein darin, wohin der Link führt.

Dazu kommt ein zweiter Punkt, der bei diesem Vorfall besonders zieht. Wer wirklich in fremden Ordnern war, kennt deren Inhalt. Eine Betrugsmail, die eine echte Rechnung, einen echten Vertragspartner oder einen echten Dateinamen nennt, wirkt völlig anders als das übliche Massenphishing. Rechnen Sie in den nächsten Wochen mit Nachrichten, die verdächtig gut informiert sind.

Die Regel dagegen ist unspektakulär und funktioniert trotzdem: Klicken Sie in keiner Sicherheitsmail auf einen Link und öffnen Sie keinen Anhang. Gehen Sie stattdessen selbst auf die Seite des Anbieters und schauen Sie dort nach. Steht dort nichts, war die Mail eine Fälschung. Steht dort etwas, hätten Sie es auch ohne die Mail gefunden.

Häufige Fragen zum Dropbox-Hack im August 2026

Warum die nächsten Wochen ruhig aussehen können

Wer heute einmal prüft und nichts findet, ist damit nicht dauerhaft aus dem Schneider. Was aus Cloud-Ordnern abfließt, wird selten sofort verwertet. Erst wird gesichtet, dann im kleinen Kreis weitergereicht, und erst Wochen oder Monate später erscheint Material breit gehandelt oder als Sammlung im Darknet. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich, sobald sie infolge eines Hacks oder einer Datenpanne dort auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem solchen Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber der verantwortlichen Stelle wahrnehmen können. Das ist ein Hinweis auf laufende Verfahren und keine eigene Rechtsberatung. Wann Betroffene überhaupt etwas verlangen können und welche Nachweise dafür nötig sind, erklärt unser Überblick zu Entschädigungsansprüchen nach einem Datenleck. Der Unterschied zum kostenlosen Check bleibt dabei entscheidend: Der zeigt Ihnen nur, was heute bereits veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie später erreicht, wenn tatsächlich etwas auftaucht.