Hardware Ready Ready to Bench?
digitale Identitätssicherheit. Ein kürzlich aufgetretener Vorfall betraf Dropbox und Lenovo ID, nachdem eine Schwachstelle im Authentifizierungssystem von Letzterem es einem Hacker ermöglichte, auf etwa 5.000 Dropbox-Konten zuzugreifen.
Laut Dropbox-Kommunikation fanden die unbefugten Zugriffe zwischen dem 4. und 21. August 2026 statt; in weniger als einem Drittel der Fälle wurden Dateien in den Konten eingesehen oder heruntergeladen. Der Angriff betraf die Dropbox-Systeme nicht direkt, sondern nutzte eine Lücke im Authentifizierungssystem von Lenovo ID über die bestehende Verbindung zwischen den beiden Diensten aus.
digitale Identitätssicherheit: Warum das wichtig ist
Die Schwachstelle betraf die E-Mail-Adressverifikation: Eine unbefugte Person konnte ein Lenovo-ID-Konto registrieren, indem sie es mit der E-Mail-Adresse eines anderen Nutzers verknüpfte, und über dieses Konto auf das entsprechende Dropbox-Konto zugreifen. Die Lage wurde dadurch verschärft, dass die kompromittierten Konten keine Mehrfaktor-Authentifizierung nutzten.
Dropbox unterbrach anschließend die über Lenovo ID authentifizierten Sitzungen, deaktivierte die Verknüpfung zwischen den beiden Diensten und führte zusätzliche Zugangsanforderungen ein.
DSGVO-Relevanz
Aus juristischer Sicht wirft der Vorfall Fragen zur Sicherheit bei der Verarbeitung personenbezogener Daten auf. Die DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, angemessene technische und organisatorische Maßnahmen zu ergreifen, die dem Risiko entsprechen und dabei auch die Fähigkeit der Systeme berücksichtigen müssen, Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten.
Eine Verletzung muss nicht zwingend den Diebstahl einer Datenbank bedeuten: Der unbefugte Zugriff auf ein Konto mit personenbezogenen Daten kann eine DSGVO-Verletzung darstellen. Unternehmen müssen daher die Meldepflichten an die Aufsichtsbehörde innerhalb von 72 Stunden nach Entdeckung der Verletzung prüfen und in schwerwiegenden Fällen auch die betroffenen Personen informieren.
Der Fall verdeutlicht auch die Risiken im Zusammenhang mit der Sicherheit von Integrationen durch Dritte. Die Nutzung eines Identity-Providers oder externen Dienstes überträgt nicht automatisch die Verantwortung für die Sicherheit; der Einsatz von Authentifizierungssystemen erfordert eine Risikobewertung hinsichtlich der technologischen Kette und der Methoden zur Identitätsverifikation der Nutzer.
Hauptmaßnahmen zur Sicherheit
Was sich ändert und welche Auswirkungen es hat
Der Dropbox-Lenovo-Vorfall unterstreicht die Bedeutung des digitalen Identitätsmanagements in der IT-Sicherheit. Ein erster Schritt besteht darin, Integrationen und Authentifizierungssysteme von Dritten zu erfassen und zu überprüfen, welche Anwendungen auf Unternehmenssysteme zugreifen können, mit welchen Zugangsdaten und über welche Mechanismen.
Besondere Aufmerksamkeit gilt Legacy-Integrationen, die in der Vergangenheit erstellt wurden und trotz marginaler Nutzung noch aktiv sind. Es ist zudem ratsam, wo möglich, die Mehrfaktor-Authentifizierung (MFA) einzuführen, die bei Kompromittierung von Zugangsdaten oder externen Authentifizierungssystemen eine zusätzliche Schutzschicht bietet.
Auf organisatorischer und vertraglicher Ebene müssen die von Dritten erbrachten Dienstleistungen, insbesondere im Bereich ICT und Cloud, überprüft werden. Dabei sind Verantwortlichkeiten, Sicherheitsmaßnahmen, Incident-Management-Prozesse und Meldepflichten zu definieren. Die Sicherheit von Lieferanten und externen Diensten muss ein integraler Bestandteil des gesamten unternehmensweiten Sicherheitsmanagements sein.
Schließlich müssen Verfahren vorgesehen werden, um anomale Zugriffe und Vorfälle rechtzeitig zu erkennen, wobei Verantwortlichkeiten, Eingriffsmodalitäten und Kriterien für die Einbindung der IT-Verantwortlichen, des DPO, von Rechtsberatern und gegebenenfalls der zuständigen Behörden festgelegt werden.
Der Vorfall mit Dropbox und Lenovo ID zeigt, dass im heutigen digitalen Ökosystem die Verwundbarkeit einer Organisation auch außerhalb ihrer Systeme liegen kann. Sicherheit lässt sich nicht nur durch die Überprüfung des Schutzes der Unternehmensserver bewerten; es muss berücksichtigt werden, wer auf die Systeme zugreifen kann, mit welchen Werkzeugen, welche Dritte als vertrauenswürdig gelten und ob diese Beziehungen noch notwendig und sicher sind. Technologische Integrationen müssen regelmäßig kartiert, bewertet und bei Nichtbedarf entfernt werden. Sicherheit ist kein einmalig zu prüfendes Erfordernis, sondern ein kontinuierlicher Prozess, der den gesamten Lebenszyklus der Systeme und der Lieferantenbeziehungen begleiten muss.
Quelle und weiterführende Informationen zu digitale Identitätssicherheit: Originalartikel.
* Inhalt mit Unterstützung von künstlicher Intelligenz erstellt.