Wie sicher ist Dropbox? Da­ten­si­cher­heit und Ver­schlüs­se­lung im Überblick

Dropbox bietet zum Schutz Ihrer Daten Si­cher­heits­vor­keh­run­gen wie Ende-zu-Ende-Ver­schlüs­se­lung, Zu­griffs­rech­te, Zwei-Faktor-Au­then­ti­fi­zie­rung und Geo­red­un­danz. Aufgrund der Server- sowie Un­ter­neh­mens­stand­or­te un­ter­lie­gen Ihre Daten al­ler­dings nicht der DSGVO.

Kurz und Knapp zu­sam­men­ge­fasst: So ist es um die Si­cher­heit bei Dropbox bestellt

• Dropbox bietet zum Schutz Ihrer Cloud-Daten 256-Bit-Ver­schlüs­se­lung sowie SSL/TLS und AES-128-Bit-Ver­schlüs­se­lung bei Up- und Downloads.
• Weitere Si­cher­heits­fea­tures umfassen Zwei-Faktor-Au­then­ti­fi­zie­rung, Boxcryp­tor-Kom­pa­ti­bi­li­tät, Perfect Forward Secrecy, Cer­ti­fi­ca­te Pinning und geo­red­un­dan­te Re­chen­zen­tren.
• Zwei Mi­nus­punk­te hin­sicht­lich Da­ten­schutz und -sou­ve­rä­ni­tät: Dropbox behält sich in den AGB ein­ge­schränk­te Zu­griffs­rech­te auf Daten von Nut­ze­rin­nen und Nutzern vor und un­ter­liegt als US-Un­ter­neh­men dem Cloud Act, der laut Ex­per­ten­an­sicht nicht mit den eu­ro­päi­schen Da­ten­schutz­stan­dards der DSGVO kom­pa­ti­bel ist. Nichts­des­to­trotz wirbt Dropbox selbst mit DSGVO-Com­pli­ance.

Welche Ver­schlüs­se­lungs­tech­ni­ken nutzt Dropbox?

Vor allem für Un­ter­neh­men, die Dritt­an­bie­ter-Server auslagern, spielen die Ver­schlüs­se­lungs­ver­fah­ren für ge­spei­cher­te Daten (Data at Rest) eine ent­schei­den­de Rolle. Als einer der ältesten und be­kann­tes­ten Cloud-Dienste bietet Dropbox eine über­zeu­gen­de, um­fas­sen­de Ver­schlüs­se­lung Ihrer Cloud-Daten.

Folgende Ver­schlüs­se­lungs­tech­ni­ken nutzt Dropbox:

AES-256-Bit-Ver­schlüs­se­lung

Der erste Blick auf die Dropbox-Ver­schlüs­se­lung sieht gut aus: Mit moderner AES-256-Bit-Ver­schlüs­se­lung für alle Cloud-Daten befindet sich Dropbox auf der Höhe der Zeit. Der Advanced En­cryp­ti­on Standard mit 256-Bit zählt zu den si­chers­ten Ver­schlüs­se­lungs­tech­ni­ken und kommt sogar in der US-Regierung zum Einsatz. Zur Ver­an­schau­li­chung: Um die „schwä­che­re“ 128-Bit-Ver­schlüs­se­lung zu knacken, würde es bereits mehrere Mil­li­ar­den Jahre dauern. Mit 256-Bit ist ein zu­ver­läs­si­ger Schutz gegen Brute-Force-Attacken somit ga­ran­tiert.

TLS/SSL und 128-Bit-Ver­schlüs­se­lung

Daten sollen nicht nur geschützt in der Cloud liegen, sondern sich auch sicher hoch- und her­un­ter­la­den lassen. Aus diesem Grund nutzt Dropbox die Ver­schlüs­se­lungs­ver­fah­ren TLS und SSL, kurz für „Secure Sockets Layer“ und „Transport Layer Security“. Sie über­tra­gen Ihre Daten somit durch einen ge­schütz­ten Tunnel mit AES-128-Bit ver­schlüs­selt. Ein Abfangen und Ent­schlüs­seln Ihrer Da­ten­über­tra­gun­gen (Data-in-Transit) ist somit nahezu aus­ge­schlos­sen.

Zero-Knowledge-Ver­schlüs­se­lung mit Boxcryp­tor

Zero-Knowledge bedeutet, dass Sie Ihre Daten bereits vor dem Hochladen in die Cloud ver­schlüs­seln und so für den Cloud-Dienst unlesbar machen. Für eine cli­ent­sei­ti­ge Ver­schlüs­se­lung nutzt Dropbox die Tech­no­lo­gie des deutschen Un­ter­neh­mens Boxcryp­tor, das Ende 2022 von Dropbox auf­ge­kauft wurde, um eine Zero-Knowledge-Ver­schlüs­se­lung nativ um­zu­set­zen.

Welche Zu­griffs­rech­te hat Dropbox?

Wenn Sie einen Cloud-Dienst nutzen, sollten Sie zuvor einen Blick in die AGB werfen. In diesen klärt sich schnell, wie viele Zu­griffs­rech­te sich der Cloud-Service für die Be­reit­stel­lung vorbehält. Dropbox weist in seinen AGB bei­spiels­wei­se auf ein­ge­schränk­te Zu­griffs­rech­te für ser­ver­sei­tig ge­spei­cher­te Daten hin.

Welche Freigabe- und Zu­griffs­rech­te haben Dropbox-User?

Abgesehen von ein­ge­schränk­ten Zu­griffs­rech­ten auf Ihre Daten, hängt die Si­cher­heit der Cloud-Daten von einem weiteren wichtigen Punkt ab: Welche Mög­lich­kei­ten gibt es, um mit anderen gemeinsam an Dateien zu arbeiten? Dabei kommt es darauf an, dass Sie selbst bestimmen, wer welche Dateien sehen kann und wer nicht.

Hierfür bietet Dropbox im Grunde dieselben Frei­ga­be­rech­te für Dateien wie die meisten Dropbox-Al­ter­na­ti­ven: Sie legen pro Datei oder Ordner fest, welche Personen Zugriff erhalten, teilen mit diesen Personen einen Freigabe-Link und können Rechte jederzeit wieder entziehen. Sie legen zudem fest, ob be­rech­tig­te Personen nur Le­se­zu­griff erhalten oder Dateien auch be­ar­bei­ten dürfen.

Kon­to­schutz durch Zwei-Faktor-Au­then­ti­fi­zie­rung

Mit einer op­tio­na­len Zwei-Faktor-Au­then­ti­fi­zie­rung (2FA) können Sie Ihr Dropbox-Konto zu­ver­läs­sig vor un­be­fug­tem Zugriff schützen. Die Funktion müssen Sie zunächst in Ihrem Dropbox-Konto ak­ti­vie­ren. Mit einer 2FA benötigen Sie zu­sätz­lich zu Ihrem Passwort einen Si­cher­heits­code, den Sie wahlweise per SMS mit hin­ter­leg­ter Te­le­fon­num­mer oder per Au­then­ti­fi­ka­tor-Apps wie Google Au­then­ti­ca­tor erhalten. Die zwei­stu­fi­ge Über­prü­fung ist ein Standard, den heut­zu­ta­ge jeder seriöse Dienst für das Teilen, Speichern und Be­ar­bei­ten von Daten bieten sollte.

Kon­to­wie­der­her­stel­lung

Ganz gleich, ob Sie Ihr Passwort vergessen, Ihr Konto gehackt wurde oder Sie aus Versehen das falsche Konto löschen – eine Mög­lich­keit zur Kon­to­wie­der­her­stel­lung gehört ebenfalls zum Standard der Cloud-Si­cher­heit. Im kos­ten­lo­sen Dropbox Basic sowie im Ein­stei­ger-Abo Dropbox Plus können Sie bis zu 30 Tage lang die Datei- und Kon­to­wie­der­her­stel­lung anfordern. Mit anderen kos­ten­pflich­ti­gen Abos wie Es­sen­ti­als oder Business stehen sogar 180 Tage oder mit Business Plus 365 Tage zur Wie­der­her­stel­lung von Daten und Konten sowie zur Kon­ten­zu­rück­set­zung zur Verfügung.

Welchen Schutz bietet Dropbox vor Cy­ber­an­grif­fen?

Wer Daten in Cloud-Dienste auslagert, muss sich darauf verlassen, dass Un­ter­neh­men aus­rei­chen­de Si­cher­heits­vor­keh­run­gen gegen Cy­ber­an­grif­fe treffen. Dropbox bietet ähnlich wie Google Drive und iCloud eine hohe Cloud-Si­cher­heit mit folgenden stan­dard­mä­ßi­gen Schutz­maß­nah­men gegen Cy­ber­an­grif­fe:

• Hohe Si­cher­heit der Re­chen­zen­tren durch Geo­red­un­danz
• Moderne Ver­schlüs­se­lung mit AES-256-Bit für Data-in-Rest (Spei­che­rung)
• TLS-Ver­schlüs­se­lung mit AES-128-Bitt für Data-in-Transit (Über­tra­gung)
• In­te­grier­ter Pass­wort­schutz mit sicherem Passwort
• Optionale Zwei-Faktor-Au­then­ti­fi­zie­rung
• Daten sichern mit au­to­ma­ti­schen, syn­chro­ni­sier­ten Backups
• Konten- und Da­tei­wie­der­her­stel­lung
• Perfect Forward Secrecy (ver­hin­dert eine nach­träg­li­che Da­ten­ent­schlüs­se­lung durch nicht re­kon­stru­ier­ba­re Sit­zungs­schlüs­sel)
• Cer­ti­fi­cat­te Pinning (stellt sicher, dass Ver­bin­dun­gen aus­schließ­lich zu au­to­ri­sier­ten Servern erfolgen)

Trotz der genannten Si­cher­heits­vor­keh­run­gen weist Dropbox leider eine nen­nens­wer­te Schwäche beim Schutz vor Cy­ber­an­grif­fen auf: Up- und Downloads werden von Dropbox nicht auf Viren und Malware gescannt.

Bekannte Si­cher­heits­vor­fäl­le bei Dropbox

Als Cloud-Dienst, der bereits seit 2008 existiert, blickt Dropbox un­wei­ger­lich auf eine Reihe von Si­cher­heits­vor­fäl­len zurück. Zu den be­kann­tes­ten zählen:

• 2011 führte ein Update-Fehler dazu, dass für mehrere Stunden der Zugriff auf jeden Dropbox-Account über die zu­ge­hö­ri­ge E-Mail-Adresse möglich wurde.
• 2012 führte der kom­pro­mit­tier­te Account eines Dropbox-An­ge­stell­ten zur Ver­öf­fent­li­chung von rund 68 Millionen User-Daten inklusive E-Mail-Adressen und Pass­wör­tern. Die Si­cher­heits­lü­cke zeigte, dass der Zugriff auf Cloud-Daten durch Dropbox-An­ge­stell­te nach wie vor ein Si­cher­heits­ri­si­ko darstellt.
• 2017 tauchten Dateien in den Accounts von Nut­ze­rin­nen und Nutzern wieder auf, die bis zu sechs Jahre zu­rück­la­gen. Der Vorfall deutet darauf hin, dass Dropbox gelöschte Daten nicht endgültig löscht.
• 2022 wurde bekannt, dass es zum Diebstahl von rund 130 Re­po­si­to­rys des Quell­codes über einen kom­pro­mit­tier­ten An­ge­stell­ten-Account kam. Zu den ge­stoh­le­nen Quellcode-Teilen zählen interne Pro­to­ty­pen, Security-Tools und Kopien von Bi­blio­the­ken.
• 2024 erlangten An­grei­fe­rin­nen und Angreifer Zugriff auf die Pro­duk­ti­ons­um­ge­bung von Dropbox Sign und konnten darüber per­sön­li­che Kun­den­da­ten entwenden.

Spielt der Cloud Act für Dropbox eine Rolle?

Bei Dropbox handelt es sich um ein US-Un­ter­neh­men, dessen Cloud-Server vorrangig in den USA stehen. Zwangs­läu­fig un­ter­liegt Dropbox somit dem US-ame­ri­ka­ni­schen Cloud Act. Das 2018 erlassene Gesetz gewährt US-Behörden nahezu un­ein­ge­schränk­ten Zugriff auf die Cloud-Daten von US-Firmen. Das gilt auch für Daten von Kundinnen und Kunden einer US-Firma, die EU-Server betreibt. Im Ernstfall ist Dropbox ver­pflich­tet, Daten von Nut­ze­rin­nen und Nutzern her­aus­zu­ge­ben, selbst wenn diese nicht in den USA liegen. Auch die Her­aus­ga­be ohne Jus­tiz­be­schluss ist unter be­stimm­ten Be­din­gun­gen möglich. 100 Prozent Da­ten­schutz ist mit Dropbox also allein aufgrund des Cloud Acts nicht zu erwarten.

Ein weiteres Problem aus Sicht der Da­ten­si­cher­heit: Seit 2020 gibt es für EU-Un­ter­neh­men, die Daten an US-Firmen über­mit­teln, keine recht­li­che Ab­si­che­rung durch die EU. Diese wurde in Form des „EU-US-Privacy Shield“ im Jahr 2020 vom Eu­ro­päi­schen Ge­richts­hof ab­ge­schafft. Grund: Sowohl der Cloud Act als auch der Foreign In­tel­li­gence Sur­veil­lan­ce Act werden eu­ro­päi­schen Da­ten­schutz­stan­dards nicht gerecht. Der Schutz von Kun­den­da­ten, DSGVO-konformes Cloud Computing und recht­li­che Ab­si­che­rung liegen somit in der Ver­ant­wor­tung von Un­ter­neh­men selbst.

Erfüllt Dropbox Da­ten­schutz­stan­dards für Un­ter­neh­men?

Vor allem im Zu­sam­men­hang mit Da­ten­si­cher­heit und Da­ten­ho­heit müssen sich Un­ter­neh­men fragen, ob sich Dropbox für eine ge­schäft­li­che Nutzung eignet. Grund­sätz­lich erfüllt der Dienst mit mo­derns­ter Ver­schlüs­se­lung, Zu­griffs­kon­trol­le und wichtigen Zer­ti­fi­zie­run­gen die wich­tigs­ten An­for­de­run­gen für Com­pli­ance und Da­ten­schutz. Zu Zer­ti­fi­zie­run­gen, die Dropbox bietet, zählen:

• C5-Standard (Cloud Computing Com­pli­ance Controls Catalogue) des BSI
• TCDP (Trusted Cloud Da­ten­schutz­pro­fil für Cloud-Dienste) des BMWi
• ISO 27017 (Cloud-Si­cher­heit)
• ISO 27018 (Da­ten­schutz und Da­ten­si­cher­heit in der Cloud)

Ähnlich wie die Server von Google Drive oder iCloud bietet Dropbox einen soliden Si­cher­heits­stan­dard, der auch eine ge­schäft­li­che Nutzung er­mög­licht. Dennoch stellt die Über­mitt­lung sensibler Un­ter­neh­mens­da­ten an US-Un­ter­neh­men in Ver­bin­dung mit dem Cloud Act einen großen Mi­nus­punkt dar. Zudem müssen Sie sich um we­sent­li­che Aspekte wie die Da­ten­schutz­er­klä­rung und einen Vertrag zu Auf­trags­ver­ar­bei­tung mit Dropbox selbst kümmern, um DSGVO-konformen Da­ten­schutz zu ge­währ­leis­ten.

Zu­sam­men­fas­sung: Ist Dropbox sicher?

Ab­schlie­ßend lässt sich sagen: Dropbox bietet dank moderner Ver­schlüs­se­lung, sicheren Re­chen­zen­tren und der Zero-Knowledge-Ver­schlüs­se­lung eine hohe Cloud-Si­cher­heit. Zu­rück­lie­gen­de Si­cher­heits­vor­fäl­le, unklare Zu­griffs­rech­te durch Dropbox-An­ge­stell­te sowie der US-Cloud-Act machen Dropbox jedoch nicht unbedingt zum optimalen Cloud-Dienst für hoch­sen­si­ble, kritische Fir­men­da­ten.

Wenn Sie sich fragen, welche Cloud am si­chers­ten ist, achten Sie bei der Wahl darauf, welchen Da­ten­schutz­richt­li­ni­en der jeweilige Cloud-Dienst un­ter­liegt. Im Fall von Dropbox werden eu­ro­päi­sche Da­ten­schutz­stan­dards nicht zu­frie­den­stel­lend erfüllt. Hierfür sollten Sie sich an einen al­ter­na­ti­ven eu­ro­päi­schen Dienst mit Servern in Deutsch­land oder anderen EU-Ländern halten.