DreamHost nennt eine Zahl nicht: wie viele Kunden tatsächlich betroffen sind. Was das Unternehmen sagt: Ein unbefugter Dritter war ab etwa August 2026 bis zum Nachmittag des Freitag, 23. Oktober — dem Moment der Entdeckung — auf dem Server, der den webbasierten Dateimanager unter files.dreamhost.com betreibt.
Das sind mehr als zwei Monate Verweildauer in einem zugangsnahen Werkzeug, bei einem Hoster, der rund 400.000 zahlende Kunden bewirbt. DreamHost nennt es „einen gezielten Angriff“.
Was abgeflossen ist
Laut dem Incident-Bericht vom 29. Oktober:
- FTP/SFTP-Benutzernamen und -Passwörter der Nutzer, die sich zwischen etwa August und dem 23. Oktober im Dateimanager angemeldet haben. Die Empfehlung ist unmissverständlich: „Betrachten Sie diese Benutzernamen und Passwörter als kompromittiert.“ - Webmail-Zugangsdaten einer „begrenzten Zahl“ von Postfachnutzern. Diese Passwörter wurden zurückgesetzt, aktive Sitzungen am selben Tag beendet. In „einer kleinen Zahl von Fällen“ hält es DreamHost für möglich, dass der Angreifer damit Postfachinhalte eingesehen hat; diese Kunden werden einzeln kontaktiert. - Der Angriffsweg war eine Schwachstelle in Fremdsoftware hinter dem Dateimanager. DreamHost nennt weder Software noch Lücke. Der Vorfall habe nichts mit den jüngsten PHP-Server-Updates zu tun: Die PHP-Server seien binnen Stunden gepatcht worden, und die Web Application Firewall habe in den Tagen vor Veröffentlichung der Patches „Zehntausende“ Angriffsversuche blockiert.
Hinweise auf Zugriff auf Control-Panel-Logins oder Rechnungsdaten gebe es nicht, vollständige Kartennummern speichere man nicht.
Die Zahl, die niemand festnagelt
DreamHost schätzt den Umfang auf „deutlich unter etwa 10 Prozent“ der E-Mail- und FTP/SFTP-Konten — eine Obergrenze, keine Zahl. Sie bezieht sich zudem auf Konten, nicht auf die beworbenen 400.000 Kunden; selbst die Obergrenze lässt sich also nicht in eine Kundenzahl übersetzen.
Es gibt eine zweite Lücke. In der Meldung an die Generalstaatsanwaltschaft von Kalifornien beschreibt das Unternehmen, der Angreifer habe Session-Token erbeutet — also die Anmeldeinformationen, die einen Nutzer eingeloggt halten und es einem Eindringling erlauben, als dieser Nutzer zu handeln, ohne je ein Passwort zu kennen. Der öffentliche Beitrag spricht von gestohlenen Benutzernamen und Passwörtern. Beides kann zugleich stimmen; der Unterschied bleibt unerklärt. Ein Sprecher wollte mit Verweis auf laufende Ermittlungen nicht sagen, warum der Angriff zwei Monate unentdeckt blieb.
Warum ein FTP-Passwort schlimmer ist, als es klingt
Ein FTP/SFTP-Zugang ist Schreibrecht auf Dateiebene für eine gehostete Website. Wer ihn hat, kann Seiten verändern, Skripte oder Weiterleitungen einschleusen und Payloads platzieren, die Besucher laden. DreamHosts eigene Hinweise lesen sich wie eine Checkliste für Persistenz: „Prüfen Sie Ihre Websitedateien auf Änderungen, die Sie nicht kennen“ und „Prüfen Sie Ihre Webmail-Einstellungen, besonders Weiterleitungsregeln und Filter, auf Dinge, die Sie nicht selbst eingerichtet haben“.
Für einen Shared Hoster ist das ein Lieferkettenproblem, kein Einzelfall. Auf diesen Konten laufen Seiten von kleinen Betrieben, Vereinen und Kampagnen, die kein Sicherheitsteam haben, dem ein eingeschleustes Skript auffällt.
Eindämmung und der juristische Nachlauf
Der Dateimanager-Server wurde außer Betrieb genommen und für die Forensik gesichert; das Werkzeug wurde mit zusätzlicher Überwachung neu aufgebaut und am 26. Oktober wieder online gebracht, am 27. Oktober galt der Vorfall als gelöst. DreamHost rotierte interne Zugangsdaten, holte externe Forensikfirmen ins Boot, prüft weitere kundenseitige Werkzeuge auf ähnliche Schwächen und informiert Aufsichtsbehörden.
Die Passwort-Resets gingen am Wochenende der Entdeckung raus, bevor die Ermittlungen den Kreis eingrenzten — inzwischen heißt es, nicht jeder Empfänger der Reset-Mail sei betroffen gewesen. Am 4. November kündigte die Kanzlei Strauss Borrelli an, eine mögliche Sammelklage zu prüfen, mit dem 15. August als Vorfallsdatum.
Was daraus folgt
Die Schwachstelle ist der gewöhnliche Teil dieser Geschichte. Das Außergewöhnliche ist die Verweildauer: zwei Monate in einem Dateimanager, ohne dass jemand hinsah. Ein Werkzeug, das täglich Zugangsdaten verarbeitet, ist genau das Werkzeug, dessen Access-Logs einen Alarm verdienen.
Kunden, die sich zwischen August und dem 23. Oktober in DreamHosts Dateimanager angemeldet haben, sollten diese FTP/SFTP-Passwörter jetzt wechseln, wiederverwendete Zugangsdaten überall ändern und Website-Dateien sowie Mailfilter prüfen. DreamHost betont, nie per E-Mail nach Passwörtern zu fragen und in Vorfallsmails nie zur Anmeldung über einen Link aufzufordern.
