DreamHost setzt nach Sicherheitsvorfall Mail- und SFTP-Passwörter zurück
DreamHost hat nach einem noch offenen Vorfall die Passwörter eines Teils der E-Mail- und FTP/SFTP-Nutzer zurückgesetzt, der Dateimanager files.dreamhost.com ist offline. Kontoinhaber müssen neue Passwörter im Panel setzen. Ursache und möglicher Datenabfluss nennt der Hoster bisher nicht.
Beim US-Hoster DreamHost läuft seit dem 23. Oktober 2026 ein Sicherheitsvorfall, den das Unternehmen auf seiner Statusseite noch als aktiv führt. Der Dateimanager unter files.dreamhost.com ist offline, Webmail-Nutzer wurden abgemeldet, und DreamHost hat vorsorglich die Passwörter eines Teils der E-Mail- und FTP/SFTP-Nutzer zurückgesetzt. Neue Passwörter kann nur der Kontoinhaber im DreamHost-Panel setzen.
Betroffen sind Firmen und Vereine, auch im DACH-Raum, die Websites oder Postfächer bei DreamHost betreiben. Wer dort Kunde ist, sollte heute prüfen, ob Mailclients, Backup-Jobs oder Deployments mit gespeicherten Zugangsdaten noch funktionieren. Kunden anderer Hoster sind nach bisherigem Stand nicht betroffen.
Was ist passiert?
Am 23. Oktober um 14:20 Uhr Pacific Time meldete DreamHost zunächst Verbindungsprobleme mit dem Dateimanager. Drei Stunden später sprach das Unternehmen von einem Vorfall, der mehrere Dienste betrifft: Der Panel-Dateimanager war offline, einige Webmail-Nutzer wurden abgemeldet oder sahen beim Anmelden Fehler, und die Passwörter einiger E-Mail-Konten wurden zurückgesetzt. Am späten Abend kamen FTP- und SFTP-Zugänge hinzu.
Am 24. Oktober um 10:37 Uhr Pacific Time meldete DreamHost den Reset als abgeschlossen. Seitdem verschickt der Hoster in Wellen E-Mails mit Schritt-für-Schritt-Anleitungen an betroffene Kontoinhaber. Das Update vom 25. Oktober, 11:43 Uhr Pacific Time, nennt den Großteil dieser Mails als versendet; der Rest sollte noch am selben Tag folgen. Der Dateimanager bleibt bis auf Weiteres abgeschaltet. Einen Fehler beim Setzen neuer Passwörter für Kunden des Dienstes Professional Email („Failed to edit“) hat DreamHost nach eigener Aussage behoben.
Wer ist betroffen?
Betroffen ist ein nicht bezifferter Teil der Kunden mit E-Mail-Postfächern sowie FTP- oder SFTP-Nutzern. Wurde ein Passwort zurückgesetzt, akzeptieren Webmail und Mailprogramme wie Outlook, Apple Mail oder Smartphone-Apps das alte Passwort nicht mehr. Dasselbe gilt für Skripte und Werkzeuge, die per SFTP Dateien hochladen. Webhosting, VPS, dedizierte Server, Datenbanken, phpMyAdmin, Domains und Zertifikate führt die Statusseite als normal laufend.
Wie kritisch ist das?
Die Fakten stammen derzeit ausschließlich von DreamHosts eigener Statusseite. Eine unabhängige Bestätigung durch große Fachmedien liegt bislang nicht vor; ein Bericht von TrustList stützt sich ebenfalls nur auf die Statusseite. Auf Hacker News erreichte der Hinweis auf den Vorfall über 100 Punkte, was die Aufmerksamkeit belegt, aber keine zusätzlichen Fakten liefert.
Offen ist vor allem, was DreamHost nicht sagt: Eine Ursache nennt der Hoster nicht, ebenso wenig die Zahl der betroffenen Nutzer. Ob Postfächer, Dateien oder Zugangsdaten von Unbefugten eingesehen oder abgegriffen wurden, bleibt unbeantwortet. Ein vorsorglicher Reset von Mail- und SFTP-Zugängen bei gleichzeitig abgeschaltetem Dateimanager ist mehr als eine gewöhnliche Störung. Belastbare Aussagen über einen Datenabfluss lassen sich daraus aber nicht ableiten.
Ein konkretes Risiko entsteht unabhängig davon: Viele Kunden erwarten in diesen Tagen eine Reset-Mail. Genau das nutzen Phishing-Kampagnen gern aus. DreamHost betont in jedem Update, nie per E-Mail nach Passwörtern zu fragen und in den Benachrichtigungen keine Anmeldung über einen Link zu verlangen.
Was sollten Admins jetzt tun?
- Inventar prüfen: Welche Domains, Postfächer und SFTP-Nutzer liegen bei DreamHost, und welche Geräte, Backup-Jobs oder Deployments melden sich dort mit gespeicherten Passwörtern an?
- Im Panel unter panel.dreamhost.com neue Passwörter setzen, für Postfächer unter „Mail > Manage Email“, für FTP/SFTP unter „Websites > SFTP Users & Files“. Neue Passwörter brauchen bis zu 15 Minuten, bis sie greifen.
- Das Panel immer direkt im Browser aufrufen und keinen Links aus Reset-Mails folgen. Nicht angeforderte Reset-Mails ignorieren.
- Mitarbeitende vorwarnen, dass Mailclients nach dem Reset Anmeldefehler zeigen und nur der Kontoinhaber neue Passwörter vergeben kann.
- Neue Passwörter einzigartig wählen und zentral in einem Passwortmanager ablegen; wurde das alte Passwort auch anderswo genutzt, dort ebenfalls ändern.
- Die Statusseite weiter beobachten, insbesondere auf eine Abschlussmeldung mit Ursache und Aussage zu möglichem Datenzugriff.
Einordnung für Unternehmen
Für Unternehmen mit Kundendaten in Postfächern oder auf Websites bei DreamHost ist der Vorfall auch eine Datenschutzfrage. Solange der Hoster keinen Datenzugriff bestätigt oder ausschließt, lässt sich eine mögliche Meldepflicht nach DSGVO nicht abschließend bewerten. Sinnvoll ist, den Vorfall intern zu dokumentieren, beim Hoster nachzufragen und die Lage mit dem Datenschutzbeauftragten abzustimmen. Der Fall zeigt zudem, wie wichtig ein aktuelles Verzeichnis aller Dienste mit gespeicherten Zugangsdaten ist, damit ein erzwungener Reset nicht zu stillen Ausfällen bei Backups oder Deployments führt.
Passende Anleitungen auf S-EDV
- Auftragsverarbeitung mit Hostern und Diensten prüfen
- Vaultwarden als Passwort-Tresor für kleine Unternehmen
- Passwortmanager für kleine Unternehmen
