PowerFolder: Server-Update verzögert, Hersteller korrigiert Angaben zum Datenabfluss
PowerFolder hat am 9. November 2026 das Sicherheitsupdate für selbst betriebene Server verschoben und bietet einen Release Candidate auf Anfrage. Die beim Cloud-Einbruch vom 6. November ausgenutzte Lücke betrifft alle Server-Versionen. Zugleich zog der Hersteller die Aussage zurück, der Angreifer habe keine Dateien heruntergeladen.
Der Cloud-Speicher-Anbieter PowerFolder hat am 9. November 2026 mitgeteilt, dass sich das Sicherheitsupdate für selbst betriebene PowerFolder-Server verzögert. Betreiber können vorab einen Release Candidate über den Support anfordern. Am selben Tag hat der Hersteller seine frühere Aussage zurückgezogen, der Angreifer habe beim Einbruch in die PowerFolder Cloud am 6. November keine Dateien heruntergeladen.
Betroffen sind zwei Gruppen: Kunden der gehosteten PowerFolder Cloud, deren Passwörter der Anbieter zurückgesetzt hat, und Betreiber eigener PowerFolder-Server in allen Versionen. Für die Server-Betreiber gilt sofortiger Handlungsbedarf, denn die Lücke, über die der Angreifer in die Cloud kam, steckt nach Herstellerangaben auch in ihrer Software.
Was ist passiert?
Laut Herstellerseite hatte ein Angreifer am 6. November 2026 unbefugten Zugang zu Teilen der Cloud-Systeme, die Kontrolle über die Server selbst habe er nicht erlangt. Möglich wurde das durch eine Verkettung mehrerer Ursachen in der Betriebsinfrastruktur, dem Zugriff gingen vorbereitende Aktivitäten voraus. Der Hersteller schaltete die Cloud ab und sperrte den Zugang gegen 14:30 Uhr, seitdem ist die Cloud offline. Der Hersteller kann nicht ausschließen, dass Nutzerdaten wie Name und E-Mail-Adresse sowie die verschlüsselt gespeicherten Passwörter kopiert wurden.
Am 7. November korrigierte PowerFolder die Aussage, selbst betriebene Server seien nicht betroffen. Die ausgenutzte Schwachstelle betrifft alle PowerFolder-Server und sämtliche Versionen, auch wenn die Online-Dokumentbearbeitung nicht eingerichtet oder abgeschaltet ist. Am 9. November folgte die zweite Korrektur zum Dateizugriff. Ob und welche Dateien der Angreifer heruntergeladen hat, sagt der Hersteller bisher nicht.
Wer ist betroffen?
Alle Nutzer der PowerFolder Cloud, also drive.powerfolder.com, my.powerfolder.com und gehostete Kundensysteme, sowie alle Betreiber eines eigenen PowerFolder-Servers. Laut BornCity steht hinter dem Dienst die dal33t GmbH aus Monheim am Rhein, die 2022 die frühere Cloud TERRA Drive der Wortmann AG übernommen hat. Bereits lokal gespeicherte Dateien bleiben laut Hersteller auf den Geräten erhalten. Clients sollen laut BornCity bis zum Neustart nicht deinstalliert und lokale Ordner nicht gelöscht werden.
Wie kritisch ist das?
Für Server-Betreiber hoch: Eine Lücke, die nachweislich gegen den Hersteller selbst ausgenutzt wurde, steckt in allen Versionen, und der fertige Patch fehlt noch. Details zu den Schwachstellen will PowerFolder erst veröffentlichen, wenn Betreiber genug Zeit zum Aktualisieren hatten. Für Cloud-Kunden liegt das Hauptrisiko bei wiederverwendeten Passwörtern und bei Phishing, das den Vorfall als Vorwand nutzt, sowie bei der offenen Frage, ob Dateien kopiert wurden.
Was sollten Admins jetzt tun?
- Inventar: prüfen, ob im Unternehmen ein eigener PowerFolder-Server läuft oder Mitarbeitende die PowerFolder Cloud nutzen.
- Server-Betreiber: alle Anfragen auf den Pfad
/wopi/samt Unterpfaden im Reverse-Proxy oder in der Firewall sperren, auch für den Dokumentenserver. Das Abschalten der Online-Bearbeitung in den Einstellungen reicht nach Herstellerangaben nicht. - Im Zweifel den Server vom Netz nehmen, bis das Update installiert ist, oder den Release Candidate über support.powerfolder.com anfordern.
- Das finale Sicherheitsupdate sofort nach Erscheinen einspielen und die mit dem Update verpflichtende Zwei-Faktor-Anmeldung für Administratoren einrichten.
- Webserver-Protokolle der vergangenen Wochen auf Zugriffe auf
/wopi/prüfen. - Cloud-Nutzer: beim ersten Login nach dem Wiederanlauf ein neues, nur dort genutztes Passwort vergeben und das alte Passwort überall ändern, wo es ebenfalls verwendet wurde.
- Mitarbeitende vor Phishing warnen. PowerFolder fragt nach eigener Aussage nie per E-Mail nach Passwörtern.
Einordnung für Unternehmen
PowerFolder wirbt laut BornCity mit DSGVO-Konformität, Zertifizierungen und Hosting in Deutschland. Der Fall zeigt, dass Standort und Zertifikate allein nicht vor einem Einbruch schützen. Positiv ist die laufende, datierte Kommunikation einschließlich offener Korrekturen. Der Wiederanlauf der Cloud ist für den 10. November geplant, mit 72 Stunden verstärkter Überwachung. Laut Hersteller sind BSI und Datenschutzbehörde informiert und Strafanzeige erstattet. Unternehmen mit personenbezogenen Daten in PowerFolder sollten prüfen, ob eine eigene Meldung an die Datenschutzaufsicht nötig ist, sobald der Hersteller sagt, ob und welche Dateien betroffen sind.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Nextcloud mit Docker einrichten (All-in-One): die eigene Cloud
- Seafile 14 mit Docker Compose installieren, absichern und sichern
