Until now DS use SHA1 for password encryption.
This is not really save, so i changed some lines at the code.

Actually Php use bcrypt for encoding passwords.

So i opened /application/models/users/users.php
Near line 1240 i found public function encryptPassword and changed this to:

public function encryptPassword($password, $salt = '') 
{
    return password_hash($password, PASSWORD_BCRYPT); 
}

Directly next i found public function verifyPassword. This ist the place DS do SHA1. I changed a lot there. First the code check the password with bcrypt. if false, code check password with SHA256, SHA1, MD5.
If one is working, the code do a new encryption with bcrypt and put it in the database. The big point is: if there is an better, new encryption, they do it directly at PHP, so you dont have to change ds again. its automatically.

public function verifyPassword($password, $passhash, $userID = 0)
{
    // Debug-Ausgabe: Passwort und Hash aus der DB
    //echo "Passwort: $password\n";
    //echo "Hash aus DB: $passhash\n";
	//$newhash = $this->encryptPassword($password, substr($passhash, -8));  // Salt aus den letzten 8 Zeichen des gespeicherten Hashes

    // 1. Prüfen auf neues bcrypt-Format
    if (password_verify($password, $passhash)) {
	    //echo "Erfolgreich mit bcrypt!\n";
        return true;
    }

    // 2. Prüfen auf altes SHA-256-Format
    $oldSalt = '5d957bafdf5e2';
    if (strlen($passhash) == 64 && $passhash === hash('sha256', $password . $oldSalt)) {
		//echo "Erfolgreich mit SHA-256!\n";
        if ($userID) {
            // Neues bcrypt Passwort erstellen und speichern
            $newHash = $this->encryptPassword($password, $oldSalt); // Hier verwenden wir den alten Salt
			//echo "Neuer Hash (bcrypt): $newHash\n";
            $this->savePassword($userID, $password, true, $newHash);  // Speichern des neuen Hash
        }

        return true;
    }

     // 3. Prüfen auf SHA-1-Format
// I had modificated SHA1, for normal SHA1 at DS correct line should be: if (strlen($passhash) == 40 && $passhash === sha1($password)) {
    if (strlen($passhash) == 48 && $passhash === sha1($password . substr($passhash, -8)) . substr($passhash, -8)) {
		//echo "Erfolgreich mit SHA-1!\n";
        if ($userID) {
            // Neues bcrypt Passwort erstellen und speichern
            $newHash = $this->encryptPassword($password); // SHA-1 benötigt keinen Salt
			//echo "Neuer Hash (bcrypt): $newHash\n";
            $this->savePassword($userID, $password, true, $newHash);  // Speichern des neuen Hash
        }

        return true;
    }

    // 4. Prüfen auf noch älteres MD5-Format
    if (strlen($passhash) == 32 && strcmp(md5($password), $passhash) == 0) {
		//echo "Erfolgreich mit MD5!\n";
        if ($userID) {
            // Neues bcrypt Passwort erstellen und speichern
            $newHash = $this->encryptPassword($password); // Kein Salt erforderlich für MD5
			//echo "Neuer Hash (bcrypt): $newHash\n";
            $this->savePassword($userID, $password, true, $newHash);  // Speichern des neuen Hash
        }

        return true;
    }
    // Wenn keine der Bedingungen zutrifft
    //echo "Passwortüberprüfung fehlgeschlagen!\n";
    return false;
}

Last thing to do: At the database table ds_users change password varchar(40) to varchar(255)