Der IT-Dienstleister ConnectWise hat am Morgen einen Sicherheitsvorfall in seiner Cloud-Backup-Umgebung für Microsoft 365 eingeräumt und den Zugriff auf die Anwendung vorübergehend vollständig abgeschaltet. Betroffen ist der zuvor unter dem Namen SkyKick bekannte Dienst ConnectWise Cloud Backup. Als Vorsichtsmaßnahme werden bis auf Weiteres weder neue Datensicherungen erstellt noch Wiederherstellungen ausgeführt.
Nach Angaben von ConnectWise gibt es bislang keine Hinweise darauf, dass gespeicherte Backup-Daten kompromittiert wurden; das bestehende Datenarchiv sei intakt geblieben. Die regulären Dienste von Microsoft 365, darunter E-Mail, Teams, OneDrive und SharePoint, laufen ohne Einschränkungen weiter.
ConnectWise mahnte Kunden jedoch zur besonderen Vorsicht beim Löschen von Daten, da Wiederherstellungen derzeit ausschließlich über die internen Papierkörbe wie die gelöschten Elemente in Outlook sowie die Papierkörbe von OneDrive und SharePoint möglich sind.
Weitreichende Zugriffe über kompromittierte Anmeldedaten
Der Vorfall betrifft laut einer Sicherheitsmeldung von ConnectWise potenziell jeden Tenant von Microsoft 365, in dem ConnectWise Cloud Backup jemals bereitgestellt worden war. Das Unternehmen leitete Eindämmungsmaßnahmen ein, nannte zunächst jedoch weder die genaue Ursache noch die Gesamtzahl der betroffenen Umgebungen.
Untersuchungen des Sicherheitsunternehmens Huntress ergaben, dass ein kompromittiertes API-Geheimnis der Cloud-Backup-Anwendung genutzt wurde, um unautorisierten Zugang zu Kundenumgebungen zu erlangen.
Der aktuelle Sicherheitsvorfall zeigt eindringlich, wie verwundbar Cloud-Strukturen trotz moderner Schutzmaßnahmen sein können. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue Cyberrisiken im Blick: Gratis-Report für Unternehmen
Demnach authentifizierte sich die App am 15. Oktober 2026 zwischen 06:13 und 08:34 UTC von der IP-Adresse 144.172.64.128 eines Hosting-Providers und rief Microsoft-Graph-Tokens ab. Regulärer Datenverkehr für den Dienst stammt hingegen aus dem privaten IP-Adressraum von Microsoft Azure. Mit Stand vom 16. Oktober 2026 um 19:00 UTC bestätigte Huntress unautorisierte Anmeldungen in 162 Tenants.
Andere Sicherheitsberichte verzeichneten Abrufe von Microsoft-Graph-Tokens in 173 Partner- und Kundentenants, wobei die Zielumgebungen automatisiert im Sekundentakt nach GUID-Reihenfolge angesprochen wurden. Dieselbe IP-Adresse war bereits am 13. und 14. Oktober 2026 für Password-Spraying-Angriffe gegen vier Anwaltskanzleien verwendet worden.
Rechteausweitung und Empfehlungen für IT-Dienstleister
Durch die kompromittierten Anmeldeinformationen erlangten die Angreifer Zugriff auf weitreichende Lese- und Schreibrechte für Postfächer, OneDrive, SharePoint und Teams.
Angriffe auf die IT-Infrastruktur nehmen stetig zu und erfordern von Verantwortlichen ein proaktives Handeln zur Absicherung sensibler Daten. Experten erklären in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. IT-Sicherheit stärken und Unternehmen langfristig schützen
In mindestens einem Partner-Tenant verschaffte sich die Anwendung ConnectWise Cloud Management – MS Teams (App-ID 24205314-2b89-4e07-a2a4-579e898a5640) am 15. Oktober 2026 eigenständig globale Administratorrechte und generierte skriptbasiert neue Client-Geheimnisse für zwei andere vertrauenswürdige Werkzeuge mit einer Laufzeit bis zum Jahr 2028.
In Branchenforen berichteten Managed Service Provider über mutmaßliche Datenabflüsse aus E-Mail-, Teams- und SharePoint-Beständen. ConnectWise hat derartige Datendiebstähle bislang nicht bestätigt. IT-Sicherheitsexperten weisen darauf hin, dass bereits ausgestellte Microsoft-Graph-Tokens für Anwendungen zwischen 60 und 90 Minuten gültig bleiben, weshalb eine reine Blockade der Angreifer-IP auf Firewall-Ebene wirkungslos bleibt.
Administratoren und IT-Dienstleistern wird geraten, die betroffenen Applikations-IDs (506e08f9-6e9a-4da4-942b-a099a03644ae für Cloud Backup sowie 24205314-2b89-4e07-a2a4-579e898a5640 für Cloud Management MS Teams) in ihren Tenants umgehend zu deaktivieren, jedoch vorerst nicht zu löschen.
Zudem sollten vor Änderungen alle Aktivitätsprotokolle seit mindestens dem 13. Oktober 2026 gesichert, Rollenberechtigungen auditiert und Geheimnisse rotieren gelassen werden. Eine Reaktivierung sollte erst nach einer offiziellen Freigabe durch ConnectWise erfolgen.