Der IT-Dienstleister ConnectWise hat die Aussetzung seiner Cloud-Backup-Dienste angekündigt. Vorausgegangen war die Entdeckung von Identitätsverletzungen in Anwendungen, die über Schnittstellen mit Microsoft 365 verbunden sind.
Das Unternehmen schaltete den Dienst Cloud Backup, früher unter dem Namen SkyKick bekannt, für sämtliche Partner ab. Die Datensicherungen laufen derzeit nicht, und auch Wiederherstellungen sind nicht verfügbar. Zudem wurden die Dienste SaaS Security und Cloud Management vorsorglich offline genommen.
Einstufung als Angriff auf die Lieferkette
Microsoft Threat Intelligence stufte das Geschehen am 17.10.2026 um 07:29 UTC als aktiven Angriff auf die Software-Lieferkette über die kompromittierte OAuth-App ConnectWise Cloud Backup mit der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae ein.
ConnectWise hatte unbefugte Zugriffe auf Anwendungsidentitäten bereits am 14.10.2026 erkannt. Am 16.10.2026 veröffentlichte das Unternehmen um 17:47 UTC eine erste Servicemeldung. Am 17.10.2026 deaktivierte ConnectWise um 07:00 UTC sieben Anwendungsidentitäten und widerrief die Zertifikate der betroffenen Cloud-Backup-Verbindungen.
Die genaue Ursache für die Offenlegung der Zugangsdaten sowie eine mögliche Produktschwachstelle sind nach Unternehmensangaben bislang ungeklärt. Einen Termin für die Wiederherstellung der Systeme nannte ConnectWise nicht. Das Unternehmen betonte zugleich, dass die bestehenden Backup-Archive verschlüsselt und unversehrt geblieben seien. Bislang gebe es keine Hinweise darauf, dass Unbefugte auf diese unzugänglichen Archive zugegriffen hätten.
Angriffe auf die Lieferkette zeigen, wie schnell Unternehmen trotz Sicherheitsvorkehrungen verwundbar werden. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Report jetzt kostenlos herunterladen
Weitreichende Aktivitäten in Kundenumgebungen
Mehrere IT-Sicherheitsunternehmen beobachteten verdächtige Aktivitäten im Zusammenhang mit dem Vorfall. Der Sicherheitsdienstleister Huntress verzeichnete Anmeldeaktivitäten in fast 1.000 Entra-Tenants und rund 300 erfolgreiche Logins.
In der eigenen überwachten Umgebung registrierte Huntress mit Stand vom 16.10. um 19:00 UTC mindestens 162 kompromittierte Tenants, später stieg diese Zahl auf 173 Partner- und Kundentenants.
In fast 50 Tenants wiesen sich Cloud-Management-Dienstkonten eigenständig Verzeichnisrollen zu, meist die Rolle des Exchange-Administrators. In einem Fall erlangten die Angreifer innerhalb von etwa fünf Minuten die Berechtigung als globaler Administrator.
Geskriptete Anmeldungen begannen laut Huntress ab dem 13. und 14.10.2026 unter Verwendung des User-Agents curl/7.88.1. Der letzte bösartige Login wurde am 15.10. um 08:45 UTC verzeichnet, gefolgt von manuellen Aktivitäten bis etwa 14:20 UTC.
Eine zweite Angriffswelle am 15.10. gegen rund 16 Organisationen aus den Bereichen Politik, nationale Sicherheit, Handel und kritische Mineralien schlug fehl.
Das Sicherheitsunternehmen Todyl stellte in neun Tenants reine Login-Aktivitäten ohne dauerhafte Verankerung fest. Da sich die Anwendung per Geheimnis direkt bei Microsoft 365 authentifizierte, bot eine Multifaktor-Authentifizierung in diesen Fällen keinen Schutz.
Wenn herkömmliche Schutzmaßnahmen wie die Multifaktor-Authentifizierung umgangen werden, ist proaktive Aufklärung der beste Schutz. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zur Cyber-Security sichern
Microsoft hatte zudem unautorisierte Authentifizierungsversuche vom 15.10.2026 registriert, die von der IP-Adresse 144.172.64.128 ausgingen, mutmaßlich unter Ausnutzung der Berechtigung Directory.ReadWrite.All.
Notwendige Prüfungen für Administratoren
Betroffene gemeinsame Zugangsdaten wurden von ConnectWise für ungültig erklärt, bereits ausgegebene Zugriffstoken können jedoch bis zu ihrem regulären Ablauf oder einer manuellen Invalidierung funktionsfähig bleiben.
Da ConnectWise über keinen direkten Einblick in die Tenants seiner Kunden verfügt, müssen Administratoren ihre Microsoft-365-Umgebungen eigenständig überprüfen. Die Kontrolle umfasst interaktive und nicht-interaktive Benutzeranmeldungen, Service-Principal-Logins sowie verwaltete Identitäten.
Sicherheitsanalysten und Hersteller wie WatchGuard rieten Administratoren bereits am 16.10.2026, betroffene Anwendungs-IDs in Microsoft Entra ID zu deaktivieren, Anmeldevorgänge von der verdächtigen IP-Adresse ab dem 13.10.2026 zu prüfen und unerwartete Rechteausweitungen zu untersuchen.
Zudem wird empfohlen, Protokolldaten zeitnah zu sichern, da Entra-Protokolle in Basis-Tarifen nach sieben Tagen und bei erweiterten Lizenzen nach dreißig Tagen gelöscht werden. Vor einer Reaktivierung der Dienste sollten betroffene Unternehmen offizielle Anweisungen abwarten.