Am 15. Oktober 2026 ist es bei dem Sicherungsdienst ConnectWise Cloud Backup, ehemals bekannt als SkyKick, zu einem schwerwiegenden Sicherheitsvorfall gekommen. Unbekannte nutzten kompromittierte Dienst-Zugangsdaten mit der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae, um sich direkt als Sicherungsanwendung bei Kunden-Tenants von Microsoft 365 zu authentifizieren.
Auf diesem Weg erlangten die Angreifer Token für Microsoft Graph. Da der Zugriff auf Anwendungsebene erfolgte, griff eine Multifaktor-Authentifizierung in diesem Szenario nicht. Die kompromittierte Schnittstelle erlaubte prinzipiell Zugriffe auf E-Mails, OneDrive, SharePoint, Microsoft Teams sowie Verzeichnisdaten.
Automatisierte Anmeldungen und Ausmaß der Vorfälle
Sicherheitsanalysten von Huntress stellten fest, dass am 15. Oktober 2026 zwischen 06:13 Uhr und 08:34 Uhr UTC systematische Anmeldungen von der externen IP-Adresse 144.172.64[.]128 ausgingen. Diese erfolgten in sortierter Reihenfolge anhand eindeutiger Identifikatoren (GUIDs).
Regulärer Datenverkehr für diesen Dienst stammt hingegen aus dem privaten IP-Bereich von Azure. Microsoft bestätigte entsprechende unbefugte Authentifizierungsversuche von derselben verdächtigen IP-Adresse.
Nach Angaben von Branchenberichten nutzten die Akteure die Zugangsdaten am 15. Oktober 2026 für Anmeldungen bei 173 Microsoft-365-Tenants. Huntress zählte mit Stand 19:00 UTC am Folgetag 162 betroffene Umgebungen. Microsoft stuft die Vorkommnisse inzwischen als aktive Lieferketten-Attacke ein, bei der unter anderem Berechtigungen wie Directory.ReadWrite.All eine Rolle spielten.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen auf ihre Cloud-Infrastruktur – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. IT-Sicherheits-Report jetzt kostenlos herunterladen
Rechteausweitung und Manipulation von Rollen
In rund 50 Tenants nutzten die Angreifer Service-Principals der Cloud-Verwaltung von ConnectWise, um administrative Verzeichnisrollen zuzuweisen, zumeist die Rolle als Exchange Administrator.
In mindestens einem untersuchten Kundenmandanten gelang es den Angreifern, innerhalb von etwa fünf Minuten Persistenz zu etablieren: Die Anwendung ConnectWise Cloud Management – MS Teams vergab sich selbst die Rolle des globalen Administrators und hinterlegte neue Zugangsdaten bei zwei weiteren Anwendungen, darunter einer App von Huntress, mit einer Gültigkeitsdauer bis 2028. Als weitere missbrauchte Anwendungen identifizierten Sicherheitsforscher Exchange Online sowie SharePoint Online.
Eindämmungsmaßnahmen und Lage der Kundendaten
ConnectWise reagierte auf den Vorfall und schaltete den Kundenzugang zu Cloud Backup nach Bekanntwerden der unbefugten Zugriffe auf Anwendungsidentitäten ab. Das Unternehmen betonte, dass Eindämmungsmaßnahmen laufen und bisher keine Hinweise darauf vorliegen, dass gesicherte Partner- und Kundendaten selbst kompromittiert oder abgeflossen seien. Auch Microsoft sieht vorläufig keine Belege für eine Kompromittierung eigentlicher Sicherungsbestände.
Neue Cyberrisiken und gesetzliche Anforderungen stellen Unternehmen vor immer komplexere Aufgaben bei der Absicherung ihrer digitalen Identitäten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report anfordern
Sicherheitsanalysten raten Administratoren betroffener Umgebungen, verdächtige Anwendungen im Entra Admin Center zunächst zu deaktivieren statt zu löschen, um forensische Spuren zu sichern.
Zudem sollten hinterlegte Zertifikate und Geheimnisse genau geprüft sowie Audit- und Anmeldeprotokolle für weitere Untersuchungen exportiert werden. Als relevante Angriffsmerkmale gelten neben der ermittelten IP-Adresse auch Anfragen mit den Benutzeragenten Python-urllib/3.12 und python-requests/2.31.
Mehr zum Thema bei BleepingComputer: „Hackers breach Microsoft 365 tenants via ConnectWise supply“