ConnectWise-Angriff: : Wie Backup-Zugänge zur Cloud-Hintertür wurden : Gestohlene Cloud-Zugänge ermöglichen Angriffe auf Kundendaten und legen Backups lahm

ConnectWise hat am 17. Oktober 2026 sieben Anwendungsidentitäten deaktiviert und Zertifikate betroffener Verbindungen widerrufen. Zuvor hatten Angreifer Zugangsdaten des früher als „SkyKick“ bekannten Dienstes ConnectWise Cloud Backup missbraucht. Wie diese offengelegt wurden und ob eine Produktschwachstelle beteiligt war, ist noch ungeklärt.

Laut ConnectWise laufen geplante Sicherungen nicht; auch Archivzugriff und Wiederherstellungen sind ausgesetzt. Die vorhandenen Archive seien verschlüsselt, isoliert und erhalten. Hinweise auf deren Kompromittierung gebe es keine. Das sei jedoch keine Entwarnung für die produktiven Kundenumgebungen!

Warum Anmeldung ohne Benutzer funktioniert

Der Backup-Dienst sichert Daten aus Microsoft 365 (M365) für Managed-Service-Provider (MSP) – dafür erhalten seine Anwendungen weitreichende Lese- und Schreibrechte, etwa für Postfächer, Dateien und Wiederherstellungen. Mit gestohlenen Zugangsdaten können sich Angreifer daher bei Microsoft Entra ID als Backup-Anwendung ausweisen: Sie erhalten digitale Zugangsschlüssel (Token), die es ihnen ermöglichen, die Rechte zu nutzen, die ein Unternehmen der rechtmäßigen Anwendung zuvor eingeräumt hatte. In jeder Kundenumgebung verwaltet ein eigener Anwendungseintrag, der sogenannte Dienstprinzipal, diese Berechtigungen.

Dafür muss sich kein Benutzer anmelden. Das Unternehmen Todyl warnt deshalb: „Das Widerrufen von Benutzersitzungen beendet diesen Zugriff nicht.“ Administratoren müssen die Anwendung in ihrer Cloud-Umgebung deaktivieren, damit keine neuen Zugriffstoken ausgestellt werden. Bereits ausgegebene Token können laut Todyl noch bis zu 90 Minuten funktionieren. Abhängig von den vergebenen Rechten können Angreifer damit auf E-Mails, Anhänge, Dateien und Chatnachrichten zugreifen.

Vom ersten Zugang zur dauerhaften Hintertür

Die Cybersicherheitsfirma Huntress beobachtete am 15. Oktober automatisierte Anmeldungen ausgehend von 144.172.64[.]128: Die Angreifer arbeiteten Mandanten nach sortierten Kennungen ab. Inzwischen meldet das Unternehmen Anmeldeaktivität in fast 1000 Mandanten, darunter mehr als 300 erfolgreiche Authentifizierungen. Diese Zahl belegt allerdings weder ebenso viele Datendiebstähle noch einen einheitlichen Schadensumfang.

In mindestens einer Kundenumgebung verschaffte sich aber die missbrauchte Teams-Verwaltungsanwendung umfassende Administratorrechte. Anschließend hinterlegte sie neue Zugangsschlüssel bei zwei weiteren Anwendungen, darunter die Huntress Security Platform. Damit konnten sich die Angreifer fortan auch als diese Anwendungen anmelden – so entstanden zusätzliche Zugänge, die unabhängig von der ursprünglichen Backup-Verbindung funktionierten.

Die Backup-Verbindung zu sperren reicht deshalb nicht aus, um zuvor erfolgreiche Angreifer vollständig auszusperren. ConnectWise erklärt: „Es macht bereits innerhalb eines Mandanten vorgenommene Änderungen nicht rückgängig.“ Administratoren müssen auch die nachträglich eingerichteten Zugänge finden und entfernen.

Eine zweite, gezieltere Angriffswelle gegen 16 von Huntress geschützte Kundenumgebungen blieb nach Firmenangaben erfolglos. In den meisten davon war die benötigte ConnectWise-Anwendung nicht eingebunden, sodass dieser Zugangsweg fehlte. Unauffällige Protokolle allein geben jedoch keine Entwarnung: Da nicht jeder Lesezugriff aufgezeichnet wird, können Daten unbemerkt abgerufen worden sein.

Sieben ConnectWise-Identitäten deaktiviert

Die nachfolgenden Anwendungskennungen sollten zur Prüfung herangezogen werden; ältere Installationen können allerdings weiterhin SkyKick-Namen anzeigen:

• ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae
• ConnectWise Cloud Management: 2399d300-6fca-4e6a-a686-399fefe75b83
• ConnectWise Cloud Management – MS Teams: 24205314-2b89-4e07-a2a4-579e898a5640
• ConnectWise Cloud Management – Exchange Online: b78f6a77-d4e5-46fb-87e5-d1648bd02519
• ConnectWise Cloud Management – MS Graph: 0de14c77-b9b0-4137-9360-34878a929827
• ConnectWise Cloud Management – Partner Center: 412dcf96-176d-4b3a-a1b0-4981ad66971e
• ConnectWise Cloud Management – SharePoint Online: b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Was Administratoren betroffener Umgebungen prüfen müssen

Für eine erste Suche nennt ConnectWise folgende Schritte:

• im Microsoft Entra Admin Center unter Monitoring → Sign-in logs → Service principal sign-ins nach 506e08f9-6e9a-4da4-942b-a099a03644ae filtern
• Die Standardansicht User sign-ins zeigt die benötigten Anwendungsanmeldungen nicht!
• In der Spalte IP address Quellen außerhalb erwarteter Microsoft-/Azure-Bereiche untersuchen: Regulärer Verkehr wurde privatem Azure-IPv6-Adressraum zugeordnet; dieser allein beweist aber keine legitime Nutzung.
• nach 144.172.64[.]128 suchen

Eine weitergehende Prüfung umfasse:

• eigenen MSP-Mandanten und sämtliche verwalteten Kundenmandanten einschließlich ruhender SkyKick/ConnectWise-Verbindungen untersuchen
• Status der genannten Verbindungen kontrollieren und betroffene Anwendungen deaktiviert lassen
• Anmeldungen seit 13. Oktober 2026 bis dato über sämtliche Identitäten hinweg prüfen, insbesondere von der genannten Adresse
• verfügbare Anmelde- und Auditprotokolle sichern; dringende Eindämmung dabei nicht verzögern
• Anwendungs- und Benutzeranmeldungen, Zugangsdaten, Föderationsvertrauen, Verzeichnisrollen, Eigentümer, Zustimmungen und Richtlinienänderungen kontrollieren
• Postfachweiterleitungen, Posteingangs- und Transportregeln sowie delegierte Postfachzugriffe auf unbefugte Änderungen prüfen
• weitere veränderte oder verdächtig verwendete Identitäten untersuchen

Im aktuellen Dienstestatus nennt ConnectWise zwei weitere verdächtige IP-Adressen: 144.172.64[.]99 und 144.172.64[.]60, nach denen Administratoren in ihren Protokollen ebenfalls suchen sollten. Außerdem wurden auch die Dienste SaaS Security und Cloud Management vorsorglich abgeschaltet. Bevor der Betrieb wieder aufgenommen wird, müssten die Zugänge beim Anbieter abgesichert und mögliche Hintertüren in den Kundenumgebungen beseitigt werden.