ConnectWise hat Cloud Backup, SaaS Security und Cloud Management abgeschaltet. Angreifer nutzten eine Kennung des Anbieters, um sich bei 162 Microsoft-365-Mandanten anzumelden. Wann die Dienste zurückkehren, ist offen. ConnectWise liefert IP-Adressen und eine Anleitung zur Prüfung.
162 Microsoft-365-Mandanten sahen eine Anmeldung mit der Kennung von ConnectWise Cloud Backup. Der Anbieter hat darauf drei Cloud-Dienste abgeschaltet, ohne einen Termin für die Rückkehr zu nennen.
Das Wichtigste in Kürze
- Drei Dienste sind offline: Cloud Backup, SaaS Security und Cloud Management stehen still. Geplante Backups, Archivzugriff und Restores fallen aus.
- Eine Anbieter-Kennung wurde missbraucht: Sie meldete sich laut Huntress bei 162 Microsoft-365-Mandanten an.
- Die Backups gelten als sicher: ConnectWise nennt sie verschlüsselt und geschützt. Hinweise auf Zugriff darauf gibt es nicht.
- Einen Zeitplan gibt es nicht: ConnectWise hat IP-Adressen und eine Prüfanleitung für Microsoft-365-Umgebungen veröffentlicht.
Was bei ConnectWise passiert ist
ConnectWise hat den Dienst Cloud Backup am 17. Oktober 2026 abgeschaltet. Das war rund zwölf Stunden nach Beginn der Untersuchung. Cloud Backup hiess früher SkyKick.
Der Anbieter fand unbefugten Zugriff auf Anwendungsidentitäten in der Cloud-Backup-Umgebung. Als Schutz für Partner und deren Kunden sperrte er den Zugang der Anwendung.
Am Folgetag legte ConnectWise auch SaaS Security und Cloud Management still. So wollte das Unternehmen Gegenmassnahmen umsetzen. Die Meldung von SecurityWeek beschreibt den Stand als laufende Bereinigung. Die Quelle nennt kein Erstveröffentlichungsdatum und kein Datum einer Aktualisierung. Dieser Beitrag gibt deshalb den Stand vom 20. Oktober 2026 wieder.
Was Huntress beobachtet hat
Das Sicherheitsunternehmen Huntress hat die Spuren ausgewertet. Die Kennung von Cloud Backup meldete sich am 15. und 16. Oktober bei 162 Microsoft-365-Mandanten an. Die Belege stammen aus den Anmeldeprotokollen von Microsoft in jedem Mandanten.
Dabei war der Typ der Zugangsdaten entscheidend. Es handelte sich um eine Client Assertion. Solche Zugangsdaten liegen im Mandanten des Anbieters. Huntress folgert, dass kein Kunde diese Anmeldung hätte auslösen können.
Zudem verweist Huntress auf eine IP-Adresse. Dieselbe Adresse tauchte am 13. und 14. Oktober bei Passwort-Spraying gegen vier Mandanten von Anwaltskanzleien auf. Auch scriptgesteuerte Aktivität ist erwähnt. Der Quelltext bricht dort ab, deshalb bleibt der Rest offen.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Abschaltung Cloud Backup | 17. Oktober | Erster Schritt, rund zwölf Stunden nach Untersuchungsbeginn |
| Abschaltung der zwei weiteren Dienste | Folgetag | SaaS Security und Cloud Management gehen ebenfalls vom Netz |
| Betroffene Mandanten | 162 | Anmeldungen zwischen 15. und 16. Oktober |
| Zeitplan zur Wiederherstellung | keiner | Partner müssen ohne Termin planen |
Was die Abschaltung von ConnectWise für den Betrieb bedeutet
Die Sperre trifft den Alltag von Dienstleistern spürbar. Laut der Meldung fallen diese Funktionen aus:
- geplante Backups und der Zugriff auf Archive,
- Restores aus bestehenden Sicherungen,
- Überwachung und Alarme in SaaS Security,
- Benutzer- und Lizenzverwaltung in Cloud Management.
Deshalb fehlt MSPs vorerst ein Sicherheitsnetz für Microsoft-365-Daten. Wer Kunden mit diesen Diensten betreut, braucht eine Übergangslösung für Sicherung und Überwachung.
ConnectWise nennt die Backups verschlüsselt und geschützt. Es sieht keinen Hinweis auf unbefugten Zugriff darauf. Das ist die Aussage des Anbieters. Eine unabhängige Bestätigung liegt in den Quellen nicht vor.
Was Admins jetzt prüfen können
ConnectWise hat Angaben zu den IP-Adressen des Angriffs auf der Seite der Sicherheitshinweise bereitgestellt. Dazu kommt eine Anleitung zur Prüfung von Microsoft-365-Umgebungen.
Admins können die Anmeldeprotokolle der Mandanten auf diese Adressen durchsuchen. Der Zeitraum vom 13. bis 16. Oktober ist dabei der erste Anhaltspunkt aus den Quellen. Den aktuellen Stand der Störung zeigt die Statusmeldung von ConnectWise.
Einordnung: Was das für Admins und MSPs in der Schweiz heisst
Wer ConnectWise Cloud Backup, SaaS Security oder Cloud Management einsetzt, muss sofort handeln. Prüft die Microsoft-365-Anmeldeprotokolle auf die veröffentlichten IP-Adressen und auf Anmeldungen der Anbieter-Kennung am 15. und 16. Oktober. Plant für die Zeit ohne Backup und Alarme eine Ersatzlösung, denn ein Termin für die Rückkehr fehlt. Kosten nennen die Quellen nicht. Der Aufwand liegt bei Prüfung, Übergangslösung und Kundenkommunikation. Das Beispiel zeigt auch, dass eine Kennung beim Dienstleister ganze Mandanten öffnen kann.
Fazit
Du weisst jetzt, welche drei Dienste ausfallen und wie weit der Angriff reichte. Der nächste Schritt ist die Prüfung der Anmeldeprotokolle mit den Angaben von ConnectWise. Beobachte danach die Statusseite des Anbieters. Eine Rückkehr der Dienste ist erst nach einer Meldung dort belegt.
Quellen: SecurityWeek. Foto: cookieone / Pixabay. Stand: 20. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.