Angreifer haben einen Zugang der ConnectWise-Backup-App missbraucht und sich in Microsoft-365-Konten eingeloggt. Huntress zählt mindestens 162 betroffene Tenants. ConnectWise hat Cloud Backup, SaaS Security und Cloud Management vorübergehend abgeschaltet. Admins sollten die App-Berechtigungen in Entra ID prüfen und die Hinweise des Herstellers beachten.
Ein gestohlener Zugang zu einer Backup-App hat mindestens 162 Microsoft-365-Umgebungen geöffnet. ConnectWise hat darauf drei Dienste vorläufig abgeschaltet. Wer Cloud Backup nutzt oder von einem IT-Dienstleister betreut wird, sollte jetzt handeln.
Das Wichtigste in Kürze
- Ein Vorfall beim Hersteller trifft viele Kunden gleichzeitig. Angreifer nutzten einen Zugang der App Cloud Backup, früher SkyKick, um sich in Microsoft-365-Konten einzuloggen.
- Huntress bestätigt mindestens 162 betroffene Tenants. Der Zugriff lief am 15. Oktober 2026 zwischen 06:13 und 08:34 UTC.
- ConnectWise hat drei Dienste vorübergehend gestoppt. Betroffen sind Cloud Backup, SaaS Security und Cloud Management.
- Die Untersuchung läuft noch. Der Hersteller arbeitet mit externen Fachleuten und hat einen Leitfaden zur Prüfung und Bereinigung veröffentlicht.
Was bei ConnectWise Cloud Backup passiert ist
Help Net Security hat den Bericht am 19. Oktober 2026 veröffentlicht. Eine spätere Aktualisierung nennt die Quelle nicht. Unbekannte Täter missbrauchten demnach einen Zugang der Anwendung Cloud Backup. ConnectWise hatte sie 2024 mit SkyKick übernommen.
Die App sichert Mails, OneDrive- und SharePoint-Dateien sowie Teams-Chats. Dafür erteilt ein Admin der Kundenfirma über Microsoft Entra ID weitreichende Rechte. In dessen Konto erscheint die App als Anwendungsidentität, auch Service Principal genannt. Sie liest und schreibt Daten, ohne dass sich eine Person anmeldet.
Deshalb wiegt der Diebstahl schwer. Laut Huntress gilt der Zugang in jeder Organisation, die der App Zugriff gegeben hat. Wer ihn besitzt, meldet sich als Backup-Dienst an und erbt alle bereits genehmigten Rechte. Microsoft spricht von einem Angriff auf die Lieferkette.
Was Huntress beobachtet hat
Huntress überwacht kleinere und mittlere Firmen auf Einbruchsspuren. Die Firma nennt diese Befunde:
- Die Anmeldungen kamen von der Adresse 144.172.64[.]128. Sie gehört einem Hosting-Anbieter und nicht der Microsoft-Cloud, aus der die App sonst arbeitet.
- Dieselbe Adresse versuchte am 13. und 14. Oktober, Passwörter von vier Anwaltskanzleien zu erraten. Das scheiterte.
- Die Anmeldungen folgten im Abstand weniger Sekunden in fester Reihenfolge. Huntress sieht darin ein automatisches Skript mit einer Zielliste.
- In rund 50 überwachten Organisationen gaben sich andere ConnectWise-Anwendungen aus Cloud Management selbst Admin-Rollen, meist Exchange Administrator.
Die Signatur dieser Ereignisse stimmt mit einer Signatur von ConnectWise selbst überein. Der Satz der Quelle bricht an dieser Stelle ab. Mehr lässt sich daraus nicht belegen. Details stehen im Blog von Huntress.
Die wichtigsten Zahlen
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Betroffene Tenants | mindestens 162 | Von Huntress bestätigter unbefugter Zugriff |
| Zeitfenster | 15. Oktober, 06:13 bis 08:34 UTC | Zeitraum der Anmeldungen als Backup-App |
| Neue Admin-Rollen | rund 50 Organisationen | Meist Exchange Administrator, bei überwachten Kunden |
| MSPs auf der Plattform | über 100 000 | Jeder betreut laut Quelle Dutzende bis Hunderte Kunden |
| Gestoppte Dienste | 3 | Cloud Backup, SaaS Security, Cloud Management |
Warum die Lieferkette das Risiko vergrössert
ConnectWise verkauft die meisten Produkte an Managed Service Provider. Das sind externe IT-Firmen, die für kleine und mittlere Betriebe die Technik betreiben. Ein Angriff auf den Hersteller erreicht so Kunden vieler Dienstleister auf einmal.
Zudem ist der Schutz für Kunden schwer zu sehen. Die Rechte hat ein Admin einmal erteilt. Danach arbeitet die App im Hintergrund. Ein Login der Backup-App fällt in den Protokollen nicht von selbst auf. Die Herkunft der Adresse verrät ihn dagegen.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Cloud Backup, SaaS Security oder Cloud Management einsetzt, sollte beim Dienstleister nachfragen, ob die eigene Umgebung betroffen ist. Dazu gehört ein Blick in die Anmeldeprotokolle von Entra ID für den 15. Oktober 2026 und in die vergebenen Admin-Rollen. Der Hersteller hat dafür einen Leitfaden zur Untersuchung und Bereinigung veröffentlicht. Aktuelle Hinweise erscheinen bei den Advisories von ConnectWise. Zu Kosten oder Fristen nennt die Quelle nichts. Weil die Dienste ruhen, fehlen vorerst auch die Sicherungen dieser Anbieter. Betriebe sollten klären, wie sie Mails und Dateien in der Zwischenzeit anders schützen.
Fazit
Du weisst jetzt, wie der Angriff ablief und welche Spuren Huntress nennt. Prüfe als nächsten Schritt die Anwendungen und Admin-Rollen in deinem Entra-ID-Verzeichnis. Frage zudem deinen IT-Dienstleister nach dem Stand. Die Lage kann sich ändern, denn die Untersuchung ist nicht abgeschlossen.
Quellen: Help Net Security. Foto: stevepb / Pixabay. Stand: 20. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.