ConnectWise-Angriff trifft Microsoft-365-Tenants über Cloud Backup

Ein aktueller Sicherheitsvorfall bei ConnectWise Cloud Backup, früher unter dem Namen SkyKick Cloud Backup bekannt, entwickelt sich zu einem ernsthaften Problem für Microsoft-365-Umgebungen.

Angreifer konnten offenbar auf Anwendungsidentitäten innerhalb der ConnectWise-Cloud-Backup-Umgebung zugreifen und diese anschließend nutzen, um sich bei Microsoft-365-Tenants von Kunden zu authentifizieren.

ConnectWise hat den Zugriff auf seinen Cloud-Backup-Dienst inzwischen vorübergehend abgeschaltet. Microsoft spricht von einem aktiven Supply-Chain-Angriff.

Besonders unangenehm ist dabei: Klassische Schutzmaßnahmen wie MFA helfen in diesem Fall nur begrenzt, weil nicht ein Benutzerkonto, sondern eine bereits autorisierte Anwendung missbraucht wurde.

Der Angriff läuft über eine vertrauenswürdige Anwendung

ConnectWise Cloud Backup benötigt für die Sicherung von Microsoft-365-Daten entsprechende Berechtigungen innerhalb eines Kunden-Tenants.

Dafür wird in Microsoft Entra ID ein sogenannter Service Principal verwendet.

Vereinfacht gesagt handelt es sich dabei um die Identität einer Anwendung.

Diese Anwendung erhält vorher bestimmte Rechte, damit sie beispielsweise auf:

• Exchange Online
• OneDrive
• SharePoint
• Microsoft Teams
• Microsoft Graph

zugreifen kann.

Genau dieses bestehende Vertrauensverhältnis scheint nun zum Problem geworden zu sein.

Angreifer nutzten offenbar gültige App-Zugangsdaten

Nach bisherigen Erkenntnissen authentifizierten sich die Angreifer direkt als ConnectWise- beziehungsweise SkyKick-Anwendung bei Microsoft 365.

Dabei wurden offenbar bereits vorhandene App-Geheimnisse verwendet.

Das ist ein wichtiger Unterschied zu einem klassischen Account-Angriff.

Es musste kein Benutzername samt Kennwort gestohlen werden.

Es gab auch keinen normalen interaktiven Login.

Stattdessen meldete sich die Anwendung selbst an.

Und wenn eine solche Anwendung bereits umfangreiche Berechtigungen besitzt, kann ein erfolgreicher Login entsprechend weitreichenden Zugriff ermöglichen.

MFA hilft hier nicht

Genau deshalb greift auch Multi-Faktor-Authentifizierung nicht wie gewohnt.

MFA schützt in erster Linie Benutzeranmeldungen.

Bei einer nicht interaktiven Anwendungsauthentifizierung über Service Principals und hinterlegte Secrets läuft der Zugriff anders.

Der Angreifer benötigt dann keinen Benutzer, der eine Push-Nachricht bestätigt oder einen Einmalcode eingibt.

Das macht diesen Angriff aus meiner Sicht besonders interessant.

Man kann MFA sauber eingerichtet haben und trotzdem ein Problem bekommen, wenn eine vertrauenswürdige Anwendung kompromittiert wird.

Huntress sieht mindestens 162 betroffene Tenants

Die ersten Berichte tauchten am Freitag auf.

Administratoren bemerkten ungewöhnliche Aktivitäten innerhalb ihrer Microsoft-365-Umgebungen und vermuteten einen Zusammenhang mit SkyKick beziehungsweise ConnectWise.

Das Sicherheitsunternehmen Huntress bestätigte anschließend, entsprechende Aktivitäten beobachtet zu haben.

Nach Angaben von Huntress wurden in der eigenen Umgebung mindestens 162 kompromittierte Microsoft-365-Tenants identifiziert.

Wie viele Organisationen insgesamt betroffen sind, ist derzeit allerdings nicht bekannt.

Microsoft bestätigt verdächtige Authentifizierungen

Auch Microsoft hat den Vorfall bestätigt.

Die ersten verdächtigen Authentifizierungsversuche wurden demnach am 15. Oktober 2026 beobachtet.

Als gemeinsame Quelladresse taucht in mehreren Analysen folgende IP-Adresse auf:

144.172.64[.]128

Die Adresse ist hier bewusst entschärft dargestellt.

Microsoft, Huntress und Todyl ordnen die beobachteten Aktivitäten derselben Adresse zu.

Zugriff auf Mails, Dateien und Teams grundsätzlich möglich

Laut Todyl verfügten die verwendeten ConnectWise-Anwendungen in den betroffenen Tenants teilweise bereits über weitreichende Berechtigungen.

Dadurch hätte ein Angreifer technisch unter anderem Zugriff auf folgende Daten erhalten können:

• E-Mails
• Mail-Anhänge
• OneDrive-Dateien
• SharePoint-Dateien
• Teams-Chats

Das bedeutet allerdings nicht automatisch, dass alle diese Daten tatsächlich abgeflossen sind.

Hier muss man sauber unterscheiden zwischen vorhandener Berechtigung und nachgewiesenem Datenzugriff.

Zum aktuellen Zeitpunkt ist das tatsächliche Ausmaß eines möglichen Datendiebstahls noch nicht geklärt.

Nicht jeder untersuchte Tenant zeigte weitere Manipulationen

Todyl untersuchte neun betroffene Tenants genauer.

Dort wurden nach Angaben der Forscher Anmeldeaktivitäten festgestellt.

Es gab in diesen untersuchten Fällen jedoch keine Hinweise darauf, dass über die Backup-Anwendung neue Benutzerkonten angelegt, Kennwörter verändert, zusätzliche Berechtigungen vergeben oder andere Persistenzmechanismen eingerichtet wurden.

Bei anderen Organisationen sah die Situation allerdings anders aus.

Anwendungen machten sich teilweise selbst zum Administrator

Huntress beobachtete bei fast 50 überwachten Tenants, dass Service Principals von ConnectWise Cloud Management sich zusätzliche Verzeichnisrollen zuwiesen.

Besonders häufig ging es dabei um die Rolle:

Exchange Administrator

Das ist natürlich deutlich kritischer als ein reiner Lesezugriff.

In einem Fall beobachtete Huntress sogar eine vollständige Persistenzaktion.

In einem Tenant wurde Global Administrator vergeben

In diesem Fall benötigte der Angreifer laut Huntress nur ungefähr fünf Minuten.

Die Anwendung:

ConnectWise Cloud Management - MS Teams

erteilte sich selbst die Rolle:

Global Administrator

Anschließend wurden zusätzliche Zugangsdaten zu einem MSP-Verwaltungswerkzeug sowie zur Huntress-Anwendung hinzugefügt.

Damit ging der Angriff deutlich über eine einfache Anmeldung hinaus.

Hier wurde aktiv versucht, einen längerfristigen Zugang zu schaffen.

Microsoft beobachtet ebenfalls Persistenzversuche

Auch Microsoft meldet entsprechende Aktivitäten.

Nach erfolgreicher Service-Principal-Authentifizierung beobachteten die Sicherheitsforscher:

• Microsoft-Graph-Reconnaissance
• Versuche, zusätzliche Anmeldedaten hinzuzufügen
• Backdoor- beziehungsweise Persistenzaktivitäten

Microsoft bewertet den Vorfall deshalb als Supply-Chain-Angriff.

Dabei wurden offenbar bereits vorhandene Rechte vertrauenswürdiger Anwendungen missbraucht.

Als Beispiel nennt der Bericht die weitreichende Graph-Berechtigung:

Directory.ReadWrite.All

ConnectWise hat Cloud Backup abgeschaltet

ConnectWise reagierte mit einer vorübergehenden Abschaltung des Anwendungszugriffs.

Partner und Kunden können den Cloud-Backup-Dienst momentan nicht wie gewohnt verwenden.

Die bereits vorhandenen Backup-Archive sollen laut ConnectWise allerdings nicht von der Unterbrechung betroffen sein.

Nach aktuellem Stand gibt es laut Unternehmen außerdem keine Hinweise darauf, dass die gespeicherten Backup-Daten selbst kompromittiert wurden.

Die Archive sollen nach Wiederherstellung des Dienstes wieder verfügbar sein.

Das Abschalten allein reicht möglicherweise nicht

Genau hier wird es für Administratoren wichtig.

Das Abschalten einer Anwendung verhindert zwar neue Zugriffe beziehungsweise die Ausstellung neuer Tokens.

Bereits ausgestellte Tokens können jedoch unter Umständen bis zu ihrem Ablauf weiter gültig bleiben.

Noch wichtiger:

Wenn Angreifer bereits zusätzliche Secrets oder Zertifikate in einem Tenant hinterlegt haben, verschwinden diese nicht automatisch dadurch, dass ConnectWise den eigenen Dienst abschaltet.

Deshalb sollte man nicht davon ausgehen:

Dienst abgeschaltet = Tenant wieder sauber.

So einfach ist es leider nicht.

Administratoren sollten ihre Entra-Protokolle prüfen

ConnectWise empfiehlt, die Service-Principal-Anmeldungen in Microsoft Entra genauer zu untersuchen.

Besonders relevant ist die legitime Cloud-Backup-Anwendungs-ID:

506e08f9-6e9a-4da4-942b-a099a03644ae

Dabei sollten insbesondere unerwartete Quell-IP-Adressen überprüft werden.

Auch Microsoft empfiehlt eine Kontrolle von:

• Änderungen an App-Zugangsdaten
• OAuth-Berechtigungen
• Aktivitäten über Microsoft Graph
• neu hinzugefügten Secrets
• neuen Zertifikaten

Weitere ConnectWise-Anwendungen kontrollieren

Huntress empfiehlt zusätzlich, nicht nur die eigentliche Backup-App zu prüfen.

In älteren Tenants können die Anwendungen teilweise noch unter dem früheren Namen SkyKick Cloud Manager erscheinen.

Folgende Application IDs nennt Huntress im Zusammenhang mit der Untersuchung:

ConnectWise Cloud Backup
506e08f9-6e9a-4da4-942b-a099a03644ae

ConnectWise Cloud Management
2399d300-6fca-4e6a-a686-399fefe75b83

ConnectWise Cloud Management - MS Teams
24205314-2b89-4e07-a2a4-579e898a5640

ConnectWise Cloud Management - Exchange Online
b78f6a77-d4e5-46fb-87e5-d1648bd02519

ConnectWise Cloud Management - MS Graph
0de14c77-b9b0-4137-9360-34878a929827

ConnectWise Cloud Management - Partner Center
412dcf96-176d-4b3a-a1b0-4981ad66971e

ConnectWise Cloud Management - SharePoint Online
b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Wer ConnectWise oder früher SkyKick verwendet hat, sollte diese Anwendungen also in der eigenen Umgebung überprüfen.

Auch ältere, scheinbar ungenutzte Apps können relevant sein

Ein interessantes Detail stammt von einem Administrator, der über Microsoft Privileged Identity Management auf eine ungewöhnliche Rollenvergabe aufmerksam wurde.

Eine SkyKick-Anwendung soll sich selbst zum Exchange Administrator gemacht haben – obwohl die Organisation die Anwendung nach Angaben des Nutzers bereits seit Jahren nicht mehr aktiv verwendet hatte.

Das ist eine gute Erinnerung daran, alte Service Principals regelmäßig aufzuräumen.

Eine Anwendung, die niemand mehr benutzt, aber weiterhin weitreichende Rechte besitzt, ist keine harmlose Altlast.

Sie ist ein möglicher Zugangspunkt.

Seit dem 13. Oktober nach neuen Secrets suchen

Huntress empfiehlt Administratoren, die Zugangsdaten sämtlicher relevanter Anwendungen mindestens seit dem 13. Oktober 2026 zu überprüfen.

Dabei sollte nach unerwartet hinzugefügten:

• Secrets
• Zertifikaten
• OAuth-Berechtigungen
• Rollen
• App-Credentials

gesucht werden.

Verdächtige Einträge müssen anschließend gezielt entfernt werden.

Das ist besonders wichtig, weil die Abschaltung durch ConnectWise solche nachträglich angelegten Zugangsmöglichkeiten nicht automatisch beseitigt.

Automatisierte Angriffe hinterlassen typische User Agents

Bei den beobachteten Zugriffen wurden verschiedene User Agents festgestellt.

Unter anderem:

curl/7.88.1
python-urllib/3.12
python-requests/2.31
python-requests/2.34.2

Solche Werte sind allein noch kein Beweis für einen Angriff.

In Verbindung mit den betroffenen Application IDs, verdächtigen Quelladressen und ungewöhnlichen App-Aktivitäten können sie bei der Analyse allerdings hilfreich sein.

Was bislang noch nicht bekannt ist

Einige entscheidende Fragen sind weiterhin offen.

Bislang ist nicht abschließend bekannt:

• wie viele Microsoft-365-Tenants insgesamt betroffen sind
• ob und in welchem Umfang Daten gestohlen wurden
• wie viele Organisationen Persistenzmechanismen aufweisen
• wie die Angreifer an die ConnectWise-Zugangsdaten gelangten
• wann Cloud Backup wieder vollständig verfügbar sein wird

Die Untersuchung läuft weiterhin.

Entsprechend können sich die bisherigen Erkenntnisse noch verändern.

Mein Eindruck

Ich finde diesen Vorfall vor allem deshalb interessant, weil er ein Problem zeigt, das bei Microsoft 365 manchmal unterschätzt wird.

Wir reden sehr viel über Benutzerkonten.

Starke Kennwörter.

MFA.

Conditional Access.

Phishing.

Alles wichtig.

Aber Anwendungen können ebenfalls hochprivilegierte Identitäten besitzen.

Wenn ein Backup-, Verwaltungs- oder Security-Dienst über Jahre hinweg sehr weitreichende Rechte bekommt, hängt ein Teil der Sicherheit des eigenen Microsoft-365-Tenants automatisch auch von diesem Anbieter ab.

Und genau das macht Supply-Chain-Angriffe so unangenehm.

Der eigene Administrator kann alles richtig gemacht haben – und trotzdem landet der Angreifer durch einen vertrauenswürdigen Drittanbieter im Tenant.

Fazit

Der Sicherheitsvorfall bei ConnectWise Cloud Backup betrifft offenbar zahlreiche Microsoft-365-Umgebungen.

Angreifer konnten Anwendungsidentitäten beziehungsweise deren Zugangsdaten missbrauchen und sich damit direkt bei Kunden-Tenants authentifizieren.

Huntress spricht von mindestens 162 kompromittierten Tenants innerhalb der eigenen Umgebung. Bei mehreren Organisationen wurden zusätzliche Administratorrollen vergeben, und mindestens ein untersuchter Fall zeigte konkrete Persistenzversuche.

ConnectWise hat den Cloud-Backup-Zugriff inzwischen vorübergehend deaktiviert.

Das allein bedeutet aber nicht automatisch, dass betroffene Microsoft-365-Tenants wieder sauber sind.

Administratoren sollten jetzt vor allem Service-Principal-Anmeldungen, App-Berechtigungen, neu hinzugefügte Secrets und Zertifikate sowie Microsoft-Graph-Aktivitäten kontrollieren.

Denn bei diesem Angriff wurde nicht das Passwort eines Mitarbeiters gestohlen.

Missbraucht wurde das Vertrauen in eine bereits autorisierte Anwendung.

Quellen

BleepingComputer:
Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/

ConnectWise – Security Advisories:
https://www.connectwise.com/company/trust/advisories

Huntress:
Vendor Credential Enables Unauthorized Access
https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access

Todyl:
Investigation: Unauthorized Access Through the ConnectWise Cloud Backup Microsoft 365 App
https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app