Security · 18.10.2026
Nach Sicherheitsvorfällen, bei denen Angreifer unbefugten Zugriff auf Microsoft-365-Umgebungen erlangten, hat ConnectWise seinen Cloud-Backup-Dienst vorübergehend deaktiviert.
Der IT-Dienstleister ConnectWise hat den Betrieb seines Cloud-Backup-Dienstes vorübergehend eingestellt. Hintergrund ist eine laufende Untersuchung zu einem schwerwiegenden Sicherheitsvorfall, bei dem unbekannte Angreifer unbefugten Zugriff auf insgesamt sieben ConnectWise-Anwendungsidentitäten erlangt haben. Über diese kompromittierten Identitäten gelang es den Akteuren, direkt in die Microsoft-365-Umgebungen (Tenants) von Kunden einzudringen und dort potenziell sensible Daten zu gefährden.
Für Unternehmen, Administratoren und Managed Service Provider (MSPs) im DACH-Raum ist dieser Vorfall von hoher Brisanz. Cloud-Backups gelten als das letzte Sicherheitsnetz gegen Ransomware und Datenverlust. Wenn jedoch genau die Schnittstellen, die für diese Sicherungen tiefen Zugriff auf Microsoft-365-Ressourcen wie Exchange-Postfächer, Teams-Kanäle und SharePoint-Dokumente benötigen, kompromittiert werden, wird das Backup-System selbst zum Einfallstor. Da Software-Lösungen von ConnectWise in der hiesigen IT-Landschaft weit verbreitet sind, ist das Risiko von weitreichenden Supply-Chain-Angriffen auf mittelständische Unternehmen real.
Administratoren, die ConnectWise-Lösungen im Einsatz haben, sollten umgehend aktiv werden. Es gilt, die Microsoft-365-Audit-Logs sorgfältig nach verdächtigen Aktivitäten zu durchsuchen, die über die betroffenen ConnectWise-Anwendungs-IDs initiiert wurden. Überprüfen Sie im Microsoft Entra Admin Center (ehemals Azure AD) alle registrierten Enterprise-Anwendungen und deren zugewiesene Berechtigungen. Im Zweifelsfall sollten diese Berechtigungen vorübergehend entzogen werden, bis ConnectWise die Integrität der Systeme offiziell bestätigt hat. Zudem ist es unerlässlich, alle globalen Administrator-Konten mit strikten Richtlinien für den bedingten Zugriff (Conditional Access) und Multi-Faktor-Authentifizierung (MFA) zu schützen. Die Überwachung von API-Aktivitäten sollte temporär intensiviert werden.
Dieser Vorfall zeigt eindringlich, dass auch etablierte Cloud-Sicherheitswerkzeuge ein potenzielles Sicherheitsrisiko darstellen können. IT-Verantwortliche müssen das Prinzip der minimalen Rechtevergabe (Least Privilege) konsequent umsetzen und dürfen sich nicht blind auf die Standardkonfigurationen von Drittanbieter-Tools verlassen. Eine kontinuierliche Überwachung aller OAuth-Berechtigungen innerhalb der Microsoft-Cloud ist heute für eine widerstandsfähige IT-Sicherheit unerlässlich.
Quelle: The Hacker News