Lieferketten-Angriff: Angreifer kompromittieren Microsoft-365-Tenants über ConnectWise

Security · 17.10.2026

Ein Sicherheitsvorfall bei ConnectWise Cloud Backup ermöglichte es Angreifern, über kompromittierte Anwendungsidentitäten auf Microsoft-365-Umgebungen zuzugreifen.

ConnectWise hat den Zugriff auf seinen Cloud-Backup-Dienst, der ehemals unter dem Namen SkyKick Cloud Backup bekannt war, vorübergehend gesperrt. Zuvor hatten sich Angreifer unbefugten Zugriff auf Anwendungsidentitäten verschafft und darüber nachweislich Microsoft-365-Tenants von Kunden kompromittiert. Der Vorfall verdeutlicht erneut die akuten Risiken von Supply-Chain-Angriffen auf sensible Cloud-Infrastrukturen.

Warum ist das wichtig?

Viele IT-Dienstleister und Unternehmen im DACH-Raum setzen auf automatisierte Backup-Lösungen für Microsoft 365, um Datenverluste zu verhindern. Da diese Tools weitreichende Berechtigungen wie globale Admin-Rechte oder umfassende API-Schnittstellen in Microsoft Entra ID benötigen, sind sie ein äußerst attraktives Ziel für Hacker. Durch die Kompromittierung der App-Identitäten konnten die Angreifer die Sicherheitsbarrieren der Kunden-Tenants umgehen, ohne dass die Zugangsdaten einzelner Benutzer entwendet werden mussten. Dies bedroht die Integrität sensibler Unternehmensdaten und öffnet Tür und Tor für Spionage oder Ransomware.

Was Nutzer jetzt tun sollten

Administratoren, die ConnectWise Cloud Backup oder das frühere SkyKick-Produkt nutzen, müssen unverzüglich aktiv werden. Folgende Sofortmaßnahmen werden dringend empfohlen:

• Berechtigungen prüfen: Überprüfen Sie die Enterprise-Anwendungen und App-Registrierungen in Microsoft Entra ID (Azure AD) auf ungewöhnliche Berechtigungen oder unbekannte Einträge, die mit dem Backup-Dienst verknüpft sind.
• Audit-Logs analysieren: Untersuchen Sie die Microsoft-365-Aktivitätsprotokolle auf verdächtige Aktivitäten, insbesondere auf unübliche Datenexporte, Änderungen an Postfachberechtigungen oder die Erstellung neuer Administrator-Konten.
• Berechtigungen entziehen: Entziehen Sie im Zweifelsfall die OAuth-Berechtigungen für die betroffenen Backup-Anwendungen, bis der Anbieter die vollständige Integrität des Dienstes bestätigt und bereinigte Protokolle vorgelegt hat.
• Sicherheitsrichtlinien verschärfen: Implementieren Sie zusätzliche Sicherheitskontrollen wie strikte Conditional-Access-Richtlinien für alle Drittanbieter-Zugriffe.

Fazit

Dieser Vorfall zeigt eindringlich, dass Backup-Lösungen zwar essenziell für die IT-Sicherheit sind, die dafür genutzten Drittanbieter-Tools jedoch selbst ein erhebliches Einfallstor darstellen können. Eine kontinuierliche Überwachung und das Prinzip der minimalen Rechtevergabe (Least Privilege) bei API-Berechtigungen in Microsoft Entra ID sind für Administratoren unerlässlich.

Quelle: BleepingComputer