Kompromittierte ConnectWise-Zugangsdaten ermöglichen Zugriff auf 173 Microsoft 365 Tenants

Security · 17.10.2026

Unbekannte Angreifer nutzen kompromittierte Zugangsdaten von ConnectWise Cloud Backup, um unbefugten Zugriff auf 173 Microsoft-365-Kundenumgebungen zu erlangen.

Unbekannte Akteure haben sich über kompromittierte Zugangsdaten des Dienstes ConnectWise Cloud Backup (ehemals SkyKick) Zugriff auf mindestens 173 Microsoft 365-Umgebungen von Kunden verschafft. Sicherheitsforscher warnen vor einer laufenden Kampagne, bei der die Angreifer administrative Berechtigungen ausnutzen, um sensible Daten abzugreifen und weitere Systeme zu kompromittieren. Der Vorfall verdeutlicht erneut die Risiken, die von Schnittstellen und Drittanbieter-Tools im Cloud-Management ausgehen.

Warum ist das wichtig?

Viele Unternehmen im DACH-Raum setzen auf Managed Service Provider (MSPs) und Cloud-Backup-Lösungen wie ConnectWise, um ihre Microsoft 365-Infrastruktur zu verwalten. Da diese Tools über weitreichende Berechtigungen (oft globale Administratorrechte) verfügen, stellt ein kompromittiertes Dienstkonto ein extremes Sicherheitsrisiko dar. Angreifer können über diese vertrauenswürdigen Kanäle die Sicherheitsmechanismen der Opfer umgehen und direkt tief in die Netze von Kunden eindringen, ohne selbst Sicherheitsbarrieren wie die Multi-Faktor-Authentifizierung (MFA) für herkömmliche Benutzer überwinden zu müssen. Dies betrifft sowohl kleine als auch mittelständische Unternehmen sowie sensible IT-Strukturen, die auf externe Backup-Dienstleister vertrauen.

Was Nutzer jetzt tun sollten

Administratoren und IT-Verantwortliche, die ConnectWise Cloud Backup oder ähnliche Cloud-Dienste einsetzen, müssen unverzüglich aktiv werden:

• Protokolle prüfen: Analysieren Sie die Microsoft 365 Unified Audit Logs (UAL) auf ungewöhnliche Anmeldeaktivitäten, insbesondere im Zusammenhang mit ConnectWise-Dienstkonten oder verdächtigen IP-Adressen.
• Zugriffsrechte einschränken: Überprüfen Sie die dem Backup-Dienst zugewiesenen Berechtigungen im Azure Active Directory (Microsoft Entra ID). Verwenden Sie das Prinzip der minimalen Rechtevergabe (Least Privilege) und entziehen Sie ungenutzte Berechtigungen.
• MFA und bedingten Zugriff erzwingen: Implementieren Sie Richtlinien für bedingten Zugriff (Conditional Access), die Anmeldungen von Dienstkonten auf bestimmte IP-Bereiche einschränken.
• Hersteller-Updates verfolgen: Halten Sie engen Kontakt zu Ihrem MSP oder ConnectWise, um aktuelle Sicherheitshinweise umzusetzen und betroffene API-Schlüssel oder Anmeldedaten proaktiv zurückzusetzen.

Fazit

Dieser Vorfall unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung von Drittanbieter-Integrationen. Vertrauen in etablierte Backup-Lösungen entbindet IT-Abteilungen nicht von der Pflicht, Zugriffsrechte engmaschig zu kontrollieren und regelmäßige Sicherheitsaudits der angebundenen Cloud-Tenants durchzuführen.

Quelle: The Hacker News