ConnectWise Cloud Backup: Angreifer kaperten die Microsoft-365-Identitäten des Dienstes, MSPs müssen jeden Kunden-Tenant prüfen
Hoch Microsoft 365 Supply chain Cloud

ConnectWise bestätigt einen unbefugten Zugriff auf die Anwendungsidentitäten seines Dienstes Cloud Backup, ehemals SkyKick, die sich mit den Microsoft-365-Umgebungen von Managed Service Providern und deren Kunden verbinden. Der Dienst ist ausgesetzt, sieben Identitäten sind deaktiviert, und jeder Partner soll seine Tenants selbst prüfen.

Was geschah

Am 16. Oktober 2026 meldete ConnectWise einen unbefugten Zugriff auf Anwendungsidentitäten in der Umgebung von Cloud Backup, seinem Microsoft-365-Backupdienst für Managed Service Provider (MSPs), früher als SkyKick vertrieben. Diese Identitäten sind die Anwendungen, die Partner in Entra ID autorisieren, damit der Dienst Postfächer, Teams oder SharePoint lesen kann. ConnectWise setzte Cloud Backup am 17. Oktober aus und deaktivierte am selben Tag um 07:00 UTC sieben Anwendungsidentitäten (Cloud Backup und sechs Cloud-Management-Module) samt ihren Zugangsdaten. Ein externes Forensikunternehmen wurde beauftragt.

Am 19. Oktober waren Cloud Backup, SaaS Security und Cloud Management weiterhin ausgesetzt, ohne Termin für die Wiederaufnahme: Geplante Sicherungen, Archivzugriff und Wiederherstellungen sind nicht möglich. Seit den Eindämmungsmaßnahmen habe man keine erfolgreiche bösartige Aktivität mehr beobachtet, so der Hersteller.

Wer betroffen ist

Alle MSPs, die diese Werkzeuge nutzen, und alle damit verbundenen Kunden-Tenants, auch ruhende Verbindungen. Laut The Hacker News, das sich auf Forscher beruft, wurde das kompromittierte Zugangsdatum für Anmeldungen bei 173 Microsoft-365-Tenants genutzt. ConnectWise erklärt, die Backup-Archive seien weiterhin verschlüsselt und isoliert, räumt aber ein, nicht selbst feststellen zu können, ob ein bestimmter Tenant unbefugte Aktivitäten erlebt hat: Das muss jeder Administrator prüfen.

Was jetzt zu tun ist

  1. Protokolle sofort exportieren: Entra ID bewahrt Anmelde- und Auditprotokolle in der kostenlosen Stufe nur 7 Tage, mit P1/P2 30 Tage auf. Als JSON herunterladen, ebenso das Purview-Audit.
  2. Anwendungen lokal deaktivieren: In Entra ID unter Unternehmensanwendungen jede von ConnectWise genannte Application ID suchen (etwa 506e08f9-6e9a-4da4-942b-a099a03644ae für Cloud Backup), die Anmeldung sperren, aber vorerst nichts löschen.
  3. Anmeldungen durchsuchen ab dem 13. Oktober (besser ab dem 1.) nach den Adressen 144.172.64.128, 144.172.64.99 und 144.172.64.60 sowie nach den betroffenen Dienstprinzipalen.
  4. Auditprotokoll prüfen: neue Geheimnisse oder Zertifikate an Anwendungen, neue Anwendungen, Zustimmungen, Rollenzuweisungen, Änderungen am bedingten Zugriff, Mailweiterleitungen und Posteingangsregeln.
  5. Ersatz-Backup einplanen, solange der Dienst ausfällt.

Unsere Einschätzung

Ein Backupwerkzeug hat weitreichende, dauerhafte Rechte auf allen Tenants, die es schützt: Fällt seine Identität, sind alle Kunden auf einmal exponiert. Führen Sie ein Verzeichnis der Drittanwendungen mit Zugriff auf Ihr Microsoft 365, beschränken Sie deren Berechtigungen und bewahren Sie Protokolle länger auf, als die Plattform es standardmäßig tut.

Quellen

Wie wir unsere Analysen auswählen, prüfen und schreiben →

Der Einstieg erfolgte über einen Dritten. Prüfen Sie, was Ihre Lieferanten öffentlich preisgeben — ohne Eindringen, nur öffentliche Informationen:

Einen Lieferanten prüfen Server prüfen

Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.

Mit einem Experten sprechen Unsere Managed Server Services →
Zurück zu allen News