Was der Angriff auf ConnectWise Cloud Backup über Lieferketten, Microsoft-365-Zugriffe und blinde Flecken im Sicherheitsmonitoring zeigt – und was IT-Entscheider daraus mitnehmen können.
Ich vertraue meinem Backup. Schließlich soll es dann funktionieren, wenn der Rest der IT gerade keine gute Figur macht.
Der Angriff auf ConnectWise Cloud Backup zeigt jedoch: Auch ein vertrauenswürdiger Dienstleister kann zum Einfallstor werden – weil er weitreichende Zugriffsrechte auf Kundensysteme hat.
ConnectWise Cloud Backup – früher als SkyKick bekannt – sichert Microsoft-365-Daten wie E-Mails, SharePoint-Dateien und OneDrive-Inhalte. Dafür verbindet sich der Dienst mit den Microsoft-365-Umgebungen seiner Kunden und erhält die nötigen Berechtigungen.
Das ist praktisch: Backups und Wiederherstellungen können zentral verwaltet werden. Es bedeutet aber auch, dass ein Angriff auf die Identitäten des Dienstes mehrere Kunden gleichzeitig betreffen kann.
ConnectWise meldete im Oktober 2026 unbefugten Zugriff auf Anwendungsidentitäten im Umfeld von Cloud Backup. Am 17. Oktober schaltete das Unternehmen den Dienst ab und entzog Zugangsdaten, um weitere Zugriffe zu unterbinden. Auch weitere Cloud-Management-Dienste wurden vorübergehend pausiert. Die Wiederherstellung erfolgte schrittweise.
Microsoft brachte die beobachteten Aktivitäten mit der China-nahen Gruppe Storm-0940 in Verbindung. Laut Berichten wurden mehr als 2.250 Microsoft-365-Tenants angegriffen beziehungsweise als Ziele adressiert. Diese Zahl bedeutet nicht, dass 2.250 Unternehmen nachweislich kompromittiert wurden. Wie viele Umgebungen tatsächlich betroffen waren, ist öffentlich nicht abschließend geklärt.
Ein Backup-Dienst braucht Rechte, um Daten zu sichern – und um sie im Ernstfall wiederherzustellen. Dazu greift eine Anwendung über eine sogenannte Anwendungsidentität auf Microsoft 365 zu.
Vereinfacht gesagt: Nicht ein Mitarbeiter meldet sich an, sondern eine Software weist sich gegenüber Microsoft als berechtigter Dienst aus.
Das ist ein bisschen wie ein Generalschlüssel für den Hausmeister: Er kann aus gutem Grund viele Türen öffnen. Gerät er in falsche Hände, ist der Zugriff weitreichender, als einem lieb ist.
Bei einem Angriff über eine solche Identität können klassische Schutzmaßnahmen für Benutzerkonten an ihre Grenzen stoßen. Mehr-Faktor-Authentifizierung (MFA) schützt typischerweise den Login eines Menschen.
Eine Anwendung authentifiziert sich jedoch anders. Entscheidend ist: Welche Anwendungen haben Zugriff, mit welchen Rechten – und fällt auf, wenn sie sich anders verhalten als üblich?
Bei einem Lieferkettenangriff wird nicht unbedingt jedes einzelne Kundenunternehmen separat angegriffen. Stattdessen richtet sich der Angriff gegen einen Dienstleister oder eine Software, die mit vielen Kundenumgebungen verbunden ist.
Das vervielfacht die Reichweite. Ein Zugang beim Anbieter kann – abhängig von der Architektur und den Rechten – einen Weg in zahlreiche angebundene Systeme eröffnen. Für Angreifer ist das effizient.
Die betroffenen Kunden müssen nicht nur auf die Untersuchung des Anbieters warten, sondern auch die eigene Microsoft-365-Umgebung prüfen.
ConnectWise erklärte, die bestehenden Backup-Archive seien verschlüsselt und es gebe keine Hinweise auf deren Kompromittierung. Das ist eine wichtige Information, aber nicht gleichbedeutend mit dem Beweis, dass in keiner Kundenumgebung Aktivitäten stattgefunden haben.
Heise berichtete, dass die Prüfung der einzelnen Tenants aufwendig sein kann und die verfügbaren Anmeldeprotokolle je nach Konfiguration nur begrenzt lange zurückreichen.
Der Vorfall ist ein guter Anlass, die Zugriffe von Drittanbieter-Anwendungen genauer anzusehen – bevor es einen konkreten Anlass dazu gibt.
Ein Kill-Switch ist im Ernstfall nützlich. Noch besser ist es, wenn du vorher weißt, welche Systeme betroffen wären, wer ihn betätigen darf und wie der Betrieb anschließend weitergeht.
Klar abgegrenzt: aixpedIT Flow hätte diesen Angriff nicht verhindert. Es ersetzt weder den Schutz des Dienstleisters noch eine Sicherheitslösung, die unbefugte Zugriffe blockiert.
Der konkrete Vorteil liegt an anderer Stelle: Unternehmen hätten direkt gesehen, wenn Unbefugte Änderungen vornehmen. Diese Transparenz darüber, was sich in der Umgebung verändert, hilft, Auffälligkeiten schneller einzuordnen und gezielt zu prüfen.
Bei einem Sicherheitsvorfall ist wichtig, ob du erkennst, was danach passiert ist. Sichtbarkeit verhindert nicht jeden Angriff. Sie verhindert aber, dass Änderungen unbemerkt bleiben – und gibt deinem Team eine bessere Grundlage für die Reaktion.