// HEISE ONLINE — HARDWARE & GADGET
Lieferkettenangriff auf Backup-Dienst trifft Hunderte M365-Tenants
Nutzer des Cloud Backups von ConnectWise müssen dringend ihre Systeme prüfen, da Angreifer diese möglicherweise bereits kompromittiert haben.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Der Cloud-Service-Anbieter ConnectWise bestätigte Angriffe auf Nutzer seines Backup-Produkts „ConnectWise Cloud Backup“. Die Attacke verwendete gestohlene Anmeldedaten auf Provider-Ebene, um in die Microsoft-365-Umgebungen von ConnectWise-Kunden einzubrechen. Ob daraus weitere Schäden entstanden sind, ist aktuell unklar. ConnectWise behauptet, dass die eigentlichen Backup-Daten, die seine Software verwaltet, weder ausgeleitet noch manipuliert worden seien. Wegen der Komplexität des Angriffs müssen Kunden-Administratoren selbst aufwendig prüfen, ob sie möglicherweise betroffen sind.
Die SaaS-Software, früher unter dem Namen „SkyKick“ bekannt, sichert Kundendaten aus Microsoft 365 (M365). Das umfasst Mails aus Exchange Online, Dateien aus SharePoint und OneDrive sowie zahlreiche weitere Daten. Das Produkt wird vorwiegend von Partnern des Herstellers im MSP-Modell (Managed Services Provider) an Endkunden vertrieben. Als Reaktion auf die Angriffe hat ConnectWise diesen Dienst und mehrere weitere Cloud-Management-Produkte vorübergehend abgeschaltet. Inzwischen hat ConnectWise begonnen, die Dienste schrittweise wiederherzustellen. Laut Advisory des Herstellers soll das mehrere Tage dauern.
Microsoft hat als Betreiber der M365-Infrastruktur den Angriff bestätigt (via X) und ihn als „Lieferkettenangriff“ eingeordnet. Es ist für solche Dienste üblich, dass sie von einem zentralen Backend direkt auf die Tenants der Kunden zugreifen. Dazu melden sie sich als Applikationen an die jeweiligen Umgebungen an und erhalten dort die nötigen Zugriffsrechte. Im Fall von Backup-Systemen sind diese Berechtigungen meist sehr umfassend, damit neben der Datensicherung auch die Wiederherstellung funktioniert. Dieser Umstand macht solche Dienste für Angreifer hochattraktiv.
Analysten des Security-Dienstleisters Huntress hatten in der vergangenen Woche verdächtige Aktivitäten in den M365-Tenants ihrer Kunden festgestellt und konnten diese schnell auf ConnectWise zurückführen. Bestätigte Huntress zunächst unbefugte Anmeldungen in 162 Tenants, fanden die Analysten später fast 1000 Tenants mit Anmeldeaktivität von der verdächtigen IP-Adresse – über 300 davon erfolgreich. Die tatsächliche Zahl ist unbekannt, weil ConnectWise keinen Durchgriff auf die Umgebungen seiner Kunden hat. Insgesamt werteten die Analysten die Anmeldeprotokolle von über 10.000 M365-Tenants mit ConnectWise-Applikationen aus.
Nach den Erkenntnissen der Analysten begannen die Angreifer am 13. Oktober 2026 mit zunächst erfolglosen Anmeldeversuchen. Erfolgreiche unbefugte Anmeldungen stellte Huntress ab dem 15. Oktober fest. Sie seien fast vollständig auf eine einzige IP-Adresse zurückzuführen gewesen, die aus dem Pool eines größeren Providers stammte. Vermutlich hätten die Angreifer eine gestohlene „Client Assertion“ für das OAuth-Protokoll genutzt, mit dem sich die ConnectWise-Software bei Microsoft 365 anmeldet. Aus Sicht der Microsoft-Cloud handelte es sich um eine legitime Anmeldung. Wie die Angreifer an die Zugangsdaten kamen, ist nicht bekannt.
Dieser Angriffsweg ist besonders gefährlich, weil er unabhängig von Aktivitäten oder Konfigurationen der jeweiligen Kunden stattfindet. Anders als bei Benutzeranmeldungen sind die Zugriffe registrierter Applikationen nicht durch MFA oder sonstige Zugangsbeschränkungen abgesichert. Erst als ConnectWise am 17. Oktober zentral seinen Dienst abgeschaltet hatte, fanden keine erfolgreichen Anmeldungen mehr durch die Angreifer statt.
Die Huntress-Experten beobachteten, dass die Angreifer in den kompromittierten Tenants teils automatisiert, teils manuell zahlreiche Aktionen ausführten. Teils verschafften sie sich höhere Rechte, andere Vorgänge zielten darauf, z