ConnectWise hat seinen Cloud-Backup-Dienst vorübergehend eingestellt und sieben Anwendungsidentitäten deaktiviert, nachdem Angreifer darüber Zugriff auf Microsoft-365-Umgebungen von Kunden erlangt hatten. Die Maßnahmen erfolgten am 17. Oktober 2026 um 07:00 Uhr UTC. Betroffen sind neben Cloud Backup auch Verbindungen von Cloud Management zu Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center und SharePoint Online.
Huntress bestätigte unbefugte Anmeldungen in 173 Partner- und Kundentenants. Microsoft registrierte ebenfalls bösartige Aktivitäten, darunter Authentifizierungsversuche von der IP-Adresse 144.172.64[.]128. Der entscheidende Punkt für Betreiber: Mit dem Abschalten der ursprünglichen Verbindung endet der Vorfall nicht automatisch. Bereits ausgestellte Token können bis zu ihrem Ablauf funktionieren, und von den Angreifern angelegte Zugangsdaten müssen separat gefunden und entfernt werden.
Eine Anwendung meldete sich an, nicht ein Benutzer
Nach den bislang vorliegenden Erkenntnissen wurde ein API-Geheimnis beziehungsweise eine Client Assertion einer ConnectWise-Anwendung kompromittiert. Damit konnten sich die Angreifer gegenüber Microsoft Entra ID als die Anwendung selbst ausgeben und Zugriffstoken auf Grundlage ihrer bereits erteilten Berechtigungen anfordern.
Warum der Widerruf des ursprünglichen Zugangs nicht genügt
Die Grafik zeigt den beobachteten Weg von kompromittierten Anwendungszugangsdaten über Entra-ID-Token bis zu Microsoft-365-Diensten und neu angelegten Zugangsdaten für Persistenz.
Eine Benutzeranmeldung samt Passwortdiebstahl war dafür nicht notwendig. Auch eine klassische MFA-Abfrage griff bei dieser Anwendung-zu-Anwendung-Authentifizierung nicht. Die Angreifer haben die Mehrfaktor-Authentifizierung damit nicht über eine bekannte Schwachstelle ausgehebelt; sie nutzten einen Authentifizierungsweg, bei dem Benutzer-MFA grundsätzlich nicht vorgesehen ist.
Abhängig von den im jeweiligen Tenant erteilten Rechten konnten die Token Zugriff auf Postfächer, SharePoint-Dokumente, Teams-Nachrichten und Verzeichnisdaten ermöglichen. In mindestens einem Fall wurde beobachtet, dass eine weitere ConnectWise-Anwendung die Rolle Global Administrator erhielt. Zudem legten die Angreifer neue Client-Secrets bei anderen vertrauenswürdigen Anwendungen an. Solche Zugangsdaten schaffen einen zweiten Zugangsweg, der bestehen kann, obwohl das ursprünglich kompromittierte Zertifikat oder Geheimnis längst widerrufen wurde.
Sieben Anwendungsidentitäten wurden deaktiviert
ConnectWise nennt folgende betroffene beziehungsweise vorsorglich abgeschaltete Verbindungen: Cloud Backup mit der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae sowie sechs Cloud-Management-Identitäten für die allgemeine Verwaltung, Teams, Exchange Online, Microsoft Graph, Partner Center und SharePoint Online. Deren IDs lauten 2399d300-6fca-4e6a-a686-399fefe75b83, 24205314-2b89-4e07-a2a4-579e898a5640, b78f6a77-d4e5-46fb-87e5-d1648bd02519, 0de14c77-b9b0-4137-9360-34878a929827, 412dcf96-176d-4b3a-a1b0-4981ad66971e und b2b55f5b-7758-4719-8d8f-88ae172e6bdb.
Das Unternehmen entzog außerdem die Zertifikate für betroffene Cloud-Backup-Verbindungen sämtlicher Nutzer. SaaS Security und Cloud Management wurden während der Untersuchung vorsorglich offline genommen. ConnectWise hatte das Problem nach eigenen Angaben am 14. Oktober durch seine Sicherheitsüberwachung entdeckt.
Die Abschaltung hat unmittelbare betriebliche Folgen: Geplante Backups laufen derzeit nicht, vorhandene Backup-Archive können nicht geöffnet werden, und Wiederherstellungen sind nicht verfügbar. ConnectWise erklärt zugleich, die bestehenden Archive seien weiterhin verschlüsselt, isoliert und erhalten. Es gebe bislang keine Hinweise, dass Angreifer auf diese Archive zugegriffen oder sie kompromittiert hätten.
Erfolgreiche Anmeldung bedeutet nicht immer erfolgreichen Zugriff
Huntress fand in seinen Daten bei annähernd 1.000 Entra-Tenants Anmeldeaktivitäten von der dem Angriff zugeordneten IP-Adresse. Rund 300 Anmeldungen waren technisch erfolgreich. Das ist jedoch nicht mit 300 vollständig kompromittierten Tenants gleichzusetzen: In einigen Umgebungen fehlte der benötigte Service Principal, sodass trotz erfolgreicher Authentifizierung kein Zugriff auf den Tenant möglich war.
Eine zweite, gezielte Angriffswelle am 15. Oktober richtete sich laut Huntress gegen 16 Tenants aus den Bereichen Politik, nationale Sicherheit, Handel und kritische Mineralien. Die Versuche blieben erfolglos. Dabei wurden zunächst Graph-Token über die frühere SkyKick-Anwendung angefordert. Eine spätere, offenbar manuelle Runde zielte zusätzlich auf Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra und die Verwaltungs-APIs von Microsoft 365.
ConnectWise meldet seit Umsetzung seiner Gegenmaßnahmen keine erfolgreichen Aktivitäten mehr in den selbst überwachten Umgebungen. Das Unternehmen kann daraus allerdings nicht den Zustand jedes Kundentenants ableiten. Genau dort liegt nun der größte Teil der Bereinigungsarbeit.
Betreiber müssen nach neu angelegten Zugängen suchen
Managed Service Provider sollten sowohl ihren eigenen Microsoft-365-Tenant als auch alle verwalteten Kundenumgebungen prüfen. Das gilt ausdrücklich auch für Tenants mit alten oder inaktiven SkyKick-Verbindungen. Relevante Anmelde- und Auditprotokolle sollten vor weiteren Eindämmungsmaßnahmen gesichert werden, damit Änderungen durch den Angreifer nachvollziehbar bleiben.
Die Untersuchung sollte mindestens den Zeitraum seit dem 13. Oktober 2026 abdecken und gezielt nach der IP-Adresse 144.172.64[.]128 suchen. Zu kontrollieren sind Anwendungszugangsdaten, neu registrierte Anwendungen, Besitzer und Berechtigungen von Service Principals, Consent Grants, Verzeichnisrollen, Federation Trusts sowie Änderungen an Sicherheitsrichtlinien. Hinzu kommen Weiterleitungen, Postfach- und Transportregeln sowie delegierte Zugriffe auf Mailboxen.
ConnectWise macht bislang keine Produktlücke als Ursache verantwortlich. Der genaue Weg, über den die Anwendungszugangsdaten offengelegt wurden, wird noch untersucht. Entsprechend gibt es derzeit weder eine genannte CVE noch eine gepatchte Produktversion, mit der sich der Vorfall erledigen ließe.
Der Widerruf stoppt den ersten Weg, nicht dessen Folgen
Der Vorfall macht die operative Besonderheit privilegierter Cloud-Integrationen sichtbar: Ein Dienstleisterzugang bündelt Rechte über viele Kundenumgebungen, ohne dass für jeden Tenant ein Benutzerkonto übernommen werden muss. Wird eine solche Identität kompromittiert, hängen Reichweite und Schaden von den zuvor gewährten Anwendungsrechten ab.
Kontrollen wie kurze Laufzeiten für Client-Secrets, Richtlinien für die Anwendungsverwaltung und eine kleine Zahl von Application Administrators können das Risiko begrenzen. Conditional Access für Workload Identities kann außerdem festlegen, von wo sich Anwendungen anmelden dürfen; die Funktion setzt allerdings zusätzliche Microsoft-Lizenzen voraus. Entra ID Protection kann riskante Service Principals markieren.
Keine dieser Maßnahmen ersetzt die jetzige Suche nach nachträglich angelegten Geheimnissen und Rollen. Das Abschalten der ConnectWise-Verbindungen verhindert neue Authentifizierungen über den ursprünglichen Weg. Ob ein Tenant tatsächlich bereinigt ist, entscheidet sich aber daran, ob sämtliche davon abgeleiteten Zugänge ebenfalls entdeckt und entfernt wurden.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
