ConnectWise Cloud Backup gehackt: Angriff auf Microsoft-365-Tenants über die Lieferkette

Angreifer haben sich über den Sicherungsdienst ConnectWise Cloud Backup (früher SkyKick) direkt an fremden Microsoft-365-Tenants angemeldet – nicht über ein Benutzerkonto, sondern auf Anwendungsebene mit dem Geheimnis der Backup-App. Weil der Zugriff als App erfolgte, lief eine Mehr-Faktor-Authentifizierung ins Leere. Microsoft stuft den Vorfall als aktiven Angriff auf die Software-Lieferkette ein. Der Fall zeigt KMU exemplarisch, wie gefährlich angebundene Drittanbieter-Apps in Microsoft 365 werden können.

Was ist passiert?

Ab dem 13./14. Oktober 2026 liefen laut den Analysten von Huntress skriptgesteuerte Anmeldeversuche von der externen IP-Adresse 144.172.64[.]128. Die eigentliche verdächtige Aktivität wurde ab dem 15. Oktober 2026 beobachtet. Die Angreifer authentifizierten sich mit den Zugangsdaten der Backup-Anwendung (Application-ID 506e08f9-6e9a-4da4-942b-a099a03644ae) und holten sich darüber Microsoft-Graph-Tokens. Da es sich um eine App-zu-App-Anmeldung handelte, war die MFA wirkungslos.

In Branchenberichten ist von Anmeldungen an bis zu 173 Microsoft-365-Tenants die Rede; Huntress zählte zum Stand 19:00 UTC des Folgetags 162 betroffene Umgebungen. In rund 50 der von Huntress überwachten Tenants kam es zur Rechteausweitung: Dienstprinzipale wiesen sich selbst Verzeichnisrollen zu, überwiegend Exchange Administrator. In mindestens einem Tenant verschaffte sich die App „ConnectWise Cloud Management – MS Teams“ innerhalb von etwa fünf Minuten die Rolle Global Administrator und hinterlegte Zugangsdaten in weiteren Apps. Microsoft Threat Intelligence bestätigte den Vorfall am 17. Oktober 2026 und geht davon aus, dass die Angreifer vorhandene Berechtigungen wie Directory.ReadWrite.All missbrauchten.

ConnectWise schaltete den Dienst Cloud Backup für alle Partner ab und deaktivierte am 17. Oktober mehrere App-Identitäten; am 18. Oktober wurden vorsorglich auch SaaS Security und Cloud Management offline genommen. Nach Angaben des Unternehmens bleiben die Backup-Archive verschlüsselt und isoliert; es gebe bislang keinen Hinweis auf abgeflossene Sicherungsdaten. Geplante Backups laufen derzeit nicht, eine Wiederherstellung ist vorübergehend nicht möglich.

Wer ist betroffen?

Betroffen sind Microsoft-365-Umgebungen, in denen ConnectWise Cloud Backup (bzw. der Vorgänger SkyKick) angebunden ist – häufig über einen IT-Dienstleister (MSP). Für typische KMU heißt das:

• Unternehmen, deren M365-Backup über ConnectWise Cloud Backup oder SkyKick läuft
• Umgebungen mit alten „SkyKick Cloud Manager“-Einträgen, die noch registriert sind
• grundsätzlich jede M365-Organisation mit weitreichend berechtigten Drittanbieter-Apps – der Fall ist ein Muster, kein Einzelfall

Wichtig: Eine abgeschaltete App stoppt nur neue Tokens. Bereits ausgestellte Zugriffstokens bleiben bis zum Ablauf gültig, und das Zurücksetzen von Benutzersitzungen beendet keinen App-basierten Zugriff.

Was jetzt zu tun ist

1. Dienstleister fragen. Klären Sie mit Ihrem IT-Partner, ob ConnectWise Cloud Backup oder SkyKick in Ihrem Tenant angebunden ist oder war.
2. Anmeldungen prüfen. Sehen Sie im Entra-Admin-Center die Dienstprinzipal-Anmeldungen zur App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae durch und achten Sie auf untypische Quell-IPs wie 144.172.64[.]128.
3. Zugangsdaten kontrollieren. Prüfen Sie alle Anwendungen auf Zertifikate und Geheimnisse, die seit dem 13. Oktober 2026 hinzugekommen sind, und entfernen Sie unbekannte Einträge.
4. Admin-Rollen auditieren. Kontrollieren Sie jüngste Rollenzuweisungen, insbesondere Exchange Administrator und Global Administrator, sowie neue OAuth-Zustimmungen.
5. Verdächtige Apps deaktivieren statt löschen. Deaktivieren Sie betroffene Apps im Entra-Admin-Center (nicht löschen), um Spuren für die Analyse zu sichern, und exportieren Sie Audit- und Anmeldeprotokolle.

So hilft Binary System Services

Wir sichten Ihre Microsoft-365-Umgebung auf riskante Drittanbieter-Apps und übermäßige Berechtigungen, prüfen Anmelde- und Audit-Protokolle gezielt auf die bekannten Indikatoren dieses Angriffs und räumen kompromittierte App-Identitäten sauber aus. Für die Zukunft etablieren wir ein App-Consent- und Identitäts-Monitoring, das genau solche Lieferketten-Zugriffe sichtbar macht. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.