Lieferkettenangriff auf Backup-Dienst trifft Hunderte M365-Tenants

Der Cloud-Service-Anbieter ConnectWise bestätigte Angriffe auf Nutzer seines Backup-Produkts „ConnectWise Cloud Backup“. Die Attacke verwendete gestohlene Anmeldedaten auf Provider-Ebene, um in die Microsoft-365-Umgebungen von ConnectWise-Kunden einzubrechen. Ob daraus weitere Schäden entstanden sind, ist aktuell unklar. ConnectWise behauptet, dass die eigentlichen Backup-Daten, die seine Software verwaltet, weder ausgeleitet noch manipuliert worden seien. Wegen der Komplexität des Angriffs müssen Kunden-Administratoren selbst aufwendig prüfen, ob sie möglicherweise betroffen sind.

Die SaaS-Software, früher unter dem Namen „SkyKick“ bekannt, sichert Kundendaten aus Microsoft 365 (M365). Das umfasst Mails aus Exchange Online, Dateien aus SharePoint und OneDrive sowie zahlreiche weitere Daten. Das Produkt wird vorwiegend von Partnern des Herstellers im MSP-Modell (Managed Services Provider) an Endkunden vertrieben. Als Reaktion auf die Angriffe hat ConnectWise diesen Dienst und mehrere weitere Cloud-Management-Produkte vorübergehend abgeschaltet. Inzwischen hat ConnectWise begonnen, die Dienste schrittweise wiederherzustellen. Laut Advisory des Herstellers soll das mehrere Tage dauern.

Angriff über die Lieferkette

Microsoft hat als Betreiber der M365-Infrastruktur den Angriff bestätigt (via X) und ihn als „Lieferkettenangriff“ eingeordnet. Es ist für solche Dienste üblich, dass sie von einem zentralen Backend direkt auf die Tenants der Kunden zugreifen. Dazu melden sie sich als Applikationen an die jeweiligen Umgebungen an und erhalten dort die nötigen Zugriffsrechte. Im Fall von Backup-Systemen sind diese Berechtigungen meist sehr umfassend, damit neben der Datensicherung auch die Wiederherstellung funktioniert. Dieser Umstand macht solche Dienste für Angreifer hochattraktiv.

Analysten des Security-Dienstleisters Huntress hatten in der vergangenen Woche verdächtige Aktivitäten in den M365-Tenants ihrer Kunden festgestellt und konnten diese schnell auf ConnectWise zurückführen. Bestätigte Huntress zunächst unbefugte Anmeldungen in 162 Tenants, fanden die Analysten später fast 1000 Tenants mit Anmeldeaktivität von der verdächtigen IP-Adresse – über 300 davon erfolgreich. Die tatsächliche Zahl ist unbekannt, weil ConnectWise keinen Durchgriff auf die Umgebungen seiner Kunden hat. Insgesamt werteten die Analysten die Anmeldeprotokolle von über 10.000 M365-Tenants mit ConnectWise-Applikationen aus.

Nach den Erkenntnissen der Analysten begannen die Angreifer am 13. Oktober 2026 mit zunächst erfolglosen Anmeldeversuchen. Erfolgreiche unbefugte Anmeldungen stellte Huntress ab dem 15. Oktober fest. Sie seien fast vollständig auf eine einzige IP-Adresse zurückzuführen gewesen, die aus dem Pool eines größeren Providers stammte. Vermutlich hätten die Angreifer eine gestohlene „Client Assertion“ für das OAuth-Protokoll genutzt, mit dem sich die ConnectWise-Software bei Microsoft 365 anmeldet. Aus Sicht der Microsoft-Cloud handelte es sich um eine legitime Anmeldung. Wie die Angreifer an die Zugangsdaten kamen, ist nicht bekannt.

Dieser Angriffsweg ist besonders gefährlich, weil er unabhängig von Aktivitäten oder Konfigurationen der jeweiligen Kunden stattfindet. Anders als bei Benutzeranmeldungen sind die Zugriffe registrierter Applikationen nicht durch MFA oder sonstige Zugangsbeschränkungen abgesichert. Erst als ConnectWise am 17. Oktober zentral seinen Dienst abgeschaltet hatte, fanden keine erfolgreichen Anmeldungen mehr durch die Angreifer statt.

Die Huntress-Experten beobachteten, dass die Angreifer in den kompromittierten Tenants teils automatisiert, teils manuell zahlreiche Aktionen ausführten. Teils verschafften sie sich höhere Rechte, andere Vorgänge zielten darauf, zusätzliche Einstiegspunkte in die Tenants zu schaffen. Ob und wie diese Auffälligkeiten beseitigt wurden, teilte der Dienstleister nicht mit.

Handeln, bevor es zu spät ist

Administratoren, die ConnectWise Cloud Backup (oder dessen Vorgänger SkyKick) in ihrer M365-Umgebung registriert haben, sollten nun zügig handeln. Das gilt auch dann, wenn die Applikation nicht mehr aktiv war, denn unter Umständen konnten die Angreifer auch bei deaktivierter Integration zugreifen, solange die Registrierung im Tenant noch bestand. Problematisch ist dabei, dass es keinen einfachen Nachweis gibt, ob eine Umgebung betroffen ist oder nicht. Admins müssen mit großem Aufwand Log-Daten auswerten, um Hinweise zu finden. Dabei ist Eile erforderlich: Hat der M365-Kunde kein erweitertes Logging aktiviert, so löscht Microsoft die Anmeldeprotokolle in Entra ID bereits nach sieben Tagen. Selbst mit einer kostenpflichtigen Entra-ID-P1- oder -P2-Lizenz bleiben nur 30 Tage. Und auch damit bleibt das Protokoll für manche Aktionen der Angreifer blind.

ConnectWise hat eine umfangreiche Anleitung (PDF) veröffentlicht, mit der Admins ihre Umgebung prüfen und Risiken „eindämmen“ können. Von „Lösung“ ist dort keine Rede, denn die ist bei dieser Sorte Angriff unter Umständen gar nicht möglich – zu groß sind die Lücken, die Microsoft in den Sicherheits-Logs klaffen lässt.

Fazit

Bislang ist unklar, wie der ursprüngliche Angriff auf ConnectWise Cloud Backup ablief und warum er erfolgreich war. Zwei Hauptverdächtige für das Desaster stehen aber fest: ConnectWise und Microsoft.

Der Cloud-Riese aus Redmond hat seine M365-Umgebung inhärent unsicher gebaut. Die Authentifizierung von Cloud-Applikationen gegen das System läuft an vielen Schutzmechanismen der Plattform vorbei – weder MFA noch Conditional Access greifen bei solchen Multi-Tenant-Apps von Drittanbietern. Das Sicherheits-Logging ist an vielen Stellen blind, im aktuellen Fall genau an den wichtigen Stellen. Dabei muss der M365-Kunde ohnehin schon extra zahlen, wenn er den ganzen Umfang der Security-Logs nutzen will, denn ohne Zusatz-Abo sieht man noch weniger.

Schwerer wiegt aber, dass Dienstanbieter ConnectWise offenbar seine Prozesse nicht im Griff hat, was den Lieferkettenangriff erst möglich machte. Wie genau die Zugangsdaten abhandengekommen sind, ist da schon fast nebensächlich. Bei vielen Cloud-Kunden dürfte das mulmige Gefühl bleiben, dass sie oft gar nicht genau wissen, wem sie eigentlich für welche Aktivitäten vertrauen.