ConnectWise Cloud Backup: Gestohlene App-Identität öffnet Microsoft-365-Tenants
Mit gestohlenem Zugangsmaterial von ConnectWise Cloud Backup, früher SkyKick, haben Angreifer am 15. Oktober Graph-Tokens in Kundentenants bezogen. In einem Fall machte sich eine ConnectWise-App zum Global Administrator. ConnectWise hat den Dienst ausgesetzt. Was Admins in Entra ID jetzt prüfen sollten.
Ein Angreifer hat die Anwendungsidentität von ConnectWise Cloud Backup, früher SkyKick, missbraucht und sich damit am 15. Oktober 2026 in Microsoft-365-Tenants von Kunden angemeldet. Weil die App für Sicherung und Wiederherstellung weitreichende Rechte auf Postfächer, OneDrive, SharePoint, Teams und Verzeichnisdaten besitzt, erbt jeder, der ihr Zugangsmaterial hält, genau diese Rechte. MFA und benutzerbezogener bedingter Zugriff greifen dabei nicht, denn es meldet sich kein Benutzer an, sondern die Anwendung selbst.
Betroffen sind Organisationen und Managed Service Provider, in deren Entra ID die Unternehmensanwendung ConnectWise Cloud Backup oder eine der ConnectWise- bzw. SkyKick-Cloud-Management-Apps eingewilligt ist. Wer diese Apps nie zugelassen hat, ist über diesen Weg nicht erreichbar. Für alle anderen gilt: heute prüfen, nicht erst im nächsten Wartungsfenster.
Was ist passiert?
ConnectWise veröffentlichte am 16. Oktober 2026 um 17:47 UTC eine erste Sicherheitsmeldung zu unberechtigten Zugriffsversuchen in der Cloud-Backup-Umgebung und nannte die IP-Adresse 144.172.64.128 sowie die User-Agents Python-urllib/3.12 und python-requests/2.31 als Indikatoren. Am 17. Oktober folgten zwei Updates: Der Hersteller bestätigt unberechtigten Zugriff auf Anwendungsidentitäten, hat die Zertifikate der App-Verbindungen widerrufen und den Dienst ausgesetzt. Entdeckt wurde das Problem laut ConnectWise am 14. Oktober.
Die Sicherheitsfirmen Huntress und Todyl beschreiben das Vorgehen genauer. Laut Huntress bezog der Angreifer am 15. Oktober zwischen 06:13 und 08:34 UTC von 144.172.64.128 aus Microsoft-Graph-Tokens in Kundentenants, sortiert nach Tenant-GUID im Sekundenabstand, also skriptgesteuert. Todyl sah dasselbe Muster zwischen 07:11 und 08:47 UTC.
Ausmaß und weitere ConnectWise-Apps
The Hacker News berichtete unter Berufung auf Huntress von 173 Tenants mit bestätigten unberechtigten Anmeldungen. Der fortlaufend aktualisierte Huntress-Blog nennt für den 16. Oktober, 19:00 UTC, 162 bestätigte Tenants und ergänzt am 17. Oktober deutlich größere Zahlen: fast 1.000 Entra-Tenants mit Anmeldeaktivität von der genannten IP-Adresse, davon über 300 erfolgreich. Die Zahlen sind also in Bewegung und sollten als Untergrenze gelesen werden.
- ConnectWise Cloud Backup, früher SkyKick Backup, Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae: Ausgangspunkt der Anmeldungen.
- ConnectWise Cloud Management für Microsoft Teams, ID 24205314-2b89-4e07-a2a4-579e898a5640: In einem Tenant hat sich diese App selbst zum Global Administrator gemacht und anschließend per Python-Skript neue Client Secrets an zwei weitere Anwendungen gehängt, eine MSP-Verwaltungsanwendung und die Huntress-eigene App.
- ConnectWise Cloud Management für Exchange Online, ID b78f6a77-d4e5-46fb-87e5-d1648bd02519, und für SharePoint Online, ID b2b55f5b-7758-4719-8d8f-88ae172e6bdb: Laut Huntress mit hoher Sicherheit ebenfalls missbraucht.
- In rund 50 von Huntress überwachten Tenants wiesen sich Cloud-Management-Apps am 15. Oktober selbst Verzeichnisrollen zu, meist Exchange Administrator.
Todyl fand in den eigenen Tenants dagegen keine Verzeichnisänderungen durch die Backup-App. Das widerspricht Huntress nicht, denn es geht um andere Apps und andere Kundenbestände.
Wie kritisch ist das?
Für Tenants mit eingewilligter ConnectWise-App ist die Lage akut. Es handelt sich nicht um eine Software-Schwachstelle mit Patch, sondern um gestohlenes Zugangsmaterial eines Drittanbieters, das in jedem Tenant mit Einwilligung funktioniert. Technisch bedeutet das Datenabfluss und gegebenenfalls Manipulation, denn die Backup-App darf für die Wiederherstellung auch schreiben. Gefährlicher ist die Rechteausweitung über die Cloud-Management-Apps, weil ein neuer Client Secret an einer anderen Anwendung einen eigenen Rückweg schafft, der auch nach Rotation des ConnectWise-Zugangs bestehen bleibt.
Gesichert sind die Anmeldungen selbst, denn sie stammen aus den Microsoft-Anmeldeprotokollen der Tenants. Unsicher ist, welche Daten tatsächlich gelesen wurden: Lesezugriffe auf Verzeichnisdaten über Microsoft Graph hinterlassen keinen Eintrag im Überwachungsprotokoll. ConnectWise sieht keine Hinweise auf Zugriff auf die verschlüsselten Sicherungsarchive, kann Kundentenants aber nicht selbst einsehen. Wie das Zugangsmaterial abhandenkam, ist laut Hersteller ungeklärt.
Was Admins jetzt tun sollten
- Inventar zuerst: Im Entra Admin Center unter Unternehmensanwendungen nach „ConnectWise“ und „SkyKick“ suchen. In älteren Tenants heißen die Management-Apps noch „SkyKick Cloud Manager“.
- Gefundene Dienstprinzipale deaktivieren, nicht löschen, bis ConnectWise bestätigt, dass alle Zugangsdaten erneuert sind. Huntress und Todyl empfehlen das auch bei unauffälligen Protokollen.
- Anmeldeprotokolle prüfen: Monitoring, Anmeldeprotokolle, Registerkarte „Dienstprinzipalanmeldungen“, Filter auf die Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Die Standardansicht der Benutzeranmeldungen zeigt diese Ereignisse nicht.
- Nach Anmeldungen außerhalb der Microsoft- bzw. Azure-Bereiche suchen, insbesondere von 144.172.64.128. Der legitime Dienst meldet sich aus privatem Azure-IPv6-Adressraum an. Huntress rät, den Zeitraum vom 15. Oktober, 01:00 UTC, bis 16. Oktober, 02:00 UTC, vollständig zu sichten.
- Rollen kontrollieren: Hat eine ConnectWise- oder SkyKick-App eine Verzeichnisrolle wie Global Administrator oder Exchange Administrator, die nicht bewusst vergeben wurde, nach dem Deaktivieren entfernen.
- Alle Client Secrets und Zertifikate an Unternehmensanwendungen und App-Registrierungen prüfen, die seit dem 13. Oktober 2026 hinzugekommen sind, vor allem an Verwaltungs- und Sicherheitswerkzeugen. Unbekannte Einträge entfernen.
- Im Überwachungsprotokoll auf „Add member to role“ und „Update application“ durch ConnectWise-Apps achten. Laut Huntress nutzen die echten ConnectWise-Apps den User-Agent kiota-dotnet, die beobachteten Änderungen kamen von Python-urllib/3.12.
- Ausnahmen im bedingten Zugriff für diese Apps überprüfen und Microsoft-Graph-Aktivitätsprotokolle aktivieren.
Folgen für Backup und MSPs
Das Deaktivieren hat eine Nebenwirkung, die Admins einplanen müssen: Solange die App aus ist, laufen keine Sicherungen. E-Mail, Dateien, Teams und Benutzeranmeldungen funktionieren weiter, vorhandene Archive löscht ConnectWise nicht. Wiederherstellungen sind während der Unterbrechung aber nicht möglich, und neu entstandene Daten liegen außerhalb der letzten Wiederherstellungspunkte. Für kritische Postfächer und Sites ist eine Übergangslösung sinnvoll, etwa Aufbewahrungsrichtlinien oder ein zweites Sicherungsziel.
Für MSPs ist der Fall doppelt heikel. Verwaltungsanwendungen sind oft in viele Kundentenants eingewilligt, ein Secret an einer solchen App kann deshalb über einen einzelnen Tenant hinausreichen. Beobachtet hat Huntress diesen Sprung nicht, rät MSPs aber, die Zugangsdaten ihrer Verwaltungs- und Sicherheitswerkzeuge zuerst zu prüfen.
Passende Anleitungen auf S-EDV
- Klue-OAuth-Vorfall: gestohlene App-Tokens als Weg zu Salesforce-Daten
- EvilTokens-Takedown: Device-Code-Phishing gegen Microsoft 365
- Unveränderliche Backups nach der 3-2-1-1-0-Regel aufbauen
