ScreenConnect-Angriffe auf MSPs: ConnectWise deaktiviert fünf Erweiterungen

ConnectWise hat am 11. November 2026 um 22:45 UTC (23:45 Uhr MEZ) eine Sicherheitswarnung zu ScreenConnect veröffentlicht. Laut Hersteller verschaffen sich Zugang zu Partnerkonten und verteilen über die Fernwartung zusätzliche Remote-Access-Software in Kundennetze. ConnectWise hat fünf Erweiterungen von Drittanbietern in rund 400 Partnerumgebungen vorsorglich deaktiviert. Wie die Angreifer hineinkommen, ist noch offen.

Betroffen sind vor allem Managed Service Provider und IT-Abteilungen, die ScreenConnect mit einer der genannten Erweiterungen einsetzen. Wer diese Erweiterungen nicht nutzt, hat nach Einschätzung von ConnectWise derzeit keinen Grund zur Annahme, betroffen zu sein, soll aber wachsam bleiben. Für Betreiber mit den Erweiterungen ist das kein Fall für das nächste Wartungsfenster, sondern sofort zu prüfen.

Was ist passiert?

Laut ConnectWise gibt es Berichte über unbefugten Zugriff auf ScreenConnect-Partnerkonten und über unerwünschte Fernwartungssoftware in Kundenumgebungen. Der Hersteller vermutet, dass die Angreifer die zusätzliche Software über unabhängige Erweiterungen von Drittanbietern verteilt haben. Deaktiviert wurden „Labtech Plus“, „RMM Plus“, „RMM+“, „RMM Plus Password Link“ und „RMM+ Password Link“. Bei On-Premises-Installationen kann ConnectWise nicht selbst eingreifen, dort müssen die Betreiber die Erweiterungen selbst abschalten.

ConnectWise betont, dass die Erweiterung allein noch keine Kompromittierung belegt und dass ihr Abschalten bereits eingerichtete Zugänge auf den Endgeräten nicht entfernt. Untersucht werden außerdem Berichte, wonach Technikerrechner kompromittiert werden können, wenn sie eine interaktive Sitzung zu einem befallenen Gerät öffnen. Diese Angaben sind laut Hersteller noch nicht bestätigt.

Entdeckt hat die Kampagne das Sicherheitsunternehmen Huntress. Laut BleepingComputer zählte Huntress am 11. November sechs kompromittierte MSPs und mindestens 286 betroffene Endgeräte in 47 Organisationen, mit steigender Tendenz. Die Kampagne begann demnach gegen 18:47 Uhr MEZ und richtet sich gegen ScreenConnect-Instanzen in der Cloud. Die Angreifer nutzen demnach die Funktion „Run Command“, um eigene ScreenConnect-Clients auf verwalteten Rechnern zu installieren, die dann außerhalb der Instanz des Dienstleisters erreichbar sind. Huntress geht derzeit von gestohlenen Zugangsdaten und übernommenen Supportsitzungen aus.

Wer ist betroffen?

Gefährdet sind ScreenConnect-Instanzen, in denen eine der fünf Erweiterungen installiert war, in der Cloud wie On-Premises. Mittelbar gefährdet sind Kunden, deren Rechner über eine solche Instanz verwaltet werden. Das gilt auch für kleine Unternehmen, die ihre IT an einen Dienstleister ausgelagert haben und ScreenConnect selbst nie gesehen haben. Eine Sicherheitslücke in ScreenConnect selbst hat ConnectWise bisher nicht genannt. Ob beim beschriebenen Angriff auf Technikerrechner eine Schwachstelle ausgenutzt wird, ist laut BleepingComputer unklar.

Wie kritisch ist das?

Nach unserer Einschätzung hoch. Ein übernommenes Fernwartungskonto erlaubt je nach Berechtigung, Befehle auf den verwalteten Rechnern der Kunden auszuführen, meist mit weitreichenden Rechten. Laut ConnectWise entfernen weder das Abschalten der Erweiterungen noch neue Passwörter einen bereits eingerichteten Zugang auf den Endgeräten. Huntress weist laut BleepingComputer zudem darauf hin, dass fortlaufende Kennungen der Angreifer auf weitere, früher kompromittierte MSPs hindeuten.

Was sollten Admins jetzt tun?

• Inventar: In jeder ScreenConnect-Instanz prüfen, ob „Labtech Plus“, „RMM Plus“, „RMM+“ oder die beiden „Password Link“-Varianten installiert sind, und sie deaktiviert lassen. Nicht neu installieren, bis ConnectWise weitere Hinweise gibt.
• Keine interaktiven ScreenConnect-Sitzungen zu verdächtigen Geräten öffnen, sondern mit EDR oder anderen Werkzeugen untersuchen.
• Aktive ScreenConnect- und Identity-Provider-Sitzungen beenden, betroffene Passwörter zurücksetzen und prüfen, ob MFA erzwungen wird. Bei Verdacht auf einen befallenen Technikerrechner dafür ein separates, vertrauenswürdiges Gerät nutzen.
• Verdächtige Geräte und möglicherweise betroffene Technikerrechner isolieren und Beweise sichern, bevor Schadsoftware entfernt wird.
• Protokolle sichern und auswerten: Anmeldungen, installierte Erweiterungen, Run-Command- und Toolbox-Verlauf, neue Benutzer und Rechteänderungen. Huntress rät laut BleepingComputer, den Run-Command-Verlauf auch ohne Alarm zu prüfen.
• Auf Endgeräten nach fremden ScreenConnect-Clients suchen, also Clients, die nicht zur eigenen Instanz gehören. Die von Huntress veröffentlichten Indikatoren (Client-IDs, Domains, Dateinamen) stehen im Bericht von BleepingComputer.
• Server, Technikerclients und Agenten auf den aktuellen Stand bringen. ConnectWise stellt klar, dass ein Update eine Untersuchung nicht ersetzt.

Einordnung für Unternehmen

Der Fall erinnert an die jüngsten Probleme mit N-able N-central: Werkzeuge, mit denen Dienstleister viele Kunden zugleich verwalten, sind ein lohnendes Ziel. Unternehmen, die ihre IT auslagern, sollten ihren Dienstleister direkt fragen, ob er ScreenConnect mit einer der Erweiterungen einsetzt und ob er seine Instanz bereits geprüft hat. Für die eigene Planung bleibt die Lehre, Erweiterungen in Fernwartungswerkzeugen genauso streng zu prüfen wie die Software selbst, denn sie arbeiten mit weitreichenden Rechten.

Passende Anleitungen auf S-EDV

• Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
• Wazuh 4.14 SIEM auf Ubuntu 24.04 installieren: Schritt-für-Schritt-Anleitung
• N-able N-central: Exploits für über 30 gemeldete Lücken öffentlich, Server sollen vom Netz

Quellen

• ConnectWise: ScreenConnect-Sicherheitswarnung vom 11. November 2026
• BleepingComputer: Angriffe über ScreenConnect auf MSPs