ConnectWise Cloud Backup: Angriff auf 173 M365-Tenants

ConnectWise Cloud Backup: Lieferketten-Angriff trifft 173 Microsoft-365-Tenants

Ein schwerer Sicherheitsvorfall im Bereich Cloud-Sicherheit hat im Oktober 2026 für erhebliche Auswirkungen in der deutschen IT-Landschaft gesorgt. Der Sicherungsdienst ConnectWise Cloud Backup, früher bekannt als SkyKick, wurde Opfer eines Lieferketten-Angriffs, bei dem unbefugte Akteure auf Anwendungsidentitäten zugriffen und damit zahlreiche Microsoft-365-Umgebungen kompromittierten.

Wie der Angriff funktioniert

Am 15. Oktober 2026 nutzten Unbekannte komprominierte Dienst-Zugangsdaten, um sich direkt als Sicherungsanwendung bei Kunden-Tenants von Microsoft 365 zu authentifizieren. Da der Zugriff auf Anwendungsebene erfolgte, griff eine Multifaktor-Authentifizierung in diesem Szenario nicht. Die kompromimierte Schnittstelle erlaubte prinzipiell Zugriffe auf E-Mails, OneDrive, SharePoint, Microsoft Teams sowie Verzeichnisdaten.

Ausmaß der Kompromittierung

Sicherheitsanalysten von Huntress stellten fest, dass systematische Anmeldungen von der externen IP-Adresse 144.172.64[.]128 ausgingen. Nach Angaben von Branchenberichten nutzten die Akteure die Zugangsdaten für Anmeldungen bei 173 Microsoft-365-Tenants. Microsoft stuft die Vorkommnisse inzwischen als aktive Lieferketten-Attacke ein. In rund 50 Tenants nutzten die Angreifer Service-Principals der Cloud-Verwaltung von ConnectWise, um administrative Verzeichnisrollen zuzuweisen, zumeist die Rolle als Exchange Administrator.

Was Betroffene tun müssen

ConnectWise schaltete den Kundenzugang zu Cloud Backup nach Bekanntwerden der unbefugten Zugriffe ab. Das Unternehmen betonte, dass Eindämmungsmaßnahmen laufen und bisher keine Hinweise darauf vorliegen, dass gesicherte Partner- und Kundendaten selbst kompromittiert oder abgeflossen seien. Sicherheitsanalysten raten Administratoren betroffener Umgebungen, verdächtige Anwendungen im Entra Admin Center zunächst zu deaktivieren statt zu löschen, um forensische Spuren zu sichern.

Quellen

• BornCity: ConnectWise Cloud Backup: Lieferketten-Angriff trifft 173 Microsoft-365-Tenants (15.10.2026)
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack (17.10.2026)
• BornCity: ConnectWise Cloud Backup: Dienste nach Identitätsverletzungen ausgesetzt (18.10.2026)