LONDON (IT BOLTWISE) – ConnectWise hat sieben Anwendungs-Identitäten deaktiviert, nachdem Angreifer offenbar Microsoft-365-Tenants über gestohlene App-Zugänge kompromittiert hatten. Zusätzlich stoppt der Anbieter den Cloud-Backup-Dienst, indem er Zertifikate für betroffene Verbindungen über alle Nutzer hinweg widerruft. Laut Angaben des Unternehmens war der Schritt am 17. Oktober 2026 um 07:00 UTC, nachdem das Problem bereits am 14. Oktober per Monitoring erkannt worden war. Für Administratoren gilt: Backup-Wiederherstellung und betroffene Archive sind vorerst nicht verfügbar, während verschlüsselte Datenbestände erhalten bleiben.
ConnectWise fährt nach einem Angriff auf Microsoft-365-Tenants den Zugriff auf zentrale Cloud-Backups und Management-Funktionen stark zurück. Der IT-Management-Anbieter hat dazu sieben ConnectWise-Anwendungsidentitäten deaktiviert und den Cloud-Backup-Dienst über einen Zertifikatswiderruf für alle Nutzer ausgesetzt. Hintergrund ist eine Untersuchung, in der das Unternehmen unautorisierte Zugriffe auf App-Identitäten und damit verbundene Zugriffswege in Microsoft 365 verfolgt.
Der konkrete Maßnahmenkatalog setzt direkt an der Authentisierungsebene an: Laut ConnectWise erfolgte die Deaktivierung am 17. Oktober 2026 um 07:00 UTC. Für die betroffenen Verbindungen werden Zertifikate entfernt bzw. ihre Nutzung entzogen, sodass über diese App-Verbindungen keine neue Authentifizierung mehr möglich ist. Dabei stellt das Unternehmen klar, dass die Maßnahme frühere Änderungen innerhalb eines Tenants nicht „rückgängig“ macht. Außerdem weist ConnectWise darauf hin, dass bereits ausgestellte Zugriffstokens unter Umständen noch bis zum Ablauf weiter verwendbar bleiben könnten, sofern sie nicht anderweitig invalidiert werden; neue unautorisierte Berechtigungen, die über separate Identitäten entstanden sind, erfordern zusätzliche Prüfung und Aufarbeitung.
Für Betreiber von ConnectWise-gestützten Betriebs- und Backup-Prozessen bedeutet das vor allem Betriebsunterbrechung, aber zugleich eine Sicherheitsstrategie für bestehende Daten: Geplante Backups laufen demnach nicht mehr, und der Zugriff auf Backup-Archive sowie Wiederherstellungsfunktionen bleibt zunächst blockiert. Die in den Archiven gespeicherten Daten seien jedoch weiterhin verschlüsselt, isoliert und erhalten; es gebe zudem keine Hinweise darauf, dass die Archive durch die Angreifer kompromittiert oder ausgelesen wurden. Parallel hat ConnectWise „aus Sicherheits- und Vorsichtsgründen“ SaaS Security und Cloud Management vorübergehend offline genommen, bis die Prüfung abgeschlossen ist.
Technisch wird das Risiko besonders deutlich, weil der Angriff nicht zwingend mit dem klassischen Diebstahl von Nutzerpasswörtern arbeitet. Stattdessen können Angreifer die App-Anmeldeinformationen missbrauchen, um sich gegenüber Microsoft Entra ID als die Anwendung selbst auszugeben. Microsoft erzeugt dann Zugriffstokens auf Basis der den App-Identitäten bereits zugewiesenen Rechte. Je nachdem, wie weit die Rechte der ConnectWise-Anwendungen ausgebaut wurden (für Backup- und Managementaufgaben), kann ein Angreifer damit potenziell weitere Microsoft-Dienste erreichen, darunter Mailboxen, SharePoint-Dokumente, Teams-Nachrichten und Verzeichnisinformationen.
Dieses Angriffsmodell erklärt auch, warum ein bloßes Zurücksetzen einzelner Nutzerkonten häufig nicht genügt. Laut Beschreibung im Kontext der Untersuchung können die Täter durch die kompromittierte App-Zertifikats- oder Credential-Kette Zugang ausweiten, etwa indem die App in Rollen wie Global Administrator eingebunden wird, client secrets in weiteren vertrauenswürdigen Anwendungen im Tenant hinzugefügt werden und zusätzliche Anwendungen neu erstellt werden, denen dann wieder passende Berechtigungen erteilt werden. Client Secrets wirken dabei wie ein Persistenzmechanismus: Selbst wenn die ursprüngliche kompromittierte Credential später widerrufen wird, kann ein Angreifer über neu eingeführte Secrets erneut authentisieren.
Erste zeitliche Einordnungen liefert zusätzlich die Sicherheitsanalyse von Huntress mit Blick auf Sign-in-Muster. Demnach wurden zuletzt am 15. Oktober 2026 um 08:45 UTC bösartige Anmeldungen vom „originalen“ Absender gesehen, gefolgt von gezielter, manueller Aktivität bis etwa 14:20 UTC. Huntress verweist darauf, dass trotz der von ConnectWise genannten Abschaltung des Cloud-Backup-Zugriffs die Aktivität trotzdem weitergehen kann, falls Angreifer Credentials in Microsoft-365-Anwendungen ergänzen konnten. Gleichzeitig gebe es laut Huntress seit dem 15. Oktober keine neuen Hinweise auf erfolgreiche bösartige Aktivitäten, wobei auch hier gilt: Das Ende öffentlicher Signale ist nicht automatisch gleichbedeutend mit der vollständigen Bereinigung aller Folgeeffekte in Kundenumgebungen.
Im weiteren Verlauf meldete Huntress zudem eine zweite, gezielte Welle von Versuchen vom IP-Bereich „144.172.64[.]128“ am 15. Oktober 2026. Diese Angriffe sollen sich auf einen engen Scope von 16 Tenants konzentriert haben, verteilt über Politik-, Sicherheits-, Handels- und Kritische-Rohstoffe-Sektoren. Die Versuche galten laut Darstellung unter anderem Graph-Tokens aus einer SkyKick-App sowie derselben Tenant-Gruppe in späteren Zeitfenstern; adressiert wurden dabei außerdem Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra sowie Office-365-Management-APIs. Insgesamt habe der Dienst fast 1.000 Entra-Tenants Sign-in-Aktivität aus dem betreffenden IP-Kontext zugeordnet, wobei in rund 300 Fällen Anmeldungen erfolgreich waren; in einigen Tenants habe aber das Fehlen eines Service Principals das tatsächliche Erlangen von Zugriffen verhindert.
Für die Praxis empfiehlt Huntress Partnern, sowohl den eigenen Microsoft-365-Tenant als auch die betreuten Kunden-Tenants systematisch zu prüfen – inklusive Umgebungen mit inaktiven SkyKick-Verbindungen. Zentral sind dabei der Status der gelisteten App-Verbindungen (betroffene Anwendungen sollen deaktiviert bleiben), die Durchsicht von Sign-in- und Audit-Daten ab dem 13. Oktober 2026 sowie die gezielte Analyse von Aktivitäten, die vom genannten IP-Kontext ausgehen. Ergänzend soll man Authentifizierungswege und App-Credentials (inklusive Federation Trusts), Directory-Rollen, Owners sowie Zustimmungsgrants und jüngste Richtlinienänderungen untersuchen und nach Indikatoren für Missbrauch suchen, etwa unautorisierte Mailbox-Weiterleitungen, Transportregeln, Inbox-/Transport-Regeln und delegierte Mailbox-Zugriffe. Auch wenn technische Entra-Kontrollen den Schaden begrenzen können, ersetzt die reine Aktivierung solcher Schutzmechanismen nicht die Credential-Prüfung: Richtlinien, die client secrets begrenzen, Credential-Lebenszeiten reduzieren oder die Verteilung von Administratorrollen einschränken, helfen vor allem dabei, „planted secrets“ schwerer nutzbar oder leichter erkennbar zu machen.
Unklar bleibt laut ConnectWise bislang, ob eine konkrete Produkt-Schwachstelle zur Kompromittierung der App-Identitäten beigetragen hat. Ebenso ist der genaue Mechanismus der Credential-Exponierung Gegenstand der laufenden Analyse. Für Unternehmen bedeutet das vor allem: Die nächsten Schritte sollten unabhängig von der Root-Cause sofort bei Authentifizierungs- und Rollenmaterial ansetzen, denn der Kern des Vorfalls liegt in der App-basierten Vertrauenskette. Wer hier sauber trennt, Rechte klein hält und Credential-Lebenszyklen strikt überwacht, reduziert nicht nur die Angriffsfläche für den aktuellen Vorfall, sondern auch die Wahrscheinlichkeit, dass Persistenzmechanismen in Microsoft-365-Tenants längerfristig Wirkung entfalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ConnectWise sperrt Cloud-Backup- und Entra-App-Identitäten nach Microsoft-365-Angriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ConnectWise sperrt Cloud-Backup- und Entra-App-Identitäten nach Microsoft-365-Angriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ConnectWise sperrt Cloud-Backup- und Entra-App-Identitäten nach Microsoft-365-Angriff« bei Google Deutschland suchen, bei Bing oder Google News!