Jede externe App, die Ihr Unternehmen mit Microsoft 365 verbunden hat, ob für Backup, elektronische Signatur oder E-Mail-Verwaltung, besitzt einen Schlüssel, der Ihre E-Mails und Dateien ohne Passwort und ohne Bestätigungscode öffnet. Genau das haben Angreifer in diesem Monat ausgenutzt: Sie stahlen Zugangsdaten der Anwendungen von ConnectWise Cloud Backup (früher SkyKick), griffen damit mehr als 2.250 Microsoft-365-Umgebungen weltweit an und erlangten in manchen Fällen in weniger als 3 Stunden Rechte als globaler Administrator. Erledigen Sie heute drei Dinge: Lassen Sie sich von Ihrer IT-Leitung die Liste der mit Ihrem Konto verbundenen Apps und ihrer Berechtigungen geben, deaktivieren Sie alles, was Sie nicht kennen oder nicht mehr nutzen, und prüfen Sie, wer seit dem 1. Oktober zur Rolle des globalen Administrators hinzugefügt wurde.

Was genau ist passiert?

Laut dem am 21. Oktober 2026 veröffentlichten Sicherheitsbericht von Microsoft steckt eine China-nahe Gruppe dahinter, die Microsoft als Storm-0940 führt. Sie nutzte ARTEX, ein KI-gestütztes Open-Source-Werkzeug für Penetrationstests. Zwischen dem 10. und 14. Oktober führte die Gruppe eine automatisierte Kampagne zum Erraten von Passwörtern durch, die mehr als 151.000 fehlgeschlagene Anmeldungen gegen 327 Konten in 8 Organisationen erzeugte, mit einem Höhepunkt am 11. Oktober von rund 2.900 Versuchen pro Minute.

Dann kam der gefährlichere Schritt. Die Angreifer beschafften sich Zugangsdaten der Anwendungen von ConnectWise Cloud Backup, einem Dienst, der E-Mails und Dateien aus Microsoft 365 sichert und den viele Unternehmen über die IT-Dienstleister nutzen, die ihre Systeme betreuen. Weil diesen Anwendungen bereits die Zustimmung für den Zugriff auf Kundendaten erteilt worden war, konnten sich die Angreifer als die Anwendung selbst anmelden und nicht als Mitarbeiter, sie brauchten also weder ein Passwort noch einen Zwei-Faktor-Code. Einmal drin, änderten sie Anwendungs-Zugangsdaten, wiesen sich selbst die Rolle des globalen Administrators (Global Administrator) zu und erkundeten die Umgebung über Microsoft Graph.

Wie hat ConnectWise reagiert?

Laut der offiziellen Hinweisseite im ConnectWise Trust Center entdeckte das Unternehmen das Problem am 14. Oktober, machte es am 16. Oktober öffentlich und deaktivierte am 17. Oktober um 07:00 UTC sieben mit dem Dienst verbundene Anwendungsidentitäten. Dabei wurden Cloud Backup sowie SaaS Security und Cloud Management ausgesetzt. ConnectWise erklärt, die Backup-Archive seien weiterhin verschlüsselt und isoliert, ohne Hinweise auf eine Kompromittierung, und strebt eine schrittweise Wiederaufnahme der Partner ab Montag, dem 26. Oktober, an.

Derselbe Hinweis enthält einen Satz, den jeder Unternehmer lesen sollte: Das Deaktivieren dieser Verbindungen verhindert neue Anmeldungen über sie, macht aber Änderungen, die der Angreifer bereits in Ihrem Tenant vorgenommen hat, nicht rückgängig. Ein Administratorkonto, das der Angreifer angelegt hat, oder eine App, deren Schlüssel er geändert hat, bleibt genau so, bis Ihr eigenes Team es entfernt.

Warum Sie das betrifft, auch wenn Sie ConnectWise nie genutzt haben

Das ist keine Geschichte über ein einzelnes Produkt. Jedes Microsoft-365-Konto hat eine Liste externer Apps, die irgendwann ein Mitarbeiter oder Administrator genehmigt hat: ein Signaturwerkzeug, ein Terminkalender, ein Backup-System, ein KI-Add-on, das E-Mails liest. Einige davon haben organisationsweite Berechtigungen, können also die E-Mails und Dateien aller Mitarbeitenden lesen, und diese Berechtigung bleibt bestehen, lange nachdem alle die App vergessen haben. Wird der Anbieter der App gehackt, wird sein Schlüssel zum Schlüssel des Angreifers.

Es gibt eine zweite Lehre. Unternehmen, die sich auf Cloud Backup verlassen haben, sind seit mehr als einer Woche ohne den Backup-Dienst, für den sie bezahlen. Wenn ein einziger Anbieter Ihre einzige Kopie hält und zugleich den Schlüssel zu Ihren Live-Daten besitzt, haben Sie zwei Risiken an einem Ort gebündelt.

Fünf Schritte, die Sie diese Woche von Ihrem Team verlangen sollten

  • Verbundene Apps inventarisieren: Öffnen Sie im Microsoft Entra Admin Center Enterprise apps, dann All applications, und prüfen Sie den Reiter Permissions, wie es der offizielle Microsoft-Leitfaden zur Überprüfung von App-Berechtigungen beschreibt. Beginnen Sie mit Apps, die organisationsweite Berechtigungen haben.
  • Deaktivieren, nicht löschen: Wenn Sie ConnectWise- oder SkyKick-Apps finden, deaktivieren Sie sie, bis das Unternehmen Anweisungen für Ihren Dienst veröffentlicht. Microsoft empfiehlt, die App deaktiviert zu lassen, statt sie zu löschen, damit keine Spuren für die Untersuchung verloren gehen.
  • Administratorrollen prüfen: Verlangen Sie eine Liste aller Personen mit der Rolle des globalen Administrators und aller Änderungen daran seit dem 1. Oktober. Sie sollten jeden Namen darauf kennen.
  • Protokolle prüfen: Sehen Sie sich die Anmelde- und Überwachungsprotokolle mindestens ab dem 1. Oktober an und suchen Sie nach Aktivitäten von 144.172.64.99, 144.172.64.60 und 144.172.64.128, den von ConnectWise veröffentlichten Adressen. Ein Treffer beweist für sich allein keine Kompromittierung, rechtfertigt aber eine Untersuchung.
  • Leichtfertige Freigaben stoppen: Aktivieren Sie einen Workflow für die Administratorzustimmung, damit kein Mitarbeiter einer neuen App mit einem Klick Zugriff auf Unternehmensdaten geben kann, wie der Microsoft-Leitfaden zur Konfiguration der Benutzerzustimmung erklärt.

Wenn Sie unseren Beitrag über die kompromittierte LiteLLM-Version gelesen haben, erkennen Sie das Muster: Der Angreifer bricht nicht Ihre Tür auf, er kommt durch die Tür eines Anbieters, dem Sie vertrauen. Und wenn Sie dadurch Ihre Backups überdenken, lesen Sie unseren Leitfaden zu Backup und Notfallwiederherstellung.

Die Sicht von Origami

Die Angreifer brauchten hier weder eine Schwachstelle bei Microsoft noch einen getäuschten Mitarbeiter; sie nutzten ein Vertrauen, das die Unternehmen selbst einer externen App gewährt und dann vergessen hatten. Deshalb behandeln wir bei Origami jede Integration, die wir mit Microsoft 365 oder einer anderen Cloud-Plattform bauen, als Berechtigung, die einen Grund, einen Verantwortlichen und ein Prüfdatum braucht: den geringsten Zugriff, den die Integration benötigt, Schlüssel, die erneuert werden, und eine klare Aufzeichnung dessen, was die App im Namen Ihres Unternehmens tut. Wenn Sie die mit den Konten Ihres Unternehmens verbundenen Apps prüfen lassen möchten oder eine Integration wollen, die nicht mehr besitzt als nötig, kontaktieren Sie uns.

Quellen