ConnectWise Cloud Backup: Mit gestohlenen App-Identitäten in 2.250 M365-Tenants

ConnectWise hat am 16. Oktober 2026 bestätigt, dass Unbefugte Zugriff auf „application identities" von Cloud Backup hatten, dem früheren SkyKick-Produkt. Cloud Backup, SaaS Security und Cloud Management wurden abgeschaltet. Am 21. Oktober ordnete Microsoft den Angriff der Gruppe Storm-0940 zu. Die Schlagzeile mit den 2.250 Tenants ist richtig, wird aber leicht falsch gelesen. Dieser Beitrag trennt, was mehrere Quellen belegen, was nur ein Hersteller behauptet und was wir daraus ableiten.

Was passiert ist

Backup-Dienste für Microsoft 365 arbeiten mit Anwendungen, die der Kunde im eigenen Entra-Tenant freigibt. Diese Apps lesen später Postfächer, Dateien und Verzeichnisse, ohne dass ein Mensch angemeldet ist. Genau diese Identitäten wurden missbraucht.

Laut Huntress lag das verwendete Credential auf Herstellerseite, ein sogenanntes Client Assertion. Es lebt im Tenant des Anbieters, und kein Verhalten eines Kunden konnte es erzeugen. Diese Einordnung stammt von Huntress. Todyl sprach laut BleepingComputer von einem „secret", Microsoft nennt den Typ nicht. Belegt ist also nur: Die Zugangsdaten kamen vom Anbieter.

Nach den Berichten von heise, Huntress und Microsoft liefen am 13. und 14. Oktober skriptgesteuerte Versuche, am 15. Oktober gelang die erste Anmeldung von der Adresse 144.172.64.128. ConnectWise sperrte am 17. Oktober um 05:01 UTC den App-Zugang, deaktivierte um 07:00 UTC sieben App-Identitäten und widerrief um 17:00 UTC Zertifikate. Das vollständige Zurücksetzen der Zugangsdaten folgte am 19. Oktober.

Die Zahlen und was sie zählen

Die Meldungen nennen mehrere Größen, die man nicht gegeneinander rechnen darf.

• 2.250: Anmeldeversuche in so vielen Tenants, laut Microsoft. Gezählt sind Versuche, keine Einbrüche.
• 162 Tenants mit bestätigten unbefugten Anmeldungen (Huntress, 16. Oktober), fast 1.000 mit Anmeldungen von der Angreifer-IP und mehr als 300 erfolgreich (Huntress, 17. Oktober).
• 2 Tenants mit bestätigter Aktivität nach dem Einbruch, bei über 10.000 geprüften Tenants mit ConnectWise-Apps (Huntress, 19. Oktober).
• „Hunderte Organisationen" aus Luftfahrt und Verteidigung, Energie, Finanzen und Verwaltung (Microsoft). Wie viele davon kompromittiert wurden, hat Microsoft laut The Register nicht offengelegt.

Die Zahlen steigen, weil die Zählweise wechselt: Versuch, erfolgreiche Anmeldung, Aktivität danach. Wer eine einzelne Zahl zitiert, sollte dazusagen, was sie zählt.

Storm-0940 und ARTEX

Microsoft führt den Angriff auf Storm-0940 zurück, eine staatsnahe chinesische Gruppe, die seit 2021 aktiv ist. So lautet die Einschätzung von Microsoft; ConnectWise hat sie am 21. Oktober mit Verweis auf Microsoft wiederholt.

Die Gruppe soll ARTEX verwendet haben, ein quelloffenes Multi-Agenten-Framework für Penetrationstests mit beliebigen KI-Modellen (Go und Next.js). Nach Microsoft ist es bereits ab September 2026 im Einsatz, auch bei weiteren Akteuren. Die Angaben zur Geschwindigkeit stammen nur von Microsoft und sind damit Herstellerangaben: In mehreren Fällen sei der Weg vom ersten Ziel bis zu privilegiertem Zugriff in unter drei Stunden gelaufen, mit Spitzen über 2.900 fehlgeschlagenen Anmeldeereignissen pro Minute (laut Microsoft in einer Passwort-Spray-Kampagne) und über 200 Anmeldungen in unter vier Minuten mit vier App-Credentials. Unabhängig bestätigt ist das nicht.

Wie die Angreifer im Tenant blieben

Die Apps besaßen bereits Rechte, und der Angriff nutzte „the already established trust by these apps within a tenant", so Microsoft. BleepingComputer vermutet, dass bestehende Berechtigungen wie Directory.ReadWrite.All missbraucht wurden, belegt ist das nicht. Huntress sah einen Tenant, in dem eine Cloud-Management-App sich selbst zum Global Administrator machte und anderen Apps Credentials hinzufügte. Microsoft listet als beobachtete Aktionen hinzugefügte App-Credentials, App-Rollenzuweisungen, Änderungen an privilegierten Rollen und Key-Vault-Lesezugriffe in großer Zahl.

ConnectWise sagt, die gespeicherten Backup-Archive seien verschlüsselt und isoliert, es gebe keine Hinweise auf eine Kompromittierung (Herstellerangabe). Ob einzelne Kunden-Tenants betroffen waren, lasse sich daraus nicht ableiten. heise schreibt, die Daten seien weder abgeflossen noch manipuliert worden. Huntress dagegen gibt zu bedenken: Microsoft protokolliert nicht alles, was eine Anwendung liest.

Was Sie im Tenant prüfen

Das gilt auch dann, wenn Sie ConnectWise gar nicht einsetzen, denn jede Backup-, Migrations- oder Sicherheits-App im Tenant hat dieselbe Angriffsfläche. Die Hinweise stammen aus den übereinstimmenden Empfehlungen von Microsoft, Huntress und ConnectWise.

1. Enterprise-Apps über die App-ID suchen, der Anzeigename reicht nicht. Cloud Backup hat die ID 506e08f9-6e9a-4da4-942b-a099a03644ae; ältere Tenants zeigen die App teils als „SkyKick Cloud Manager". Verdächtige Apps deaktivieren, nicht löschen.
2. Die Anmeldeprotokolle unter „Service principal sign-ins" ansehen. Huntress warnt: Der Standard-Reiter „User sign-ins" zeigt diese Daten nicht. Zeitraum ab 15. Oktober, wenn vorhanden ab 1. Oktober.
3. Seit dem 13. Oktober hinzugefügte Credentials und Rollenzuweisungen prüfen und die Inhaber von Verzeichnisrollen durchgehen.
4. Protokolle vor allem anderen sichern. Nach heise bleiben Entra-Anmeldeprotokolle ohne erweiterte Protokollierung sieben Tage erhalten, mit P1 oder P2 dreißig; die Frist ist eine heise-Angabe und bei Microsoft nicht gegengeprüft.
5. Nicht benötigte Berechtigungen entfernen, pro Backup-App nur einen Verantwortlichen für das Credential festlegen und bei „Add service principal credentials" im Audit-Log alarmieren (unsere Ableitung aus den Berichten).

Die Wiederanbindung läuft laut ConnectWise-Stand vom 24. Oktober kontrolliert, die Zertifikatsrotation ist im Gang, die phasenweise Anbindung der Partner ist für Montag, den 26. Oktober, angepeilt und hängt von abgeschlossenen Prüfungen ab. Bis ConnectWise Anweisungen für den jeweiligen Dienst gibt, sollen betroffene App-Verbindungen deaktiviert bleiben. Geplante Backups liefen in der Zwischenzeit nicht, und Wiederherstellungen waren nicht möglich (BleepingComputer, 18. Oktober). Wer auf diese Sicherung gesetzt hat, hat aktuell keine Rücksicherung aus diesem Dienst.

Unser eigener Backup-Stack

Wir haben für diesen Beitrag nachgesehen, was auf unserer Seite läuft, nur lesend und am 24. Oktober 2026. Unsere Microsoft-365-Sicherung ist ein eigener Fork eines Open-Source-Projekts auf einem Host, den wir selbst betreiben: Container m365-console, Image m365-console:1.5.0-cbpx, seit 29 Stunden gestartet und als gesund gemeldet. Eine Suche ohne Beachtung der Groß- und Kleinschreibung nach „connectwise" und „skykick" in /opt/m365-backup und /etc auf diesem Host ergab keinen Treffer, ebenso nicht in unseren Notizen. Es läuft also keine ConnectWise-Komponente auf dem Host.

Nicht geprüft haben wir den Entra-Tenant selbst, die App-IDs oben wurden dort nicht abgefragt. Eine Aussage über den Tenant treffen wir deshalb nicht. Auch unsere Sicherung arbeitet mit App-Berechtigungen: Laut unserem Runbook gibt es einen Exchange-Verwaltungsbereich mit den Anwendungsrollen Mail.ReadWrite und MailboxItem.ImportExport. Die Lehre aus dem Vorfall gilt also für uns wie für jeden anderen. Über den Zustand unserer Secrets oder Zertifikate haben wir nichts gemessen und sagen deshalb dazu nichts.

Weiterführende Quellen

• Microsoft Security Blog: Storm-0940 uses ARTEX agentic AI in ConnectWise supply chain compromise: Zuordnung, ARTEX, Aktionen im Tenant
• ConnectWise Trust Center: Advisories: Zeitplan, Status der Wiederanbindung (Stand 24. Oktober)
• Huntress: Vendor credential enables unauthorized access: Credential-Typ, Tenant-Zahlen, Logging-Hinweis
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply chain attack: Verlauf, Aussagen von Todyl
• heise online: Angriffe via ConnectWise Cloud Backup: Zeitleiste, Protokollfristen
• The Register: Microsoft says ConnectWise breach let Chinese spies loose on 2,250 cloud tenants: Einordnung der Zahlen
• Right of Boom auf YouTube: What Huntress Found in the SkyKick Tenant Access Incident: Einordnung durch Andrew Brandt von Huntress, 20. Oktober 2026
• CRN auf YouTube: ConnectWise Cloud Backup Breach: What MSPs Need To Know: Umfang und Reaktionen, 23. Oktober 2026
• Wikimedia Commons: Connectwise-Logo.png: Logo, CC BY-SA 4.0, Urheber ConnectWise