ConnectWise stoppt Backup und Management-Dienste
ConnectWise hat mehrere Cloud-Dienste nach einem Sicherheitsvorfall vorübergehend abgeschaltet. Betroffen sind Cloud Backup, früher unter dem Namen SkyKick angeboten, sowie die integrierten Angebote SaaS Security und Cloud Management.
Das Unternehmen hatte am 15. Oktober unbefugten Zugriff auf Anwendungsidentitäten innerhalb seiner Cloud-Backup-Umgebung festgestellt. Einen Tag später veröffentlichte ConnectWise eine Sicherheitswarnung und setzte die Dienste aus.
| Zeitpunkt | Ereignis |
|---|---|
| 15. Oktober | ConnectWise erkennt unbefugten Zugriff auf Anwendungsidentitäten. |
| 16. Oktober | Das Unternehmen veröffentlicht eine Warnung und schaltet mehrere Dienste ab. |
| 18. Oktober, 16:00 UTC | Cloud Backup, SaaS Security und Cloud Management sind weiterhin nicht verfügbar. |
Während der Unterbrechung können Endkunden keine neuen Backups erstellen. Auch der Zugriff auf Archive und die Wiederherstellung von Daten sind vorübergehend nicht möglich. ConnectWise deaktivierte außerdem Integrationen zwischen Cloud Backup und Exchange, Teams, SharePoint Online sowie eigenen Produkten.
Kompromittiertes API-Secret öffnete M365-Zugänge
Nach Angaben des Sicherheitsunternehmens Huntress wurde ein API-Secret von ConnectWise Cloud Backup kompromittiert. Ein API-Secret ist ein geheimer Zugangsschlüssel, mit dem sich eine Anwendung gegenüber einem anderen Dienst authentifiziert. Der Schlüssel soll für unbefugte Zugriffe auf Microsoft-365-Umgebungen von Kunden verwendet worden sein.
Sinngemäß erklärte Huntress: Ein zu ConnectWise Cloud Backup gehörendes Microsoft-365-Zugangsdatum wurde kompromittiert und nachweislich für unbefugte Zugriffe auf Kundenumgebungen eingesetzt.
In einem dokumentierten Mandanten wies sich eine zweite ConnectWise-Anwendung selbst die Rolle des globalen Administrators zu. Anschließend legte sie neue Zugangsdaten für zwei weitere Anwendungen innerhalb des Mandanten an.
| Betroffene Anwendung | Application ID | Beobachtetes Verhalten |
|---|---|---|
| ConnectWise Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 | Vergabe globaler Administratorrechte und Erstellung zusätzlicher Anwendungszugangsdaten |
Der Fall zeigt, warum Maschinenidentitäten und Anwendungszugänge ähnlich streng kontrolliert werden müssen wie Benutzerkonten. Vergleichbare Risiken entstehen auch bei anderen zentral angebundenen Plattformen, wie das Zugangsdatenleck bei AWS AgentCore verdeutlicht.
Das Abschalten der App reicht nicht aus
Ein kritischer Punkt ist die Persistenz nachträglich angelegter Zugangsdaten. Wird die kompromittierte ConnectWise-App lediglich deaktiviert, bleiben bereits hinzugefügte Credentials in anderen Microsoft-365-Anwendungen bestehen.
Sinngemäß warnt Huntress: Das Deaktivieren der missbrauchten Anwendungen entfernt keine Zugangsdaten, die zuvor hinzugefügt wurden. Deshalb müssen die Credentials sämtlicher Microsoft-365-Anwendungen überprüft werden.
ConnectWise fordert Kunden dazu auf, die von ihnen verwalteten Microsoft-365-Umgebungen auf Spuren einer Kompromittierung zu untersuchen. Wie viele Managed Service Provider und Endkunden tatsächlich betroffen sind, ist bislang nicht bekannt.
Archive laut ConnectWise nicht kompromittiert
Nach Angaben von Jason Ferguson, Vice President Security Operations bei ConnectWise, bleiben vorhandene Archive verschlüsselt, isoliert und erhalten. Es gebe keine Hinweise auf einen unbefugten Zugriff auf die gespeicherten Archive selbst.
Das Unternehmen untersucht den Vorfall weiter und führt forensische Analysen sowie Maßnahmen zur Bereinigung durch. Wer hinter dem Angriff steht, wurde nicht mitgeteilt. Ebenso ist offen, wann die abgeschalteten Dienste wieder vollständig und sicher verfügbar sein werden.
Risiko für MSP-Kunden im DACH-Raum
ConnectWise richtet sich unter anderem an Managed Service Provider, kurz MSPs, die IT-Systeme mehrerer Kunden zentral betreiben. Auch im DACH-Raum lassen mittelständische Unternehmen ihre Microsoft-365-Mandanten durch externe Dienstleister sichern und verwalten.
Dabei ist intern nicht immer bekannt, welche Drittanbieter-Anwendungen der Dienstleister an Microsoft 365 angebunden hat. IT-Verantwortliche sollten deshalb klären lassen, ob ConnectWise Cloud Backup eingesetzt wird. Falls ja, sind die App-Berechtigungen und alle hinterlegten Anwendungszugangsdaten im betroffenen Mandanten zu prüfen.
Der Vorfall ist ein typisches Lieferkettenrisiko. Ein kompromittierter Plattformanbieter kann über OAuth- und API-Integrationen Zugriff auf zahlreiche getrennte Kundenumgebungen erhalten. Ähnliche Berechtigungsprobleme zeigen sich bei Sicherheitslücken in zentral angebundenen MCP-Systemen.
Cloud-Backup wird selbst zum Ausfallrisiko
Besonders problematisch ist die Kombination aus Sicherheitsvorfall und vollständiger Dienstunterbrechung. Obwohl die vorhandenen Archive laut ConnectWise geschützt sind, können Kunden derzeit weder neue Sicherungen erstellen noch Daten wiederherstellen. Im Ernstfall fehlt damit genau die Funktion, für die der Dienst bezahlt wird.
Für Unternehmen ist das ein Anlass, die eigene Backup-Architektur auf Abhängigkeiten zu prüfen. Proprietäre Cloud-Sicherungen sind bequem, bündeln aber Identitäten, Berechtigungen und Wiederherstellungsfunktionen bei einem Anbieter. Souveräne oder selbst gehostete Backup-Systeme können diese Abhängigkeit reduzieren, erfordern im Gegenzug jedoch eigenes Betriebswissen, Überwachung und regelmäßige Wiederherstellungstests.
Entscheidend ist, dass mindestens ein Wiederherstellungsweg unabhängig vom primären SaaS-Anbieter verfügbar bleibt. Andernfalls kann eine Sicherheitsabschaltung beim Dienstleister den Zugriff auf die eigene Datensicherung vollständig blockieren.