Gekaperte Backup-App legt ConnectWise Cloud Backup lahm
Nach fremden Anmeldungen als Backup-App stoppte ConnectWise sein Cloud Backup. Seit dem 21. Oktober kehrt der Dienst schrittweise zurück.
ConnectWise hat sein Cloud Backup nach unbefugten Zugriffen auf Anwendungsidentitäten vorsorglich für sämtliche Nutzer ausgesetzt. Partner und Kunden verloren damit auch den Zugriff auf ihre Archive und die Möglichkeit zur Wiederherstellung. Seit dem 21. Oktober fährt der Anbieter den Dienst in Phasen wieder hoch. Wie die Zugangsdaten offengelegt wurden, ist weiter Gegenstand der Untersuchung.
Das Wichtigste in Kürze
- ConnectWise hat Cloud Backup für sämtliche Nutzer ausgesetzt. Der Anbieter widerrief dafür vorsorglich Zertifikate, nachdem Unbefugte auf Anwendungsidentitäten zugegriffen hatten.
- Der Dienst kehrt seit dem 21. Oktober schrittweise zurück. Ein festes Enddatum für die Rückkehr nennt ConnectWise nicht.
- Leseaktivitäten in betroffenen Mandanten ließen sich nicht eindeutig zuordnen. Nach Angaben von Todyl nutzten Angreifer und regulärer Backup-Dienst dieselbe Anwendungsidentität.
Verwandt:a16z erklärt, warum ältere KI-Chips teuer bleiben / Jev verliert seinen Vorsprung binnen Wochen
Ein Schnitt für alle Nutzer
ConnectWise hat sich für den harten Weg entschieden. Nachdem Unbefugte auf Anwendungsidentitäten zugegriffen hatten, setzte der Anbieter sein Cloud Backup vorsorglich für sämtliche Nutzer aus. Das Werkzeug dafür war ein Zertifikatswiderruf. Ein widerrufenes Zertifikat gilt nicht mehr als Nachweis, dass sich tatsächlich die berechtigte Anwendung anmeldet.
Öffentlich wurde der Schritt am 16. Oktober um 17:47 UTC mit einer Sicherheitsmeldung, die ConnectWise seitdem fortlaufend aktualisiert. Der Preis der Entscheidung trifft Partner und Kunden unmittelbar. Während der Unterbrechung sind Archivzugriff und Wiederherstellungen unverfügbar. Wer Daten aus der Sicherung zurückholen will, kommt über ConnectWise vorerst nicht an sie heran.
Die bestehenden Archive bleiben nach Angaben von ConnectWise verschlüsselt, isoliert und erhalten. Belege für Zugriffe auf die Archive liegen dem Unternehmen nicht vor.
Was ist eine Anwendungsidentität? Eine Anwendungsidentität ist die Kennung, unter der sich Software statt eines Menschen bei einem Cloud-Dienst wie Microsoft 365 anmeldet. Sie weist sich etwa mit einem Zertifikat aus und erhält Berechtigungen, denen ein Administrator einmal zustimmt. Wer die Zugangsdaten einer solchen Identität besitzt, handelt mit den Rechten der Anwendung, ohne dass ein Benutzerkonto beteiligt ist.
Anmeldungen über Microsoft Graph
In Mandanten, die der Sicherheitsanbieter Todyl überwacht, meldete sich am 15. Oktober zwischen 07:11 und 08:47 UTC ein unbefugter Akteur als ConnectWise-Cloud-Backup-Anwendung bei Microsoft Graph an. Microsoft Graph ist die zentrale Programmierschnittstelle, über die Anwendungen auf Daten in Microsoft 365 zugreifen. Ein Mandant ist die abgeschlossene Microsoft-365-Umgebung einer Organisation.
Die Reichweite dieser Anmeldungen ergab sich aus Rechten, die längst vergeben waren. In den von Todyl untersuchten Mandanten ermöglichten die bereits genehmigten Berechtigungen der Anwendung technisch lesenden und schreibenden Zugriff auf E-Mails, Anhänge, OneDrive- und SharePoint-Dateien sowie Teams-Chats. Die Rechte stammten aus der bestehenden Zustimmung zur Backup-Anwendung.
Token auch ohne installierte App
Ein zweiter Blick auf den 15. Oktober erweitert das Bild. In 28 von inforcer überwachten Mandanten erhielt die Backup-Anwendung an diesem Tag jeweils ein Token. Ein Token ist ein zeitlich begrenzter Zugangsnachweis, den Microsoft Graph nach einer erfolgreichen Anmeldung ausstellt.
Installiert war die Anwendung nur in sieben dieser Mandanten. Der Kreis der Mandanten mit Token war damit größer als der Kreis der Mandanten, in denen das Produkt überhaupt eingerichtet war.
Dieselbe Identität für zwei Akteure
Bei der Aufarbeitung zeigt sich eine Grenze, die aus der Konstruktion folgt. In Mandanten mit aktivem Backup-Abonnement ließen sich vorhandene Leseaktivitäten nach Angaben von Todyl weder dem Angreifer noch dem regulären Backup-Dienst zuordnen. Beide nutzten dieselbe Anwendungsidentität. In den Protokollen ist ein fremder Lesezugriff damit nicht von einem gewöhnlichen Sicherungslauf zu unterscheiden.
Auch ConnectWise kann unbefugte Aktivitäten in den nachgelagerten Kundenumgebungen nicht allein durch die eigene Untersuchung feststellen. Dem Anbieter fehlt dafür der Einblick in diese Umgebungen.
Rückkehr in kontrollierten Schritten
Am 20. Oktober meldete ConnectWise das Zurücksetzen von Konten und Zugangsdaten als abgeschlossen. Am Tag darauf begann die Wiederherstellung, jeder Schritt durchläuft eine Sicherheitsprüfung. Laut der Statusseite dauert das mehrere Tage. Anweisungen zum Wiederverbinden folgen je Dienst, sobald sie bestätigt sind. Bis dahin sollen Partner die betroffenen Verbindungen deaktiviert lassen.
Prüfaufträge für Partner und Kunden
Auf der Liste für Partner stehen die Prüfung ungewöhnlicher Anwendungsanmeldungen, die Prüfung von Berechtigungsänderungen und das Sichern relevanter Protokolle. Gerade die Protokolle sind die Grundlage, um später nachzuvollziehen, was in den eigenen Mandanten geschehen ist.
Für die Zeit ohne Sicherung erhalten Kunden von Universal.cloud den Rat zu „besonderer Vorsicht“ beim Löschen. Bis der Dienst wieder läuft, entstehen über ConnectWise keine neuen Sicherungen.
Eine beteiligte Produktlücke ist bislang nicht nachgewiesen. Wie die Zugangsdaten der Anwendung ursprünglich offengelegt wurden, bleibt Gegenstand der Untersuchung.
Häufige Fragen
Hat sich der Angreifer dauerhaft in den Mandanten festgesetzt?
In den von Todyl untersuchten Mandanten fanden sich weder durch die Backup-Anwendung angelegte Konten noch zusätzliche Berechtigungen oder Passwortänderungen. Auch dauerhaft eingerichtete Zugänge, im Fachjargon Persistenz genannt, waren dort nicht festzustellen. Die Aussage gilt für diese untersuchten Mandanten.
Was bedeutet ein Token in einem Mandanten ohne installierte Anwendung?
Nach der Untersuchung von inforcer konnte Microsoft Graph auch dann ein Token ausstellen, wenn die Anwendung im Mandanten nicht installiert war. Ein solches Token enthielt in diesem Fall keine Berechtigungen.
Wie lassen sich gelöschte Inhalte während der Unterbrechung zurückholen?
Kunden von Universal.cloud werden für kürzlich gelöschte Inhalte auf die integrierten Wiederherstellungsoptionen von Outlook, OneDrive und SharePoint verwiesen. Diese Funktionen gehören zu Microsoft 365 selbst.
Lesetipps der Redaktion
cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben PreiscloudmagazinMicrosoft plant Maia als primäres Inferenzsystem ab 2027cloudmagazinUS-Rechenzentren lassen private Stromkunden mitzahlenMehr aus dem MBF Media Netzwerk
MyBusinessFutureNachfolge: Käufer brauchen die Bankzusage vor dem TerminDigital ChiefsMicrosoft: Deutschland ist EU-Spitze bei CyberangriffenSecurityTodayOpenSSL: Was Hersteller jetzt nachweisen müssenBildquelle: KI-generiert (Oktober 2026)
