Backup-Angriff auf Microsoft 365: Welche Dienste Zugriff haben

heise security hat über einen Angriff berichtet, der Betriebe mit Microsoft 365 getroffen hat, ohne dass sie selbst einen Fehler gemacht hätten. Angreifer sind über einen Cloud-Backup-Dienst in die Microsoft-365-Umgebungen von dessen Kunden eingedrungen. Microsoft hat den Angriff bestätigt und spricht von einem Lieferkettenangriff.

Betroffen ist der Dienst ConnectWise Cloud Backup, früher unter dem Namen SkyKick bekannt. Den Namen kennen viele Inhaber nicht. Das muss nichts heißen, denn das Produkt wird laut heise security vor allem über IT-Dienstleister an deren Kunden vertrieben. Und über diesen Fall hinaus stellt sich eine Frage: Welche fremden Dienste haben Zugriff auf Ihr Firmenkonto?

Was passiert ist

ConnectWise Cloud Backup sichert Daten aus Microsoft 365, etwa Mails aus Exchange Online und Dateien aus SharePoint und OneDrive. Die Angreifer nutzten gestohlene Zugangsdaten des Anbieters, vermutlich den digitalen Nachweis, mit dem sich die Software bei Microsoft 365 anmeldet. Aus Sicht von Microsoft waren das legitime Anmeldungen. Wie die Angreifer an die Zugangsdaten kamen, ist nicht bekannt.

Den Ablauf hat ein Sicherheitsdienstleister rekonstruiert:

• Am 13. Oktober 2026 begannen die ersten, noch erfolglosen Anmeldeversuche.
• Ab dem 15. Oktober gelangen unbefugte Anmeldungen.
• Am 17. Oktober schaltete ConnectWise den Dienst zentral ab. Danach gab es keine erfolgreichen Anmeldungen der Angreifer mehr.

Die Analysten werteten die Anmeldeprotokolle von über 10.000 Microsoft-365-Umgebungen mit ConnectWise-Anwendungen aus. Bei fast 1000 fanden sie Anmeldeversuche von der verdächtigen Adresse, bei über 300 davon erfolgreich. Die tatsächliche Zahl ist unbekannt. In betroffenen Umgebungen verschafften sich die Angreifer teils höhere Rechte und legten zusätzliche Zugänge an.

ConnectWise erklärt, die gesicherten Daten selbst seien weder abgeflossen noch verändert worden. Ob weitere Schäden entstanden sind, ist offen. Der Dienst wird schrittweise wieder eingeschaltet, laut Hersteller dauert das mehrere Tage.

Warum ein Backup-Dienst so viel darf

Solche Dienste greifen von einem zentralen System des Anbieters direkt auf die Konten ihrer Kunden zu. Dafür werden sie in Ihrem Microsoft 365 als Anwendung angemeldet und bekommen dort Zugriffsrechte. Ein Backup braucht besonders weitreichende Rechte, denn es soll nicht nur sichern, sondern im Ernstfall auch alles zurückspielen können. Genau das macht solche Dienste für Angreifer so interessant.

Dazu kommen zwei Punkte, die heise security hervorhebt:

• Die Zugriffe solcher Anwendungen sind nicht durch Mehrfaktor-Anmeldung oder andere Zugangsbeschränkungen geschützt. Wie gut Ihre eigenen Konten gesichert sind, spielt für diesen Weg keine Rolle.
• Auch eine abgeschaltete Anbindung kann gefährlich sein. Solange die Registrierung im Konto noch bestand, konnten die Angreifer unter Umständen trotzdem zugreifen.

Backup ist dabei nur ein Beispiel. Über die Jahre sammeln sich in vielen Firmenkonten Anbindungen an: für die Datensicherung, für Programme, die auf Kalender oder Postfächer zugreifen, für Werkzeuge, die mal jemand ausprobiert hat. Jede davon ist ein möglicher Einstieg, und manche braucht längst niemand mehr.

Die Verantwortung lässt sich nicht ganz abgeben

Ein zweiter Beitrag bei heise security passt dazu, obwohl es dort um den Umzug von SAP-Systemen in die Cloud des Herstellers geht. Die befragte Expertin beschreibt ein verbreitetes Missverständnis: Cloud heiße, der Anbieter kümmere sich um alles. Tatsächlich wird die Verantwortung geteilt, nicht vollständig abgegeben. Berechtigungen, Konfiguration, Schnittstellen und die Reaktion auf Sicherheitsvorfälle bleiben beim Kunden. Sie warnt außerdem vor Lücken im Vertrag: Leistungen werden vorausgesetzt, sind aber nicht enthalten.

Bei Microsoft 365 ist das nicht anders. Microsoft betreibt die Plattform, der Backup-Anbieter seinen Dienst. Welche Anwendungen in Ihrem Konto welche Rechte haben und ob sie noch gebraucht werden, entscheiden Sie oder der Dienstleister, den Sie damit beauftragt haben. Klären Sie, ob die Prüfung solcher Anbindungen in Ihrem Vertrag ausdrücklich dazugehört.

Was Sie jetzt prüfen lassen sollten

Ob eine Umgebung betroffen ist, lässt sich nicht einfach nachweisen. Wer sie betreut, muss die Protokolle aufwendig auswerten. Dabei drängt die Zeit: Ohne erweiterte Protokollierung löscht Microsoft die Anmeldeprotokolle in Entra ID nach sieben Tagen. Mit einer Lizenz für Entra ID P1 oder P2 sind es 30 Tage, und auch dann bleibt das Protokoll für manche Aktionen der Angreifer blind. Erfolgreiche Anmeldungen der Angreifer gab es ab dem 15. Oktober. Ohne erweiterte Protokollierung sind die Einträge dazu womöglich schon gelöscht. ConnectWise hat eine Anleitung veröffentlicht, mit der Administratoren ihre Umgebung prüfen und Risiken eindämmen können. Von einer Lösung ist darin keine Rede.

Lassen Sie sich die Antworten schriftlich geben, eine Mail reicht. Wenn Ihr Dienstleister den Backup-Dienst selbst eingerichtet hat, sollte er von sich aus auf Sie zukommen. Ist das nicht passiert, fragen Sie nach.

Was Sie darüber hinaus tun können

• Legen Sie fest, wer neue Anbindungen an Ihr Microsoft 365 freigeben darf. Nicht jeder, der ein neues Werkzeug ausprobieren möchte, sollte das können.
• Lassen Sie die Liste der angebundenen Dienste regelmäßig durchsehen und alles entfernen, was nicht mehr gebraucht wird. Abschalten allein reicht nicht.
• Klären Sie mit Ihrem Dienstleister, ob längere Protokolle für Ihren Betrieb sinnvoll sind. Davon hängt oft ab, ob sich ein Angriff später noch nachvollziehen lässt.
• Halten Sie schriftlich fest, wer für die Sicherheit Ihres Microsoft 365 zuständig ist. Die Plattform betreibt Microsoft. Für das, was darin erlaubt ist, braucht es einen Namen bei Ihnen oder in Ihrem Vertrag.