Angriff über ConnectWise-Zugangsdaten: 173 Microsoft-365-Mandanten kompromittiert

Wie ein einziges kompromittiertes Dienstleister-Konto hunderte Unternehmen gefährdet – und was das für Ihre NIS2-Compliance bedeutet

Einleitung: Ein Angriff mit Signalwirkung für deutsche IT-Verantwortliche

Ein einzelnes kompromittiertes Zugangskonto – und plötzlich sind 173 Unternehmensumgebungen in Microsoft 365 ungeschützt. Genau das ist laut Sicherheitsforschern aktuell passiert: Unbekannte Angreifer haben offenbar gültige Anmeldedaten des Dienstes ConnectWise Cloud Backup (ehemals SkyKick) genutzt, um sich unbefugten Zugriff auf die M365-Umgebungen zahlreicher Kundenunternehmen zu verschaffen.

Was zunächst wie ein technisches Nischenproblem klingt, hat unmittelbare Relevanz für deutsche Unternehmen – insbesondere für solche, die Managed Service Provider (MSPs) zur IT-Verwaltung einsetzen oder selbst als MSP tätig sind. Denn der Angriff zeigt exemplarisch, wie die Lieferkette als Einfallstor genutzt wird: Nicht das Zielunternehmen selbst, sondern ein vertrauenswürdiger Dienstleister wird zur Schwachstelle.

Angesichts der seit Oktober 2024 verbindlich geltenden NIS2-Richtlinie und ihrer Umsetzung in deutsches Recht sollten IT-Verantwortliche und Geschäftsführer diesen Vorfall sehr ernst nehmen.

Technischer Hintergrund: Was steckt hinter dem Angriff?

ConnectWise Cloud Backup – was ist das?

ConnectWise Cloud Backup (vormals SkyKick) ist ein cloudbasierter Backup- und Recovery-Dienst, der speziell für Managed Service Provider entwickelt wurde. MSPs nutzen die Lösung, um Microsoft-365-Umgebungen ihrer Kunden zu sichern. Das bedeutet: Ein einziger ConnectWise-Account kann auf Dutzende oder Hunderte von Kundenmandanten zugreifen.

Genau diese Architektur macht MSP-Plattformen zu besonders attraktiven Zielen für Cyberkriminelle – ein Prinzip, das bereits beim verheerenden Kaseya-Angriff 2021 und der SolarWinds-Kampagne 2020 ausgenutzt wurde.

Wie lief der Angriff ab?

Nach aktuellen Erkenntnissen der Sicherheitsforscher verlief die Angriffskette in mehreren Schritten:

1. Kompromittierung eines ConnectWise-Dienstkontos: Angreifer gelangten in den Besitz gültiger Zugangsdaten – vermutlich durch Phishing, Credential Stuffing oder einen vorgelagerten Datenleck.
2. Missbrauch legitimer API-Verbindungen: Da ConnectWise Cloud Backup tief in die Microsoft-365-Infrastruktur der Kunden integriert ist, konnten die Angreifer über bestehende, vertrauenswürdige OAuth-Verbindungen auf fremde Mandanten zugreifen.
3. Laterale Bewegung über Mandantengrenzen hinweg: Das kompromittierte Konto diente als Sprungbrett in 173 separate M365-Umgebungen – ohne dass dabei separate Anmeldedaten der einzelnen Kundenunternehmen erforderlich waren.

Warum ist das so gefährlich?

Klassische Sicherheitskontrollen wie Multi-Faktor-Authentifizierung (MFA) auf Ebene der Endkunden greifen hier nur bedingt: Der Angreifer tritt gegenüber Microsoft 365 nicht als unbekannter Fremder auf, sondern als autorisierter Dienstleister. Das Vertrauen ist bereits etabliert – und wird missbraucht.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Lieferkettensicherheit als NIS2-Pflicht

Die NIS2-Richtlinie (EU 2022/2555), umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland, legt besonderen Wert auf die Absicherung der Lieferkette. Artikel 21 NIS2 verpflichtet betroffene Unternehmen explizit dazu, Risiken in der Lieferkette zu identifizieren, zu bewerten und zu managen.

Konkret bedeutet das: Wer MSP-Dienste wie ConnectWise Cloud Backup einsetzt, muss:

• Drittanbieter sorgfältig prüfen (Vendor Risk Management)
• Vertragliche Sicherheitsanforderungen festlegen
• Regelmäßige Audits der eingesetzten Dienstleister durchführen
• Sicherstellen, dass der MSP selbst NIS2-konforme Sicherheitsmaßnahmen umsetzt

Meldepflichten nach NIS2

Sollte ein solcher Angriff ein deutsches Unternehmen betreffen, greifen strenge Meldepflichten:

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige nationale Behörde. Bei erheblichen Sicherheitsvorfällen, die grenzüberschreitende Auswirkungen haben, ist zudem eine Meldung an ENISA vorgesehen.

Wer ist betroffen?

NIS2 erfasst Unternehmen in 18 kritischen und wichtigen Sektoren – darunter digitale Infrastruktur, IT-Dienstleistungen, Gesundheit, Energie und Transport. MSPs fallen in Deutschland in der Regel unter die Kategorie „Wichtige Einrichtungen" und unterliegen damit allen Kernpflichten der Richtlinie. Ihre Kunden in kritischen Sektoren tragen ebenfalls Verantwortung für die Sicherheit ihrer Dienstleisterkette.

7 konkrete Schutzmaßnahmen für Ihr Unternehmen

1. MFA für alle privilegierten Konten – auch bei Dienstleistern

Stellen Sie sicher, dass nicht nur Ihre eigenen Mitarbeiter, sondern auch externe Dienstleister wie MSPs MFA für jeden Zugriff auf Ihre Systeme verwenden müssen. Definieren Sie dies vertraglich und überprüfen Sie die Umsetzung regelmäßig.

2. Prinzip der minimalen Rechtevergabe (Least Privilege)

Dienstleisterkonten sollten nur jene Berechtigungen erhalten, die für ihre spezifische Aufgabe tatsächlich notwendig sind. Ein Backup-Dienst benötigt keinen Global-Admin-Zugriff. Überprüfen Sie bestehende OAuth-Verbindungen und App-Berechtigungen in Ihrem Microsoft-365-Admin-Center regelmäßig.

3. Monitoring von Drittanbieter-Aktivitäten

Implementieren Sie ein Security Information and Event Management (SIEM), das auch die Aktivitäten von Drittanbieter-Konten in Ihrer M365-Umgebung überwacht. Ungewöhnliche Anmeldezeiten, untypische geografische Standorte oder massive Datenzugriffe sollten Alarm auslösen.

4. Regelmäßige Überprüfung von OAuth-Anwendungen und -Berechtigungen

Viele Unternehmen haben im Laufe der Zeit zahlreiche externe Apps an ihre M365-Umgebung angebunden und verlieren den Überblick. Führen Sie quartalsweise Audits aller autorisierten Anwendungen durch und entfernen Sie nicht mehr benötigte Verbindungen konsequent.

5. Vertragliche NIS2-Anforderungen an Dienstleister

Ergänzen Sie bestehende MSP-Verträge um konkrete Sicherheitsklauseln: Verpflichten Sie Ihre Dienstleister zur Einhaltung von NIS2-Standards, zu regelmäßigen Penetrationstests, zur unverzüglichen Meldung von Sicherheitsvorfällen und zur Offenlegung ihres Incident-Response-Plans.

6. Zero-Trust-Architektur konsequent umsetzen

Das Grundprinzip „Never trust, always verify" ist in Zeiten von Lieferkettenangriffen wichtiger denn je. Behandeln Sie auch etablierte Dienstleister-Verbindungen als potenziell unsicher. Implementieren Sie Conditional Access Policies in Microsoft 365, die auch für API-Zugriffe von Drittanwendungen gelten.

7. Incident-Response-Plan für Drittanbieter-Kompromittierungen

Viele Incident-Response-Pläne fokussieren auf direkte Angriffe auf das eigene Unternehmen. Ergänzen Sie Ihren Plan um Szenarien, in denen ein Dienstleister kompromittiert wurde: Wie trennen Sie den Zugriff? Wer informiert wen? Wie aktivieren Sie die BSI-Meldepflicht?

Fazit: Der Angriff ist eine Warnung – handeln Sie jetzt

Der ConnectWise-Vorfall ist kein Einzelfall. Er reiht sich in eine lange Liste von Supply-Chain-Angriffen ein, die zeigen: Angreifer suchen gezielt nach dem schwächsten Glied in der Kette. Für deutsche Unternehmen ergibt sich daraus eine doppelte Verantwortung – gegenüber ihren eigenen Daten und gegenüber den Anforderungen der NIS2-Richtlinie.

Die gute Nachricht: Wer die beschriebenen Maßnahmen umsetzt und seine Dienstleisterkette aktiv managt, ist nicht nur besser geschützt, sondern auch NIS2-konform aufgestellt.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Umsetzung von NIS2-Anforderungen – insbesondere im Bereich Lieferkettensicherheit, Meldepflichten und Risikomanagement – ist komplex. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Anforderungen zu strukturieren, Dienstleister-Risiken systematisch zu bewerten und Meldeprozesse zu automatisieren. Wenn Sie noch keinen strukturierten Ansatz für Ihre NIS2-Compliance haben, ist jetzt der richtige Zeitpunkt, das zu ändern – bevor der nächste Vorfall Ihr Unternehmen trifft.

Empfehlung: Nutzen Sie GRC-Tools (Governance, Risk & Compliance), die speziell auf NIS2 und die Anforderungen des BSI ausgerichtet sind, um Ihre Lieferkette kontinuierlich zu überwachen und im Ernstfall schnell und dokumentiert reagieren zu können.