In einem Update vom 19. Oktober 2026 um 13:45 UTC meldete ConnectWise, dass Cloud Backup, SaaS Security und Cloud Management weiterhin ausgesetzt waren. Nicht verfügbar waren geplante Sicherungen, Archivzugriff und Wiederherstellungen sowie die Überwachung und Alarmierung von SaaS Security und die Benutzer- und Lizenzverwaltung von Cloud Management. Einen bestätigten Zeitpunkt für die Wiederaufnahme nannte das Unternehmen in seinem Statusbericht nicht.
Was über die Aktivität in Microsoft-365-Tenants berichtet wurde
Todyl beobachtete beim ConnectWise Cloud Backup eine Anmeldung über das Client-Credentials-Verfahren: Die Anwendung erhielt ein App-only-Token für Microsoft Graph, ohne dass sich ein Nutzer interaktiv anmeldete. Die App nutzte zuvor erteilte Berechtigungen, deren Umfang je Tenant variieren konnte. Laut Todyls Untersuchung umfassten sie unter anderem Lese- und Schreibzugriff auf E-Mails und Anhänge, Dateien in OneDrive und SharePoint sowie Teams-Chats.
Huntress meldete am 17. Oktober unbefugte Anmeldungen mit dem ursprünglich kompromittierten Anbieterzugang in 173 Partner- und Kundentenants. Separat berichtete der Sicherheitsanbieter von Anmeldeaktivität aus der zugehörigen IP-Adresse in fast 1.000 Entra-Tenants und von mehr als 300 erfolgreichen Anmeldungen. Diese breiteren IP-bezogenen Werte sind eine andere Messgröße als die 173 Tenants in Huntress’ Update zu unbefugten Anmeldungen. In einem Partner-Tenant beobachtete Huntress außerdem eine separate ConnectWise Cloud Management - MS Teams-Anwendung, die sich selbst die Rolle „Global Administrator“ zuwies und Geheimnisse für zwei weitere Anwendungen hinzufügte. Huntress’ Analyse beschreibt diese Vorgänge getrennt von den Cloud-Backup-Anmeldungen.
Eine frühere NeoTeo-Einordnung des Zugriffs auf Microsoft 365 finden Sie auf Deutsch und auf Spanisch.
Die Archiv-Aussage betrifft gespeicherte Sicherungen
ConnectWise erklärte am 18. Oktober, vorhandene Backup-Archive seien verschlüsselt, isoliert und erhalten; es gebe keine Hinweise darauf, dass auf sie zugegriffen wurde. Diese Aussage bezieht sich auf die gespeicherten Archive. ConnectWise kann nach eigenen Angaben nicht eigenständig feststellen, ob ein einzelner Kunden-Tenant von unbefugten Aktivitäten betroffen war.
Todyl berichtete, dass sich in überwachten Tenants mit aktiven Backups manche Lesezugriffe wegen fehlender Microsoft-Graph-Aktivitätsprotokolle nicht zuverlässig dem Angreifer oder dem normalen Backup-Betrieb zuordnen ließen. Damit blieb die Prüfung der Live-Tenants eine eigene Aufgabe für die jeweiligen Administratoren.
Was ConnectWise Partnern zur Prüfung empfiehlt
ConnectWise riet Partnern, verfügbare Anmelde- und Auditprotokolle zu sichern, betroffene Anwendungen deaktiviert zu lassen und die eigenen sowie verwalteten Kundentenants zu überprüfen. Dazu gehören Anmeldungen, Anwendungsidentitäten, Zugangsdaten, Berechtigungen, Rollen und weitere Änderungen im Tenant. Die Cloud-Backup-Anwendung hat die Microsoft-Entra-ID 506e08f9-6e9a-4da4-942b-a099a03644ae; ältere Installationen können als SkyKick Backup erscheinen.
ConnectWise meldete, am 17. Oktober sieben Anwendungsidentitäten deaktiviert zu haben. Das verhindert laut Unternehmen neue Authentifizierungen über diese Verbindungen, macht aber bereits vorgenommene Änderungen in einem Tenant nicht rückgängig. Bereits ausgestellte Tokens konnten bis zu ihrem Ablauf oder ihrer Ungültigmachung weiterhin nutzbar sein. Betroffene Anwendungen sollten bis zu den formellen Wiederherstellungs- oder Wiederverbindungsanweisungen deaktiviert bleiben.
