ConnectWise erklärt in einem Update vom 17. Oktober 2026, den Zugriff der Anwendung Cloud Backup abgeschaltet zu haben. Dadurch werde der Backup-Betrieb unterbrochen; das bestehende Cloud-Backup-Archiv sei von dieser Unterbrechung nicht betroffen und nach Wiederherstellung des Dienstes wieder zugänglich. Huntress zufolge gab es unbefugte Anmeldungen in 173 Partner- und Kundentenants – die Zahl beschreibt Anmeldungen, nicht nachgewiesene Datenabflüsse aus jedem Tenant.
Was die 173 Anmeldungen erfassen
Eine erfolgreiche Anmeldung der Anwendung stellt ein Zugriffstoken für Microsoft Graph aus. Das belegt zunächst die Authentifizierung der Anwendung. Welche Microsoft-365-Daten sie erreichen konnte, hing von den Berechtigungen ab, die im jeweiligen Tenant erteilt worden waren. Dazu konnten E-Mails und Anhänge, OneDrive- und SharePoint-Dateien, Teams-Chats sowie Verzeichnisdaten gehören; einige Berechtigungen erlaubten auch Schreib- und Wiederherstellungsvorgänge.
Die am 16. Oktober veröffentlichte Untersuchung von Todyl beschreibt, was sich in den von dem Unternehmen überwachten Tenants zu Lesezugriffen feststellen ließ. Bei Tenants ohne aktives Backup-Abonnement fand Todyl nach der Token-Ausstellung keine Lesevorgänge bei Postfächern oder Dateien. Bei aktiven Abonnements ließen sich protokollierte Lesezugriffe nicht der unbefugten Nutzung oder dem regulären Backup-Betrieb zuordnen: Beide liefen über dieselbe Anwendungsidentität. Todyl erläutert auch die Grenzen der verfügbaren Protokolle: Wo Microsoft-Graph-Aktivitätsprotokolle nicht erfasst worden waren, standen keine IP-Adressen einzelner API-Anfragen zur Verfügung.
Zwei Apps, getrennte Beobachtungen
Huntress beschreibt zwei unterschiedliche ConnectWise-Anwendungen und ordnet sie zeitlich getrennten Aktivitäten am 15. Oktober zu. Die Beobachtungen sind nicht zu einem gemeinsamen Vorgang zusammengefasst; Huntress hatte die beiden Phasen keinem gemeinsamen Akteur zugeordnet. Die Analyse von Huntress enthält die Zeitangaben und Anwendungskennungen.
| Zeitpunkt (UTC) | Beobachtetes Ereignis | Anwendung und Umfang |
| 15. Oktober, ab 01:58 | Dienstprinzipale von ConnectWise-Cloud-Management-Anwendungen wiesen sich in etwa 50 von Huntress überwachten Tenants Verzeichnisrollen zu, überwiegend Exchange Administrator. | ConnectWise Cloud Management-Anwendungen; rund 50 überwachte Tenants. |
| 15. Oktober, 03:44–03:49 | Eine App wies sich in einem Tenant die Rolle Global Administrator zu und änderte Anmeldedaten für zwei weitere Anwendungen. Von neun Änderungen waren sechs erfolgreich, drei schlugen fehl. | ConnectWise Cloud Management - MS Teams, Anwendungs-ID 24205314-2b89-4e07-a2a4-579e898a5640; betroffen waren eine MSP-Verwaltungsanwendung und die Huntress-Anwendung. |
| 15. Oktober, 06:13–08:34 | Huntress beobachtete Authentifizierungen der Cloud-Backup-Anwendung für Microsoft Graph von 144.172.64[.]128. | ConnectWise Cloud Backup, Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae. |
| 17. Oktober, 05:01 | ConnectWise teilt mit, den App-Zugriff abgeschaltet zu haben; der Backup-Betrieb werde dadurch unterbrochen. | Update von ConnectWise; das bestehende Archiv sei von der Unterbrechung nicht betroffen. |
ConnectWise Cloud Management - MS Teams ist nicht dieselbe Anwendung wie ConnectWise Cloud Backup. Ältere Tenants können für die Teams-App den Namen SkyKick Cloud Manager - MS Teams anzeigen. Huntress hatte für die frühere Teams-Aktivität keine Quelladresse und ordnete sie der späteren Cloud-Backup-Authentifizierung nicht demselben Akteur zu.
Wo Administratoren die Anmeldungen finden
ConnectWise nennt in seinem Update vom 17. Oktober den Pfad Monitoring → Sign-in logs → Service principal sign-ins in Microsoft Entra. Dort lässt sich nach der Anwendungs-ID 506e08f9-6e9a-4da4-942b-a099a03644ae filtern. Die Standardansicht User sign-ins zeigt die hier relevanten Anmeldungen von Dienstprinzipalen – technischen Identitäten von Anwendungen – nicht an.
Todyl zufolge verhindert das Deaktivieren der Anwendung neue Token-Ausstellungen. Bereits ausgestellte Token können jedoch noch bis zu 90 Minuten gültig sein. Das ist relevant, wenn ein Administrator eine App-Identität deaktiviert: Die Maßnahme stoppt keine Token, die zuvor ausgegeben wurden.
Microsoft hält in seiner Dokumentation zu Conditional Access für Workload-Identitäten fest, dass die dort beschriebenen Richtlinien Microsoft- und Drittanbieter-SaaS-Anwendungen nicht abdecken, darunter mandantenübergreifende Apps.
Ein Kommentator im Forum r/msp, u/Emergency_Recipe522, lenkte die Aufmerksamkeit auf vergessene Drittanbieter-Integrationen, die in Kundentenants weiterhin Zugriff haben könnten. Der Beitrag empfiehlt, neben Benutzerkonten auch Anwendungsidentitäten und deren Berechtigungen zu überprüfen. Beitrag im Forum r/msp.
