ConnectWise meldete am 22. Oktober 2026 im Trust Center, dass die gestaffelte Wiederherstellung von Cloud Backup weiter vorankommt. Bei jedem Schritt läuft eine Sicherheitsprüfung. Partner sollen betroffene Verbindungen deaktiviert lassen, bis ConnectWise formelle Anweisungen für den jeweiligen Dienst veröffentlicht. Angaben zur Verfügbarkeit und zum Wiederverbinden wollte das Unternehmen erst nach Bestätigung geben.
NeoTeo berichtete zuvor über die Abschaltung von Cloud Backup. Der aktuelle Stand betrifft die Wiederherstellung des Dienstes und die getrennte Prüfung der einzelnen Microsoft-365-Umgebungen.
Was die Wiederherstellung für Partner bedeutet
Der Fortschritt bei der Wiederherstellung ist keine Freigabe zum Wiederverbinden. ConnectWise kündigte am 22. Oktober ein weiteres Update bis zum 23. Oktober um 01:00 UTC an.
ConnectWise erklärte außerdem, es gebe keine Hinweise darauf, dass andere Produkte, Dienste oder Angebote des Unternehmens von diesem Vorfall betroffen seien. Das ist die Einschätzung des Unternehmens vom 22. Oktober.
Was Huntress’ Zahlen aussagen
Huntress prüfte Anmeldungen in mehr als 10.000 Mandanten mit ConnectWise-Anwendungen und meldete verdächtige Aktivität in mehr als 1.000 Microsoft-Mandanten. Mehr als 300 Anmeldungen wirkten erfolgreich. Huntress zufolge erfolgten einige dieser scheinbar erfolgreichen Anmeldungen in Mandanten, in denen die Anwendung gar nicht vorhanden war. Die Zahl bezeichnet daher weder bestätigte Zugriffe noch eine Zahl kompromittierter Mandanten.
Die sieben aufgeführten Anwendungsidentitäten
ConnectWise führt sieben Anwendungsidentitäten auf, die Administratoren bei der Prüfung ihrer Microsoft-365-Umgebungen berücksichtigen sollen. Ältere Installationen können SkyKick-Namen anzeigen. Die Client-ID hilft, die jeweilige Anwendung eindeutig zuzuordnen.
| Anwendungsidentität | Client-ID |
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Warum Deaktivieren keine Bereinigung ersetzt
Das Deaktivieren einer betroffenen Verbindung verhindert neue Anmeldungen über diese Verbindung. Es macht jedoch keine Änderungen rückgängig, die möglicherweise bereits im Mandanten vorgenommen wurden. Bereits ausgegebene Zugriffstoken können bis zu ihrem Ablauf oder ihrer Ungültigmachung weiter nutzbar sein.
ConnectWise empfiehlt deshalb, Dienstprinzipal-Anmeldungen, Anwendungsanmeldedaten und -berechtigungen, Verzeichnisrollen und Einwilligungen zu prüfen. Zur Prüfung gehören auch Verbundvertrauensstellungen, Postfachregeln und Weiterleitungen sowie andere Identitäten oder Richtlinien, die während verdächtiger Aktivitäten geändert wurden.
ConnectWise zufolge waren die vorhandenen Backup-Archive weiterhin verschlüsselt, isoliert und erhalten; das Unternehmen sah keine Anzeichen für eine Beeinträchtigung dieser Archive. Zugleich hält ConnectWise die Prüfung der einzelnen Microsoft-365-Umgebungen für erforderlich.
