ConnectWise-Vorfall zeigt: MFA schützt nicht vor App-Berechtigungen

Aktivierte Multi-Faktor-Authentifizierung für jeden Mitarbeiter schützt nicht automatisch vor einem kompromittierten Drittanbieter mit weitreichenden App-Berechtigungen in Microsoft 365. Genau das zeigt der ConnectWise-Vorfall dieser Woche: Angreifer kamen nicht über eine Benutzeranmeldung in Tenants hinein, sondern über eine bereits autorisierte Anwendung.

Das Wichtigste in Kürze

• ConnectWise sperrte am 17. Oktober 2026 den Kundenzugriff auf seinen Cloud-Backup-Dienst, nachdem Angreifer über eine kompromittierte Anwendungsidentität auf Microsoft-365-Tenants zugegriffen hatten.
• Microsoft bestätigte unbefugte Authentifizierungsversuche ab dem 15. Oktober 2026 und ordnete den Vorfall als Supply-Chain-Angriff auf die OAuth-Anwendung „ConnectWise Cloud Backup“ ein.
• Benutzer-MFA griff hier nicht, weil der Zugriff über eine Anwendungsidentität mit bereits erteilten Berechtigungen erfolgte, nicht über eine interaktive Anmeldung.
• Wer ConnectWise Cloud Backup oder frühere SkyKick-Integrationen einsetzt, muss jetzt Entra-Logs, App-Berechtigungen und Service-Principal-Aktivitäten prüfen.
• Parallel diese Woche: ein Zero-Day in BeyondTrust Remote Support und ein großer Microsoft-Patchday mit einer aktiv ausgenutzten Windows-Lücke.

Wie Angreifer MFA umgingen, ohne sie zu brechen

Am 17. Oktober 2026 sperrte ConnectWise den Zugriff auf seinen Cloud-Backup-Dienst, nachdem Angreifer über eine kompromittierte Anwendungsidentität Microsoft-365-Tenants erreicht hatten (BleepingComputer). Microsoft bestätigte unbefugte Authentifizierungsversuche ab dem 15. Oktober 2026 und bezeichnete den Vorgang als Supply-Chain-Attacke gegen die vertrauenswürdige OAuth-Anwendung „ConnectWise Cloud Backup“ mit der App-ID 506e08f9-6e9a-4da4-942b-a099a03644ae (The Hacker News).

Entscheidend ist der Weg, über den der Zugriff erfolgte: Die Angreifer nutzten bereits erteilte Anwendungsberechtigungen, nicht die Anmeldedaten einzelner Benutzer. Als besonders kritisch gilt dabei die Berechtigung Directory.ReadWrite.All, die weitreichende Änderungen an Verzeichnisobjekten erlaubt. Zusätzlich war Zugriff auf Exchange-Online-Postfächer, OneDrive- und SharePoint-Dateien sowie Teams-Inhalte möglich. ConnectWise widerrief die betroffenen Herstellerzertifikate am 17. Oktober um 07:00 UTC – diese Maßnahme ändert jedoch nicht automatisch die Enterprise-Application-Konfiguration im jeweiligen Kundentenant (DecryptionDigest).

Warum Benutzer-MFA hier nichts half

Benutzer-MFA schützt die interaktive Anmeldung eines Menschen. Eine Anwendung meldet sich dagegen typischerweise über Client-Secret oder Zertifikat an – ohne Benutzeranmeldung und damit regelmäßig auch ohne MFA-Abfrage. Ein Service Principal repräsentiert die Anwendung im Tenant; wer den Anwendungsnachweis kontrolliert, kann im Rahmen der erteilten Rechte Tokens anfordern, unabhängig davon, wie gut die Benutzerkonten abgesichert sind.

Typische Fehleinschätzungen in der Praxis: MFA wird als Schutz für alle Identitäten verstanden, obwohl Service Principals eigene Identitäten mit eigenen Risiken sind. Conditional-Access-Regeln greifen meist primär für Benutzer, nicht gleichwertig für Workload-Identitäten. App-Consents werden einmal genehmigt und danach selten erneut geprüft. Backup- und RMM-Anwendungen erhalten aus Bequemlichkeit dauerhaft globale Berechtigungen. Und das Widerrufen von Benutzersitzungen wird fälschlich als vollständige Eindämmung verstanden – Application-Tokens bleiben davon unberührt.

Was du in Microsoft Entra jetzt prüfen musst

Im Microsoft Entra Admin Center unter Enterprise Applications nach „ConnectWise“, „SkyKick“ und weiteren RMM-, Backup- oder Security-Anbietern suchen (Quisitive). Für jede gefundene Anwendung Properties, Permissions, Owners, zugewiesene Benutzer und Gruppen sowie Audit- und Sign-in-Logs kontrollieren. Für organisationsweit erteilte Rechte ist der Reiter Admin Consent maßgeblich; dort lassen sich nicht mehr benötigte Berechtigungen über die Funktion „Revoke permission“ entziehen (Microsoft Learn). Wichtig: Die Prüfung muss tenantweit erfolgen, nicht nur im zentralen MSP-Tenant, da eine Deaktivierung beim Anbieter die lokale Tenant-Konfiguration nicht automatisch anpasst.

Was jetzt zu tun ist:

Heute:

• In Entra ID → Enterprise Applications nach ConnectWise und SkyKick suchen und betroffene Anwendungen deaktivieren.
• Service-Principal-Anmeldungen und Audit-Logs seit dem 13. Oktober auf ungewöhnliche IP-Adressen, neue Credentials oder Consent-Änderungen prüfen.

Diese Woche:

• Admin Consents aller Drittanbieter-Apps mit weitreichenden Rechten, insbesondere Directory.ReadWrite.All und Mail-/Datei-Zugriff, überprüfen und nicht benötigte widerrufen.
• Zertifikate und Client Secrets rotieren, kompromittierte App-Registrierungen neu bewerten oder löschen.
• Mailbox-Regeln, Weiterleitungen, Delegationen sowie SharePoint-, OneDrive- und Teams-Aktivitäten auf Auffälligkeiten prüfen.

Mittelfristig:

• Ein Inventar aller Drittanbieter-Apps mit App-ID, Owner, benötigten Rechten, Credential-Typ und Rotationsintervall führen.
• Least-Privilege für App-Berechtigungen durchsetzen und globale Rechte wie Directory.ReadWrite.All vermeiden.
• Service-Principal-Sign-ins und Consent-Änderungen dauerhaft überwachen, statt sie nur punktuell zu prüfen.

Außerdem wichtig in dieser Woche

BeyondTrust forderte am 16. Oktober 2026 Kunden auf, eine kritische Schwachstelle in Remote Support zu beheben, die seit Ende August 2026 in Zero-Day-Angriffen ausgenutzt wurde (BleepingComputer). Remote-Support-Systeme besitzen typischerweise weitreichende administrative Funktionen und sind oft für externe Dienstleister erreichbar – eine Kompromittierung kann direkten Zugriff auf Endgeräte und interne Netze eröffnen. Handlungsschritt: Instanzen identifizieren, Advisory und Fixes priorisiert einspielen, externe Management-Schnittstellen bis dahin einschränken.

Am 13. Oktober 2026 veröffentlichte Microsoft Updates für 1.411 Schwachstellen, darunter eine aktiv ausgenutzte Lücke in der Windows Shell (CVE-2026-96951), über die sich die Mark-of-the-Web-Schutzfunktion umgehen ließ, sowie zwei öffentlich bekannte Zero-Days in .NET Framework und MessagePack-CSharp (BleepingComputer). Handlungsschritt: Updates priorisiert testen und ausrollen, betroffene Systeme inventarisieren und nach der Verteilung auf ungewöhnliche Prozessstarts prüfen.

Einordnung aus Sicht von jalotiqo

Der ConnectWise-Vorfall zeigt, wie wichtig ein aktuelles, zentrales Inventar von App-Berechtigungen und Sicherheitskontrollen ist, aus dem sich im Ernstfall schnell ableiten lässt, welche Anwendung welche Rechte besitzt. In jalotiqo ONE liegen IT-Inventar, Lizenzen und Sicherheitskontrollen in derselben Datenbasis, sodass eine solche Prüfung nicht an vier getrennten Werkzeugen scheitert. Für die Nachweisführung gegenüber Prüfern – etwa im Rahmen von NIS2 Art. 21 – kann der BSI-Leitfaden zur NIS-2-Dokumentation als Orientierung dienen.

Quellen

1. BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply chain attack
2. The Hacker News: Hackers use compromised ConnectWise app
3. The Hacker News: ConnectWise suspends Cloud Backup after breach
4. DecryptionDigest: ConnectWise Cloud Backup supply chain attack
5. Quisitive: ConnectWise attack identification instructions
6. Microsoft Learn: Manage application permissions
7. BleepingComputer: Microsoft October 2026 Patch Tuesday