Swiss KMU Cyber-Alert: ConnectWise/SkyKick Cloud Backup – Microsoft 365 jetzt prüfen
Aktualisiert: vor 1 Tag
Update vom 21. Oktober 2026: ConnectWise hat nach eigenen Angaben am 19. Oktober sämtliche Konten und Zugangsdaten in der betroffenen Cloud-Backup-Umgebung zurückgesetzt und bereitet eine schrittweise Wiederinbetriebnahme vor. Stand 21. Oktober bleiben Cloud Backup, SaaS Security und Cloud Management jedoch ausgesetzt. Die Prüfung jedes betroffenen Microsoft-365-Mandanten bleibt erforderlich; die betroffenen App-Verbindungen dürfen erst nach einer formellen Freigabe durch ConnectWise wieder aktiviert werden.
ConnectWise bestätigt unautorisierten Zugriff auf Anwendungsidentitäten von Cloud Backup, früher SkyKick, für Microsoft 365. Die gespeicherten Backup-Archive gelten weiterhin als verschlüsselt und isoliert; ob einzelne aktive Microsoft-365-Umgebungen betroffen sind, kann der Hersteller jedoch nicht ausschliessen. Falls Ihr IT-Dienstleister diesen Backupdienst nutzt, sollte er Ihren Microsoft-365-Mandanten heute prüfen und die verfügbaren Protokolle sichern.
Was ist passiert?
ConnectWise hat die betroffenen Verbindungen deaktiviert und Cloud Backup, SaaS Security und Cloud Management vorübergehend ausgesetzt. Geplante Backups, Archivzugriff und Wiederherstellungen sind derzeit nicht verfügbar. Seit Beginn der Eindämmung am 17. Oktober 2026 um 05:00 UTC hat ConnectWise in den überwachten Umgebungen keine erfolgreiche Bedrohungsaktivität beobachtet. Das belegt jedoch nicht, dass jeder einzelne Kundenmandant unberührt blieb.
Könnte mein Unternehmen betroffen sein?
Betroffen sein können Firmen, deren Microsoft-365-Backup direkt oder über ihren IT-Dienstleister mit ConnectWise Cloud Backup beziehungsweise SkyKick betrieben wird. Auch stillgelegte oder ältere SkyKick-Verbindungen müssen berücksichtigt werden. Wenn Ihnen der Produktname nichts sagt, fragen Sie Ihren IT-Dienstleister ausdrücklich nach ConnectWise Cloud Backup, SkyKick Cloud Backup oder SkyKick Cloud Manager.
Was sollten Sie jetzt tun?
Feststellen, ob eine der betroffenen ConnectWise-/SkyKick-Anwendungen im eigenen Microsoft-365-Mandanten vorhanden ist, und sie bis zur offiziellen Freigabe deaktiviert lassen.
Entra- und Microsoft-365-Anmelde- sowie Auditprotokolle sofort sichern; knappe Aufbewahrungsfristen machen die Prüfung zeitkritisch.
Anwendungszugänge, neue Zugangsdaten, Föderationsvertrauen, Rollen, Einwilligungen, Richtlinien sowie Weiterleitungen, Posteingangs- und Transportregeln prüfen.
Den letzten erfolgreichen Sicherungsstand und die Schutzlücke während des Dienstausfalls dokumentieren; eine alternative Sicherungs- und Wiederherstellungsplanung bestätigen.
Betroffene Verbindungen erst nach formeller Wiederherstellungsanweisung von ConnectWise reaktivieren.
Wie dringend ist es?
Hoch – heute prüfen lassen. Es handelt sich um bestätigten unautorisierten Zugriff auf die Anwendungsidentitäten eines Microsoft-365-Backupdienstes. Die Backups selbst gelten derzeit nicht als kompromittiert, aber nur die Prüfung des einzelnen Mandanten kann verdächtige Änderungen oder zusätzliche Zugänge aufdecken.
Informationen für Ihren IT-Dienstleister
ConnectWise empfiehlt die Prüfung des eigenen Mandanten und jedes verwalteten Kundenmandanten, einschliesslich inaktiver SkyKick-Verbindungen. Zu beachten sind:
Prüfzeitraum: 13. Oktober 2026 bis heute; wenn Protokolle vorhanden sind, den Zeitraum bis 1. Oktober 2026 erweitern.
Verdächtige IP-Adresse: 144.172.64.128. Ein Treffer ist ein Prüfhinweis, aber allein kein Beweis für eine Kompromittierung.
Beobachtete User-Agents: Python-urllib/3.12 und python-requests/2.31. Auch diese Merkmale sind allein kein Beweis.
Die sieben am 17. Oktober 2026 um 07:00 UTC deaktivierten Anwendungsidentitäten sind nachstehend aufgeführt.
ConnectWise Cloud Backup — 506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise Cloud Management — 2399d300-6fca-4e6a-a686-399fefe75b83
Cloud Management - MS Teams — 24205314-2b89-4e07-a2a4-579e898a5640
Cloud Management - Exchange Online — b78f6a77-d4e5-46fb-87e5-d1648bd02519
Cloud Management - MS Graph — 0de14c77-b9b0-4137-9360-34878a929827
Cloud Management - Partner Center — 412dcf96-176d-4b3a-a1b0-4981ad66971e
Cloud Management - SharePoint Online — b2b55f5b-7758-4719-8d8f-88ae172e6bdb
