Wenn der Lieferanten-Hack Ihr Hack wird

Die meisten Sicherheitstipps setzen voraus, dass der Angreifer durch Ihre eigenen Systeme kommt: ein veraltetes Plugin, ein schwaches Passwort, ein fehlender Header. Diese Woche hat einen anderen Weg gezeigt, und es ist der Weg, dem kleine Unternehmen am stärksten ausgesetzt sind. Die Angreifer haben ihre Opfer nicht aufgebrochen. Sie sind durch eine Tür hineingegangen, die den meisten Opfern gar nicht bekannt war: eine Anwendungsberechtigung, die einst einem Softwareanbieter erteilt wurde.

Was bei ConnectWise passiert ist

ConnectWise ist ein großes IT-Management-Unternehmen. Eines seiner Produkte, Cloud Backup (früher als SkyKick bekannt), wird von IT-Dienstleistern genutzt, um die Microsoft-365-Daten ihrer Kunden zu sichern: Postfächer, Dateien, Teams und Verzeichnisdaten. Für diese Aufgabe hält die Anwendung in jeder Organisation, in der sie installiert ist, sehr weitreichende Berechtigungen.

Eine hochsensible Anwendungsberechtigung fiel in feindliche Hände. Damit konnten sich die Angreifer als die Anwendung selbst authentifizieren. Kein Passwort, keine Multi-Faktor-Aufforderung, keine Phishing-Mail: eine Maschine-zu-Maschine-Anmeldung, die für die Plattform exakt wie der legitime Backup-Dienst aussah, der seine Arbeit macht.

Microsoft ordnet die Kampagne Storm-0940 zu, einem China-staatsnahen Akteur. Was danach geschah, zeigt, wohin sich Angriffswerkzeuge entwickeln: Die Gruppe nutzte ein Open-Source-Agenten-KI-Framework (ARTEX), um Anmeldeversuche bei mehr als 2.250 Microsoft-365-Tenants zu starten, mit einem Höhepunkt von rund 2.900 Versuchen pro Minute. In einigen Fällen, so Microsoft, erreichten die Angreifer privilegierten Cloud-Zugriff weniger als drei Stunden nach dem ersten Angriff auf ein Ziel. Das Sicherheitsunternehmen Huntress bestätigte unbefugte Anmeldungen in 173 Tenants. ConnectWise nahm den Backup-Dienst am 17. Oktober vom Netz, die Untersuchung läuft weiter.

Der Umfang des Zugriffs ist der Teil, über den jedes Unternehmen kurz nachdenken sollte: Die kompromittierte Anwendung konnte E-Mails, Dateien und Verzeichnisdaten lesen. In einigen Tenants gingen die Angreifer weiter und änderten Anwendungsberechtigungen und Rollenzuweisungen, um eine Hintertür zu hinterlassen, die eine Bereinigung des ursprünglichen Vorfalls überstehen kann.

Warum ein einziger Lieferantenschlüssel tausende Türen öffnet

Unternehmen investieren Jahre in die Härtung menschlicher Anmeldungen: Passwort-Manager, Multi-Faktor-Authentifizierung, bedingter Zugriff. Aber Drittanbieter-Anwendungen authentifizieren sich als Anwendungen. Sie halten Berechtigungen, keine Passwörter, und sie bekommen keine MFA-Aufforderung. Eine Zustimmung, die einmal erteilt wurde, vielleicht vor Jahren, funktioniert weiter, bis sie jemand aktiv widerruft.

Das ist die strukturelle Lektion dieses Vorfalls. Ihre Sicherheitslage ist nicht nur die Summe Ihrer eigenen Kontrollen. Sie umfasst jede Software, die jemals Zugriff auf Ihre Umgebung erhalten hat, und die Sicherheit des Unternehmens hinter jeder davon. Keine der betroffenen Organisationen hat sich dafür entschieden, angegriffen zu werden, und die meisten hätten die interne Behandlung von Berechtigungen beim Anbieter nicht prüfen können, selbst wenn sie es wollten.

Dasselbe Muster, in jeder Branche

Das ist keine Einzelfallgeschichte. Tage nach der ConnectWise-Meldung berichtete das koreanische Softwareunternehmen Duzon Bizon, dessen Buchhaltungs- und Steuerprodukte von rund 110.000 kleinen und mittleren Unternehmen genutzt werden, von einem eigenen Vorfall: Die Angreifer kamen über das VPN-Konto eines einzelnen Mitarbeiters herein, und zu den gefährdeten Daten gehören Lohnlisten, Umsatz- und Steuerunterlagen der kleinen Firmen, die von der Software abhängen.

Der gemeinsame Nenner ist Konzentration. Kleine Unternehmen arbeiten mit einer Handvoll Lieferanten: Buchhaltungssoftware, Backups, Hosting, ein IT-Dienstleister. Kompromittiert man einen Lieferanten, erreicht man tausende KMU auf einmal, jedes vertraut Software, die es nicht prüfen kann. Für einen Angreifer ist das eine Hebelwirkung, die kein einzelnes kleines Unternehmen bieten könnte.

Was Sie tatsächlich kontrollieren können

Sie können die Infrastruktur Ihres Anbieters nicht patchen. Vier Dinge liegen in Ihrer Reichweite, und sie entsprechen genau dem, was diese Woche passiert ist:

1. Wissen Sie, welche Apps Zugriff haben. Erstellen Sie ein Inventar der Drittanbieter-Anwendungen, die mit Ihrer Microsoft-365- oder Google-Workspace-Umgebung verbunden sind, inklusive der Berechtigungen, die sie halten. Entfernen Sie, was Sie nicht mehr nutzen: Eine Integration, die Sie vor einem Jahr eingestellt haben, kann heute noch volle Berechtigungen haben.
2. Erteilen Sie minimale Berechtigungen und behandeln Sie Lieferanten-Integrationen wie privilegierte Konten. Minimale Berechtigungen, regelmäßige Zugriffsüberprüfungen und ein erprobter Weg, Zugriff schnell zu widerrufen. Wenn ein Lieferant Ihre Postfächer lesen muss, verdient diese Verbindung dieselbe Prüfung wie ein Administratorkonto.
3. Stellen Sie Ihren kritischen Lieferanten die harten Fragen, bevor Sie müssen. Wie schützen sie die Berechtigungen, die den Zugang zu Ihrer Umgebung ermöglichen? Verpflichten sie sich, Sie nach einem Vorfall zu informieren, und wie schnell? Wie sieht ihre Vorfallshistorie aus? Diese Fragen werden im Einkauf zunehmend normal, und NIS2 macht Lieferkettensicherheit zu einem ausdrücklichen Teil der Risikomanagementpflicht für betroffene Organisationen.
4. Beobachten Sie Ihre Lieferanten von außen. In die Cloud eines Anbieters können Sie nicht hineinsehen, aber Sie können ihre öffentliche Haltung beobachten. Ein abgelaufenes TLS-Zertifikat, eine plötzliche DNS-Änderung oder ein Blocklisten-Eintrag bei einem kritischen Lieferanten sind frühe Anzeichen, dass auf ihrer Seite etwas nicht stimmt, und genau diese Signale kann eine externe Überwachung für Sie erfassen.

Wie Noroshi Ihnen hilft

Die Lieferanten-Überwachung von Noroshi erlaubt es Ihnen, die Domains der Lieferanten zu registrieren, von denen Ihr Unternehmen abhängt, und prüft jede davon kontinuierlich: Security-Header, TLS-Zertifikat, DNS-Posture und Abuse-Blocklisten, mit Alarmen, wenn sich etwas ändert. Das ist ein Frühwarnbild der Unternehmen hinter Ihrem Betrieb und eine dokumentierte Grundlage für Lieferketten-Prüfungen, auch im Kontext von NIS2.

Um die Grenzen klar zu sagen: Keine externe Überwachung hätte diesen konkreten Diebstahl einer Anwendungsberechtigung verhindert, und so tun wir auch nicht. Was die Lieferanten-Überwachung bietet, ist Sichtbarkeit der Risiken, die man von außen sehen kann, und ein gepflegtes, prüfungsbereites Bild davon, wer Ihre kritischen Lieferanten überhaupt sind. Dieses Inventar ist die erste Frage, die jeder Auditor, jede Versicherung und jeder Incident-Responder stellen wird.

Richten Sie Lieferanten-Überwachung für Ihr Unternehmen ein →

Fragen und Antworten

Wie erfahren Sie, ob Ihre Organisation vom ConnectWise-Vorfall betroffen ist?

Nur wenn Ihre Organisation ConnectWise Cloud Backup (früher SkyKick) nutzt, in der Regel eingerichtet durch Ihren IT-Dienstleister. Fragen Sie Ihren IT-Partner oder prüfen Sie das Microsoft-Entra-Admincenter auf die betroffenen Unternehmensanwendungen. Microsoft rät betroffenen Organisationen, diese Verbindungen deaktiviert zu lassen, bis es Wiederherstellungsanweisungen gibt, und die Anmeldeaktivität ab Mitte Oktober bis zum Monatsanfang zu prüfen, soweit die Aufzeichnungen das erlauben.

Schützt Multi-Faktor-Authentifizierung vor dieser Art von Angriff?

In diesem Fall nicht. Die Angreifer haben kein Passwort gephisht und keine MFA-Aufforderung überwunden: Sie haben sich als die Anbieteranwendung selbst angemeldet, mit einer gestohlenen Anwendungsberechtigung. MFA schützt menschliche Anmeldungen. Berechtigungen von Drittanbieter-Apps sind eine separate Angriffsfläche, die eine eigene Prüfung braucht.

Wie sehen Sie, welche Drittanbieter-Apps auf Ihr Microsoft 365 oder Google Workspace zugreifen können?

In Microsoft 365 kann eine Administratorin oder ein Administrator die Unternehmensanwendungen im Entra-Admincenter auflisten, inklusive der Berechtigungen jeder App. In Google Workspace zeigt die Admin-Konsole den App-Zugriff unter den Sicherheitseinstellungen. Beides sollte regelmäßig geprüft werden: ungenutzte Apps entfernen und breite Berechtigungen wo möglich reduzieren.

← Zurück zum Blog

---

Geschrieben von David Hildering, dem Ingenieur hinter Noroshi. Mehr über Noroshi.