Ein Backup-Dienst wurde abgeschaltet, nachdem sein eigener Schlüssel die Kunden-E-Mails öffnete

ConnectWise hat seinen eigenen Dienst Cloud Backup am Samstag um 7 Uhr UTC abgeschaltet, und er ist weiterhin aus. Der Grund: Jemand hatte die Zugangsdaten erbeutet, mit denen sich dieser Dienst bei den Microsoft-365-Konten der Kunden anmeldet, und nutzte sie seit Dienstag still und leise.

Der Ablauf, wie ihn ConnectWise und die Sicherheitsfirma Huntress schildern, ist kurz. Skriptgesteuerte Anmeldeversuche am 13. und 14. Oktober. Echte bösartige Aktivität am 15., sämtlich von einer einzigen Adresse, 144.172.64.128. Knapp tausend Microsoft-365-Tenants sahen Versuche, rund 300 Anmeldungen glückten, und Huntress hat in 173 davon unbefugten Zugriff bestätigt. Am Samstag deaktivierte ConnectWise sieben seiner Anwendungsidentitäten auf einen Schlag, darunter Cloud Backup, Cloud Management und die Verbindungen zu Teams, Exchange Online, SharePoint und Microsoft Graph.

Jetzt der Teil, der sich zu verstehen lohnt, auch wenn Sie von ConnectWise noch nie gehört haben. Die Mehrfaktor-Anmeldung brachte nichts, weil sich niemand als Person anmeldete. Backup-Software hält einen eigenen Schlüssel zu Ihrem Postfach, und wer diesen Schlüssel hat, ist für Microsoft schlicht die Backup-Software. Mails, OneDrive-Dateien, SharePoint-Dokumente, Teams-Chats: alles lesbar. ConnectWise erklärt, die Backup-Archive selbst blieben verschlüsselt und es gebe keine Anzeichen für einen Zugriff darauf, und hat kein Datum für die Rückkehr des Dienstes genannt.

Wenn eine externe IT-Firma Ihren Arbeits-PC betreut, ist das deren Wochenende, nicht Ihres. Die Lehre für zu Hause ist einfacher: Ein Backup, das nur im Konto eines anderen existiert, ist ein gekapertes Konto davon entfernt, niemandes Backup zu sein. Die Ein-Klick-Sicherung von Tendvane kopiert Dokumente, Bilder und Desktop auf eine Festplatte, die Ihnen physisch gehört, also auf die Kopie, die den schlechten Dienstag einer anderen Firma übersteht.