Microsoft 365 über ConnectWise kompromittiert – was KMU tun müssen

Storm-0940 hat über einen ConnectWise-Supply-Chain-Angriff Microsoft 365-Umgebungen kompromittiert – mit KI-Unterstützung, großflächig und staatlich gesteuert.

Was das für KMU konkret bedeutet:

• ConnectWise wird von vielen IT-Dienstleistern als Remote-Management-Tool eingesetzt. Wer darüber betreut wird, ist potenziell exponiert – ohne eigenes Zutun.
• Die Angreifer nutzten OAuth-Apps, um dauerhaften Zugriff auf Microsoft 365-Konten zu erhalten. Solche Berechtigungen fallen im Tagesgeschäft kaum auf.
• KI-gestützte Angriffe wie ARTEX skalieren schneller als klassische Kampagnen. Bis ein Angriff erkannt wird, sind Zugangsdaten und Daten längst abgeflossen.

Das eigentliche Problem: Die meisten KMU haben keinen Überblick darüber, welche OAuth-Anwendungen in ihrer Microsoft 365-Umgebung aktiv sind und welche Berechtigungen diese besitzen. Ein veraltetes Berechtigungskonzept und fehlendes Monitoring sind in diesem Fall kein Kavaliersdelikt, sondern ein offenes Einfallstor.

Wer ConnectWise einsetzt oder von einem Dienstleister betreut wird, der es nutzt, sollte jetzt die Anwendungsberechtigungen in Microsoft 365 auditieren und verdächtige OAuth-Apps entfernen. Wir unterstützen dabei.

Was heißt das für Ihr Unternehmen?

Sie möchten wissen, ob Sie betroffen sind und was jetzt zu tun ist? Passend dazu: IT-Sicherheits-Check oder direkt im kostenlosen Erstgespräch (30 Minuten, remote).

Quelle: Microsoft Security Blog