Microsoft-365-Backup: Fünf Fragen nach dem SkyKick-Vorfall

Am 15. Oktober 2026 hat sich eine Backup-Anwendung in fremde Microsoft-365-Umgebungen angemeldet, und zwar nicht in eine, sondern in viele. Benutzt wurde der Zugang des Dienstes ConnectWise Cloud Backup, den viele noch unter seinem früheren Namen SkyKick kennen. Dieser Beitrag beantwortet die Frage, die sich Geschäftsführungen jetzt stellen: Was heißt der SkyKick-Vorfall für unser Unternehmen, und was frage ich meinen Anbieter für Microsoft-365-Backup?

Alle Angaben zum Vorfall stammen aus den verlinkten Quellen, Stand 19.10.2026. Die Untersuchung läuft noch.

Der SkyKick-Vorfall: Was bisher bekannt ist

ConnectWise Cloud Backup sichert Postfächer, Dateien und Teams aus Microsoft 365. Dafür ist in jeder Kundenumgebung eine Anwendung des Herstellers eingetragen, der der Kunde Rechte erteilt hat. Am 15. Oktober meldete sich diese Anwendung laut der Analyse von SpecterOps zwischen 06:13 und 08:34 Uhr UTC von der Adresse eines Hosting-Anbieters aus bei Kunden an, im Abstand weniger Sekunden. SpecterOps schließt daraus auf ein Skript, das eine Zielliste abarbeitet.

Das Sicherheitsunternehmen Huntress hat nach eigener Auswertung bis zum 16. Oktober, 19:00 Uhr UTC, fremde Anmeldungen in mindestens 162 Mandanten bestätigt. Am 17. Oktober zählte Huntress Anmeldeversuche von dieser Adresse in fast 1.000 Mandanten, davon über 300 erfolgreich. In einer Umgebung hat sich laut Huntress eine weitere ConnectWise-Anwendung selbst zum Globalen Administrator gemacht und zwei anderen Anwendungen neue Geheimnisse angehängt. Solche Geheimnisse sind ein möglicher Rückweg für den Angreifer, auch nachdem der ursprüngliche Zugang gesperrt ist.

Ob Daten abgeflossen sind, ist offen. Huntress schreibt, im einzigen Mandanten, dessen Protokolle das Team im Detail geprüft hat, seien keine Zugriffe auf Mails oder Dateien zu sehen. Das Lesen von Verzeichnisdaten hinterlasse aber keine Spur im Protokoll. Laut BleepingComputer stuft Microsoft Threat Intelligence den Fall als aktiven Angriff über die Lieferkette ein und hält es für wahrscheinlich, dass der Angreifer bereits erteilte Rechte nutzte, darunter Schreibrechte auf das Verzeichnis.

Was ConnectWise getan hat

ConnectWise hat schnell und sichtbar reagiert, und das gehört zur Wahrheit dazu. Laut dem Hinweis im ConnectWise Trust Center hat der Hersteller

• den Dienst angehalten und die Zertifikate der betroffenen Verbindungen widerrufen,
• sieben eigene Anwendungsidentitäten deaktiviert und zwei weitere Dienste vorübergehend vom Netz genommen,
• eine externe Forensik beauftragt und Partner per Mail und Telefon informiert.

Die gesicherten Archive sind nach Angaben des Herstellers weiter verschlüsselt, abgetrennt und erhalten. ConnectWise hat nach eigener Aussage keinen Hinweis darauf, dass jemand auf sie zugegriffen hat. Zurückholen lässt sich aus ihnen derzeit allerdings nichts, solange der Dienst angehalten ist. Wie der Angreifer an den Zugang kam, ist noch nicht geklärt. ConnectWise sagt auch offen, dass es nicht in die Umgebungen der Kunden hineinsehen und deshalb nicht selbst feststellen kann, wer betroffen ist.

Warum MFA nicht half: Es war eine App-Anmeldung

Die meisten Unternehmen haben in den letzten Jahren die Multi-Faktor-Authentifizierung eingeführt. Hier hat sie nicht gegriffen, und das ist kein Fehler der Kunden. SpecterOps bringt es auf einen Satz: MFA greift nicht, weil sich eine Anwendung anmeldet, ohne Benutzer, ohne Gerät und ohne MFA-Abfrage.

Microsoft beschreibt solche Anmeldungen über Dienstprinzipale so: Kein Benutzer ist beteiligt, die Anwendung legt ihr eigenes Zertifikat oder App-Geheimnis vor. Wer diesen Schlüssel besitzt, ist für Microsoft die Anwendung, mit allen Rechten, die ihr erteilt wurden.

Das betrifft nicht nur Backups. Jede angebundene Anwendung, vom Signaturdienst bis zur Verwaltungssoftware Ihres IT-Dienstleisters, meldet sich so an. Wie Sie diese Anwendungen finden, steht im Beitrag Microsoft 365: App-Zugriffe und Zustimmungen prüfen.

Fünf Fragen an jeden Anbieter für Microsoft-365-Backup

Ein Backup für Microsoft 365 ist kein Luxus, sondern Pflicht, denn Microsoft sichert die Plattform, nicht Ihre Daten. Der Vorfall ändert daran nichts. Er verschiebt nur die Frage: von „Haben wir ein Backup?” zu „Wie ist der Zugang unseres Backups gebaut?”. Diese fünf Fragen können Sie jedem Anbieter stellen, auch Ihrem heutigen.

1. Wo liegt der Schlüssel? Meldet sich die Backup-Anwendung mit einem Schlüssel an, den nur der Anbieter verwaltet, oder liegt die Anwendung in Ihrem eigenen Microsoft 365? Fragen Sie auch, ob es ein Geheimnis oder ein Zertifikat ist und wie oft es erneuert wird.
2. Wie viele Kunden öffnet dieser eine Schlüssel? Eine Anwendung für alle Kunden ist bequem zu betreiben. Sie bedeutet aber auch: Wer den Schlüssel hat, kommt bei allen hinein.
3. Was darf die Anwendung? Zum Sichern braucht sie Lesezugriff auf Postfächer und Dateien, zum Zurückspielen Schreibzugriff. Rechte, das Verzeichnis zu ändern oder Administratoren zu ernennen, braucht ein Backup nicht.
4. Wer bemerkt eine fremde Anmeldung? Prüft jemand, von welchen Adressen sich die Anwendung anmeldet, und wie schnell meldet er sich bei Ihnen?
5. Was geschieht mit den Daten, wenn der Dienst stoppt? Wo liegen die Sicherungen, wer hat den Schlüssel dazu, und können Angreifer sie löschen oder verschlüsseln?

Keine dieser Fragen hat eine Antwort, die jedes Risiko ausschließt. Es gibt aber Antworten, bei denen ein verlorener Schlüssel eine Tür öffnet und nicht hundert.

Wer gerade Anbieter vergleicht, findet im Vergleich von Microsoft-365-Backup-Lösungen die übrigen Kriterien wie Aufbewahrung, Wiederherstellung und Speicherort.

Und noch etwas bleibt unverändert wichtig: Ein Backup, das niemand zurückspielt, ist nur eine Vermutung. Lassen Sie sich mindestens einmal im Jahr eine Wiederherstellung vorführen, auch wenn nichts passiert ist.

Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.

Jens HagelGründer & Geschäftsführer