ConnectWise hat als Reaktion auf einen Cyberangriff einige seiner Cloud-Dienste ausgesetzt, wie ein Bericht von SecurityWeek meldet. Der Cyberangriff auf ConnectWise und die Entscheidung, die Cloud-Dienste auszusetzen, sind weit über ein einzelnes Unternehmen hinaus von Bedeutung, denn ConnectWise-Tools werden von Managed Service Providers (MSPs) und den kleinen Unternehmen, die sie betreuen, weithin genutzt.

Dieser Beitrag ist bewusst vorsichtig formuliert. Das uns vorliegende Quellmaterial bestätigt die Schlagzeile, dass ConnectWise nach einem Angriff Cloud-Dienste ausgesetzt hat, legt aber weder die Ursache noch den Umfang noch die betroffenen Kunden dar. Wir werden diese Details nicht erraten. Stattdessen folgt hier, was die Situation praktisch bedeutet und wie Sie Antworten von den Personen erhalten, die Ihre IT verwalten.

Was ConnectWise bisher bestätigt hat

Der Kern des Berichts ist einfach: ConnectWise hat Cloud-Dienste als Reaktion auf einen Cyberangriff offline genommen. Das Aussetzen eines Dienstes ist typischerweise ein Eindämmungsschritt, eine Möglichkeit, weiteren unbefugten Zugriff zu stoppen, während eine Untersuchung läuft. Es ist für sich genommen kein Beweis dafür, wie viele Kunden betroffen waren oder ob Daten entwendet wurden.

Der von uns geprüfte Artikeltext enthielt kaum mehr als die Schlagzeile, daher bleiben mehrere Fragen offen:

  • Welche konkreten Cloud-Dienste ausgesetzt wurden und für wie lange
  • Wie die Angreifer hineingelangten
  • Ob auf Kundendaten oder Kundenumgebungen zugegriffen wurde
  • Wann die Dienste voraussichtlich wieder verfügbar sein werden

Einige andere Suchergebnisse zu ConnectWise beschreiben separate Vorfälle, darunter einen mit einem kompromittierten Cloud-Backup-Zugangsnachweis und Microsoft-365-Tenants. Wir können nicht bestätigen, dass diese Berichte dasselbe Ereignis beschreiben, daher sollten sie als Kontext und nicht als gesicherte Tatsache behandelt werden. Der verlässliche Schritt ist, die eigenen Advisories von ConnectWise abzuwarten und Ihren Anbieter zu fragen, was auf Sie zutrifft.

Warum ein Ausfall eines Anbieters normale Kunden erreicht

Die meisten kleinen Unternehmen kaufen nie direkt bei ConnectWise. Sie beauftragen einen MSP, und der MSP nutzt Plattformen wie ConnectWise, um Geräte zu überwachen, Updates zu verteilen, Remote-Support zu leisten und Backups zu verwalten. Das schafft eine Kette: der Anbieter, der MSP und die vielen Kunden des MSP.

Wenn ein Anbieter in der Mitte dieser Kette angegriffen wird, können zwei Dinge gleichzeitig passieren:

  1. Betriebliche Störung. Wenn Cloud-Dienste ausgesetzt werden, kann Ihr MSP einige der Tools verlieren, die er zur Unterstützung nutzt. Ticketing, Remote-Zugriff oder Backup-Jobs könnten sich verzögern.
  2. Sicherheitsrisiko. Remote-Management-Tools verfügen über mächtigen Zugriff auf viele Kundensysteme. Wenn ein Angreifer in die Umgebung des Anbieters gelangt, stellt sich die Frage, ob dieser Zugriff stromabwärts gerichtet werden könnte.

Deshalb kann ein einzelner kompromittierter Remote-Management-Anbieter so viele Organisationen gefährden. Ein einziger Einbruch kann Hunderte von Unternehmen treffen, die den Angreifer nie zu Gesicht bekommen haben. Es passt auch zu einem breiteren Muster: unsere Berichterstattung darüber, wie Ransomware-Banden zur flächendeckenden Unterdrückung von KMU-Netzwerken übergehen, erklärt, warum kleinere Organisationen, die oft über gemeinsame Tools und Anbieter erreicht werden, attraktive Ziele sind.

So prüfen Sie, ob Ihre Anbieter betroffen waren

Möglicherweise wissen Sie gar nicht, ob Ihr Unternehmen überhaupt in der ConnectWise-Kette steckt. Ein paar Schritte helfen Ihnen, das herauszufinden:

  • Fragen Sie Ihren MSP direkt. Fragen Sie, ob er ConnectWise-Produkte nutzt und, falls ja, welche (Remote-Support, Backup, Automatisierung oder andere).
  • Prüfen Sie die Kommunikation der Anbieter. Achten Sie auf Mitteilungen von ConnectWise oder Ihrem MSP in Ihrem Posteingang, einschließlich Ihres Spam-Ordners. Seien Sie vorsichtig bei unerwarteten Nachrichten über den Vorfall, da Angreifer Sicherheitsvorfälle häufig für Phishing ausnutzen.
  • Überprüfen Sie Ihre eigenen Konten. Prüfen Sie die Anmeldeprotokolle Ihrer E-Mail- und Cloud-Produktivitätskonten auf unbekannte Standorte, neue Geräte oder unerwartete Berechtigungserteilungen.
  • Prüfen Sie den Dienststatus. Nutzen Sie offizielle Statusseiten, nicht Links in E-Mails, um die Wiederherstellung der Dienste zu verfolgen.

Wenn Sie etwas Ungewöhnliches feststellen, melden Sie es umgehend Ihrem Anbieter und dokumentieren Sie, was Sie wann gesehen haben.

Was Sie jetzt Ihren MSP oder Softwareanbieter fragen sollten

Dies ist ein guter Moment, um Fragen zu stellen, die Sie vielleicht noch nie gestellt haben. Sinnvolle Fragen sind unter anderem:

  • Waren unsere Systeme, Konten oder Backups mit den betroffenen Diensten verbunden?
  • Hat der Anbieter Ihnen mitgeteilt, dass Kundendaten oder Zugangsnachweise offengelegt wurden?
  • Müssen Passwörter, API-Schlüssel oder Zugriffstoken rotiert werden, und haben Sie dies für unsere Umgebung getan?
  • Was ist unser Ausweichplan, wenn Ihre Remote-Tools nicht verfügbar sind?
  • Wie und wann werden Sie uns informieren, wenn Sie von einer Auswirkung auf unsere Daten erfahren?

Ein guter Anbieter sollte in der Lage sein, klar zu antworten oder ehrlich zu sagen, dass er noch auf die Ergebnisse des Anbieters wartet. Unternehmen, die Vorfälle offen bestätigen, wie wir es sahen, als McKesson eine Verletzung bestätigte, nachdem Erpressungsforderungen erhoben wurden, geben Kunden etwas Konkretes, worauf sie reagieren können. Schweigen ist das Signal, stärker nachzuhaken.

Was das für Sie bedeutet

Wenn Sie ein kleines Unternehmen führen oder auf einen MSP angewiesen sind, ist die wichtigste Lehre, dass Ihre Sicherheit teilweise von Anbietern abhängt, die Sie vielleicht nie selbst ausgewählt haben. Sie können die Cloud eines Lieferanten nicht patchen, aber Sie können den Schaden begrenzen, wenn sie kompromittiert wird.

  • Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung für jedes Konto, das Ihr Anbieter berührt.
  • Halten Sie mindestens ein Backup vor, das von Ihren wichtigsten Management-Tools getrennt ist.
  • Wissen Sie, wen Sie anrufen und wie, wenn die Tools Ihres Anbieters offline gehen.
  • Rechnen Sie damit, dass Angreifer nach jeder Offenlegung schnell handeln. Forschung wie Sysdigs Dokumentation eines autonomen KI-Ransomware-Angriffs zeigt, wie schnell Eindringlinge vorankommen können, sobald sie Zugriff erlangt haben.

Wenn Sie ein einzelner Verbraucher sind, ist Ihre Betroffenheit meist indirekt, über ein Unternehmen, das Ihre Daten hält. Achten Sie auf Datenschutzverletzungsmitteilungen und seien Sie skeptisch gegenüber unerwarteten Nachrichten, die den Vorfall erwähnen.

Praktische Erkenntnisse

  • Kontaktieren Sie diese Woche Ihren IT-Anbieter und fragen Sie, ob ConnectWise-Dienste Teil Ihrer Einrichtung sind.
  • Fragen Sie, was betroffen war, was geändert wurde und ob Sie Zugangsnachweise zurücksetzen müssen.
  • Überprüfen Sie die Anmeldeaktivität Ihrer wichtigsten Geschäftskonten.
  • Schreiben Sie einen einfachen Plan für Anbieter-Sicherheitsvorfälle auf: wen Sie anrufen, was Sie trennen und wie Sie ein oder zwei Tage ohne Remote-Tools arbeiten.
  • Folgen Sie offiziellen ConnectWise- und MSP-Updates statt Gerüchten Dritter.

Der Cyberangriff auf ConnectWise und das Aussetzen seiner Cloud-Dienste entwickeln sich noch, und Details können sich ändern. Die richtigen Fragen jetzt zu stellen, bringt Sie in eine stärkere Position, unabhängig davon, was die Untersuchung ergibt. Für mehr Kontext dazu, warum kleinere Organisationen immer wieder ins Visier von Angreifern geraten, lesen Sie unseren Beitrag über Ransomware-Banden, die KMU-Netzwerke ins Visier nehmen, und wenden Sie sich noch heute an Ihren IT-Anbieter.