Wenn ein externer IT-Dienstleister Ihre PCs und Server über eine Fernwartungssoftware verwaltet, lesen Sie dies, bevor Sie heute etwas anderes tun. Eine sich rasant ausbreitende Angriffskampagne kapert Partnerkonten von ConnectWise ScreenConnect – genau jene Art von Tool, das viele Managed Service Provider (MSP) nutzen, um sich bei Kundenrechnern einzuloggen – und platziert dabei Schadsoftware in Kundenumgebungen.
Was ist passiert
Am 11. November 2026 um 22:45 UTC veröffentlichte ConnectWise eine Sicherheitswarnung, in der bestätigt wird, dass das Unternehmen von unbefugtem Zugriff auf ScreenConnect-Partnerkonten weiss, gefolgt von der Installation unautorisierter Fernzugriffssoftware in Kundenumgebungen. ConnectWise nannte fünf Drittanbieter-Erweiterungen, die mit der Aktivität in Verbindung stehen – Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link – und forderte On-Premise-Partner, die diese nutzen, auf, sie sofort selbst zu deaktivieren. Laut Berichten von The Hacker News hat ConnectWise bislang rund 400 Partnerumgebungen mit mindestens einer dieser Erweiterungen identifiziert.
Die Sicherheitsfirma Huntress beobachtete den Angriff in Echtzeit: Angreifer mit Zugriff auf cloud-gehostete ScreenConnect-Panels schickten «Run»-Befehle, die betrügerische ScreenConnect-Clients auf mindestens 288 verwalteten Endgeräten in 48 Organisationen installierten. Die Kampagne begann gegen 17:47 UTC am 11. November, und sämtliche Infektionen erfolgten innerhalb von rund 90 Minuten. Das war kein langsamer, vorsichtiger Einbruch – es war automatisiert und schnell.
Warum das schlimmer ist als eine gewöhnliche Malware-Infektion
Laut der technischen Analyse von Huntress liefert der betrügerische Client ein Toolkit namens SCKit, das vier Dinge tut, sobald es auf einem Gerät landet: Es richtet dauerhaften Fernzugriff für den Angreifer ein, fügt Ausnahmen in Microsoft Defender hinzu, damit eigene Dateien nicht gescannt werden, installiert einen zweiten, vom Angreifer kontrollierten Fernzugriffs-Client als Backup und erstellt eine geplante Aufgabe, die die legitime ScreenConnect-Installation durch die Kopie des Angreifers ersetzt – wodurch künftige Session-Cookies abgefangen werden können.
Dieser letzte Punkt ist für die Wiederherstellung entscheidend. Das Zurücksetzen des Passworts Ihres MSP entfernt dies nicht. Der Client des Angreifers tarnt sich nun als legitimer Client, mit eigenem Persistenzmechanismus, und wartet auf dem Endgerät.
Was ConnectWise seinen Partnern rät
Die Warnung von ConnectWise ist klar: Öffnen Sie keine interaktive ScreenConnect-Sitzung zu einem Gerät, das Sie für kompromittiert halten. Das kann dem Angreifer genau die Sitzung übergeben, die er bereits ausnutzt. Stattdessen sollen verdächtige Geräte mit separaten Sicherheits-Tools untersucht werden, die nicht von ScreenConnect selbst abhängen.
Was Schweizer Unternehmer heute tun sollten
- Fragen Sie Ihren IT-Dienstleister noch heute direkt: Nutzt er ConnectWise ScreenConnect, und wenn ja, nutzt er eine der fünf genannten Erweiterungen (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link)? Falls ja, müssen diese jetzt deaktiviert werden, nicht erst nach dem Wochenende.
- Verlassen Sie sich nicht allein auf ein Passwort-Reset. Wurde das Konto Ihres Anbieters kompromittiert, muss jedes betroffene Endgerät auf betrügerische Clients und das SCKit-Toolkit geprüft werden – nicht nur die Kontoebene abgesichert werden.
- Prüfen Sie Ihre Server und PCs auf unerwartete Microsoft-Defender-Ausnahmen. Neue Ausnahmeregeln, die Sie nicht selbst erstellt haben, sind ein deutliches Warnsignal.
- Fragen Sie, ob Ihr Anbieter ein unabhängiges Tool nutzt, um Ihre Geräte zu prüfen, statt sich über dasselbe potenziell kompromittierte ScreenConnect-Panel einzuloggen.
- Verwalten Sie den Fernzugriff intern statt über einen MSP, prüfen Sie Ihre eigene ScreenConnect-Installation jetzt anhand der ConnectWise-Warnung.
Genau solche schnellen, lieferkettenartigen Angriffe werden wir künftig häufiger sehen: Kriminelle greifen die Werkzeuge an, mit denen IT-Dienstleister Dutzende Unternehmen gleichzeitig erreichen, statt jedes Unternehmen einzeln anzugreifen. Wir beobachten solche Entwicklungen laufend weiter und berichten verständlich, was wirklich zu tun ist, sobald es passiert.
Wenn Sie eine zweite Meinung dazu wollen, wie Fernzugriff und Endgeräteschutz in Ihrem Unternehmen aufgesetzt sind – ob Sie bereits mit einem MSP arbeiten oder nicht – bietet das Team von Flitz.ai bei The Mejlerö Company eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung an und hilft, solide IT-Grundlagen und Automatisierung aufzusetzen, damit solche Vorfälle leichter erkannt und eingedämmt werden.
Schweiz.