Microsoft beschreibt am 21. Oktober 2026 eine Storm-0940-Kampagne gegen ConnectWise-Anwendungszugänge. Der Akteur nutzte das agentische KI-Werkzeug ARTEX, um Angriffe zu beschleunigen und kompromittierte Anwendungen für Zugriffe auf Microsoft-365-Umgebungen einzusetzen. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist deshalb entscheidend, ob entsprechende Integrationen aktuell oder früher im Tenant berechtigt waren. Die Mitarbeiterzahl allein sagt nichts über eine Betroffenheit aus. Microsoft nennt konkrete Prüf- und Eindämmungsmaßnahmen; eine vorhandene Anwendung ist jedoch noch kein Nachweis eines erfolgreichen Angriffs oder eines Datenabflusses.
Was Microsoft über die Kampagne berichtet
Laut Microsoft wurden bereits erteilte Anwendungsberechtigungen und gestohlene App-Zugangsdaten missbraucht. Eine interaktive Benutzeranmeldung war dafür nicht erforderlich. In mehreren Kundenumgebungen beobachtete Microsoft anschließende Aktivitäten über Microsoft Graph, darunter Erkundung, Änderungen an Anwendungszugangsdaten und Versuche, Berechtigungen auszuweiten. Der Bericht führt die Aktivität nicht auf eine Kompromittierung oder Schwachstelle von Microsoft-Systemen zurück. Für den Betrieb von Microsoft Entra ID folgt daraus ein klarer Prüfauftrag: Nicht nur Benutzerkonten betrachten, sondern auch die Anwendungsidentitäten und deren tatsächlich ausgeführte Aktionen.
Welche Integrationen jetzt geprüft werden sollten
Microsoft fordert die Prüfung jedes Microsoft-365-Tenants, in dem betroffene Anwendungen installiert oder autorisiert sind oder früher waren. Das gilt auch bei inzwischen ungenutzten Integrationen. Suchen Sie nach den im aktuellen Microsoft-Profil angegebenen Anwendungs-IDs statt allein nach Anzeigenamen und halten Sie die tenantbezogene Service-Principal-Objekt-ID fest. Für einen ersten Überblick sind diese Punkte relevant:
- Vorhandene oder frühere ConnectWise-Anwendungen, ihr Aktivierungszustand und die erteilten Berechtigungen.
- Erfolgreiche und fehlgeschlagene Service-Principal-Anmeldungen, getrennt nach Ergebnis und untersuchtem Zeitraum.
- Ungeplante neue Zugangsdaten, Eigentümer, Zustimmungen, App-Rollen oder privilegierte Rollenzuweisungen.
- Auffällige Graph-Aktivitäten sowie ungewöhnliche Mail-, Datei- oder Weiterleitungsaktionen nach einer Anmeldung.
Fristen und Untersuchungszeitraum auseinanderhalten
Es gibt in dieser Meldung keine allgemeine Umstellungsfrist. Microsoft empfiehlt eine Untersuchung ab mindestens 15. Oktober 2026; soweit Aufzeichnungen vorhanden sind, soll die Prüfung von Service-Principal-Anmeldungen bis zum 1. Oktober zurückreichen. Das sind Untersuchungsgrenzen, keine Abschalttermine. Betroffene ConnectWise-Anwendungsverbindungen sollen bis zu formalen Wiederherstellungsanweisungen des Herstellers deaktiviert bleiben. Verfügbare Protokolle sind zu sichern, ohne dringende Eindämmung auf einen abgeschlossenen Export warten zu lassen. Die Auswirkungen auf Sicherungs- und Wiederherstellungsabläufe müssen dabei ausdrücklich bewertet werden. Eine eigenmächtige Wiederaktivierung allein zur Wiederaufnahme des Regelbetriebs wäre nicht die von Microsoft beschriebene Vorgehensweise.
Warum ein einzelner Treffer noch keinen Vorfall beweist
Microsoft unterscheidet zwischen vorhandener Anwendung, erfolgreicher Authentifizierung und nachfolgendem Ressourcenzugriff. Weder die Installation noch eine erfolgreiche Anmeldung belegt für sich einen Datenabfluss. Umgekehrt beweisen fehlende Graph-Treffer nicht, dass kein Zugriff stattgefunden hat. Anmeldungen, Berechtigungen, Auditdaten und verfügbare Ressourcenspuren müssen zusammen ausgewertet werden. Microsoft weist außerdem darauf hin, dass Service-Principal-Anmeldungen unter gleichen Bedingungen zusammengefasst erscheinen; erweitern Sie deshalb die Zeilen für einzelne Zeitstempel.
Der Bericht stellt Erkennungen und Hunting-Abfragen für Microsoft Defender bereit. Deren Ergebnisse müssen mit erlaubten administrativen Änderungen abgeglichen werden. Beschränken Sie die Untersuchung nicht auf veröffentlichte IP-Adressen. Zusätzliche vom Angreifer angelegte Zugangsdaten können auch nach der Bereinigung der ursprünglichen Anwendung bestehen bleiben. Ein unauffälliger Einzelbefund beendet daher nicht automatisch die Untersuchung. Halten Sie fest, welche Belege eine Schlussfolgerung tragen und welche Teile des relevanten Zeitraums nicht durch verfügbare Aufzeichnungen abgedeckt sind.
Konkrete nächste Schritte für betroffene KMU
Für kleine IT-Teams empfehlen wir eine dokumentierte Zuständigkeit und ein gemeinsames Untersuchungsprotokoll. Diese Organisation ist ein ReByteIT-Vorschlag; die technischen Maßnahmen folgen Microsofts Handlungshinweisen. Die Priorität liegt auf nachvollziehbarer Eindämmung und dem Erhalt der Belege, nicht auf einem pauschalen Löschen aller Integrationen. Trennen Sie Entscheidungen zum laufenden Betrieb von der Bewertung möglicher Datenzugriffe und dokumentieren Sie die Begründung für beide.
- Alle betroffenen Tenants und App-IDs aufnehmen, lokale Objekt-IDs zuordnen und autorisierte Verantwortliche benennen.
- Betroffene Verbindungen deaktiviert halten; Enterprise Applications nicht als erste Reaktion löschen, sondern Konfiguration und Beweise sichern.
- Entra-Anmelde- und Auditdaten, Microsoft-365-Auditdaten sowie bereits verfügbare Graph- und SIEM-Aufzeichnungen zusammenführen.
- Bestätigte unzulässige Zugangsdaten und Berechtigungen durch befugte Verantwortliche entfernen; bei bestätigter verdächtiger Aktivität unnötige Berechtigungen widerrufen und Zugangsdaten rotieren.
- Verbleibende unautorisierte Zugänge ausschließen, Auswirkungen auf Backup und Restore bewerten und aktuelle Herstelleranweisungen vor Wiederherstellung prüfen.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Storm-0940, ConnectWise und konkrete Schutzmaßnahmen
- Microsoft Learn: Sicherheitsüberwachung von Anwendungen und Berechtigungsänderungen
- Microsoft Learn: Service-Principal-Anmeldungen und zusammengefasste Protokolle
Im Microsoft Security Assessment unterstützen wir die technische Prüfung Ihrer Microsoft-365-Identitäten und Anwendungsberechtigungen. Grundlage sind nachvollziehbare Befunde und abgestimmte Maßnahmen, keine pauschale Behauptung einer Kompromittierung.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
