Supply-Chain-Angriffe: Wenn der IT-Dienstleister fällt

Ihr Unternehmen kann die beste Firewall der Welt betreiben — wenn Ihr Backup-Anbieter, Ihr Hoster oder der IT-Dienstleister Ihrer Bank kompromittiert wird, stehen Angreifer trotzdem in Ihren Daten. Genau dieses Szenario hat sich in der vergangenen Woche gleich dreimal materialisiert: bei der Backup-Plattform ConnectWise Cloud Backup, bei einem Online-Banking-Dienstleister der abcbank und beim Hosting-Provider einer Bundestagspartei, aus dessen Systemen über 420.000 E-Mails im Netz landeten.

Für kleine und mittlere Unternehmen ist das Thema besonders heikel: Gerade KMU lagern IT-Betrieb, E-Mail, Backup und Hosting aus — und übernehmen damit unsichtbar die Sicherheitsrisiken ihrer Dienstleister. Dieser Beitrag analysiert die drei Fälle und zeigt, wie Sie Drittanbieter-Risiken systematisch in den Griff bekommen.

Drei Supply-Chain-Vorfälle in sieben Tagen

ConnectWise Cloud Backup: Angreifer im Microsoft-365-Backup

Der gravierendste Fall der Woche: Ein Angreifer verschaffte sich laut dem Sicherheitsanbieter Huntress Zugriff über die Backup-Plattform SkyKick (heute ConnectWise Cloud Backup) — und darüber potenziell auf Microsoft-365-Umgebungen von Kunden. ConnectWise setzte daraufhin Cloud Backup, SaaS Security und Cloud Management komplett aus: Backups laufen nicht, Wiederherstellungen sind nicht möglich. Am 17. Oktober wurden sieben kompromittierte Anwendungsidentitäten deaktiviert und Zertifikate widerrufen.

Besonders kritisch: Das Deaktivieren der Verbindungen entfernt keine bereits angelegten unbefugten Zugangsdaten. MSPs und deren Kunden müssen daher alle verwalteten Microsoft-365-Tenants aktiv auf ungewöhnliche Anmeldungen, neue App-Registrierungen, Berechtigungsänderungen und auffällige Postfachregeln prüfen — auch ruhende SkyKick-Verbindungen zählen. Wer Microsoft 365 über einen IT-Dienstleister bezieht, sollte jetzt schriftlich nachfragen, ob SkyKick/ConnectWise im Einsatz war und was geprüft wurde.

abcbank: Angriff über den Online-Banking-Dienstleister

Die abcbank informierte ihre Kunden am 18. Oktober, dass Unbefugte auf Systemkomponenten eines IT-Dienstleisters für das Online-Banking zugegriffen hatten. Konten und Zahlungen seien nicht betroffen, abgerufen wurden nach Bankangaben einzelne Informationen wie Mobilfunknummern; später war von einer abgeflossenen Datenliste die Rede. Der Fall illustriert ein typisches Muster: Der eigentliche Angriff trifft einen Dienstleister, die Kommunikations- und Vertrauenskrise trifft das Unternehmen, dessen Name auf dem Produkt steht.

Hosting-Provider-Leak: 421.179 E-Mails im Netz

Am 20. Oktober wurde bekannt, dass nach einem Angriff auf einen externen Hosting-Dienstleister der AfD ein 281 GB großes Archiv mit 421.179 E-Mails aus zehn Postfächern sowie Ausweisfotos, Rechnungen und Mitgliederlisten auf einer Leak-Plattform veröffentlicht wurde. Unabhängig von jeder politischen Bewertung ist der Fall lehrbuchhaft: Der Angriff im September traf nicht die Organisation selbst, sondern ihren Hoster — abgeflossen sind trotzdem ihre vertraulichsten Daten.

Die Parallele für Kanzleien, Steuerberater und Praxen liegt auf der Hand: Wer Berufsgeheimnisse (§ 203 StGB) oder Patientendaten bei Dienstleistern verarbeiten lässt, haftet für deren sorgfältige Auswahl und Überwachung — das Mandats- oder Patientenverhältnis kennt keine Ausrede „der Hoster war schuld".

Warum Angreifer auf die Lieferkette zielen

Ein erfolgreicher Angriff auf einen Dienstleister öffnet hunderte oder tausende Kundenumgebungen auf einen Schlag — der Hebel ist für Kriminelle unschlagbar. Dienstleister verfügen zudem über genau die privilegierten Zugänge (Fernwartung, Admin-Rechte, API-Verbindungen), die Angreifer sonst mühsam erbeuten müssten. Und: Die Erkennung ist schwer, denn Zugriffe über legitime Dienstleister-Konten sehen zunächst wie normaler Betrieb aus.

Der Gesetzgeber hat reagiert: NIS2 macht die Sicherheit der Lieferkette in § 30 BSIG ausdrücklich zur Pflicht. Regulierte Unternehmen müssen die Sicherheit ihrer unmittelbaren Anbieter bewerten und vertraglich absichern — Lieferkettensicherheit ist damit kein Kür-Thema mehr.

Drittanbieter-Risikomanagement in fünf Schritten

1. Transparenz schaffen

Listen Sie alle Dienstleister mit Zugriff auf Ihre Systeme oder Daten auf — inklusive der „vergessenen": Backup-Tools, Fernwartung, Webagentur, Abrechnungsdienstleister. Erfassen Sie je Dienstleister, welche Zugänge und Datenarten betroffen sind.

2. Kritikalität bewerten

Nicht jeder Lieferant braucht dieselbe Prüftiefe. Entscheidend sind zwei Fragen: Was passiert bei Ausfall? Und: Worauf hätte ein Angreifer über diesen Dienstleister Zugriff? Backup- und M365-Partner gehören fast immer in die höchste Kategorie.

3. Mindestanforderungen vertraglich verankern

Verlangen Sie nachweisbare Sicherheitsstandards (z. B. ISO 27001), Informationspflichten bei Vorfällen binnen definierter Fristen, Auftragsverarbeitungsverträge nach Art. 28 DSGVO und Audit-Rechte. Bei Neuverträgen ist das einfach — bei Bestandsdienstleistern lohnt die Nachverhandlung.

4. Zugriffe technisch begrenzen und überwachen

Dienstleister-Konten brauchen eigene Identitäten (keine Sammel-Admins), minimale Rechte, MFA und zeitliche Begrenzung. Vor allem aber: Überwachen Sie, was diese Konten tun. Ein 24/7-Monitoring erkennt, wenn ein legitimes Dienstleister-Konto plötzlich untypische Dinge tut — der einzige wirksame Schutz, wenn der Dienstleister selbst kompromittiert ist.

5. Den Ernstfall mitdenken

Nehmen Sie „Dienstleister kompromittiert" als Szenario in Ihren Incident-Response-Plan auf: Wer informiert wen? Wie trennen Sie Verbindungen? Haben Sie ein zweites, unabhängiges Backup (3-2-1-Regel), falls — wie jetzt bei ConnectWise — die Backup-Plattform selbst ausfällt?

Fazit

Die Woche vom 17. bis 24. Oktober 2026 hat gezeigt: Supply-Chain-Angriffe sind kein Konzernthema, sondern treffen über Backup-Plattformen, Banking-Dienstleister und Hoster direkt den Alltag von KMU, Kanzleien und Praxen. Wer seine Dienstleister kennt, Zugriffe begrenzt, Verträge nachschärft und das Verhalten privilegierter Konten überwacht, reduziert das Risiko erheblich — und erfüllt nebenbei eine zentrale NIS2-Anforderung.

Sie möchten wissen, welche Ihrer Dienstleister-Zugänge heute ein Risiko darstellen? Valyros unterstützt Sie gern mit einer Bestandsaufnahme — und mit einem Monitoring, das auch die Konten Ihrer Dienstleister im Blick behält.

Häufige Fragen

Wir beziehen Microsoft 365 über einen IT-Dienstleister — sind wir vom ConnectWise-Vorfall betroffen?

Möglicherweise, wenn Ihr Dienstleister SkyKick bzw. ConnectWise Cloud Backup einsetzt oder früher eingesetzt hat — auch ruhende Verbindungen zählen. Fragen Sie schriftlich nach und lassen Sie Ihren Tenant auf ungewöhnliche Anmeldungen, neue Anwendungszugriffe, Berechtigungsänderungen und auffällige Postfachregeln seit Mitte Oktober prüfen.

Haften wir, wenn unser IT-Dienstleister gehackt wird?

Die Verantwortung für personenbezogene Daten bleibt nach DSGVO beim Verantwortlichen — also bei Ihnen. Sie müssen Dienstleister sorgfältig auswählen, vertraglich binden (Art. 28 DSGVO) und kontrollieren. NIS2-regulierte Unternehmen sind zusätzlich nach § 30 BSIG zur Absicherung der Lieferkette verpflichtet. Berufsgeheimnisträger wie Kanzleien trifft über § 203 StGB eine nochmals verschärfte Sorgfaltspflicht.

Was ist die 3-2-1-Backup-Regel und warum ist sie jetzt relevant?

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, davon eine außer Haus bzw. offline. Der ConnectWise-Vorfall zeigt warum: Dort sind Cloud-Backups derzeit ausgesetzt und Wiederherstellungen nicht möglich. Wer nur eine einzige (Cloud-)Backup-Lösung hat, hat im Ernstfall keine.

Wie erkennt man einen Supply-Chain-Angriff im eigenen Netz?

Vor allem an Anomalien legitimer Konten: Anmeldungen zu untypischen Zeiten oder aus untypischen Regionen, neue App-Registrierungen und Berechtigungen, plötzliche Datenabflüsse, neue Weiterleitungsregeln in Postfächern. Da klassische Schutzmaßnahmen hier nicht greifen, ist verhaltensbasiertes 24/7-Monitoring (MDR) das Mittel der Wahl. ---

Quellen

• Borncity: Cyberangriff auf abc Bank; ConnectWise Cloud Backup-Kompromittierung (18./19.10.2026): https://borncity.com/blog/2026/10/18/cyberangriff-auf-abc-bank-connectwise-cloud-backup-kompromittierung/
• WinFuture: Hackerangriff auf AfD — offenbar über 400.000 brisante E-Mails im Netz (20.10.2026): https://winfuture.de/news,162073.html
• Heise: AfD-Leak — Mutmaßliche Täter bekennen sich: https://www.heise.de/news/AfD-Leak-Mutmassliche-Taeter-bekennen-sich-11498375.html
• Security-Insider: Cyberangriff auf Daten von Tausenden Uniklinik-Patienten (Unimed — Dienstleister-Fall aus 2026 als Kontext): https://www.security-insider.de/cyberangriff-unimed-patientendaten-unikliniken-a-994478f4f1fb9660429dd4d07a421140/