ScreenConnect angegriffen: Was Unternehmen jetzt bei ihrem IT-Dienstleister prüfen sollten

• Laut Microsoft missbraucht das Schadprogramm SCKit die Fernwartungssoftware ScreenConnect, um eigene Fernzugänge auf Geräten von Kunden zu installieren und Techniker-Arbeitsplätze anzugreifen.
• Die Kampagne begann laut Hersteller ConnectWise am 11. November 2026, Microsoft Threat Intelligence hat sie bestätigt.
• Eine Schwachstelle liegt in den Erweiterungen RMM+ in den Versionen 1.0.31 und 1.0.32, die ohne gesetzten Access Key einen leeren Schlüssel akzeptieren; der genaue Einstiegsweg ist noch nicht abschließend geklärt.
• Technikerclients ab Version 26.6.5 blockieren die Weiterverbreitung zum Techniker, sie müssen aber getrennt von der Konsole aktualisiert werden.
• Betroffene Geräte sollten nicht über ScreenConnect untersucht werden, sondern über einen getrennten Weg wie Microsoft Defender for Endpoint.

ScreenConnect, früher ConnectWise Control, ist eine weit verbreitete Fernwartungssoftware, mit der viele IT-Dienstleister die Rechner und Server ihrer Kunden betreuen. Genau diese Stellung nutzen Angreifer jetzt aus. Laut einem Bericht von Microsoft Security vom 13. November 2026 verteilt ein Schadprogramm namens SCKit über ScreenConnect eigene, nicht autorisierte Fernwartungs-Clients auf Kundengeräte, richtet sich dort dauerhaft ein und kann über die Konsole des Dienstleisters weitere verwaltete Geräte erreichen.

Die Kampagne begann laut Hersteller ConnectWise am 11. November 2026. Microsoft Threat Intelligence hat sie bestätigt und beschreibt sie als aktiv.

Microsoft beschreibt zwei getrennte Wege:

• Über die Server-Erweiterungen: Die Erweiterungen RMM+ in den Versionen 1.0.31 und 1.0.32 akzeptieren laut ConnectWise einen leeren Schlüssel, wenn kein Access Key konfiguriert ist. Angreifer können dann über die Programmierschnittstelle Befehle an Endgeräte senden, ohne sich regulär an ScreenConnect anzumelden. Ob dies der einzige Einstiegsweg der aktuellen Kampagne ist, ist laut ConnectWise noch nicht abschließend geklärt.
• Über die Techniker: Eine Komponente namens RelayTrap versucht, Schadcode auf den Arbeitsplatz eines Technikers zu übertragen, sobald dieser sich mit einem infizierten Gerät verbindet. So kann sich der Angriff vom Kunden zurück zum Dienstleister und von dort zu weiteren Kunden ausbreiten.

Betroffen sind laut Microsoft auch in der Cloud betriebene ScreenConnect-Instanzen von Dienstleistern.

ConnectWise hat bereits am 8. September 2026 eine Korrektur für die Schwachstelle CVE-2026-84869 veröffentlicht. Sie blockiert laut Hersteller den Versuch, sich vom Endgerät auf den Techniker-Arbeitsplatz weiterzuverbreiten. Geschützt sind Technikerclients ab Version 26.6.5. Wichtig: Ein Update der Konsole aktualisiert die Clients auf den Techniker-Arbeitsplätzen nicht automatisch. Jede Installation muss einzeln geprüft werden.

Außerdem sollen laut Microsoft folgende Erweiterungen deaktiviert bleiben: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link. Das Deaktivieren und ein Passwortwechsel allein entfernen aber keine bereits installierte Schadsoftware.

Auch wenn Sie ScreenConnect nicht selbst betreiben, kann Ihr IT-Dienstleister es für die Fernwartung Ihrer Geräte nutzen. Diese Fragen sollten Sie ihm jetzt stellen:

1. Nutzen Sie ScreenConnect für unsere Systeme, und war eine der genannten Erweiterungen installiert?
2. Laufen alle Technikerclients mindestens in Version 26.6.5?
3. Wurden die Protokolle zu Erweiterungen, Anmeldungen, ausgeführten Befehlen und der Toolbox geprüft?
4. Wurden Sitzungen und Zugangsdaten von einem sauberen Gerät aus widerrufen und erneuert?

Für Ihre eigene Umgebung empfiehlt Microsoft:

• Nicht über ScreenConnect untersuchen. Verdächtige Geräte über einen getrennten Weg prüfen, etwa mit Live Response in Microsoft Defender for Endpoint, und bei Bedarf isolieren.
• Defender aktiv lassen. Microsoft Defender Antivirus, Cloud-Schutz und Manipulationsschutz eingeschaltet lassen und Änderungen an Ausschlüssen prüfen. Microsoft Defender Antivirus und Defender for Endpoint verfügen über eigene Erkennungen für SCKit und seine Komponenten.
• Fernwartung inventarisieren. Eine Liste aller autorisierten Fernwartungsinstanzen führen und nicht genehmigte Software per Application Control blockieren.
• Im Zweifel neu aufsetzen. Lässt sich die Integrität eines Geräts nicht sicher feststellen, sollte es neu installiert werden.

In Microsoft Defender XDR stellt Microsoft dazu einen Threat-Analytics-Bericht und Abfragen für die erweiterte Suche bereit, die die letzten 14 Tage abdecken.

Fernwartungswerkzeuge haben weitreichende Rechte auf vielen Geräten gleichzeitig. Wer die Konsole eines Dienstleisters übernimmt, erreicht damit potenziell alle betreuten Kunden. Deshalb gehören Fernwartungszugänge in jedes Sicherheitskonzept: mit Inventar, Freigabeprozess, Protokollierung und einem Endpunktschutz, der unabhängig von der Fernwartung alarmiert. Wie das in Microsoft 365 aussieht, beschreiben wir auf unserer Seite zur Microsoft 365 Security.

Zur Klarstellung: Die InSys AG^® hat ScreenConnect nie eingesetzt.

Die InSys AG^® ist Microsoft Solutions Partner für Security. Wir prüfen mit Ihnen, ob Microsoft Defender XDR in Ihrem Tenant richtig konfiguriert ist und Fernwartungsmissbrauch erkennt. Alle Leistungen rund um Microsoft 365 finden Sie im Bereich Microsoft 365 Beratung und Security.