Wer seine Rechner von einem IT-Dienstleister fernwarten lässt, vertraut ihm den Schlüssel zum ganzen Netz an. Genau diesen Schlüssel haben Angreifer am 11. November 2026 bei mehreren Dienstleistern in die Hand bekommen: Über deren ScreenConnect-Umgebungen liefen binnen Minuten Befehle auf Hunderten Kundenrechnern, die dort eine zweite, von den Angreifern kontrollierte Fernwartung samt Schadsoftware installierten. Die Sicherheitsfirma Huntress zählt bislang mindestens 288 betroffene Rechner in 48 Organisationen. Hersteller ConnectWise bestätigt unbefugte Zugriffe auf Partnerkonten – eine Lücke in ScreenConnect selbst sieht er nach bisherigem Stand aber nicht.

Was am 11. November passiert ist

Nach Angaben von Huntress fielen dem hauseigenen Security Operations Center am 11. November gegen 17:47 Uhr UTC (18:47 Uhr MEZ) verdächtige Vorgänge auf Rechnern auf, die an mehreren verschiedenen ScreenConnect-Instanzen hingen. Alle 288 Systeme seien innerhalb von rund 90 Minuten getroffen worden, etwa ein Drittel davon in den ersten zehn Minuten. Die Befehle kamen über die ScreenConnect-Funktion „Run Command“, mit der Techniker Kommandos an viele Geräte zugleich schicken können, und liefen mit SYSTEM-Rechten. Zu den Befehlen passende Anmeldungen an den Konsolen fand Huntress nach eigener Darstellung nicht.

Huntress nennt die Zahlen ausdrücklich als Untergrenze, denn sie decken nur Organisationen ab, die Kunden von Huntress sind. BleepingComputer zitierte am 11. November aus einer ersten Warnung der Firma sechs kompromittierte Managed Service Provider (MSP). Fortlaufend nummerierte Markierungen der Angreifer deuten laut diesem Bericht darauf hin, dass weitere Dienstleister schon früher betroffen gewesen sein könnten.

ConnectWise: Verdacht fällt auf Erweiterungen von Drittanbietern

ConnectWise veröffentlichte am 11. November um 22:45 Uhr UTC einen Sicherheitshinweis und aktualisierte ihn am 12. November um 02:45 Uhr UTC. Der Hersteller schreibt darin, er habe bisher keine Hinweise auf eine Kompromittierung der eigenen Infrastruktur oder auf eine Schwachstelle in ScreenConnect gefunden. Die erste Einschätzung laute, dass die Angreifer unabhängig entwickelte Erweiterungen von Drittanbietern missbraucht haben, die Partner in ihren Umgebungen installiert hatten. Wie die Angreifer ursprünglich hineinkamen und wie groß der Vorfall ist, sei weiter Gegenstand der Untersuchung.

Konkret geht es um fünf Erweiterungen aus der RMM+-Familie:

  • Labtech Plus
  • RMM Plus
  • RMM+
  • RMM Plus Password Link
  • RMM+ Password Link

Diese Erweiterungen stellen laut ConnectWise eine Schnittstelle bereit, über die sich Befehle aus der Ferne ausführen lassen; geschützt ist sie mit einer Passphrase, die der Partner bei der Einrichtung festlegt. ConnectWise hat rund 400 Partnerumgebungen gefunden, in denen mindestens eine dieser Erweiterungen installiert war, und sie dort vorsorglich abgeschaltet, soweit der Hersteller selbst eingreifen kann. Das sind 400 Umgebungen mit installierter Erweiterung, nicht 400 bestätigte Einbrüche – darauf weist ConnectWise ausdrücklich hin. Wer ScreenConnect selbst betreibt, muss die Erweiterungen eigenhändig deaktivieren.

Huntress ergänzte seinen Bericht in der Nacht zum 12. November: Die Aktivität hänge offenbar mit RMM+ zusammen. Die Versionen 1.0.31 und 1.0.32 der Erweiterung hätten einen Fehler in der Anmeldung – habe der Administrator nie einen Zugangsschlüssel gesetzt, akzeptiere RMM+ einen leeren Schlüssel. Weil die Schnittstelle an den ScreenConnect-Benutzerkonten, Rollen und der Mehr-Faktor-Anmeldung vorbei arbeitet, würde das auch die fehlenden Anmeldespuren erklären. Bestätigt hat ConnectWise diesen Weg bisher nicht. Eine CVE-Nummer gibt es für den Vorfall nicht.

Symbolbild: weiße Netzwerkkabel an einem Verteilerfeld

Symbolbild: Netzwerkverkabelung. Foto: Inisheer / Wikimedia Commons, CC BY-SA 3.0

Die Angriffskette: zweiter Client, „RelayTrap“ und ein Wurm-Versuch

Was auf den Rechnern geschah, beschreibt Huntress unter dem Namen „SCKit“. Der per „Run Command“ verschickte Befehl lud ein Installationspaket der Angreifer nach und richtete damit still einen zweiten ScreenConnect-Client ein, der sich mit einem Server der Angreifer verbindet. Anschließend holte ein Skript ein für jeden Rechner eigens verschlüsseltes Werkzeugpaket und entpackte es nach C:\ProgramData\RelayTrap\. Eine geplante Aufgabe namens TrapWatch läuft mit SYSTEM-Rechten und wird laut den gemeldeten Indikatoren alle zehn Sekunden ausgeführt. Dazu kommen Ausnahmen im Microsoft Defender und Regeln, die Dateien blockieren, die über die temporären Ordner von ScreenConnect auf den Rechner gelangen. Der echte ScreenConnect-Dienst wird angehalten, ein nachgebauter Ersatz nutzt dessen Verbindungsdaten weiter, sodass der Rechner in der Konsole unauffällig wirkt.

Heikel ist ein zweiter Teil des Baukastens, den Huntress aus dem Code rekonstruiert hat: Verbindet sich ein Techniker interaktiv mit einem befallenen Rechner, soll über die Dateiübertragung ein Skript auf seinem Arbeitsplatz landen, das Sitzungs-Cookies aus dem Browser liest und damit die Konsole des Dienstleisters übernimmt – um von dort die nächsten Kunden zu erreichen. Hier ist die Trennung wichtig: Huntress schreibt, diese Ausbreitung habe man bisher nicht erfolgreich beobachtet, und der Versuch, Konsolen zu übernehmen, sei in allen ausgewerteten Protokollen gescheitert. ConnectWise führt die Berichte über kompromittierte Techniker-Arbeitsplätze als noch nicht bestätigt.

Einordnung: Fernwartung als Einfallstor

Angriffe über Fernwartungssoftware sind für Kriminelle attraktiv, weil ein einziger Dienstleister Zugriff auf viele Kundennetze bündelt und die Werkzeuge dort ohnehin als vertrauenswürdig gelten. ScreenConnect stand 2026 bereits im Fokus: Die Lücke CVE-2026-84869 im ScreenConnect-Client, die ConnectWise am 8. September 2026 mit einem CVSS-Wert von 9,9 veröffentlichte, steht seit dem 11. September im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA. Der aktuelle Fall ist anders gelagert: Missbraucht wurde nach bisherigem Stand eine reguläre Funktion, erreicht über eine Zusatzkomponente, die nicht von ConnectWise stammt.

Was du jetzt tun solltest

Als Dienstleister mit ScreenConnect:

  1. Prüfe auf der Verwaltungsseite unter den Erweiterungen, ob eine der fünf genannten installiert ist, und deaktiviere sie. ConnectWise bittet darum, sie bis auf Weiteres weder wieder einzuschalten noch neu zu installieren. Das Abschalten entfernt keine Schadsoftware, die schon auf Kundenrechnern liegt.
  2. Sichere und sichte die Protokolle: Anmeldungen, Installation von Erweiterungen, Verwaltungsaktionen, den Verlauf von „Run Command“ und der Toolbox. Huntress rät, den Befehlsverlauf auch ohne Alarm auf Massenaktionen zu prüfen, die niemand im Team ausgelöst hat.
  3. Verbinde dich nicht per ScreenConnect mit einem verdächtigen Rechner. Nutze die Werkzeuge deines Sicherheitsanbieters oder einen anderen, getrennten Weg. Techniker-Arbeitsplätze, die sich mit solchen Geräten verbunden haben, gehören mit in die Untersuchung.
  4. Beende von einem sauberen Gerät aus alle aktiven Sitzungen in ScreenConnect und beim Identitätsanbieter, setze Passwörter zurück und erzwinge die Mehr-Faktor-Anmeldung.
  5. Isoliere befallene Rechner, bis sie bereinigt sind. Huntress hat beobachtet, dass sich Systeme nach zu früh aufgehobener Isolation erneut infizierten.

Als Kunde eines IT-Dienstleisters: Frag nach, ob er ScreenConnect mit einer der genannten Erweiterungen einsetzt und was die Prüfung ergeben hat. Auf Windows-Rechnern lassen sich die von ConnectWise und Huntress genannten Spuren mit Bordmitteln in einer PowerShell mit Administratorrechten suchen:

# Ordner der Schadsoftware
Test-Path 'C:\ProgramData\RelayTrap'

# Geplante Aufgabe
Get-ScheduledTask -TaskName 'TrapWatch' -ErrorAction SilentlyContinue

# Autostart-Eintrag "RelayTrapLiteAlert"
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'

# Installierte ScreenConnect-Clients: mehr als einer ist verdächtig
Get-Service | Where-Object DisplayName -like 'ScreenConnect Client*'

Als Kennungen der untergeschobenen Clients nennen beide Quellen 2588ef5c15954b10 und ed630cc2c873b091. In Firewall- und DNS-Protokollen lohnt die Suche nach den gemeldeten Adressen 185.99.255[.]28 und 155.94.150[.]39 sowie den Domains ns.mo7sen[.]dev, sc.payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew.gotdns[.]org und soxnewwork.homedns[.]org. ConnectWise betont, dass fehlende Treffer eine Kompromittierung nicht ausschließen. Findest du etwas, trenne den Rechner vom Netz und lass ihn untersuchen, statt selbst Dateien zu löschen – Beweise sollen vor dem Aufräumen gesichert werden.

Quellen

Bildnachweis