Security Alert · Angriff

Fernwartung ScreenConnect: Unberechtigte Zugriffe über Partnerumgebungen

Risikostufe

Hoch

Kategorie

Angriff

Betroffene Systeme

IT-Dienstleister und IT-Abteilungen mit ConnectWise ScreenConnect (Cloud oder selbst betrieben), insbesondere mit einer der Erweiterungen Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link oder RMM+ Password Link
Unternehmen, deren Rechner über betroffene ScreenConnect-Umgebungen ferngewartet werden

Abhilfe verfügbar

Die fünf genannten Drittanbieter-Erweiterungen deaktiviert lassen bzw. auf selbst betriebenen Servern sofort deaktivieren und nicht wieder einschalten, bis der Hersteller weiteres mitteilt; verdächtige Umgebungen mit getrennten Sicherheitswerkzeugen prüfen

Quelle

ConnectWise Trust Center

Was ist passiert?

ConnectWise untersucht Meldungen über unberechtigten Zugriff auf bestimmte ScreenConnect-Umgebungen von Partnern und über die Installation unautorisierter Fernwartungssoftware in Kundenumgebungen. Die erste öffentliche Warnung erschien am 11.11.2026 um 22:45 UTC (23:45 Uhr MEZ), ein Update am 12.11.2026 um 02:45 UTC (03:45 Uhr MEZ). Die Untersuchung läuft.

Nach bisherigem Stand hat ConnectWise keine Belege für eine Kompromittierung der eigenen Infrastruktur oder für eine Schwachstelle in ScreenConnect selbst gefunden. Eine erste Einschätzung geht dahin, dass unabhängig entwickelte Drittanbieter-Erweiterungen in Partnerumgebungen missbraucht worden sein könnten; diese Einschätzung werde noch geprüft. Der genaue Zugangsweg und der gesamte Umfang sind ungeklärt.

ConnectWise hat in rund 400 Partnerumgebungen mindestens eine Erweiterung der Familie RMM+ vorgefunden und diese Erweiterungen dort vorsorglich deaktiviert, soweit der Hersteller das selbst tun kann. Die fünf genannten Erweiterungen sind Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link. Sie bieten eine Schnittstelle, über die entfernte Befehle ausgeführt werden können; der Zugriff sei durch eine vom Partner gesetzte Passphrase geschützt. Die bloße Anwesenheit der Erweiterungen begründet nach Angaben von ConnectWise keine festgestellte Kompromittierung.

ConnectWise hat nach eigenen Angaben keine Einsicht in das Geschehen in den Partnerumgebungen nach einem Erstzugang. Partner müssen ihre Umgebung selbst oder mit einem Sicherheitsdienstleister prüfen. In der ersten Meldung sind außerdem Berichte genannt, nach denen Angreifer nach einem unberechtigten Kontenzugriff ScreenConnect-Funktionen genutzt und Techniker-Arbeitsplätze bei interaktiven Verbindungen betroffen sein könnten; diese Berichte stehen laut Hersteller noch unter Vorbehalt.

Wer ist betroffen?

IT-Dienstleister und IT-Abteilungen, die ScreenConnect in der Cloud oder selbst betrieben einsetzen, insbesondere mit einer der genannten Erweiterungen – und damit indirekt Unternehmen, deren Rechner darüber ferngewartet werden. Wer die Erweiterungen nicht einsetzt, gilt laut ConnectWise nach bisherigem Stand nicht als durch diesen Vorfall betroffen, soll aber trotzdem besonders aufmerksam bleiben.

Wie hoch ist das Risiko?

Hoch. Es handelt sich um einen laufenden Vorfall mit unberechtigten Zugriffen auf Fernwartungszugänge von IT-Dienstleistern und mit unautorisierter Fernwartungssoftware in Kundenumgebungen. Zugangsweg und Umfang sind noch nicht abschließend geklärt.

So schützen Sie sich

1. Prüfen, ob eine der Erweiterungen Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link oder RMM+ Password Link installiert ist. In der Cloud hat ConnectWise sie nach eigenen Angaben vorsorglich deaktiviert; auf selbst betriebenen Servern müssen Betreiber das selbst tun. Nicht wieder aktivieren oder neu installieren, bis es weitere Hinweise des Herstellers gibt. Die bloße Anwesenheit der Erweiterungen bedeutet nicht automatisch eine Kompromittierung.
2. Den Verlauf von „Run Command“, Toolbox, Anmeldungen, Erweiterungsinstallation und Administration prüfen: unbekannte Befehle, neue Konten, Rechteänderungen, unerwartete Fernwartungs-Installationen. Protokolle sichern.
3. Verdächtige Rechner nicht über ScreenConnect untersuchen, sondern über getrennte Sicherheitswerkzeuge. Techniker-Arbeitsplätze, die mit verdächtigen Geräten verbunden waren, in die Prüfung einbeziehen.
4. Von einem vertrauenswürdigen Gerät aus aktive ScreenConnect- und Identity-Provider-Sitzungen beenden, betroffene Zugangsdaten zurücksetzen, MFA durchsetzen, einzigartige Passwörter verwenden und unnötige Administrationsrechte entfernen. API-Zugang und Konfiguration der Erweiterungen in die Untersuchung einbeziehen.
5. Bei Verdacht Geräte isolieren, Beweise vor der Bereinigung sichern und die Bereinigung prüfen, bevor die Verbindung wiederhergestellt wird. Das Abschalten der Erweiterungen und das Zurücksetzen von Zugangsdaten allein entfernen nicht zwingend bereits installierte unautorisierte Software oder Persistenz.
6. Als betreutes Unternehmen beim IT-Dienstleister nachfragen, welche Fernwartungssoftware eingesetzt wird und wie sie abgesichert ist.

Quellen

• ConnectWise Trust Center: ScreenConnect security advisory (Stand 12.11.2026, 02:45 UTC), 12.11.2026

Mehr zum Thema

• IT-Sicherheit
• Alle Security Alerts

Stand: 12.11.2026