Storm-0940 nutzt KI-Agenten für ConnectWise-Angriff
Microsoft deckt Supply-Chain-Angriff auf ConnectWise auf: Der chinesische Akteur Storm-0940 setzte KI-Agenten ein, um über 2.200 Kunden zu kompromittieren.
Microsoft hat einen breit angelegten Supply-Chain-Angriff auf die IT-Management-Plattform ConnectWise aufgedeckt, der von dem chinesischen Akteur Storm-0940 durchgeführt wurde. Laut Dark Reading nutzte die Gruppe dabei ein KI-gestütztes Penetration-Testing-Tool, um ihren Angriff auf mehr als 2.200 Mandanten zu automatisieren und zu beschleunigen. Die Kompromittierung der ConnectWise Cloud Backup-Anwendung ermöglichte es den Angreifern, in die Systeme tausender Unternehmen einzudringen und dort Daten zu sammeln, wie TechCrunch meldet.
Storm-0940, ein staatlich unterstützter chinesischer Akteur, setzte dabei sogenannte ARTEX-KI-Agenten ein, um die Angriffskette zu automatisieren. Diese Agenten ermöglichten es der Gruppe, schneller und in größerem Maßstab vorzudringen, als dies mit manuellen Methoden möglich gewesen wäre. The Hacker News dokumentiert, dass Microsoft die Compromise der ConnectWise Cloud Backup-Anwendung als Einfallstor identifizierte. Die genaue technische Vorgehensweise – ob über noch nicht gepatchte Schwachstellen oder kompromittierte Zugangsdaten – wurde von Microsoft nicht vollständig offengelegt, doch der Angriff folgte einem klassischen Supply-Chain-Muster: Das Ziel war nicht ConnectWise selbst, sondern dessen Kundenbasis.
Die Reichweite des Vorfalls ist erheblich: Über 2.200 Mandanten wurden mindestens exponiert, was ConnectWise zu einem kritischen Infrastruktur-Element für kleine und mittlere IT-Service-Provider weltweit macht. Der Einsatz von KI-Agenten zur Automatisierung der Post-Compromise-Phase – also zur Datenerfassung, Lateral Movement und Exfiltration – markiert eine Eskalation in der Operationalisierung von Cyberangriffen. Storm-0940 operiert bereits seit Jahren als bekannter Threat Actor mit Fokus auf Espionage und Supply-Chain-Targeting; dieser Vorfall demonstriert jedoch erstmals im größeren Maßstab die praktische Anwendung von autonomen KI-Systemen in einer mehrstufigen Kompromittierung.
Warum für DACH relevant
Die ConnectWise-Plattform ist im deutschsprachigen Raum weit verbreitet, insbesondere bei mittelständischen IT-Service-Providern und Managed Service Providern (MSPs), die damit ihre Kundeninfrastruktur verwalten. Ein Angriff auf ConnectWise bedeutet für DACH-Unternehmen nicht nur die direkte Gefährdung ihrer eigenen IT, sondern auch Risiken für die Integrität der Kundensysteme, die sie betreuen. Besonders kritisch ist dies für Firmen mit sensitiven Daten in den Branchen Finanzdienstleistungen, Gesundheit und Maschinenbau – wo Regulierung wie die DSGVO und branchenspezifische Anforderungen strengere Nachweispflichten für Sicherheitsvorfälle definieren.
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bereits in mehreren Warnmitteilungen auf Risiken bei Cloud-basierten Management-Tools hingewiesen und diese als kritische Supply-Chain-Komponenten eingestuft. MSPs und IT-Dienstleister, die ConnectWise einsetzen, müssen unter deutschem Recht nachweisen können, dass sie angemessene technische und organisatorische Maßnahmen getroffen haben – insbesondere da sie ihre Kundensysteme über diese Plattform administrieren. Sollte sich herausstellen, dass eine ConnectWise-Kompromittierung zu Datentransfern bei deutschen Unternehmen geführt hat, greifen sofort DSGVO-Meldepflichten (Artikel 33) und unter Umständen auch Pflichten zur Benachrichtigung betroffener Personen.
Der KI-Einsatz durch Storm-0940 verdeutlicht auch ein praktisches Governance-Problem für europäische Unternehmen: Der EU-AI-Act setzt künftig strengere Anforderungen an die Sicherheit von KI-Systemen. Dass Angreifer nun eigenständig agierende KI-Werkzeuge als operative Waffen einsetzen, zeigt die Dringlichkeit, mit der europäische IT-Sicherheit und KI-Governance zusammenwachsen müssen. Deutsche und österreichische Behörden verfolgen diesen Fall bereits; erste Warnsysteme sind aktiviert.
Was du jetzt tun / wissen solltest
Die zentrale Erkenntnis: KI-gestützte Angriffe skalieren nicht nur Geschwindigkeit, sondern auch räumliche Reichweite. Storm-0940 erreichte über 2.200 Mandate parallel, was manuell unmöglich gewesen wäre. Das bedeutet für Unternehmen einen fundamentalen Wandel in der Angriffsdynamik – nicht mehr sequenzielle Breaches einzelner Ziele, sondern parallele Massenexfiltrationen. Für Pentesting-Teams und Security-Verantwortliche im DACH-Raum ergibt sich daraus ein unmittelbarer Handlungsauftrag: Die eigenen Pentesting-Prozesse müssen jetzt auch KI-gestützte Supply-Chain-Szenarien abdecken. Das ist nicht länger eine akademische Übung, sondern die neue Bedrohungslage.
Konkret heißt das: Unternehmen, die als IT-Dienstleister agieren oder zentrale Management-Tools einsetzen, müssen ihre Incident-Response-Pläne erweitern um Szenarien mit automatisierten Post-Breach-Agenten. Manuelle Detektion reicht nicht, wenn der Gegner parallel hunderte Systeme durchsucht. Gleichzeitig sollten Compliance-Teams prüfen, ob ihre aktuellen Nachweise für „geeignete technische Maßnahmen" noch den Realitäten autonomer KI-Angreifer standhalten. Der Vorfall zeigt auch, dass KI-Governance im Unternehmen nicht nur ein Regulatory-Thema ist – es ist jetzt ein akutes Sicherheitsthema.
Quellen
Häufige Fragen
Wer hat ConnectWise angegriffen und wie?
Der chinesische Akteur Storm-0940 griff ConnectWise Cloud Backup an und setzte dabei KI-gestützte ARTEX-Agenten ein, um über 2.200 Mandanten zu automatisieren und zu kompromittieren. Diese KI-Agenten beschleunigten die Angriffskette erheblich.
Wie viele Unternehmen waren von diesem Angriff betroffen?
Über 2.200 Mandanten wurden durch die Kompromittierung der ConnectWise Cloud Backup-Anwendung exponiert. Die Angreifer konnten in die Systeme tausender Unternehmen eindringen und Daten sammeln.
Warum ist das für deutsche Unternehmen wichtig?
ConnectWise ist weit verbreitet bei deutschsprachigen IT-Service-Providern und Managed Service Providern. Unter DSGVO-Recht müssen betroffene Unternehmen Sicherheitsvorfälle nachweisen und können zu Meldungen verpflichtet sein.