RMM-Tools als Einfallstor: Security-Checkliste für ConnectWise, Kaseya und Co.

RMM-Tools ermöglichen die Fernwartung und Verwaltung von Endpunkten. Gelangen Angreifer an Zugangsdaten oder nutzen sie eine Schwachstelle im Management-Server aus, können mehrere angeschlossene Umgebungen gefährdet sein. Die Vorfälle bei ConnectWise ScreenConnect und SimpleHelp zeigen, wie weit solche Zugänge reichen können. Eine Checkliste hilft dabei, Berechtigungen, Updates und Aktivitäten zu kontrollieren.

Warum RMM-Zugänge attraktiv sind

Remote Monitoring and Management, kurz RMM, unterstützt IT-Teams und Dienstleister bei der Überwachung und Verwaltung entfernter Systeme. Je nach Produkt und Konfiguration lassen sich darüber Updates verteilen, Befehle ausführen oder Support-Sitzungen starten.

Angreifer können bestehende Zugänge übernehmen oder eigene Fernwartungsprogramme einschleusen. Die gemeinsame Warnung von CISA, NSA und MS-ISAC beschreibt auch portable RMM-Programme, die ohne vollständige Installation und ohne Administratorrechte Zugriff im Kontext eines lokalen Nutzers ermöglichen.

Ein legitimer Programmname allein belegt deshalb keine berechtigte Nutzung. Für die Bewertung zählen unter anderem Benutzerkonto, Zielsystem, Zeitpunkt und ausgeführte Aktionen.

Was ScreenConnect und SimpleHelp zeigen

ConnectWise ScreenConnect: Die 2024 veröffentlichte Schwachstelle CVE-2024-1709 ermöglichte eine Umgehung der Authentifizierung auf verwundbaren Servern. ConnectWise bewertete sie mit CVSS 10,0 und stellte mit Version 23.9.8 eine Korrektur bereit. Für ältere Installationen veröffentlichte der Hersteller ebenfalls korrigierte Versionen. Maßgeblich für den Betrieb sind die aktuellen Sicherheitshinweise des Herstellers.

SimpleHelp: CISA berichtete 2025 über einen Ransomware-Vorfall bei einem Anbieter von Abrechnungssoftware für Versorgungsunternehmen. Die Angreifer nutzten ungepatchte SimpleHelp-Instanzen. Nach Einschätzung der Behörde verwendeten sie wahrscheinlich die Path-Traversal-Schwachstelle CVE-2024-57727, um Zugriff auf nachgelagerte Kunden zu erhalten. Der Fall zeigt, warum Dienstleister auch die Reichweite ihrer Fernwartungszugänge erfassen müssen.

Security-Checkliste für RMM-Tools

Die folgenden Maßnahmen orientieren sich am CISA-Leitfaden für Fernzugriffssoftware und sollten an Produkt und Betriebsmodell angepasst werden.

• 1. Bestand erfassen. Freigegebene RMM-Produkte, Server, Agenten, Konten und angeschlossene Kundensysteme dokumentieren. Nicht benötigte Installationen entfernen und unbekannte Fernzugriffsprogramme untersuchen.
• 2. Konten absichern. MFA für Fernwartungs- und Administrationskonten aktivieren. Phishing-resistente Verfahren einsetzen, wo das Produkt sie unterstützt. Geteilte Konten vermeiden und Rechte auf erforderliche Aufgaben und Systeme begrenzen.
• 3. Zugänge beschränken. Management-Oberflächen nur für berechtigte Personen und benötigte Netze erreichbar machen. Netzwerksegmentierung und Zugriffskontrollen begrenzen, welche Systeme über einen Zugang erreichbar sind.
• 4. Updates priorisieren. Herstellerhinweise verfolgen und Sicherheitsupdates für Server und Agenten zeitnah einspielen. Bei kritischen Schwachstellen auch prüfen, ob die Installation bereits angegriffen wurde.
• 5. Aktivitäten überwachen. Anmeldungen, Sitzungen, Änderungen an Konten und administrative Aktionen protokollieren. Ungewöhnliche Quelladressen, Zeiten und nicht autorisierte Programme untersuchen.
• 6. Dienstleister einbeziehen. Zuständigkeiten für Updates, Protokolle und Vorfallmeldungen vereinbaren. Regelmäßig prüfen, welche Kundenumgebungen ein Dienstleisterkonto erreichen darf.

Bei Verdacht auf einen Missbrauch handeln

Das Incident-Response-Team sollte den betroffenen Zugang nach dem eigenen Notfallplan einschränken und relevante Protokolle sichern. Anschließend gilt es zu prüfen, welche Konten, Sitzungen und angeschlossenen Systeme betroffen sein könnten.

Ein Update schließt eine Schwachstelle, beseitigt aber nicht automatisch bereits eingerichtete Fremdzugänge. Vor der Wiederinbetriebnahme müssen daher auch Konten, Konfiguration und betroffene Systeme untersucht werden.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Welche Fernwartungsprogramme wurden bei Angriffen missbraucht?

CISA beschreibt unter anderem den Missbrauch von ScreenConnect und AnyDesk. Für SimpleHelp dokumentierte die Behörde einen Vorfall mit ungepatchten Instanzen.

Wie lässt sich RMM-Missbrauch erkennen?

Ein aktuelles Inventar hilft, unbekannte Programme zu finden. Anmelde- und Sitzungsprotokolle zeigen etwa Zugriffe zu ungewöhnlichen Zeiten oder von unerwarteten Quelladressen. Auffälligkeiten müssen im Zusammenhang mit dem jeweiligen Betrieb bewertet werden.

Reicht ein Patch nach einem Angriff aus?

Nein. Ein Patch behebt die jeweilige Schwachstelle. Bereits angelegte Konten, veränderte Einstellungen oder weitere Zugänge können bestehen bleiben und müssen untersucht werden.

Lesetipps der Redaktion

LesetippIdentity Security Gap: Was Zero Trust nicht schützt und wie Sie es schließenLesetippCloud-Fehlkonfigurationen: Die 10 gefährlichsten Sicherheitslücken in AWS und AzureLesetippAgentic AI Security: Wenn KI-Agenten selbst zum Angriffsziel werden

Mehr aus dem MBF Media Netzwerk

MyBusinessFutureCybersecurity-Boom: NIS2 Deutschlands SicherheitsbrancheDigital ChiefsManaged Security Services: CISO haftet nicht alleincloudmagazinContainer Supply Chain Security: IT-Lieferketten absichern

Mehr aus dem MBF Media Netzwerk

• Cybersecurity-Boom: NIS2 als Wachstumsmotor
• Managed Security Services: CISO haftet nicht allein
• Container Supply Chain Security: IT-Lieferketten absichern

Bildquelle: KI-generiert (November 2026)