ScreenConnect-Angriff trifft 48 Organisationen

Am 11. November installierten Angreifer über cloudgehostete ScreenConnect-Verwaltungskonsolen fremde Fernwartungsclients und das Werkzeug SCKit auf mindestens 288 Endpunkten in 48 Organisationen, die Huntress schützt. Betreiber müssen nun entscheiden, unter welchen Bedingungen Techniker wieder per ScreenConnect auf diese Rechner zugreifen.

Verwandt: Wenn Angreifer schneller sind als der Patch

Die Entscheidung nach dem Angriff

Am 11. November verteilten Angreifer über cloudgehostete ScreenConnect-Verwaltungskonsolen fremde Fernwartungsclients und ein Werkzeug namens SCKit. Eine Verwaltungskonsole ist die zentrale Oberfläche, von der aus Techniker ihre Sitzungen und Endpunkte steuern. Die Angreifer nutzten damit denselben Kanal, über den IT-Teams sonst Rechner warten. Betroffen sind mindestens 288 Endpunkte in 48 Organisationen aus dem Kundenkreis von Huntress.

Für die betroffenen Organisationen gilt seit dem 12. November eine klare Anweisung. Bis die Maßnahmen aus dem jeweiligen Vorfallbericht abgeschlossen sind, soll keine ScreenConnect-Verbindung zu betroffenen Hosts entstehen. Sicherheitsverantwortliche müssen damit entscheiden, ab wann und unter welchen Bedingungen ihre Techniker wieder per ScreenConnect auf verwaltete Endpunkte zugreifen.

Bestätigte Installation und versuchte Ausbreitung

Für diese Entscheidung zählen drei Befunde. Sie unterscheiden sich deutlich in ihrem Gewicht.

Der erste Befund ist die bestätigte Installation. Die zusätzlich installierten Angreiferclients ermöglichen einen eigenständigen Fernzugriff. Dieser Zugriff kann auch nach dem Ende der ursprünglichen Verwaltungssitzung bestehen. Selbst ein widerrufener ScreenConnect-Zugang schließt diesen Weg nicht zwingend.

Der zweite Befund betrifft die versuchte Ausbreitung. SCKit versuchte, Technikersitzungen zu übernehmen und sich darüber weiterzuverbreiten. In allen bislang geprüften, wiederhergestellten Host-Protokollen scheiterte dieser Versuch. Host-Protokolle sind die Aufzeichnungen der Technikerclients. Eine erfolgreiche Weiterverbreitung über diesen Mechanismus ist nicht beobachtet. Ein kontrollierter Test von Blackpoint Cyber gegen einen aktuellen Host-Client fand zudem keinen Nachweis, dass sich der Herstellerpatch umgehen lässt.

Der dritte Befund ist der Versionsstand. Die Schwachstelle CVE-2026-84869 betrifft ScreenConnect-Clients vor Version 26.6.5. Unter bestimmten Umständen erlaubt sie unautorisierte Dateiübertragung und Ausführung innerhalb aktiver Sitzungen. Seit dem 8. September liegen dafür ein Update und eine Übergangsmaßnahme vor. Hinzu kommen die üblichen Kriterien Kosten, Aufwand und Abhängigkeit von Wartungsfenstern.

Drei Maßnahmen und ihre Kosten

Die drei Maßnahmen ergänzen sich. ConnectWise nennt sie in seinem Sicherheitshinweis vom 12. November nebeneinander. Die Kosten hängen an der Upgrade-Berechtigung der jeweiligen Lizenz.

Maßnahme 1: Verbindungssperre bis zur Bereinigung. Sie gilt für Organisationen mit Vorfallbericht. Ihre Techniker verbinden sich erst wieder mit betroffenen Hosts, wenn die Maßnahmen aus dem Bericht abgeschlossen sind.

Maßnahme 2: Upgrade auf Version 26.6.5. Lizenznehmer, deren Verlängerung 2026 fällig ist, können ohne vorherige Lizenzverlängerung auf ScreenConnect 26.6 wechseln. Für diese Berechtigung fallen 0 Euro zusätzliche Verlängerungskosten an, Stand 13. November. Ob die Berechtigung bis 26.6.5 reicht, zeigt der Eintrag „Latest Eligible Version“. Nach dem Upgrade stehen eine Neuinstallation der Host-Clients und eine Aktualisierung der Zugriffsagenten an.

Maßnahme 3: Übergangslösung ohne Dateitransfer. Manche Betreiber können das Update wegen Wartungsfenstern oder Änderungssperren nicht sofort installieren. Sie können vorübergehend die Berechtigung „TransferFiles“ in sämtlichen Rollen deaktivieren. Diese Maßnahme ersetzt das Sicherheitsupdate nicht.

Reihenfolge und Risiken

Die Maßnahmen gelten nebeneinander. Betroffene Hosts bleiben gesperrt, bis die Bereinigung bestätigt ist. Technikerclients brauchen mindestens Version 26.6.5. Bis dahin schränken Betreiber die Dateitransferrechte ein.

Hinzu kommt eine vierte Vorgabe des Herstellers. ConnectWise vermutet den Erstzugriff bei Erweiterungen eines Drittanbieters, die in rund 400 Partnerumgebungen installiert waren. Die Erweiterungen Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link bleiben deshalb deaktiviert. In den Cloud-Umgebungen hat der Hersteller sie vorsorglich abgeschaltet, Betreiber eigener Server deaktivieren sie selbst. Der Patch aus dem September blockiert die versuchte Ausbreitung auf Technikerclients. Den Erstzugriff und eine bestehende Kompromittierung beseitigt er nach Angaben von ConnectWise nicht.

Jede Maßnahme hat eine eigene Grenze:

• Sperre: Fremdclients können einen eigenständigen Zugang offenhalten, auch wenn der legitime ScreenConnect-Zugang widerrufen ist. Den Weg der Angreifer kappt die Sperre allein also nicht.
• Upgrade: Die Entwarnung zur Sitzungsübernahme hat eine begrenzte Reichweite. Sie gilt für die bislang geprüften Host-Protokolle und für den getesteten aktuellen Client.
• Übergangslösung: Sie bleibt eine Zwischenstufe, weil sie das Sicherheitsupdate nicht ersetzt.

Ein Risiko bleibt bei allen drei Maßnahmen. Es liegt bei den Arbeitsstationen der Techniker, die mit verdächtigen Endpunkten interagiert haben. Diese Geräte sind auf Ausführung und Zugriffe auf Browser-Cookies zu untersuchen. Über gestohlene Cookies lassen sich angemeldete Websitzungen ohne erneute Anmeldung weiter nutzen.

Prüfpunkte vor dem nächsten Zugriff

• Maßnahmen aus einem vorhandenen Vorfallbericht abgeschlossen, bevor eine Verbindung zu betroffenen Hosts entsteht
• Bedienersitzungen, „Run Command“-Verläufe und „Shared Toolbox“-Aktivitäten auf unautorisierte Befehle geprüft
• Installierte Zugriffsclients und ihre Relay-Adressen mit der freigegebenen Infrastruktur abgeglichen; Relay-Adressen sind die Server, über die ein Client seine Verbindung aufbaut
• Clientversion mindestens 26.6.5, Berechtigung unter „Latest Eligible Version“ geprüft
• Host-Clients nach dem Upgrade neu installiert und Zugriffsagenten aktualisiert
• Bei Aufschub des Updates „TransferFiles“ in sämtlichen Rollen deaktiviert
• Erweiterungen Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link deaktiviert und nicht neu installiert
• Arbeitsstationen betroffener Techniker auf Ausführung und Browser-Cookie-Zugriffe untersucht
• Möglicherweise offengelegte Websitzungen von einem sauberen Gerät aus beendet und betroffene Zugangsdaten gewechselt

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Sind ScreenConnect-Server von CVE-2026-84869 betroffen?

Nein, die Schwachstelle betrifft die Clients vor Version 26.6.5. ScreenConnect-Server sind von dieser Schwachstelle nicht betroffen.

Ließ sich der Herstellerpatch im Test umgehen?

Im kontrollierten Test von Blackpoint Cyber gegen einen aktuellen Host-Client fand sich dafür kein Nachweis. Der Client rief die angebotene Schadlast weder ab noch führte er sie aus.

Welche ScreenConnect-Erweiterungen bleiben deaktiviert?

ConnectWise nennt fünf Erweiterungen eines Drittanbieters: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link. Bis zu einer neuen Vorgabe des Herstellers sollen Betreiber sie weder reaktivieren noch neu installieren.

Lesetipps der Redaktion

LesetippAngriff über Altsystem: TU München nahm TUMonline vom NetzLesetippKühlanlagen: Frankreich beschuldigt Irans RevolutionsgardeLesetippFernwartung macht Supermarkt-Kühlungen zum Angriffsziel

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinChannelCon EMEA: Was IT-Service-Provider aus London mitnehmen sollten Digital ChiefsCisco Secure Email Gateway wird aktiv angegriffen MyBusinessFutureBSI und TÜV: KI-Angriffe treffen jede sechste Firma