ConnectWise-Lieferkettenangriff: Wie Arztpraxen jetzt ihre Microsoft-365-Backups auf Integrität prüfen
Inhaltsverzeichnis
Veröffentlicht: 24. Oktober 2026 · Lesezeit: ca. 9 Minuten
Dienstagnachmittag, kurz vor Praxisschluss. Die MFA ist abgearbeitet, die letzten eArztbriefe sind versendet, und Ihre Praxismanagerin schließt gerade das Praxisverwaltungssystem. Dann kommt eine E-Mail Ihres IT-Dienstleisters: „Bitte melden Sie sich – dringend. Betrifft Ihre Microsoft-365-Sicherung.“ Der Ton ist sachlich, aber der Betreff lässt keinen Zweifel. Kein Datenverlust, keine Katastrophe – aber die Frage, ob Ihre Backups der letzten Wochen tatsächlich unversehrt und wiederherstellbar sind, steht plötzlich unbeantwortet im Raum. Genau das ist die Situation, in der sich seit Oktober zahlreiche Praxen befinden, nachdem ein Angriff auf die Backup-Infrastruktur von ConnectWise bekannt wurde.
ConnectWise Backup Integrität prüfen – das klingt nach einer technischen Routineaufgabe, ist aber nach dem Vorfall vom Oktober für viele Arztpraxen zur dringlichen Leitungsfrage geworden. Angreifer nutzten einen Lieferkettenangriff auf den Cloud-Backup-Dienst ConnectWise (ehemals SkyKick), um sich ohne Passwort oder Mehr-Faktor-Authentifizierung in mindestens 162 Microsoft-365-Umgebungen einzuloggen – wie heise Security berichtete. ConnectWise schaltete den Dienst daraufhin vollständig ab; Wiederherstellungen blieben für mindestens eine Woche gesperrt.
Für Arztpraxen und Medizinische Versorgungszentren ist das mehr als ein IT-Vorfall. Patientendaten zählen nach Art. 9 DSGVO zur besonderen Kategorie personenbezogener Daten – eine unentdeckte Kompromittierung oder ein Datenverlust kann Meldepflichten, Haftung und Praxisunterbrechungen auslösen, die weit über den eigentlichen Angriff hinausgehen.
Dieser Leitfaden erklärt, was genau passiert ist, welche Systeme in Ihrer Praxis betroffen sein können, wie Sie Ihre Backups jetzt strukturiert prüfen – und was Sie konkret veranlassen sollten, bevor Sie diesen Artikel schließen.
Was beim ConnectWise-Angriff tatsächlich passiert ist – und wen es trifft
Der Angriff war kein klassischer Phishing-Fall. Angreifer nutzten sogenannte Service Principals – das sind automatisierte Anwendungsidentitäten, die ohne Benutzername und Passwort auf Microsoft-365-Daten zugreifen dürfen. ConnectWise Cloud Backup verwendete genau solche Identitäten, um im Hintergrund Sicherungen durchzuführen. Die Angreifer missbrauchten diese Zugänge und konnten sich so in Kunden-Tenants einloggen, ohne dass Mehr-Faktor-Authentifizierung greift – denn MFA schützt nur Benutzerkonten, keine Anwendungsidentitäten.
Betroffen sind potenziell alle Organisationen, deren Microsoft-365-Umgebung über ConnectWise Cloud Backup (ehemals SkyKick) gesichert wurde – direkt oder über einen Managed-Service-Anbieter. Das betrifft Arztpraxen dann, wenn Ihr IT-Dienstleister dieses Tool in Ihrer Umgebung eingesetzt hat.
Was das für Ihre Praxis bedeutet, hängt davon ab, welche Daten über Microsoft 365 laufen. Typischerweise sind das: Terminplanung und Korrespondenz in Outlook, KIM-Nachrichten (der verschlüsselte Kommunikationsdienst der Telematikinfrastruktur) sowie – je nach Konfiguration – Anhänge mit Befunddaten oder eArztbriefen.
- Klären Sie mit Ihrem IT-Dienstleister, ob ConnectWise Cloud Backup in Ihrem Tenant aktiv war oder ist.
- Fragen Sie gezielt nach, ob Ihr Tenant in der Liste der mindestens 162 betroffenen Umgebungen geführt wird.
- Verlangen Sie eine schriftliche Auskunft – für Ihre Dokumentationspflicht nach § 75b SGB V (IT-Sicherheitsrichtlinie der KBV) ist das relevant.
- Informieren Sie sich über Ihre IT-Infrastruktur & Datensicherung – TTG GmbH, falls Sie unsicher sind, welche Backup-Lösung bei Ihnen im Einsatz ist.
Vier Fakten, die Sie als Praxisleitung kennen müssen
Bevor Sie handeln, hilft ein klares Bild der Ausgangslage. Diese vier Punkte sind für Ihre Entscheidung entscheidend.
Wiederherstellung war wochenlang gesperrt. ConnectWise schaltete den Dienst nach Bekanntwerden des Angriffs vollständig ab. Für betroffene Praxen bedeutete das: Selbst wenn kein eigener Schaden entstanden war, war die Backup-Wiederherstellung vorübergehend nicht möglich. Im laufenden Sprechstundenbetrieb, wo Ausfallzeiten schlicht nicht toleriert werden können, ist das ein ernstes Verfügbarkeitsproblem.
72 % der deutschen KMU testen ihre Backups nie oder selten. Das zeigt die DATA REVERSE Backup-Studie Q1/2025 (n=285) – obwohl 77 % mindestens wöchentlich sichern. Für Arztpraxen ist das besonders heikel: Ein Backup, das nie getestet wurde, ist kein Backup – es ist eine Hoffnung.
MFA schützt hier nicht. Service-Principal-Zugänge, wie ConnectWise sie nutzt, umgehen Mehr-Faktor-Authentifizierung technisch bedingt. Das bedeutet: Ihre übrigen Sicherheitsmaßnahmen waren in diesem Fall wirkungslos, sofern dieser Zugangsweg kompromittiert wurde.
Ransomware trifft jeden dritten Betrieb wirtschaftlich. In 34 % der befragten Unternehmen verursachte Ransomware innerhalb eines Jahres messbaren wirtschaftlichen Schaden (Bitkom Wirtschaftsschutz-Studie). Ein kompromittiertes Backup-System ist eine direkte Einfallstür.
- Lassen Sie sich den Status Ihres ConnectWise-Tenants schriftlich bestätigen.
- Fragen Sie nach den BSI-Empfehlungen zur Datensicherung als Referenz für Ihre Anforderungen.
- Prüfen Sie, ob Ihr Backup-System das sogenannte 3-2-1-1-0-Prinzip erfüllt: drei Kopien, zwei Medien, eine externe Kopie, eine offline/unveränderliche Kopie – und null ungetestete Backups.
- Fordern Sie eine Liste aller Anwendungen an, die aktuell Zugriff auf Ihren Microsoft-365-Tenant haben – Ihren Backup & Datensicherung durch die TTG GmbH-Ansprechpartner kann das direkt aus dem Entra-Admin-Center (dem Benutzer- und Zugangsverwaltungsbereich von Microsoft 365) abrufen.
Schritt für Schritt: ConnectWise Backup Integrität prüfen – eine Anleitung für Ihre Praxis
ConnectWise Backup Integrität prüfen ist kein einmaliger Klick, sondern ein strukturierter Ablauf. Die folgenden Schritte richten sich an Praxisinhaber und -leitung – die eigentliche Ausführung übernimmt Ihr IT-Dienstleister, aber die Veranlassung liegt bei Ihnen.
Schritt 1 – Bestandsaufnahme der Anwendungsberechtigungen. Beauftragen Sie Ihren IT-Dienstleister, alle Anwendungsidentitäten (Service Principals) in Ihrem Microsoft-365-Tenant aufzulisten. Unbekannte oder nicht mehr genutzte Einträge – insbesondere solche mit Namen wie „SkyKick Backup“, „ConnectWise Cloud Management“ oder „ConnectWise Exchange Online“ – müssen deaktiviert werden. Wichtig: deaktivieren, nicht löschen, damit forensische Spuren erhalten bleiben.
Schritt 2 – Zugriffsprotokolle sichten. Lassen Sie die Entra-Logs (die Anmeldeprotokolle von Microsoft 365) auf auffällige Aktivitäten ab dem 13. Oktober prüfen. Bekannte Indikatoren sind Zugriffe über drei Python-basierte Zugentwicklungen sowie Logins aus einer einzelnen, nicht zuordenbaren IP-Adresse.
Schritt 3 – Wiederherstellbarkeit testen. Veranlassen Sie einen Test-Restore in einer isolierten Umgebung – also eine testweise Wiederherstellung ohne Auswirkung auf Ihren laufenden Praxisbetrieb. Dabei sollten Dateilesbarkeit und Vollständigkeit geprüft und das Ergebnis schriftlich dokumentiert werden (Datum, System, Tester, Befund).
- Stellen Sie sicher, dass der Test-Restore nicht im laufenden Betrieb durchgeführt wird – idealerweise außerhalb der Sprechzeiten oder in Praxisferien.
- Lassen Sie Ihr PVS (Praxisverwaltungssystem) gesondert prüfen: Viele PVS-Hersteller geben neue Betriebssystemversionen erst nach eigener Freigabe frei – die Backup-Kompatibilität muss regelmäßig kontrolliert werden.
- Fordern Sie ein schriftliches Prüfprotokoll an – es dient als Nachweis für Ihre Dokumentationspflicht nach KBV-IT-Sicherheitsrichtlinie.
- Nutzen Sie die ISO/IEC 27001 zertifiziert – TTG GmbH als Orientierungsrahmen für strukturierte Prüfprozesse.
Aufwand und Kosten realistisch einordnen
ConnectWise Backup Integrität prüfen kostet Zeit und Geld – aber beides ist überschaubar, wenn der Ablauf strukturiert ist. Unserer Erfahrung nach reicht in vielen Fällen ein halber Beratertag für die Erstprüfung: Bestandsaufnahme der Anwendungsberechtigungen, Sichtung der Logs, Dokumentation. Der Test-Restore kommt als separater Schritt hinzu.
Was kostet Untätigkeit? Ein einziger Datenverlust mit Patientendaten kann Meldepflichten gegenüber der zuständigen Datenschutzbehörde auslösen (Art. 33 DSGVO: Meldung binnen 72 Stunden), Bußgeldrisiken erzeugen und – schwerer wiegend – das Vertrauen Ihrer Patienten beschädigen. Hinzu kommen mögliche Ausfälle des Praxisverwaltungssystems oder des KIM-Dienstes, die den Sprechstundenbetrieb direkt beeinträchtigen.
| Situation | Empfehlung | Warum |
|---|---|---|
| ConnectWise war aktiv in Ihrer Umgebung | Sofortprüfung + Test-Restore beauftragen | Kompromittierung nicht ausschließbar |
| ConnectWise war nicht im Einsatz | Backup-Test als Routine nachholen | 72 % der KMU testen nie – Handlungsbedarf besteht trotzdem |
| Backup-Lösung unklar | IT-Dienstleister um Bestandsaufnahme bitten | Ohne Klarheit kein belastbarer Schutz |
- Planen Sie Prüftermine grundsätzlich außerhalb der Sprechstunden – Ihr IT-Dienstleister kann das als Wartungsfenster koordinieren.
- Fragen Sie nach Managed-Service-Paketen, die regelmäßige Backup-Tests automatisch dokumentieren – das entlastet Ihre Praxisleitung dauerhaft.
- Informieren Sie sich über die Managed Services der TTG GmbH als Möglichkeit, Backup-Überwachung und Test-Restores vertraglich zu regeln.
- Berücksichtigen Sie, dass die KBV-IT-Sicherheitsrichtlinie nach § 75b SGB V eine nachweisbare Datensicherung vorschreibt – ein Managed-Service-Vertrag mit Dokumentation hilft Ihnen, diesen Nachweis zu führen.
Fazit: Was jetzt zählt – und ein Muster, das wir regelmäßig sehen
Der ConnectWise-Vorfall ist kein Einzelfall, der irgendwo „weit weg“ stattgefunden hat. Er zeigt, dass selbst Backup-Systeme – also die letzte Verteidigungslinie – gezielt angegriffen werden. ConnectWise Backup Integrität prüfen ist deshalb heute eine Leitungsaufgabe, keine reine IT-Aufgabe.
Typisch ist folgende Konstellation, die wir regelmäßig bei Praxen antreffen: Das PVS läuft stabil, Microsoft 365 wird für Kommunikation und Dokumentation genutzt, und der IT-Dienstleister sichert beides über zwei verschiedene Backup-Lösungen – die aber nie gemeinsam getestet wurden. Im Ernstfall fehlt dann der Nachweis, dass beide Systeme tatsächlich wiederherstellbar sind. Besonders kritisch: Wenn der PVS-Hersteller noch keine Freigabe für die aktuelle Betriebssystemversion erteilt hat, kann ein Restore scheitern, weil die Softwarekombination nicht zertifiziert ist. Das ist kein hypothetisches Szenario – das ist gelebte Praxisrealität in Duderstadt und vergleichbaren Versorgungsregionen.
Der BSI-Lagebericht 2024 macht deutlich, wie dynamisch die Bedrohungslage bleibt: Täglich werden rund 309.000 neue Schadprogramm-Varianten bekannt – ein Anstieg von 26 % gegenüber dem Vorjahr. Backup-Integrität ist in diesem Umfeld kein optionales Extra.
- Beauftragen Sie noch diese Woche eine Bestandsaufnahme Ihrer Backup-Lösung und der M365-Anwendungsberechtigungen.
- Lassen Sie einen Test-Restore für Ihr PVS und Ihre Microsoft-365-Daten separat dokumentieren.
- Verankern Sie Backup-Tests als festen Bestandteil Ihres IT-Dienstleistervertrags.
- Sprechen Sie mit Ihr IT-Systemhaus in Nordthüringen – TTG GmbH über eine strukturierte Backup-Strategie, die auch die gematik-Anforderungen und die KBV-IT-Sicherheitsrichtlinie berücksichtigt. Als ISO/IEC 27001-zertifiziertes Systemhaus begleiten wir Sie dabei mit nachweisbaren Prozessen statt mit Versprechen.
Ihre Checkliste: So starten Sie jetzt
- Klären Sie, ob ConnectWise Cloud Backup (ehemals SkyKick) aktuell oder in der Vergangenheit in Ihrem Microsoft-365-Tenant aktiv war – fragen Sie Ihren IT-Dienstleister schriftlich.
- Beauftragen Sie eine Auflistung aller Anwendungsidentitäten (Service Principals) in Ihrem M365-Tenant und lassen Sie unbekannte oder nicht mehr genutzte Einträge deaktivieren.
- Lassen Sie die Anmeldeprotokolle Ihres Tenants ab dem 13. Oktober auf verdächtige Zugriffsaktivitäten prüfen – Ihr IT-Dienstleister kann das gezielt auswerten.
- Veranlassen Sie einen Test-Restore für Ihr Praxisverwaltungssystem und Ihre Microsoft-365-Daten in einer isolierten Umgebung – außerhalb der Sprechzeiten, mit schriftlichem Prüfprotokoll.
- Prüfen Sie, ob Ihr PVS-Hersteller die aktuelle Betriebssystemversion für Restore-Szenarien freigegeben hat – andernfalls kann ein Restore technisch scheitern.
- Sprechen Sie mit Ihrem IT-Dienstleister über einen Managed-Service-Vertrag, der regelmäßige Backup-Tests und Dokumentation als feste Leistung enthält – und damit Ihre Nachweispflicht nach KBV-IT-Sicherheitsrichtlinie erfüllt.
Häufig gestellte Fragen
Sind wir als Arztpraxis überhaupt direkt betroffen?
Das hängt davon ab, ob Ihr IT-Dienstleister ConnectWise Cloud Backup (ehemals SkyKick) in Ihrer Microsoft-365-Umgebung eingesetzt hat. Da viele Managed-Service-Anbieter dieses Tool nutzen, ist eine direkte Betroffenheit möglich – auch wenn Sie selbst keinen Kontakt zu ConnectWise hatten. Fragen Sie Ihren IT-Dienstleister schriftlich nach dem Einsatz dieser Lösung in Ihrem Tenant. Eine schriftliche Antwort schützt Sie im Zweifelsfall auch haftungsrechtlich.
Was passiert, wenn wir nichts tun?
Wenn eine Kompromittierung unentdeckt bleibt, riskieren Sie zweierlei: Erstens können Backup-Daten beschädigt oder unvollständig sein – das fällt erst im Ernstfall auf. Zweitens können Sie im Rahmen der KBV-IT-Sicherheitsrichtlinie (§ 75b SGB V) nicht nachweisen, dass Ihre Datensicherung geprüft und funktionsfähig war. Patientendaten als besondere Kategorie nach Art. 9 DSGVO unterliegen strengen Anforderungen – ein Versäumnis kann Meldepflichten und Bußgeldrisiken auslösen.
Wie lange dauert die Prüfung – müssen wir die Praxis schließen?
Nein. Die Bestandsaufnahme der Anwendungsberechtigungen und die Log-Auswertung erfolgen vollständig im Hintergrund und beeinträchtigen den laufenden Betrieb nicht. Einen Test-Restore sollten Sie außerhalb der Sprechzeiten oder in Praxisferien einplanen – er dauert je nach Datenmenge zwischen zwei und vier Stunden und erfordert keine Praxisschließung. Ihr IT-Dienstleister koordiniert das als Wartungsfenster.
Müssen wir den Vorfall der Datenschutzbehörde melden?
Nur dann, wenn tatsächlich ein unbefugter Zugriff auf Patientendaten in Ihrem Tenant stattgefunden hat. Liegt ein solcher Vorfall vor, greift Art. 33 DSGVO: Meldung binnen 72 Stunden an die zuständige Aufsichtsbehörde. Wichtig: Die Meldepflicht gilt ab dem Zeitpunkt der Kenntnisnahme – je schneller Sie die Prüfung veranlassen, desto mehr Zeit haben Sie für eine geordnete Reaktion. TTG GmbH unterstützt Sie bei der Dokumentation und Einschätzung des Vorfalls.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute mit Sicherheit, dass Ihre Praxisdaten – einschließlich aller Patientenakten – aus einem Backup vollständig wiederherstellbar sind?
Ihre Daten sicher schützen lassen
Ein Ransomware-Angriff oder Festplattenausfall kann Ihr Unternehmen lahmlegen. Die TTG GmbH entwickelt eine passende Backup-Strategie für KMU in Nordthüringen.
