Remote-Monitoring-and-Management-Software (RMM) erlaubt es IT-Teams, Endpunkte in großem Umfang zu steuern: Patches ausrollen, Skripte ausführen und Rechner reparieren, die sie nie physisch berühren. Sie ist zugleich zu einem der häufigsten Einfallstore in jüngeren Sicherheitsvorfällen geworden. Die Tools sind legitim, signiert und von den Systemen, auf denen sie laufen, bereits als vertrauenswürdig eingestuft, sodass ein Angreifer, der eines davon in die Hand bekommt, tiefen Zugriff erbt, ohne unterwegs groß aufzufallen.
Das zeigt sich auf zwei Arten. Ein Angreifer nutzt entweder ein RMM aus, das die Organisation bereits betreibt, oder bringt einen Nutzer per Phishing dazu, ein eigenes zu installieren. Beide Wege enden am selben Punkt: hohe Rechte, Fernsteuerung und ein kurzer Weg zur Ransomware.
Was RMM ist und warum Angreifer danach greifen
RMM-Software gibt Administratoren die Fernsteuerung über Endpunkte in großem Umfang: Software ausrollen, Diagnosen durchführen, Befehle ausführen und Rechner verwalten, die sie mitunter nie physisch berühren. Produkte wie ConnectWise ScreenConnect, SimpleHelp und BeyondTrust Remote Support gehören in IT- und MSP-Umgebungen zum Standard. Sie sind darauf ausgelegt, tiefen, privilegierten Zugriff auf die Systeme zu haben, die sie verwalten, denn das ist ihre Aufgabe.
Genau dieser Zugriff ist der Reiz für einen Angreifer. Die Bedrohungsforscher von Microsoft treffen die Unterscheidung in ihrer Analyse zur Ausnutzung von RMM direkt: RMM ist nicht nur Fernzugriff, sondern Fernprivileg. Eines dieser Tools zu kompromittieren verschafft einem Eindringling sofort dieselbe weitreichende Kontrolle, die auch ein Administrator hat.
Sicherheitsprodukte melden diese Aktivität selten, und das ist die zweite Hälfte des Problems. Eine signierte RMM-Binärdatei trägt keine schädliche Signatur, und verhaltensbasierte Tools, die auf ungewöhnliche Prozesse achten, sind oft so eingestellt, dass sie gängige IT-Software ignorieren, um kein Rauschen zu erzeugen. Ein Angreifer, der über einen vertrauenswürdigen Agenten arbeitet, verschmilzt mit dem Datenverkehr, den Verteidiger sich selbst antrainiert haben zu überspringen. Es ist derselbe blinde Fleck rund um vertrauenswürdige Tools, der systemeigene Binärdateien zu einem Favoriten macht für Angreifer, nur dass das Tool hier ein installierter Agent ist statt etwas, das dem Betriebssystem von Haus aus mitgegeben wird.
Zwei Wege hinein: Ihres ausnutzen oder ihr eigenes installieren
Das erste Muster besteht darin, ein RMM auszunutzen, das die Organisation bereits betreibt. Über die Jahre 2024 und 2025 hinweg machten Angreifer eine Reihe von Schwachstellen in weit verbreiteten Plattformen zur Waffe und nutzten sie für den ersten Zugriff, für laterale Bewegung und für Ransomware. Die als CVE-2024-1709 geführte Schwachstelle zur Authentifizierungsumgehung in ScreenConnect löste eine der schädlicheren Wellen aus, und Microsoft beobachtete die Ausnutzung von Zero-Day-Schwachstellen über mehrere RMM-Plattformen hinweg als Teil koordinierter, manuell durchgeführter Angriffe.
Das zweite Muster braucht überhaupt keine Schwachstelle. Ein Angreifer bringt einen Mitarbeiter per Phishing dazu, Fernzugriffs-Software zu installieren oder zu aktualisieren, und sobald der Nutzer klickt, läuft ein legitimer, signierter Agent auf dem Rechner, ganz ohne Exploit. Weil die Binärdatei gültig ist und der Datenverkehr routinemäßig aussieht, kann sie lange unentdeckt bleiben. Die Kampagne VENOMOUS#HELPER nutzte genau diese Methode und hielt sich über ein Jahr lang in mehr als 80 Organisationen auf, indem sie vertrauenswürdige RMM-Tools statt Malware installierte.
Eine vom Angreifer installierte RMM-Kette läuft üblicherweise so ab:
- Eine Phishing-E-Mail drängt den Nutzer, Fernsupport-Software zu installieren oder zu aktualisieren
- Der signierte Agent läuft und meldet sich bei einer vom Angreifer kontrollierten Infrastruktur
- Interne Erkundung kartiert das Netzwerk und pickt sich die wertvollen Systeme heraus
- Ein zweites RMM-Tool wird still nachgeschoben, für Redundanz und Persistenz
- Ein verstecktes Administratorkonto wird angelegt, um den langfristigen Zugang zu sichern
Läuft irgendetwas davon erst einmal, hat der Angreifer einen stabilen Standfuß, der für die meisten Überwachungssysteme aussieht wie eine ausgelastete IT-Abteilung, die ihre Arbeit macht.
Warum es so schnell eskaliert
Der Grund, warum eine RMM-Kompromittierung so schnell ernst wird, sind die Rechte. Diese Tools laufen bereits mit hohen Rechten, sodass ein Angreifer, der eines davon kontrolliert, sich die mühsame Arbeit spart, von einem gering privilegierten Standfuß aus zu eskalieren. Er erbt den Zugriff bereits beim Eintreffen, was den Weg zur vollständigen Netzwerkkontrolle verkürzt. Sobald ein Eindringling diese Art von dauerhaftem Zugriff hat, folgt laterale Bewegung schnell, oft in Minuten statt Tagen.
Die Umgehung der Erkennung verschärft das Ganze. Weil die Aktivität durch vertrauenswürdige Software fließt, bleiben die üblichen Stolperdrähte still, während der Angreifer Erkundung betreibt, Abwehrmechanismen deaktiviert und Schadlasten bereitstellt. Microsoft dokumentierte Eindringlinge, die, einmal drinnen, rasch Rechte ausweiteten, sich lateral bewegten und Umgebungen für Ransomware einrichteten.
Persistenz ist das dritte Stück. Angreifer betreiben oft mehr als ein RMM-Tool gleichzeitig, sodass das Entfernen des einen noch immer ein anderes an Ort und Stelle lässt. Microsoft verwies auf Fälle, in denen Eindringlinge ein zweites RMM-Tool eigens zur Persistenz herunterluden und ausführten, meist zusammen mit einem versteckten Admin-Konto. Bis jemand bemerkt, dass etwas nicht stimmt, ist die Ransomware-Phase nicht mehr weit.
Warum MSPs ein höheres Risiko tragen
Für einen MSP ist die RMM-Plattform das Geschäft. Eine einzige Management-Konsole erreicht jeden unter Vertrag stehenden Kundenendpunkt, was effizient ist und zugleich der größte denkbare einzelne Ausfallpunkt ist. Kompromittieren Sie diese Konsole oder setzen Sie einen bösartigen Agenten auf einen verwalteten Rechner, dann umfasst der Wirkungsradius nicht ein Unternehmen, sondern den gesamten Kundenstamm auf einmal.
Der Kaseya-VSA-Vorfall von 2021 ist noch immer das deutlichste Beispiel. Angreifer nutzten die VSA-Plattform aus, um etwas auszuspielen, das wie ein routinemäßiges Update aussah, und die Malware kaskadierte über MSPs zu deren nachgelagerten Kunden und traf in einer einzigen Operation weit über tausend Organisationen. CISA und das FBI gaben eine gemeinsame Handreichung für MSPs und ihre Kunden heraus, und eine der zentralen Empfehlungen lautete, die RMM-Kommunikation auf bekannte IP-Adresspaare zu beschränken.
Das Muster hat sich fortgesetzt. Die CISA-Warnmeldung von 2025 zu SimpleHelp beschreibt Ransomware-Akteure, die Organisationen über ungepatchte Versionen des Tools ins Visier nehmen, und warnt ausdrücklich, dass ein kompromittiertes RMM, das ein Dienstleister nutzt, zum Weg in jeden nachgelagerten Kunden wird, den es berührt. Für einen MSP lässt sich die Sicherheit eines Management-Tools nicht von der Sicherheit jedes einzelnen Kunden trennen, der davon abhängt.
Was den Schaden begrenzt
Beginnen Sie mit Sichtbarkeit: Wissen Sie, welche Remote-Management-Tools in Ihrer Umgebung genehmigt sind, und behandeln Sie alles, was nicht auf dieser Liste steht, als verdächtig. Taucht ein RMM-Agent auf einem Endpunkt auf, den niemand autorisiert hat, sollte das etwas sein, das Sie sehen und worauf Sie reagieren können, und nicht etwas, das im Rauschen untergeht.
Die Kontrolle, die am meisten leistet, ist das Entfernen dauerhafter lokaler Administratorrechte, denn beide Missbrauchsmuster stützen sich auf Rechte. Ein per Phishing getäuschter Nutzer kann einen bösartigen Agenten nur installieren, wenn sein Konto die Rechte dazu hat, und ein Angreifer, der ein bestehendes Tool ausnutzt, will hohe Rechte, um von dort aus zu eskalieren.
Nehmen Sie dauerhafte lokale Admin-Rechte weg und verlangen Sie Rechteausweitung pro Anwendung, wobei jede Ausweitung protokolliert wird. Die stille Installation funktioniert nicht mehr, und unerwartete Remote-Management-Software wird zu etwas, das Sie blockieren und überprüfen können. Admin By Request’s Endpoint Privilege Management solution gewährt Rechte nur dann, wenn sie gebraucht werden, und führt einen vollständigen Audit-Trail darüber, was ausgeweitet wurde und von wem. Für einen MSP hält diese Eindämmung über jeden verwalteten Endpunkt hinweg, statt von einer Einrichtung pro Rechner abzuhängen.
Das Entfernen dauerhafter Rechte ersetzt nicht das prompte Patchen Ihres RMM oder das Achten auf ungewöhnliche Sitzungen zu ungewöhnlichen Zeiten. Es liegt unter diesen Maßnahmen als Fundament: Selbst wenn ein Tool kompromittiert oder ein Nutzer getäuscht wird, deckelt das Fehlen dauerhafter Rechte, wie weit der Angriff kommt.
Ein vertrauenswürdiges Tool ist trotzdem ein Tool
RMM-Missbrauch ist gerade deshalb heikel, weil die Software, die als Einstiegspunkt dient, genau das tut, wofür sie gebaut wurde. Das Vertrauen, das diese Tools nützlich macht, ist dasselbe Vertrauen, das Angreifer sich borgen, wenn sie sie gegen Sie wenden.
Dieses Vertrauen lässt sich nicht entfernen, ohne die Produktivität aufzugeben, die diese Tools liefern, aber Sie können eindämmen, was passiert, wenn es missbraucht wird. Rechte am Endpunkt zu kontrollieren, den Überblick darüber zu behalten, welche Remote-Management-Software laufen darf, und jede Rechteausweitung zu protokollieren verkleinern zusammen die Lücke zwischen einem kompromittierten Tool und einem unternehmensweiten Ransomware-Vorfall.
Um zu sehen, wie sich die Kontrolle von Endpunktrechten in dieses Bild einfügt, können Sie unsere EPM-Lösung im kostenlosen Plan ausprobieren, der Ihnen Zugriff auf den vollen Funktionsumfang für bis zu 25 Endpunkte gibt. Es ist ein unkomplizierter Weg, die Lücke bei dauerhaften Admin-Rechten zu schließen, auf die so viele dieser Angriffe angewiesen sind.
Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.
