RMM-Tools (Remote Monitoring and Management) sind Plattformen, mit denen IT-Teams und Dienstleister viele Computer aus der Ferne überwachen und steuern – und die Angreifer zunehmend für verdeckten Zugriff missbrauchen.
Wie RMM-Tools funktionieren
Ein RMM-Produkt installiert auf jedem verwalteten Endgerät einen schlanken Agenten. Der Agent meldet Zustands- und Inventardaten an eine zentrale Konsole und erlaubt Administratoren, Skripte auszuführen, Patches zu verteilen, Dateien zu übertragen und Remote-Desktop-Sitzungen zu öffnen. Bekannte Produkte sind ConnectWise ScreenConnect, Kaseya VSA, N-able, NinjaOne, Atera, TeamViewer und AnyDesk. Weil die Agenten mit hohen Rechten laufen und per Design vertrauenswürdig sind, kann eine einzige Konsole Tausende Rechner bei vielen Kunden steuern.
Warum RMM-Tools für die Sicherheit relevant sind
Angreifer schätzen RMM-Software in zweifacher Hinsicht:
- Missbrauch legitimer Werkzeuge – nach dem Eindringen installieren Täter AnyDesk, ScreenConnect oder ähnliche Programme als unauffällige Hintertür. Die Tools sind signiert und weit verbreitet, Virenscanner blockieren sie daher selten – eine Form von Living off the Land. Eine gemeinsame Warnung von CISA, NSA und MS-ISAC aus dem Jahr 2023 beschrieb, wie Kriminelle Nutzer im Rahmen von Helpdesk- und Tech-Support-Betrug zur Installation von RMM-Software verleiten. MITRE ATT&CK führt dies als Remote Access Software (T1219).
- Angriffe auf RMM-Plattformen – die Kompromittierung der Konsole eines Dienstleisters wird zum Supply-Chain-Angriff. Im Juli 2021 nutzte die REvil-Bande Kaseya VSA aus, um über Managed Service Provider Ransomware an rund 1.500 Unternehmen zu verteilen. Kritische ScreenConnect-Schwachstellen, die 2024 bekannt wurden, wurden innerhalb weniger Tage ausgenutzt.
Wie man RMM-Tools absichert
- Ein einziges freigegebenes RMM-Produkt festlegen und alle anderen per Anwendungskontrolle blockieren oder melden.
- Konsolen mit MFA schützen, auf vertrauenswürdige Netze beschränken und zeitnah patchen.
- Neue Fernzugriffsagenten und ungewöhnliche Sitzungen überwachen – genauso wie offen erreichbares RDP.
- Managed Service Provider vertraglich zu minimalen Rechten und lückenloser Protokollierung verpflichten.
