Wie gut ist Ihr Sicherungsserver selbst geschützt?

Die Sicherung als Angriffsziel

Der Sicherungsserver ist der Rechner, der im Ernstfall alles wiederherstellen soll, und gerade deshalb ein lohnendes Ziel. Wer Daten verschlüsseln und Lösegeld verlangen will, hat Grund, zuerst die Sicherung unbrauchbar zu machen.

Am 6. Oktober 2026 hat Veeam eine kritische Lücke in Backup & Replication 12 geschlossen. Sie zeigt, wie wenig dafür nötig sein kann: ein einziges Konto, das Sicherungen eigentlich nur ansehen darf.

Was Veeam gemeldet hat

Mit der Meldung KB4934 hat Veeam drei Lücken in Version 12 geschlossen. Die schwerste ist mit 9,4 von 10 Punkten bewertet: Ein Konto mit der Rolle „Backup Viewer“, also mit reinen Leserechten, kann darüber eigenen Code auf dem Sicherungsserver ausführen. Version 13 ist davon nicht betroffen.

Für Version 13 gibt es mit KB4902 eine eigene Meldung. Eine der Lücken darin schreibt die Zugangsdaten, mit denen Veeam Anwendungen auf den gesicherten Servern konsistent sichert, im Klartext in Protokolldateien auf diesen Servern. Das Update stoppt das, die schon geschriebenen Protokolle bleiben aber liegen. Veeam rät deshalb, nach dem Update die betroffenen Kennwörter zu ändern.

Veeam schreibt in jeder dieser Meldungen dazu, dass Angreifer nach einer Veröffentlichung versuchen, aus dem Update die Lücke zurückzurechnen. Wer das Update aufschiebt, verlängert also genau die Zeit, in der der Angriff bekannt ist.

Warum gerade der Sicherungsserver

Er kommt an alles heran. Damit er Server und virtuelle Maschinen sichern kann, speichert Veeam die Zugangsdaten dazu in seiner Konfigurationsdatenbank. Die Kennwörter liegen dort verschlüsselt, aber wer Administrator auf dem Sicherungsserver ist, kann sie entschlüsseln. So steht es in Veeams eigener Dokumentation.

Und er kann Sicherungen löschen. Wer den Sicherungsserver übernimmt, hat damit beides in der Hand: den Zugang zu den Systemen und die Möglichkeit, den Weg zurück abzuschneiden.

Was Veeam selbst empfiehlt

Das Handbuch zu Backup & Replication enthält einen eigenen Abschnitt zur Absicherung. Die Punkte, auf die es in kleineren Umgebungen am meisten ankommt:

Die Veeam-Konsole bringt für die Einstellungen eine eigene Prüfung mit, den Security & Compliance Analyzer. Er ersetzt keinen der Punkte oben, zeigt aber schnell, wo es klemmt.

• Aktuell halten. Die Updates aus den Meldungen oben einspielen, ohne lange Wartezeit.
• Nicht in die Domäne der Arbeitsplätze. Für kleine und mittlere Umgebungen empfiehlt Veeam, die Sicherungskomponenten in eine eigene Arbeitsgruppe zu legen und, wo es geht, in ein eigenes Netz. Ein Angreifer, der ein Domänenkonto erbeutet hat, kommt so nicht direkt an den Sicherungsserver.
• Kein Zugang aus dem Internet. Wer den Server aus der Ferne verwalten will, tut das über einen eigenen Verwaltungsrechner dazwischen, nicht direkt.
• Zweiter Faktor für die Anmeldung an der Veeam-Konsole und eine automatische Abmeldung, wenn niemand mehr daran arbeitet.
• Unveränderliche Sicherungen. Veeam kann Sicherungsdateien für eine festgelegte Zeit gegen Ändern und Löschen sperren. Dazu eine Kopie auf einem Medium, das vom Netz getrennt ist, und die Verschlüsselung der Sicherungen.

Was das im Betrieb bedeutet

Ein Angriff auf den Sicherungsserver macht aus einem schlimmen Tag eine schlimme Woche. Solange die Sicherung heil ist, ist ein verschlüsselter Server ein Wiederherstellungsauftrag. Ist sie mit betroffen, bleibt nur die Frage, was sich anders retten lässt. Welche Zahlen dabei zählen, steht in Backup ist nicht Notfallvorsorge.

Wie wir das angehen

Backup und Notfallvorsorge mit Veeam gehören zu unseren Kernleistungen. In Kundenumgebungen setzen wir Veeam Backup & Replication ein, einschließlich der Lizenzverwaltung. Die gesicherten Daten sollen dabei „zuverlässig und geschützt“ sein, so steht es in unserem Baustein für das Managed Backup.

Häufige Fragen

Unser Sicherungsserver ist aus dem Internet nicht erreichbar. Reicht das? Nein. Die kritische Lücke in Version 12 setzt ein Konto mit Leserechten voraus, keinen Zugang aus dem Internet. Wer im internen Netz ein solches Konto erbeutet, kommt an den Server heran.

Wir haben noch Version 12. Müssen wir jetzt umsteigen? Jetzt zuerst das Update auf 12.3.2 P4. Den Umstieg auf Version 13 bis zum 28.02.2027 planen, danach bekommt Version 12 keine Korrekturen mehr.

Was heißt unveränderlich? Veeam sperrt die Sicherungsdateien für einen festgelegten Zeitraum. Bis er abgelaufen ist, lassen sie sich weder ändern noch löschen.

Woran erkennen wir, ob unser Sicherungsserver so eingerichtet ist? Fragen Sie nach drei Dingen: der installierten Version, ob der Server Mitglied der Domäne ist, und ob es eine Kopie gibt, die unveränderlich oder vom Netz getrennt ist. Alle drei Antworten lassen sich in wenigen Minuten geben.

Wenn Sie wissen möchten, wo Ihre Sicherung steht

Wenn Sie wissen wollen, wie Ihre IT insgesamt dasteht: Unsere Infrastrukturanalyse ist kostenlos und unverbindlich. Wir prüfen Ihre gesamte IT-Infrastruktur und dokumentieren diese. Schreiben Sie uns über die Kontaktseite auf virmas.de.

VIRMAS Systemtechnik GmbH ist ein IT-Systemhaus für Geschäftskunden in Neuenhagen bei Berlin; wir betreuen Unternehmen in Berlin und Brandenburg, mit einem festen Ansprechpartner statt einer anonymen Hotline.

Zum Weiterlesen: Backup ist nicht Notfallvorsorge · Ransomware: was in den ersten 24 Stunden zählt · Microsoft 365 richtig sichern

Quellen

• Veeam: KB4934, Vulnerabilities Resolved in Veeam Backup & Replication 12.3.2 P4, veröffentlicht am 06.10.2026
• Veeam: KB4902, Vulnerabilities Resolved in Veeam Backup & Replication 13.1, zuletzt geändert am 05.10.2026
• Veeam Help Center: Securing Backup Infrastructure, Stand 05.06.2026