Veeam-Schwachstellen im Backup: Was Unternehmen jetzt wirklich tun müssen
Inhaltsverzeichnis
Veröffentlicht: 25. Juli 2026 · Lesezeit: ca. 12 Minuten
Viele Unternehmer gehen davon aus, dass ihr Backupsystem per Definition sicher ist – weil es ja gerade die Daten schützen soll, die im Ernstfall retten. Diesen Gedanken hört man in Erstgesprächen erstaunlich oft: „Das Backup ist unser Fallback – da kommen Angreifer doch gar nicht ran.“
Tatsächlich ist das Gegenteil richtig. Backup-Server sind heute eines der meistgescannten Ziele im Firmennetz. Angreifer suchen gezielt nach erreichbaren Verwaltungsschnittstellen – und sobald sie Zugriff haben, löschen oder verschlüsseln sie den Datensicherungsbestand als erstes. Wer danach kein sauberes Offline-Backup besitzt, zahlt – oder verliert alles.
Dass dieser Irrtum so hartnäckig ist, hat einen nachvollziehbaren Grund: Backup-Software wie Veeam läuft zuverlässig im Hintergrund, macht kaum Probleme und wird deshalb selten aktiv beobachtet. Genau das wird zum Risiko.
Die Veeam Sicherheitslücke Backup-Thematik hat sich in den vergangenen Monaten von einem Randthema zu einer der drängendsten Sicherheitsfragen für mittelständische Betriebe entwickelt. Mit einem CVSS-Score von bis zu 9,8 – und einer Einstufung durch das BSI unter WID-SEC-2024-2058 sogar mit dem Höchstwert 10,0 – gehören aktuelle Veeam-Schwachstellen zu den gefährlichsten, die es derzeit gibt. Das ist kein theoretisches Risiko: Sophos X-Ops dokumentierte allein im Oktober 2024 mindestens vier aktive Ransomware-Angriffe, die genau diese Lücken ausgenutzt haben.
Für Betriebe, die Veeam Backup & Replication einsetzen, bedeutet das konkrete Handlungspflicht – unabhängig von der Unternehmensgröße. Veeam-Produkte werden weltweit von über 550.000 Kunden genutzt; die schiere Verbreitung macht die Software zum attraktiven Ziel, auch für Angreifer, die keine gezielten Spionageoperationen fahren, sondern schlicht opportunistisch nach ungepatchten Systemen suchen.
Dieser Erfahrungsbericht zeigt, was wir als IT-Systemhaus in der Praxis immer wieder antreffen: typische Ausgangssituationen, die häufigsten Fehler – und was Sie konkret tun können, um Ihren Backupbestand wirklich abzusichern. Schritt für Schritt, ohne IT-Studium.
Was wir bei Backup-Schwachstellen immer wieder sehen: ein Blick aus der Beratungspraxis
Wenn wir bei Betrieben in der Region auf die Backup-Infrastruktur schauen, ist das Bild erstaunlich konsistent – egal ob Handwerksbetrieb, Steuerberatungskanzlei oder produzierendes Unternehmen. Der Backup-Server läuft seit Jahren stabil, niemand hat ihn angefasst, und genau das ist das Problem.
Ein konkretes Beispiel aus unserem Arbeitsalltag: Ein Handwerksbetrieb aus Heilbad Heiligenstadt mit rund 30 Mitarbeitern hatte Veeam seit Jahren im Einsatz – solide eingerichtet, regelmäßige Jobs, grüne Ampeln im Dashboard. Beim ersten strukturierten Sicherheits-Check stellte sich heraus: Der Backup-Server war über Port 9392 direkt aus dem Internet erreichbar, lief auf einem veralteten Versionsstand und war in die Active-Directory-Domäne eingebunden. Genau diese Kombination macht Systeme für CVE-2024-40711 und CVE-2025-23120 angreifbar – letztere betrifft ausschließlich domänengebundene Backup-Server, was in kleinen und mittleren Betrieben der typische Standardfall ist.
Die Veeam Sicherheitslücke Backup-Problematik ist dabei kein Versagen der Software als solcher – Veeam ist ein leistungsfähiges Produkt, das weltweit millionenfach eingesetzt wird. Das Problem liegt in der Art, wie Backupsysteme im Alltag betrieben werden: ohne Netzwerksegmentierung, ohne Monitoring, ohne klaren Patch-Prozess. Unsere IT-Infrastruktur & Datensicherung – TTG GmbH zeigt, wie eine sichere Grundarchitektur aussehen kann.
Was sofort hilft:
- Prüfen Sie, ob Ihr Veeam-Server über das Internet erreichbar ist – Port 9392 sollte ausschließlich intern verfügbar sein
- Vergleichen Sie den installierten Versionsstand mit der aktuellen Release-Liste auf der Veeam-Website
- Klären Sie, ob Ihr Backup-Server in der Active-Directory-Domäne eingebunden ist – falls ja, gilt erhöhte Dringlichkeit beim Patching
- Lassen Sie überprüfen, welche Konten Administrationszugriff auf den Backup-Server haben
Typische Ausgangssituation: Wie Backupsysteme in der Praxis aufgebaut sind
Die meisten Betriebe, die zu uns kommen, haben ihre Datensicherung irgendwann einmal professionell einrichten lassen – und sie seitdem im Wesentlichen laufen gelassen. Das ist nachvollziehbar: Veeam funktioniert zuverlässig, sendet im Regelfall keine Alarme, und der Tagesbetrieb hat andere Prioritäten. Was dabei übersehen wird, ist der Unterschied zwischen einer Lösung, die läuft, und einer Lösung, die sicher läuft.
Typisch ist folgendes Setup: Der Backup-Server steht im selben Netzwerksegment wie die produktiven Server, hat Domänen-Admin-Rechte (weil das die Einrichtung erleichtert hat), und Updates werden eingespielt, wenn gerade Zeit ist – also selten. Die Backup-Jobs laufen nachts, die Wiederherstellbarkeit der Sicherungen wird kaum je getestet.
Hinzu kommt ein Aspekt, der oft unterschätzt wird: Die Veeam Sicherheitslücke Backup-Gefährdung ist kein einmaliges Ereignis. CVE-2024-40711 erlaubt unauthentifizierte Remote-Code-Ausführung – ein Angreifer braucht also keine gestohlenen Zugangsdaten, um einzudringen. Im März 2025 folgte CVE-2025-23120 mit einem CVSS-Score von 9,9. Schwachstellen in Backup-Software kommen nicht einmalig, sie kommen wiederholt. Das erfordert einen dauerhaften Prozess, keine einmalige Bereinigung.
Aktuell warnt heise Security über eine Rechteausweitungs-Lücke im Veeam-Updater, die Backupsysteme gefährdet, die in vielen Betrieben als letzte Sicherheitslinie gelten. Auch diese Lücke zeigt: Updates müssen zeitnah eingespielt werden – nicht irgendwann. Wie ein strukturierter Umgang mit solchen Risiken aussieht, beschreibt unser Ansatz zu Backup & Datensicherung durch die TTG GmbH.
- Dokumentieren Sie Ihren aktuellen Versionsstand und aktivieren Sie automatische Update-Benachrichtigungen in Veeam
- Trennen Sie den Backup-Server vom produktiven Netzwerksegment – ein separates VLAN ist der erste sinnvolle Schritt
- Entfernen Sie unnötige Domänen-Admin-Rechte vom Backup-Dienstkonto – ein dediziertes Konto mit minimalen Berechtigungen reicht aus
- Planen Sie mindestens einmal pro Quartal einen Restore-Test – ein Backup, das nie getestet wurde, ist keine Sicherung, sondern eine Hoffnung
Fehler Nr. 1: Der Backup-Server steht offen – und niemand hat es bemerkt
Der häufigste Fehler, den wir antreffen, ist gleichzeitig der folgenreichste: Der Veeam-Verwaltungsport ist aus dem Internet erreichbar. Das passiert nicht durch Fahrlässigkeit, sondern durch nachvollziehbare Entscheidungen – etwa weil der Administrator aus dem Homeoffice Zugriff braucht, oder weil bei der Firewall-Konfiguration pauschal Ports geöffnet wurden, die nie wieder geschlossen wurden.
Angreifer scannen systematisch nach genau diesen Ports. Über öffentlich zugängliche Tools lassen sich exponierte Veeam-Instanzen weltweit in Minuten finden. CVE-2024-40711 – entdeckt von Florian Hauser, Sicherheitsforscher bei CODE WHITE in Deutschland – erlaubt es, auf einem so exponierten System ohne jede Authentifizierung beliebigen Code auszuführen. Das BSI stuft diese Schwachstelle (WID-SEC-2024-2058) mit dem Höchstwert ein und empfiehlt ausdrücklich: Backup-Server gehören nicht ins Internet, Verwaltungsschnittstellen müssen durch VPN oder ähnliche Zugangskontrolle geschützt werden.
Die Veeam Sicherheitslücke Backup in Form von CVE-2024-40711 hat Sophos X-Ops nachweislich in mindestens vier Ransomware-Angriffen beobachtet – und das sind nur die dokumentierten Fälle. Was all diese Angriffe gemeinsam hatten: Die Backup-Infrastruktur war das erste Ziel, nicht das letzte. Wer das Backup kontrolliert, kontrolliert die Wiederherstellbarkeit des Opfers. Die Empfehlungen des BSI zur Datensicherung sind hier eindeutig und sollten als Mindeststandard gelten. Wie ein ISO-konformes Sicherheitsrahmenwerk dazu beiträgt, erläutert unsere Seite zur ISO/IEC 27001 Zertifizierung – TTG GmbH.
- Prüfen Sie mit Ihrem IT-Dienstleister, welche Ports Ihres Backup-Servers nach außen erreichbar sind – ein einfacher Port-Scan reicht als ersten Überblick
- Schließen Sie den Fernzugriff auf den Backup-Server ausschließlich über VPN – niemals direkt über das Internet
- Richten Sie eine Firewall-Regel ein, die ausgehende Verbindungen vom Backup-Server auf das notwendige Minimum beschränkt
- Aktivieren Sie Login-Protokollierung am Backup-Server, um unbefugte Zugriffsversuche frühzeitig zu erkennen
Fehler Nr. 2: Updates kommen zu spät – der Patch-Prozess fehlt ganz
Der zweithäufigste Fehler liegt nicht in der Konfiguration, sondern im Prozess: Es gibt schlicht keinen definierten Ablauf, wer wann prüft, ob Sicherheitsupdates für die Backup-Software vorliegen – und wer sie einspielt. In der Praxis bedeutet das: Updates kommen, wenn jemand zufällig davon erfährt oder wenn der nächste IT-Dienstleister-Termin ohnehin ansteht. Das können Wochen oder Monate sein.
Zwischen Veröffentlichung eines Patches und dem ersten aktiven Exploit vergehen bei kritischen Veeam-Schwachstellen oft nur wenige Tage. Rapid7 hat für das Jahr 2024 ausgewertet, dass mehr als 20 % der untersuchten Incident-Response-Fälle Veeam involvierten – entweder als direktes Angriffsziel oder als Einfallstor. Das ist ein konkreter Hinweis darauf, wie eng das Zeitfenster zwischen Patch-Verfügbarkeit und Ausnutzung tatsächlich ist.
| Situation | Empfehlung | Warum |
|---|---|---|
| Kein definierter Update-Prozess vorhanden | Sofort Zuständigkeit und Turnus festlegen | Ungepatchte Systeme sind in Stunden angreifbar |
| Updates werden manuell eingespielt | Automatische Benachrichtigungen + Checkliste | Manuell bedeutet: es passiert wenn es passt |
| Backup-Server läuft als Managed Service | SLA-Klausel für kritische Patches prüfen | Verantwortung muss vertraglich klar sein |
| Veeam in Domäne eingebunden | Patch für CVE-2025-23120 priorisieren | Domänengebundene Server sind speziell betroffen |
Unsere Managed Services der TTG GmbH umfassen genau diesen strukturierten Patch-Prozess – mit definierten Reaktionszeiten für kritische Sicherheitslücken, damit das Zeitfenster für Angreifer so klein wie möglich bleibt.
- Legen Sie schriftlich fest, wer für Updates am Backup-Server verantwortlich ist – und in welchem Turnus geprüft wird
- Abonnieren Sie den Veeam – Backup & Disaster Recovery Newsletter oder den Veeam Security Bulletin RSS-Feed
- Definieren Sie für kritische Patches (CVSS ≥ 9,0) ein maximales Zeitfenster von 48–72 Stunden bis zur Einspielung
- Testen Sie Updates grundsätzlich zuerst an einem Nicht-Produktivsystem, bevor sie auf dem Backup-Server eingespielt werden
Was sich danach spürbar verändert: Erfahrungen aus abgeschlossenen Projekten
Nachdem wir die beschriebenen Schwachstellen in einem Betrieb adressiert haben, verändern sich meist drei Dinge gleichzeitig – und die Ergebnisse sind konkreter als man erwarten würde.
Erstens: Die Wiederherstellungszeit sinkt erheblich. In einem Projekt mit einem Maschinenbauer aus dem Raum Duderstadt haben wir nach der Neustrukturierung der Backup-Architektur einen Restore-Test durchgeführt. Einzelne Systeme, deren Wiederherstellung vorher mehrere Stunden gedauert hätte, ließen sich im Test in unter 40 Minuten zurücksetzen. Der entscheidende Unterschied: sauber dokumentierte Recovery-Punkte, eine abgetrennte Backup-Umgebung und regelmäßig geprüfte Sicherungsläufe.
Zweitens: Das Sicherheitsbewusstsein wächst spürbar, wenn man Verantwortlichen konkrete Zahlen zeigt. Die Veeam Sicherheitslücke Backup-Problematik ist für die meisten Geschäftsführer kein abstraktes Thema mehr, sobald sie sehen, dass ihr eigenes System unter einer bekannten CVE-Kennnummer in öffentlichen Datenbanken auftaucht. Das schärft den Fokus – und die Bereitschaft, in strukturierte Sicherheitsmaßnahmen zu investieren. Das BSI – Empfehlungen zur Datensicherung liefert dazu klare Orientierung, die wir in unsere Beratung direkt einbeziehen.
Drittens: Betriebe, die ihre Backup-Infrastruktur einmal sauber aufgestellt haben, haben im Ernstfall deutlich kürzere Ausfallzeiten. Als Ihr IT-Systemhaus in Nordthüringen – TTG GmbH begleiten wir solche Projekte seit über 25 Jahren – als ISO/IEC 27001-zertifizierter Partner, der nicht nur die Technik kennt, sondern auch die spezifischen Anforderungen kleiner und mittelständischer Betriebe in Nordthüringen, Eichsfeld und Südniedersachsen.
- Führen Sie nach jedem Infrastrukturprojekt einen dokumentierten Restore-Test durch – mit messbarer Zielzeit
- Lassen Sie Ihren aktuellen Backup-Status von einem zertifizierten IT-Partner gegen aktuelle CVE-Listen abgleichen
- Planen Sie eine jährliche Überprüfung der Backup-Architektur ein – Anforderungen und Systeme verändern sich
- Holen Sie sich Rückmeldung über tatsächliche Wiederherstellungszeiten – nicht nur theoretische Werte aus der Dokumentation
Was wir Ihnen direkt empfehlen: Klare Prioritäten ohne Umwege
Wenn Sie Veeam Backup & Replication im Einsatz haben und noch keine strukturierte Überprüfung Ihrer Backup-Infrastruktur vorgenommen haben, ist jetzt der richtige Zeitpunkt – nicht weil wir das so sagen, sondern weil die aktuelle Bedrohungslage es sachlich erfordert.
Die Veeam Sicherheitslücke Backup-Thematik ist kein Medienphänomen, das sich in wenigen Wochen erledigt. Mit CVE-2024-40711 (CVSS 9,8), der BSI-Einstufung mit CVSS 10,0 und CVE-2025-23120 (CVSS 9,9) liegen drei kritische Schwachstellen vor, die aktiv ausgenutzt werden – und der Veeam-Updater-Fehler, den heise Security im Juli 2026 meldete, zeigt, dass neue Angriffsvektoren kontinuierlich dazukommen. Auch der Hinweis auf aktiv ausgenutzte SharePoint-Lücken aus derselben Woche unterstreicht, dass Angreifer systematisch nach ungepatchten Verwaltungssystemen suchen – Backup und Kollaborationsplattformen gleichermaßen.
Unsere Empfehlung in der Reihenfolge der Dringlichkeit: Zuerst die Erreichbarkeit des Backup-Servers aus dem Internet ausschließen, dann den Versionsstand prüfen und kritische Patches einspielen, dann die Netzwerktrennung umsetzen. Das sind drei Schritte, die in den meisten Umgebungen an einem halben Tag erledigt sind – vorausgesetzt, jemand übernimmt die Verantwortung dafür.
Wenn Sie das intern nicht abbilden können oder möchten, übernehmen wir das. Für Betriebe in und um Heilbad Heiligenstadt, im gesamten Eichsfeld und in Südniedersachsen stehen wir als regionaler Ansprechpartner zur Verfügung – ohne Hotline-Warteschleife, mit einem festen Ansprechpartner. Nehmen Sie einfach Kontakt auf: Backup-Strategie von TTG GmbH planen lassen.
- Stellen Sie sicher, dass keine Veeam-Ports direkt aus dem Internet erreichbar sind
- Spielen Sie alle verfügbaren Sicherheitsupdates für Veeam umgehend ein
- Trennen Sie den Backup-Server vom produktiven Netzwerksegment
- Richten Sie ein dediziertes Backup-Dienstkonto mit minimalen Rechten ein
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie den aktuellen Versionsstand Ihrer Veeam-Installation und vergleichen Sie ihn mit den aktuellen Sicherheitsbulletins auf der Veeam-Website (ca. 15 Minuten).
- Stellen Sie sicher, dass Port 9392 und weitere Veeam-Verwaltungsports nicht aus dem Internet erreichbar sind – lassen Sie einen einfachen Port-Scan durchführen.
- Aktivieren Sie den Fernzugriff auf den Backup-Server ausschließlich über VPN – entfernen Sie alle direkten externen Zugangswege.
- Prüfen Sie, ob Ihr Backup-Server in der Active-Directory-Domäne eingebunden ist – falls ja, priorisieren Sie den Patch für CVE-2025-23120 sofort.
- Trennen Sie den Backup-Server in ein eigenes Netzwerksegment (VLAN) vom produktiven Bereich – sprechen Sie das mit Ihrem IT-Dienstleister ab.
- Dokumentieren Sie schriftlich, wer für Updates am Backup-Server verantwortlich ist und in welchem maximalen Zeitfenster kritische Patches eingespielt werden (Empfehlung: 48–72 Stunden bei CVSS ≥ 9,0).
- Planen Sie einen Restore-Test ein – stellen Sie ein einzelnes System oder einen definierten Datensatz vollständig wieder her und messen Sie die Zeit.
- Sprechen Sie mit Ihrem IT-Partner über eine jährliche Überprüfung der Backup-Architektur gegen aktuelle CVE-Listen und BSI-Empfehlungen.
Häufig gestellte Fragen
Mein Backup funktioniert seit Jahren problemlos – muss ich wirklich etwas ändern?
Ja. Zuverlässiger Betrieb und Sicherheit sind zwei verschiedene Dinge. Eine Veeam-Installation kann jahrelang tadellos sichern und gleichzeitig über eine bekannte Schwachstelle angreifbar sein. Angreifer suchen nicht nach Betrieben mit Problemen – sie suchen nach ungepatchten Systemen, unabhängig davon, ob das Backup selbst funktioniert. Die Betriebsstabilität sagt nichts über die Angriffsfläche aus.
Was kostet es, die Backup-Infrastruktur sicher aufzustellen?
Das hängt stark vom Ausgangszustand ab. Viele der wichtigsten Maßnahmen – Firewall-Regeln anpassen, VPN-Zugang konfigurieren, Dienstkonto einschränken – sind Konfigurationsarbeiten, keine teuren Investitionen. Ein strukturierter Check mit Umsetzung der dringlichsten Punkte liegt in den meisten kleinen und mittleren Umgebungen im Bereich weniger Stunden Dienstleistungsaufwand. Was im Vergleich dazu ein Ransomware-Angriff kostet, zeigt jede aktuelle Statistik.
Bin ich als kleines Unternehmen überhaupt ein Angriffsziel?
Gezielte Angriffe richten sich nach Opportunität, nicht nach Unternehmensgröße. Wer einen exponierten Veeam-Port betreibt, taucht in automatisierten Scans auf – unabhängig davon, ob das Unternehmen 10 oder 1.000 Mitarbeiter hat. Gerade weil kleinere Betriebe seltener aktives Sicherheitsmonitoring betreiben, sind sie für Angreifer attraktiv: weniger Gegenwehr, schnellerer Erfolg.
Verstößt eine Sicherheitslücke im Backup gegen die DSGVO?
Wenn durch eine ausgenutzte Schwachstelle personenbezogene Daten abgeflossen oder vernichtet wurden, ist das eine meldepflichtige Datenpanne – Frist: 72 Stunden nach Bekanntwerden an die zuständige Datenschutzbehörde. Auch ohne Datenabfluss kann ein unzureichend gesichertes Backup-System als Verstoß gegen Art. 32 DSGVO (technische und organisatorische Maßnahmen) gewertet werden. Das ist kein theoretisches Risiko.
Wie schnell muss ich nach einer BSI-Warnung reagieren?
Das BSI empfiehlt bei kritischen Schwachstellen (CVSS ≥ 9,0) sofortige Maßnahmen – in der Praxis bedeutet das: innerhalb von 48 bis 72 Stunden sollte zumindest ein Workaround aktiv sein, der die Angriffsfläche reduziert, und ein Patchplan muss stehen. Wer keinen definierten Patch-Prozess hat, schafft das in der Regel nicht rechtzeitig. Genau dafür sind strukturierte Managed Services sinnvoll.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade, ob Ihr Veeam-Backup-Server aus dem Internet erreichbar ist – und wer dafür verantwortlich ist, das zu ändern?
Ihre Daten sicher schützen lassen
Ein Ransomware-Angriff oder Festplattenausfall kann Ihr Unternehmen lahmlegen. Die TTG GmbH entwickelt eine passende Backup-Strategie für KMU in Nordthüringen.
