Veeam-Lücken: Wenn die letzte Rettungsleine reißt

Für viele Unternehmen mit 10 bis 100 Mitarbeitern ist das Backup die letzte Versicherung gegen Ransomware: Wenn alles schiefgeht, wenn Produktivdaten verschlüsselt sind und Erpresser drohen, dann soll wenigstens die Datensicherung den Neustart ermöglichen. Genau diese Rettungsleine steht im Zentrum einer aktuellen Meldung von heise Security: Über mehrere Sicherheitslücken können Angreifer Veeam-Backup-Server manipulieren – und in Veeam ONE unter bestimmten Voraussetzungen sogar die Mehr-Faktor-Authentifizierung abschalten. Wer Veeam einsetzt, sollte jetzt nicht warten.

Was genau passiert ist

Veeam hat wichtige Sicherheitsupdates für seine Produkte Backup & Replication und ONE veröffentlicht. In der Windows-Version von Backup & Replication stecken drei Schwachstellen, eine weitere betrifft den Veeam Agent for Linux, und auch für Veeam ONE gibt es einen Patch. Die schwerwiegendste Lücke (CVE-2026-108142) gilt als „kritisch“. Nach aktuellem Stand gibt es laut der Meldung vom 28. Oktober 2026 keine Hinweise, dass Angreifer die Schwachstellen bereits ausnutzen. Das ist eine gute Nachricht – aber sie entbindet niemanden vom Handeln. Denn sobald Details zu einer Lücke öffentlich sind, kann sich die Lage schnell ändern.

Warum Backup-Server ein bevorzugtes Ziel sind

Die Meldung weist ausdrücklich darauf hin, dass Backup-Server ein beliebtes Ziel von Ransomware-Banden sind. Die Logik dahinter ist einfach: Wer Produktivsysteme verschlüsselt und gleichzeitig die Backups kontrolliert, manipuliert oder löscht, nimmt dem Opfer jede Alternative zur Lösegeldzahlung. Ein Backup-Server ist damit kein Nebensystem, sondern eines der sensibelsten Systeme im gesamten Netz. Entsprechend ernst muss man eine „kritische“ Lücke genau an dieser Stelle nehmen – selbst dann, wenn noch keine Angriffe bekannt sind.

Die Lücken im Detail – nüchtern eingeordnet

Die kritische Lücke (CVE-2026-108142) betrifft den Continuous-Data-Protection-Dienst (CDP) auf dem Backup-Server. Dieser Dienst koordiniert Replikations- und Datentransfer-Aufgaben für die CDP-Funktion. Der entscheidende Punkt: Angreifer sollen ohne Anmeldung auf den Dienst zugreifen können. Es ist laut Meldung davon auszugehen, dass sie anschließend Backuppläne durcheinanderbringen können. Übersetzt heißt das: Für diesen Angriff braucht es kein gestohlenes Passwort, sondern nur Netzzugriff auf den Dienst. Damit stellt sich sofort die Frage, von wo aus Ihr Backup-Server überhaupt erreichbar ist – aus dem Büronetz, aus dem Server-VLAN, von der Außenstelle? Je enger der Zugriff begrenzt ist, desto kleiner die Angriffsfläche.

Zwei als „mittel“ eingestufte Lücken (CVE-2026-108140, CVE-2026-108141) verlangen mehr Vorbereitung: Angreifer benötigen die Rolle „Restore Operator“ und die Kontrolle über den Inhalt einer gesicherten NAS-Freigabe. Dann können sie per Path Traversal Dateien an beliebige Pfade auf dem Backup-Server schreiben. Auch das ist aufschlussreich: Offenbar reicht die Kombination aus einer auf den ersten Blick harmlosen Operatoren-Rolle und schreibbarem Zugriff auf Sicherungsdaten, um Dateien auf dem Backup-Server zu platzieren. Wer in Ihrem Unternehmen hat die Rolle Restore Operator? Und wer kann Inhalte auf NAS-Freigaben verändern, die ins Backup laufen? Diese Fragen lohnt es sich unabhängig vom aktuellen Patch zu stellen.

Die dritte Lücke (CVE-2026-105477, „hoch“) betrifft den Veeam Agent for Linux, sofern er von einer Backup-&-Replication-Instanz verwaltet wird. Hier können sich Angreifer höhere Rechte verschaffen – ein klassischer Baustein, um von einem ersten Zugang aus tiefer ins System vorzudringen.

Die vierte Lücke (CVE-2026-107671, „hoch“) schließlich betrifft Veeam ONE: Wer über Admin-Zugangsdaten verfügt, kann dort die Multi-Faktor-Authentifizierung deaktivieren. Das ist eine wichtige Erinnerung daran, dass MFA kein Allheilmittel ist. Die zusätzliche Absicherung läuft selbst auf Software – und Software kann Fehler enthalten. MFA bleibt sinnvoll und richtig, ersetzt aber weder das zeitnahe Patchen noch den sorgfältigen Umgang mit Administratorkonten. Umgekehrt gilt: Wer Admin-Zugangsdaten streng begrenzt und getrennt von Alltagskonten führt, senkt die Wahrscheinlichkeit, dass genau diese Angriffsvoraussetzung überhaupt erfüllt wird.

Was das für Ihr Unternehmen konkret bedeutet

Falls Sie Veeam im Einsatz haben, ist die Botschaft eindeutig: Die verfügbaren Sicherheitspatches sollten zeitnah installiert werden – so empfiehlt es auch die Meldung von heise Security. „Zeitnah“ heißt in diesem Fall nicht „beim nächsten Wartungsfenster irgendwann im Quartal“, denn die kritische Lücke kommt ohne Anmeldung aus. Dass bislang keine Angriffe bekannt sind, ist ein Zeitfenster, kein Freifahrtschein.

Für Unternehmen in der Größenordnung von 10 bis 100 Mitarbeitern kommt eine organisatorische Frage hinzu: Wer ist eigentlich für das Backup-System zuständig? In vielen Betrieben dieser Größe wurde die Sicherung einmal eingerichtet und läuft seitdem still vor sich hin. Ob dort regelmäßig Updates eingespielt werden, welche Versionen installiert sind und wer im Ernstfall die Wiederherstellung beherrscht, ist nicht immer eindeutig geregelt. Die aktuelle Lage ist ein guter Anlass, genau das zu klären – intern oder mit dem betreuenden IT-Dienstleister.

Ihre Checkliste für die nächsten Tage

1. Bestand aufnehmen: Welche Veeam-Produkte laufen bei Ihnen – Backup & Replication unter Windows, der Agent for Linux, Veeam ONE? In welchen Versionen?
2. Updates einspielen: Für die Windows-Version von Backup & Replication schaffen die Versionen 13.1.2.57 oder 13.0.3.63 Abhilfe, für den Agent for Linux die Version 13.1.2.11 und für Veeam ONE die Version 13.1.0.7940.
3. Rollen prüfen: Wer besitzt die Rolle Restore Operator – und braucht diese Person sie wirklich dauerhaft?
4. NAS-Freigaben ansehen: Welche Freigaben werden gesichert, und wer kann deren Inhalte verändern?
5. Erreichbarkeit eingrenzen: Aus welchen Netzbereichen ist der Backup-Server erreichbar? Alles, was nicht zwingend nötig ist, sollte abgeschottet werden.
6. Administratorkonten schützen: Admin-Zugangsdaten gehören nicht in den Alltagsbetrieb. Die Veeam-ONE-Lücke zeigt, wohin gestohlene Zugangsdaten führen können.
7. Wiederherstellung testen: Ein Backup, dessen Restore nie getestet wurde, ist eine Hoffnung, keine Sicherung. Gerade nach Updates gehört ein Restore-Test dazu.

Was noch unklar ist

Einige Fragen beantwortet die Meldung nicht, und es wäre unseriös, sie mit Vermutungen zu füllen: Seit wann existieren die Lücken in den Produkten? Welche älteren Versionen sind konkret betroffen – genannt werden nur die Versionen, die Abhilfe schaffen? Und werden Angriffe folgen, jetzt, wo die Schwachstellen öffentlich beschrieben sind? Für all das gibt es derzeit keine gesicherten Antworten. Sicher ist nur: Der Hersteller hat reagiert, die Patches stehen bereit, und bekannte Angriffe gibt es bislang nicht.

Fazit

Backups sind die Rettungsleine gegen Ransomware – und genau deshalb ein lohnendes Ziel. Die aktuellen Veeam-Lücken zeigen, dass die Sicherung selbst Teil der Sicherheitsstrategie sein muss: gepatcht, abgeschottet, mit klar vergebenen Rollen und getesteten Wiederherstellungen. Wer Veeam einsetzt, sollte die genannten Versionen prüfen und die Updates zeitnah einspielen. Und wer dabei feststellt, dass niemand so recht weiß, in welchem Zustand das eigene Backup-System ist, hat ebenfalls etwas Wichtiges gewonnen – nämlich Klarheit darüber, wo der nächste Verbesserungsbedarf liegt.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.