Backup-Software als Angriffsziel: Warum Veeam & Co. genauso gepatcht werden müssen wie Server

Backup-Software gilt vielen Unternehmen als reine Absicherung – als das System, das im Ernstfall rettet. Genau deshalb übersehen viele KMU, dass diese Software selbst regelmäßig Sicherheitslücken aufweist und aktiv gepatcht werden muss. Erst kürzlich wurde erneut eine kritische Schwachstelle in Veeam One bekannt, über die sich Schadcode auf betroffenen Systemen ausführen lässt – ein Weckruf für alle, die Backup-Management-Software im Einsatz haben.

Warum Backup-Software ein besonders attraktives Ziel ist

Backup-Systeme haben eine Eigenschaft, die sie für Angreifer hochinteressant macht: Sie besitzen weitreichende Zugriffsrechte auf nahezu die gesamte IT-Infrastruktur. Um Server, Datenbanken und Endpunkte sichern zu können, benötigt eine Backup-Lösung privilegierte Konten, Netzwerkzugriff auf zentrale Systeme und oft auch Domänen-Administratorrechte.

Wer die Backup-Software kompromittiert, erhält damit potenziell:

• Zugriff auf alle gesicherten Daten – inklusive sensibler Kunden- und Personaldaten
• Kontrolle über privilegierte Konten, die für die Sicherung verwendet werden
• Die Möglichkeit, Backups gezielt zu löschen oder zu verschlüsseln, bevor eine Ransomware-Attacke überhaupt beginnt

Genau das ist bei modernen Ransomware-Angriffen mittlerweile Standardvorgehen: Zuerst wird die Backup-Infrastruktur angegriffen und unbrauchbar gemacht, danach erst die eigentliche Verschlüsselung der Produktivsysteme gestartet. Ohne funktionierende Backups steigt der Druck, das Lösegeld zu zahlen, erheblich.

Der aktuelle Fall: Veeam One

Die jüngst bekannt gewordene Schwachstelle in Veeam One – einer weit verbreiteten Monitoring- und Reporting-Komponente für Veeam-Backup-Umgebungen – erlaubt unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne. Veeam ist gerade im Mittelstand eine der meistgenutzten Backup-Lösungen, entsprechend groß ist die betroffene Angriffsfläche. Der Hersteller hat Patches bereitgestellt – doch die Erfahrung zeigt, dass viele KMU Sicherheitsupdates für Backup-Software deutlich langsamer einspielen als für ihre Firewalls oder Server.

Warum Backup-Patches oft vernachlässigt werden

In der Praxis sehen wir bei ostdeutschen KMU immer wieder dasselbe Muster: Backup-Systeme laufen “einfach im Hintergrund” und werden selten aktiv überwacht. Typische Gründe dafür:

1. “Never touch a running system” – Backup-Jobs laufen zuverlässig, niemand möchte durch ein Update ein Risiko eingehen
2. Fehlende Verantwortlichkeit – oft ist unklar, wer für Patches der Backup-Software zuständig ist
3. Wartungsfenster fehlen – Updates an produktiven Backup-Systemen erfordern sorgfältige Planung, die im Tagesgeschäft untergeht
4. Fehlendes Monitoring – Sicherheitswarnungen für Backup-Produkte werden schlicht nicht verfolgt

Das Ergebnis: Backup-Server, die seit Monaten oder Jahren ohne Sicherheitsupdates laufen – während gleichzeitig genau diese Systeme mit den höchsten Rechten im Netzwerk ausgestattet sind.

Praxisteil: Backup-Infrastruktur richtig absichern

Schritt 1: Inventar der Backup-Komponenten erstellen

Erfassen Sie alle Bestandteile Ihrer Backup-Landschaft – nicht nur die Hauptsoftware, sondern auch Zusatzkomponenten wie Monitoring-Tools (z. B. Veeam One), Agenten auf Zielsystemen und Repository-Server. Jede Komponente ist ein potenzieller Angriffspunkt.

Schritt 2: Herstellerbenachrichtigungen aktiv abonnieren

Verlassen Sie sich nicht darauf, Sicherheitslücken zufällig in den Nachrichten zu entdecken. Die meisten Backup-Hersteller bieten Security-Advisory-Newsletter oder RSS-Feeds an – abonnieren Sie diese für alle eingesetzten Produkte.

Schritt 3: Patch-Prozess für Backup-Software etablieren

Behandeln Sie Backup-Software mit derselben Priorität wie Ihre Firewall oder Ihren Mailserver:

• Kritische Sicherheitsupdates innerhalb von 72 Stunden testen und einspielen
• Ein separates, kurzes Wartungsfenster speziell für Backup-Systeme einplanen
• Nach jedem Patch einen Testlauf des Backups durchführen, um Funktionsfähigkeit sicherzustellen

Schritt 4: Zugriffsrechte konsequent einschränken

Backup-Software benötigt weitreichende Rechte – aber nicht uneingeschränkte. Prüfen Sie:

• Läuft der Backup-Dienst mit einem dedizierten Konto statt einem Domain-Admin?
• Ist die Backup-Management-Konsole nur aus dem internen Netz erreichbar, nicht aus dem Internet?
• Sind Backup-Repositories vom restlichen Netzwerk segmentiert (siehe auch Netzwerksegmentierung mit VLANs)?

Schritt 5: Auf unveränderliche Backups setzen

Selbst wenn ein Angreifer die Backup-Software kompromittiert – mit Immutable Backups können bestehende Sicherungen innerhalb des Aufbewahrungszeitraums nicht gelöscht oder verändert werden. Das reduziert den Schaden erheblich, selbst im schlimmsten Fall.

Schritt 6: Backup-Infrastruktur in Monitoring und SIEM einbinden

Ungewöhnliche Anmeldeversuche, veränderte Berechtigungen oder plötzlich gelöschte Backup-Jobs sollten Alarme auslösen. Ein zentrales Monitoring – etwa mit Wazuh – hilft, Angriffe auf die Backup-Infrastruktur frühzeitig zu erkennen.

Fazit

Backup-Software ist keine “Set and forget”-Komponente. Sie gehört zur kritischen Infrastruktur eines Unternehmens und muss entsprechend behandelt werden: mit regelmäßigen Patches, eingeschränkten Rechten und aktiver Überwachung. Gerade weil Backup-Systeme im Ernstfall die letzte Verteidigungslinie gegen Ransomware sind, dürfen sie nicht selbst zum Einfallstor werden.

Sie sind unsicher, ob Ihre Backup-Infrastruktur auf dem aktuellen Sicherheitsstand ist? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland bei der Absicherung von Backup-Systemen – von der Schwachstellenanalyse über das Patch-Management bis zur Umsetzung immutabler Backup-Strategien. Sprechen Sie uns an.

FAQ

Wie oft sollte Backup-Software auf Sicherheitslücken geprüft werden? Mindestens monatlich sollten Sie prüfen, ob neue Sicherheitsupdates für Ihre Backup-Lösung vorliegen. Bei kritischen Schwachstellen sollten Patches innerhalb weniger Tage eingespielt werden.

Reicht ein tägliches Backup, wenn die Backup-Software selbst angreifbar ist? Nein. Wenn Angreifer Zugriff auf die Backup-Management-Software erhalten, können sie auch aktuelle Backups löschen oder verschlüsseln. Deshalb sind unveränderliche (immutable) Backups und eine abgesicherte Backup-Infrastruktur essenziell.

Sollte die Backup-Konsole aus dem Internet erreichbar sein? Nein, das sollte vermieden werden. Der Zugriff auf Backup-Management-Oberflächen sollte auf das interne Netzwerk oder eine gesicherte VPN-Verbindung beschränkt sein.

Was ist der Unterschied zwischen Veeam und Veeam One? Veeam Backup & Replication ist die eigentliche Backup-Software, Veeam One ist eine ergänzende Monitoring- und Reporting-Komponente. Beide Teile müssen unabhängig voneinander aktuell gehalten werden.

Wir haben keine eigene IT-Abteilung – wer kümmert sich bei uns um solche Patches? Viele KMU ohne eigene IT-Abteilung lagern das Patch-Management für kritische Systeme wie Backup-Software an einen IT-Dienstleister aus. So ist sichergestellt, dass Sicherheitsupdates zeitnah und fachgerecht eingespielt werden, ohne dass es im Tagesgeschäft untergeht.