Veeam schließt kritische Lücken. Warum der Backup-Server zuerst drankommt

Kurz gesagt

Veeam hat am 27. Oktober Lücken in Backup & Replication, Backup for Microsoft 365 und Veeam ONE geschlossen, eine davon kritisch und ohne Anmeldung ausnutzbar. Wer Veeam 13 oder Backup for Microsoft 365 Version 8 einsetzt, sollte auf die genannten Builds aktualisieren lassen. Der Backup-Server verdient dabei dieselbe Eile wie die Firewall.

Was ist passiert?

Veeam ist bei vielen mittelständischen Betrieben das Werkzeug für die Datensicherung. Am 27. Oktober hat der Hersteller drei Sicherheitsartikel veröffentlicht. Die schwerste Lücke (CVE-2026-108142) steckt in Backup & Replication 13.0 und 13.1: Ein Angreifer ohne Zugangsdaten kann eine Berechtigungsprüfung umgehen. Veeam bewertet sie mit 9,1 von 10. Version 12 ist nicht betroffen.

In Backup for Microsoft 365, das Postfächer, SharePoint und Teams sichert, wurden vier Lücken geschlossen, die schwerste mit 9,0. In Veeam ONE, dem Überwachungswerkzeug, ließ sich die Mehrfaktor-Anmeldung abschalten, sofern ein Angreifer bereits ein Administratorkennwort hatte.

Eine CVE ist die weltweit eindeutige Kennung einer Sicherheitslücke. Eine aktive Ausnutzung der neuen Lücken ist bisher nicht im Katalog der US-Behörde CISA vermerkt.

Was bedeutet das?

Die Datensicherung ist die letzte Verteidigungslinie gegen Erpressung. Wer sie zuerst ausschaltet, nimmt dem Betrieb die Möglichkeit, ohne Zahlung wiederherzustellen. Das ist keine Theorie: Vier ältere Veeam-Lücken führt die CISA als aktiv ausgenutzt, alle mit bekanntem Einsatz bei Ransomware, also Erpressungssoftware, die Daten verschlüsselt.

Veeam schreibt selbst, dass Angreifer veröffentlichte Patches zurückentwickeln. Die Zeit zwischen Veröffentlichung und erstem Angriff ist also die Zeit, die Sie haben. In kleinen Betrieben läuft der Backup-Server oft unbeachtet im Hintergrund, weil er funktioniert. Genau deshalb wird er beim Patchen vergessen.

Was Sie jetzt tun können

1. Zuständigkeit klären: Wer betreut Ihre Veeam-Installation? Eigene IT, Systemhaus oder Cloud-Anbieter für die Microsoft-365-Sicherung?
2. Schriftlich anfragen. Vorlage: „Bitte nennen Sie die Build-Nummern unserer Installationen von Veeam Backup & Replication, Backup for Microsoft 365 und Veeam ONE und bestätigen Sie das Update gemäß Veeam KB4948, KB4957 und KB4951 mit Datum.“
3. Zielversionen abgleichen: Backup & Replication 13.1.2.57 oder 13.0.3.63. Backup for Microsoft 365 8.6.0.5011 (Patch 1). Veeam ONE 13.1.0.7940. Die Build-Übersichten stehen bei Veeam in KB2680, KB4106 und KB4357.
4. Linux-Agenten nicht vergessen: Veeam Agent for Linux auf 13.1.2.11, wenn er von Backup & Replication verwaltet wird.
5. Veraltete Versionen ersetzen: Nicht mehr unterstützte Versionen von Backup for Microsoft 365 gelten laut Veeam als vermutlich betroffen und bekommen keinen Patch.
6. Rollen prüfen lassen: Wer hat die Rolle Restore Operator und wer ist Administrator in Veeam ONE? Nur wer sie braucht, sollte sie haben.
7. Wiederherstellung testen: Ein Update ist auch ein guter Anlass, einmal eine Rücksicherung zu proben. Eine Sicherung, die nie zurückgespielt wurde, ist eine Hoffnung.

Häufige Fragen

Wir haben noch Veeam 12. Müssen wir etwas tun? Für die kritische Lücke vom 27. Oktober nicht, Version 12 ist laut Veeam nicht betroffen. Lassen Sie trotzdem bestätigen, dass die letzten Updates für 12 eingespielt sind. Die Lücke wird noch nicht ausgenutzt. Kann das bis zum nächsten Wartungsfenster warten? Beim Backup-Server ist das riskant. Ältere Veeam-Lücken wurden für Erpressung genutzt, und Veeam rechnet selbst mit zurückentwickelten Patches. Unser Systemhaus macht das automatisch. Reicht das? Wahrscheinlich ja. Eine schriftliche Bestätigung mit Build-Nummer kostet eine E-Mail und schafft Klarheit.

Quellen

• Veeam KB4948: Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2 (27. Oktober 2026)
• Veeam KB4957: Vulnerabilities Resolved in Veeam Backup for Microsoft 365 8.6 (27. Oktober 2026)
• Veeam KB4951: Vulnerabilities Resolved in Veeam ONE 13.1 Patch 1 (27. Oktober 2026)
• Veeam KB4738: Release Information for Veeam Backup & Replication 13 and Updates (abgerufen 31. Oktober 2026)
• CISA: Known Exploited Vulnerabilities Catalog (Katalogstand 30. Oktober 2026)

Stand: 31. Oktober 2026. Ersetzt keine Prüfung im Einzelfall. Transparenz: Diese Einordnung ist KI-generiert mit menschlicher Prüfung, gekennzeichnet nach Art. 50 der europäischen KI-Verordnung. Auswahl, Quellenprüfung und Freigabe: Schoonnect.