Dein Backup-Server ist die letzte Verteidigungslinie gegen Ransomware — und genau dieser Server steht jetzt sperrangelweit offen. Veeam hat am Dienstag eine Lücke gepatcht, die es in sich hat: CVE-2026-44963, CVSS-Score 9,4 von 10. Das Fiese daran: Es braucht KEINEN Admin-Account für den Angriff.
UNGLAUBLICH: Ein simpler Domain-User reicht
Normalerweise gilt: Wer deinen Backup-Server kapern will, braucht hohe Rechte. Hier nicht. Die Lücke erlaubt es jedem niedrig privilegierten Domain-Benutzer, eigenen Code auf dem Veeam-Server auszuführen — also auch dem Praktikanten-Account, dem vergessenen Test-User oder einem Angreifer, der irgendein Mitarbeiter-Passwort gephisht hat.
Entdeckt hat das Problem der Sicherheitsforscher Sina Kheirkhah von watchTowr. Betroffen sind alle Versionen von Veeam Backup & Replication 12.3.2.4465 und älter. Die brandneue Version 13.x nutzt eine andere Architektur und ist nicht betroffen.
GEFAHR! Warum Ransomware-Banden jetzt genau hinschauen
Veeam-Lücken sind bei Erpresser-Banden heiß begehrt — aus gutem Grund: Wer den Backup-Server kontrolliert, kann erst die Sicherungen löschen und dann verschlüsseln. Genau so liefen in den letzten Jahren etliche große Ransomware-Fälle ab. Veeam selbst betont zwar, dass bislang keine aktiven Angriffe bekannt sind. Aber die Firma warnt ausdrücklich: Sobald ein Patch draußen ist, beginnen Kriminelle mit der Analyse — und bauen daraus in Tagen bis Wochen einen funktionierenden Exploit.
WICHTIG: Nur Domain-Mitglieder sind verwundbar
Eine gute Nachricht gibt es: Die Lücke greift nur, wenn dein Backup-Server Mitglied einer Active-Directory-Domäne ist. Wer Veeam — wie von der eigenen Best Practice seit Jahren empfohlen — in einer separaten Workgroup betreibt, ist von diesem konkreten Fehler nicht betroffen. Genau deshalb predigen Profis: Der Backup-Server gehört NICHT in die normale Firmen-Domäne.
So rettest du deinen Backup-Server in 5 MINUTEN
Der Fahrplan ist simpel:
- Version prüfen: In der Veeam-Konsole unter Hilfe → Info. Alles unter 12.3.2.4854 ist verwundbar.
- Update einspielen: Veeam liefert den Fix in Version 12.3.2.4854 aus, alle Details stehen im Knowledge-Base-Artikel KB4696.
- Mittelfristig: Prüfe, ob dein Backup-Server wirklich in der Domäne hängen muss — eine Workgroup-Installation hätte dich hier komplett geschützt.
EXTRA-TIPP: 3-2-1 bleibt Pflicht
Diese Lücke zeigt wieder: Backups, die am selben System und in derselben Domäne hängen, sind keine echte Versicherung. Mindestens eine Kopie gehört offline oder unveränderbar (Immutable Storage, S3 Object Lock) gelagert. Wie das geht, liest du in unserem Guide zur 3-2-1-Backup-Regel.
FAZIT: Patchen, bevor es die anderen tun
Noch ist kein Exploit im Umlauf — das ist dein Zeitfenster. Wer Veeam 12.x auf einem Domain-Server fährt, sollte das Update heute Abend einplanen, nicht nächste Woche. Dein zukünftiges Ich wird es dir danken.
Häufige Fragen
Welche Versionen sind von CVE-2026-44963 betroffen?
Wie merke ich, ob mein System verwundbar ist?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen: Veeam KB4696 · BleepingComputer · The Hacker News