{"id":242,"date":"2026-06-20T04:00:00","date_gmt":"2026-06-20T04:00:00","guid":{"rendered":"https:\/\/shattered.io\/de\/?p=242"},"modified":"2026-06-20T04:29:47","modified_gmt":"2026-06-20T04:29:47","slug":"veeam-backup-rce-kritisch-cisa-kev-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/veeam-backup-rce-kritisch-cisa-kev-2026\/","title":{"rendered":"Veeam Backup RCE: CVSS 9.9, 4x auf CISA KEV [2026]"},"content":{"rendered":"\n

Am 9. Juni 2026 ver\u00f6ffentlichte Veeam Software eine kritische Sicherheitswarnung: CVE-2026-44963<\/strong> erm\u00f6glicht Remote Code Execution (RCE) auf Backup-Servern von Veeam Backup & Replication, der am weitesten verbreiteten Enterprise-Backup-L\u00f6sung in Deutschland und DACH. Mit einem CVSS-v4-Score von 9,4<\/strong> reiht sich die L\u00fccke in eine Welle von mindestens zw\u00f6lf kritischen Schwachstellen ein, die Veeam seit Januar 2026 heimgesucht haben. Besonders alarmierend: Veeam-Produkte standen seit 2022 viermal auf der CISA-Liste bekannt ausgenutzter Schwachstellen (KEV)<\/strong>, stets im Zusammenhang mit Ransomware-Angriffen. F\u00fcr DACH-Unternehmen, die Veeam als zentrale Backup-Infrastruktur betreiben, ist die Bedrohungslage kritisch.<\/p>\n\n\n\n

CVE-2026-44963: Die neue kritische RCE vom 9. Juni 2026<\/h2>\n\n\n\n

CVE-2026-44963<\/strong> ist eine Remote Code Execution Schwachstelle in Veeam Backup & Replication, die Veeam am 9. Juni 2026 \u00f6ffentlich gemacht hat. Die L\u00fccke erlaubt einem authentifizierten Domain-Benutzer<\/strong>, beliebigen Code auf dem Backup-Server auszuf\u00fchren. Das Konto ben\u00f6tigt dabei keine erh\u00f6hten Berechtigungen, lediglich Dom\u00e4nen-Mitgliedschaft. Der CVSS-v4-Score betr\u00e4gt 9,4<\/strong> (Critical).<\/p>\n\n\n\n

Betroffen sind alle Versionen von Veeam Backup & Replication 12.x bis einschlie\u00dflich Build 12.3.2.4465<\/strong>. Die Schwachstelle betrifft ausschlie\u00dflich Domain-joined Backup-Server, also Systeme, die Mitglied einer Active-Directory-Dom\u00e4ne sind. In Unternehmensumgebungen, dem prim\u00e4ren Einsatzgebiet von Veeam, ist das der Regelfall. Ein Workaround existiert nicht. Die einzige L\u00f6sung ist der Patch auf Build 12.3.2.4854<\/strong>.<\/p>\n\n\n\n

Entdeckt wurde CVE-2026-44963 von Sina Kheirkhah (@SinSinology)<\/strong> vom Sicherheitsunternehmen WatchTowr, das f\u00fcr systematische Schwachstellenforschung an weitverbreiteter Enterprise-Software bekannt ist. Kheirkhah hat in der Vergangenheit kritische L\u00fccken in Produkten von Citrix, Ivanti und Palo Alto Networks aufgedeckt. Dass WatchTowr erneut eine RCE in Backup-Software findet, spiegelt den wachsenden Fokus der Sicherheitsforschung auf Infrastruktur-Software wider, die breiten Netzwerkzugang und privilegierte Anmeldedaten f\u00fcr hunderte Produktivsysteme h\u00e4lt.<\/p>\n\n\n\n

Zum Zeitpunkt der Ver\u00f6ffentlichung am 9. Juni 2026 war keine aktive Ausnutzung der Schwachstelle bekannt und kein \u00f6ffentlicher Proof-of-Concept-Exploit verf\u00fcgbar. Das gibt IT-Teams ein Zeitfenster, das konsequent genutzt werden muss. Die Erfahrung aus fr\u00fcheren Veeam-Schwachstellen zeigt: Solche L\u00fccken werden typischerweise innerhalb von Wochen aktiv ausgenutzt.<\/p>\n\n\n\n

Die Schwachstellen-Serie 2026: Zw\u00f6lf kritische CVEs in sechs Monaten<\/h2>\n\n\n\n

CVE-2026-44963 ist nicht die erste kritische Veeam-Schwachstelle in diesem Jahr, sondern die j\u00fcngste in einer beispiellosen Serie. Zwischen Januar und Juni 2026 hat Veeam mindestens zw\u00f6lf Sicherheitsl\u00fccken mit kritischer oder hoher Einstufung<\/strong> in Backup & Replication ver\u00f6ffentlicht.<\/p>\n\n\n\n

Der Jahresauftakt war bereits dramatisch: Im Januar 2026<\/strong> patchte Veeam vier Schwachstellen in v13-Builds, darunter CVE-2025-59470<\/strong> mit einem CVSS-Score von 9,0<\/strong>. Diese RCE-L\u00fccke erlaubte einem Backup- oder Tape-Operator, Code als Postgres-Datenbankbenutzer auszuf\u00fchren, indem ein manipulierter Intervall-Parameter \u00fcbergeben wurde. Parallel wurden CVE-2025-55125<\/strong> (CVSS 7,2), CVE-2025-59468<\/strong> (CVSS 6,7) und CVE-2025-59469<\/strong> (CVSS 7,2) behoben, alle vier mit Fix in Build 13.0.1.1071.<\/p>\n\n\n\n

Im M\u00e4rz 2026<\/strong> folgte der gr\u00f6\u00dfte Schwachstellen-Batch des Jahres: In zwei parallelen Sicherheitsadvisories ver\u00f6ffentlichte Veeam acht Schwachstellen<\/strong>, darunter sieben kritische CVEs. Die gravierendsten waren CVE-2026-21666<\/strong> und CVE-2026-21667<\/strong> mit je einem CVSS-Score von 9,9<\/strong>. Beide erlaubten einem remote, niedrig privilegierten Domain-Benutzer, vollst\u00e4ndige RCE auf dem Backup-Server durchzuf\u00fchren. Ein weiterer kritischer Fund: CVE-2026-21708<\/strong> (CVSS 9,9) erm\u00f6glichte RCE als Postgres-Benutzer durch einen authentifizierten Nutzer mit der minimalen “Backup Viewer”-Rolle. Auch CVE-2026-21672<\/strong> (CVSS 8,8) zur lokalen Privilege-Escalation auf Windows-Backup-Servern wurde in diesem Batch geschlossen.<\/p>\n\n\n\n

Die Sicherheitsforschungsabteilung von Greenbone Networks<\/strong>, dem deutschen Marktf\u00fchrer f\u00fcr Vulnerability Management, analysierte die M\u00e4rz-Welle umfassend und hielt fest: “Backup-Plattformen sind h\u00e4ufige Ziele von Ransomware-Operatoren. Organisationen mit betroffenen Veeam-Versionen sollten die Patches unverz\u00fcglich einspielen, da f\u00fcr keine der kritischen Schwachstellen Workarounds verf\u00fcgbar sind.”<\/em> Das Unternehmen betonte, dass Veeam seit 2022 viermal auf der CISA KEV-Liste erschienen ist, stets in Verbindung mit Ransomware-Gruppen.<\/p>\n\n\n\n

Im Mai 2026<\/strong> folgte CVE-2026-32996<\/strong>, das Nutzer von Veeam Backup & Replication v13 betraf und in Build 13.0.2.29 behoben wurde. Im Juni 2026<\/strong> schloss dann CVE-2026-44963 den bislang letzten Abschnitt dieser Serie. Das Fazit nach sechs Monaten: Veeam Backup & Replication verlangt 2026 nach einem Patching-Tempo, das viele IT-Teams schlicht \u00fcberfordert.<\/p>\n\n\n\n

Alle kritischen Veeam-Schwachstellen 2026 im \u00dcberblick<\/h2>\n\n\n\n
CVE-ID<\/th>CVSS<\/th>Typ<\/th>Betroffene Version<\/th>Fix-Build<\/th>Angriffsvoraussetzung<\/th><\/tr><\/thead>
CVE-2025-59470<\/td>9,0<\/td>RCE (Postgres)<\/td>VBR 13.x < 13.0.1.1071<\/td>13.0.1.1071<\/td>Backup\/Tape Operator<\/td><\/tr>
CVE-2025-55125<\/td>7,2<\/td>RCE<\/td>VBR 13.x < 13.0.1.1071<\/td>13.0.1.1071<\/td>Backup\/Tape Operator<\/td><\/tr>
CVE-2025-59468<\/td>6,7<\/td>RCE (Postgres)<\/td>VBR 13.x < 13.0.1.1071<\/td>13.0.1.1071<\/td>Backup Administrator<\/td><\/tr>
CVE-2025-59469<\/td>7,2<\/td>Arbitrary File Write<\/td>VBR 13.x < 13.0.1.1071<\/td>13.0.1.1071<\/td>Backup\/Tape Operator<\/td><\/tr>
CVE-2026-21666<\/td>9,9<\/td>RCE<\/td>VBR 12.x < 12.3.2.4465<\/td>12.3.2.4465<\/td>Domain User (remote, low priv.)<\/td><\/tr>
CVE-2026-21667<\/td>9,9<\/td>RCE<\/td>VBR 12.x < 12.3.2.4465<\/td>12.3.2.4465<\/td>Domain User (remote, low priv.)<\/td><\/tr>
CVE-2026-21672<\/td>8,8<\/td>Privilege Escalation<\/td>VBR 12.x < 12.3.2.4465<\/td>12.3.2.4465<\/td>Lokaler Benutzer<\/td><\/tr>
CVE-2026-21708<\/td>9,9<\/td>RCE (als Postgres)<\/td>VBR 12.x < 12.3.2.4465<\/td>12.3.2.4465<\/td>Backup Viewer-Rolle<\/td><\/tr>
CVE-2026-32996<\/td>k. A.<\/td>Arbitrary File Write<\/td>VBR 13.x < 13.0.1.2067<\/td>13.0.2.29<\/td>Backup Admin (Linux)<\/td><\/tr>
CVE-2026-44963<\/td>9,4<\/td>RCE<\/td>VBR 12.x < 12.3.2.4854<\/td>12.3.2.4854<\/td>Authentif. Domain User<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Quellen: Veeam Security Advisories KB4869, KB4852; Greenbone Networks; runZero. Stand: 20. Juni 2026. VBR = Veeam Backup & Replication.<\/em><\/p>\n\n\n\n

CISA KEV: Viermal auf der Exploit-Datenbank seit 2022<\/h2>\n\n\n\n

Der n\u00fcchternste Beweis f\u00fcr die reale Gef\u00e4hrlichkeit von Veeam-Schwachstellen ist die Ausnutzungshistorie. Seit Ende 2022 hat die US-amerikanische Cybersicherheitsbeh\u00f6rde CISA Veeam-Schwachstellen viermal in die Known Exploited Vulnerabilities (KEV) Datenbank<\/strong> aufgenommen. Die KEV listet ausschlie\u00dflich Schwachstellen, f\u00fcr die aktive Exploitation im Rahmen echter Angriffe belegt ist. Jeder dieser vier KEV-Eintr\u00e4ge war mit Ransomware-Kampagnen verbunden.<\/p>\n\n\n\n

Der bekannteste Fall war CVE-2023-27532<\/strong>, eine Schwachstelle, die 2023 von mehreren Ransomware-Gruppen ausgenutzt wurde, darunter FIN7 und eine Gruppe, die das Cuba-Ransomware-Toolkit einsetzte. Die Angreifer kompromittierten den Backup-Server, extrahierten Zugangsdaten und breiteten sich lateral durch das gesamte Netzwerk aus, bevor die Ransomware ausgerollt wurde. Dieses Muster wiederholt sich mit erschreckender Regelm\u00e4\u00dfigkeit.<\/p>\n\n\n\n

Sicherheitsanalysten bei Rapid7<\/strong> warnten in ihrer Patch-Tuesday-Analyse f\u00fcr Mai 2026 explizit: “Mehrere Schwachstellen des vergangenen Monats tauchten in den Tagen nach ihrer Ver\u00f6ffentlichung auf der CISA KEV-Liste auf.”<\/em> Das ist ein Muster, kein Zufall. Hochgradig professionalisierte Ransomware-as-a-Service-Gruppen scannen Unternehmensnetzwerke systematisch auf frisch bekannte L\u00fccken. Veeam-Server sind dabei bevorzugte Ziele, weil ihre Kompromittierung maximale Hebelwirkung bei Erpressungen verschafft.<\/p>\n\n\n\n

Bemerkenswert ist auch der zeitliche Abstand zwischen Ver\u00f6ffentlichung und Exploitation: Bei fr\u00fcheren Veeam-Schwachstellen vergingen teilweise weniger als drei Wochen zwischen Advisory-Publikation und ersten best\u00e4tigten Angriffen. F\u00fcr CVE-2026-44963 bedeutet das ein konkretes, begrenztes Zeitfenster, das nicht verstreichen darf.<\/p>\n\n\n\n

Warum Backup-Server das Ziel Nummer eins f\u00fcr Ransomware sind<\/h2>\n\n\n\n

Um die strategische Bedeutung dieser Schwachstellen zu begreifen, muss man die \u00d6konomie von Ransomware-Angriffen verstehen. Erpressung funktioniert nur, wenn das Opfer keine saubere M\u00f6glichkeit hat, seine Systeme ohne L\u00f6segeldzahlung wiederherzustellen. Genau deshalb ist Backup-Infrastruktur das bevorzugte Angriffsziel moderner Ransomware-Gruppen.<\/p>\n\n\n\n

Ein kompromittierter Backup-Server gibt Angreifern Zugriff auf alle gesicherten Daten, erm\u00f6glicht die L\u00f6schung oder Verschl\u00fcsselung aller Recovery Points und vernichtet damit die einzige zuverl\u00e4ssige Wiederherstellungsoption des Opfers. Ohne funktionsf\u00e4hige Backups bleibt Unternehmen oft keine Wahl: Sie zahlen das L\u00f6segeld oder nehmen wochenlange Ausfallzeiten in Kauf.<\/p>\n\n\n\n

Nach Daten des Sophos Active Adversary Reports 2026<\/strong> erreichen Angreifer nach einem erfolgreichen initialen Zugriff im Median bereits nach 3,40 Stunden<\/strong> das Active Directory (AD) des Opfers. Das ist 70 Prozent schneller<\/strong> als im Vorjahr. Active Directory ist der Schl\u00fcssel zu allem: Wer das AD kontrolliert, kann sich ungehindert lateral bewegen, Credentials extrahieren und auf alle verbundenen Systeme zugreifen, einschlie\u00dflich Domain-joined Veeam-Backup-Server. Die Verbindung zwischen AD-Kompromittierung und Veeam-RCE-Ausnutzung ist damit kein theoretisches Konstrukt, sondern realer Angriffsvektor in typischen DACH-Unternehmensnetzen.<\/p>\n\n\n\n

Das Sicherheitsunternehmen runZero<\/strong>, spezialisiert auf Asset-Discovery und Schwachstellenmanagement, f\u00fchrt kontinuierliche Scans durch, um exponierte Veeam-Instanzen zu identifizieren. Ihre Analyse zeigt, dass ein erheblicher Anteil scannbarer Veeam-Instanzen auf veralteten Builds l\u00e4uft. Das Patch-Verhalten vieler Organisationen hinkt den Bedrohungen strukturell hinterher, teils um Wochen, teils um Monate.<\/p>\n\n\n\n

Angriffsszenario: Schritt f\u00fcr Schritt zur vollst\u00e4ndigen Kompromittierung<\/h2>\n\n\n\n

Ein realistisches Angriffsszenario auf Basis der bekannten CVE-Details illustriert die Gefahr konkret. Ausgangspunkt ist CVE-2026-21708<\/strong> (CVSS 9,9, M\u00e4rz 2026): Der Angreifer ben\u00f6tigt zun\u00e4chst Zugang zu einem Konto mit der “Backup Viewer”-Rolle in Veeam. Diese Rolle ist f\u00fcr Support-Tickets, externe Auditoren oder Monitoring-Systeme \u00fcblich und gilt in den meisten Organisationen als harmlos.<\/p>\n\n\n\n

Einen solchen Zugang liefert ein gezielter Phishing-Angriff, gestohlene Credentials aus einem Infostealer-Log oder eine kompromittierte Monitoring-Integration. Mit Backup-Viewer-Zugang sendet der Angreifer einen manipulierten Datenbankparameter an den Veeam-Dienst. Durch CVE-2026-21708 gelangt er zu Code-Ausf\u00fchrung als Postgres-Datenbankbenutzer<\/strong>, der in typischen Veeam-Installationen erh\u00f6hte Systemrechte hat.<\/p>\n\n\n\n

Das Veeam-Konfigurations-Repository enth\u00e4lt typischerweise Anmeldedaten f\u00fcr Hunderte von Produktivservern, Storage-Systemen, vCenter\/ESXi-Hosts und Cloud-Diensten. Ein Angreifer, der Veeam kompromittiert, h\u00e4lt die Schl\u00fcssel zum gesamten Rechenzentrum in der Hand. Der letzte Schritt ist dann die Verschl\u00fcsselung aller Produktivsysteme und die L\u00f6schung oder Verschl\u00fcsselung aller Backup-Daten: maximaler Erpressungsdruck, minimale Wiederherstellungsoptionen.<\/p>\n\n\n\n

Betroffene Versionen und der Patch-Prozess<\/h2>\n\n\n\n

Veeam Backup & Replication v12<\/h3>\n\n\n\n

F\u00fcr Nutzer von Veeam Backup & Replication v12 ist der Patch-Pfad klar: Alle Builds bis einschlie\u00dflich 12.3.2.4465<\/strong> sind von den M\u00e4rz-2026-Schwachstellen (CVE-2026-21666, -21667, -21672, -21708) betroffen. CVE-2026-44963 betrifft alle v12-Builds bis einschlie\u00dflich 12.3.2.4854<\/strong>. Der aktuelle sichere Build ist 12.3.2.4854<\/strong>, der beide Schwachstellengruppen abdeckt.<\/p>\n\n\n\n

Der Upgrade-Prozess erfordert bei Domain-joined Backup-Servern typischerweise ein Wartungsfenster von 30 bis 60 Minuten. Veeam empfiehlt, sicherzustellen, dass keine aktiven Backup-Jobs laufen und eine Snapshot-Sicherung des Backup-Servers selbst vorhanden ist. Bis zum Patchen sollten IT-Teams den Veeam-Server netzwerkseitig isolieren und alle nicht ben\u00f6tigten Konten mit Veeam-Rollen deaktivieren.<\/p>\n\n\n\n

Veeam Backup & Replication v13<\/h3>\n\n\n\n

F\u00fcr v13-Nutzer ist die Patch-Situation fragmentierter. Die Januar-2026-Schwachstellen (CVE-2025-59470 und weitere) waren in allen v13-Builds bis 13.0.1.180 vorhanden, behoben in 13.0.1.1071<\/strong>. CVE-2026-32996 betrifft alle v13-Builds bis 13.0.1.2067, behoben in 13.0.2.29<\/strong>. F\u00fcr v13-Nutzer ist damit 13.0.2.29<\/strong> der aktuell sichere Build.<\/p>\n\n\n\n

Organisationen, die noch auf Veeam Backup & Replication 11 oder \u00e4lter laufen, erhalten keine Sicherheitspatches mehr. Diese Versionen sind End-of-Life und m\u00fcssen unverz\u00fcglich auf eine unterst\u00fctzte Version migriert werden. Veeam empfiehlt in seinen Security Guidelines den Betrieb des Backup-Servers in einem dedizierten, segmentierten Netzwerksegment mit strikter Firewall-Filterung der Veeam-spezifischen Ports.<\/p>\n\n\n\n

WatchTowr und die Schwachstellenforschung an Enterprise-Backup-Software<\/h2>\n\n\n\n

WatchTowr ist ein in Singapur ans\u00e4ssiges Sicherheitsunternehmen, das sich auf Schwachstellenforschung und offensive Sicherheitstests spezialisiert hat. Sina Kheirkhah hat sich unter dem Handle @SinSinology eine Reputation als einer der produktivsten Forscher f\u00fcr Enterprise-Software-Schwachstellen aufgebaut. Seine Funde umfassen kritische L\u00fccken in Ivanti, Citrix, Palo Alto Networks und nun erneut Veeam. WatchTowr folgt einem Coordinated-Disclosure-Prozess: Schwachstellen werden zun\u00e4chst dem Hersteller gemeldet, der eine angemessene Frist erh\u00e4lt, bevor technische Details \u00f6ffentlich werden.<\/p>\n\n\n\n

Im Fall von CVE-2026-44963 erschienen keine technischen Details zur Exploit-Methodik gleichzeitig mit dem Advisory. Das gibt IT-Teams einen Vorteil gegen\u00fcber Angreifern, die die Schwachstelle selbst reverse-engineeren m\u00fcssen. Dieses Fenster gilt es konsequent zu nutzen.<\/p>\n\n\n\n

Dass hochkar\u00e4tige Forscher wie Kheirkhah zunehmend Backup-Software untersuchen, zeigt einen wichtigen Trend: Die Angriffsfl\u00e4che in der Sicherheitsforschung verschiebt sich von klassischen Netzwerkger\u00e4ten und Webanwendungen zu Infrastruktur-Software wie Backup-L\u00f6sungen, Hypervisoren und Storage-Systemen. Diese Software hat typischerweise breiten Netzwerkzugang, privilegierte Zugangsdaten f\u00fcr viele Systeme und wird seltener auf Sicherheit gepr\u00fcft als Produkte mit direkter Internetexposition. Forscher folgen dabei schlicht der Logik der Angreifer: Wo liegt der gr\u00f6\u00dfte Hebel?<\/p>\n\n\n\n

Veeam in Deutschland und DACH: Marktrelevanz und Risikoprofil<\/h2>\n\n\n\n

Veeam Backup & Replication ist in DACH-Unternehmen tief verwurzelt. Gartner f\u00fchrt Veeam seit Jahren als Leader im Magic Quadrant f\u00fcr Enterprise Backup and Recovery Software Solutions. In deutschen Mittelstands- und Gro\u00dfunternehmen, die stark auf VMware vSphere oder Microsoft Hyper-V als Hypervisor-Plattform setzen, ist Veeam die De-facto-Standardl\u00f6sung f\u00fcr Datensicherung. Das bedeutet strukturell: Die Betroffenheit durch diese Schwachstellenserie ist in DACH hoch.<\/p>\n\n\n\n

Laut dem BKA-Cybercrime-Bericht 2025<\/a> wurden in Deutschland 333.922 Cyberstraftaten<\/strong> registriert, mit einem wirtschaftlichen Schaden von 202 Milliarden Euro<\/strong>. Ransomware-Angriffe auf Backup-Infrastruktur spielten dabei eine zentrale Rolle. Das CrowdStrike Global Threat Report 2026<\/a> best\u00e4tigt, dass sich die Breakout-Zeit bei Angriffen auf 27 Sekunden<\/strong> reduziert hat. Angreifer sind nach einem initialen Zugriff binnen Minuten auf kritischen Systemen.<\/p>\n\n\n\n

F\u00fcr Unternehmen, die unter die NIS-2-Richtlinie<\/a> fallen (seit Dezember 2025 in Deutschland geltendes Recht), hat eine erfolgreiche Backup-Kompromittierung weitreichende rechtliche Folgen. Die Meldepflicht gegen\u00fcber dem BSI innerhalb von 24 Stunden nach Kenntnisnahme gilt auch dann, wenn der Angreifer “nur” den Backup-Server kompromittiert hat. Die Nichtmeldung ist mit Bu\u00dfgeldern von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes bewehrt.<\/p>\n\n\n\n

F\u00fcr KRITIS-Betreiber kommt der Druck des KRITIS-Dachgesetzes<\/a> hinzu, das mit einer Umsetzungsfrist bis zum 17. Juli 2026 zeitnahes Patch-Management als explizite Anforderung festschreibt. Kritische RCE-Schwachstellen in Backup-Systemen sind genau die Kategorie von Sicherheitsvorf\u00e4llen, f\u00fcr die dieses Gesetz konzipiert wurde.<\/p>\n\n\n\n

Enterprise-Backup im Sicherheitsvergleich<\/h2>\n\n\n\n

Um die Veeam-Situation einzuordnen, lohnt ein Vergleich mit anderen Backup-Plattformen, die in DACH-Unternehmen eingesetzt werden:<\/p>\n\n\n\n

Plattform<\/th>Krit. CVEs 2025\u20132026<\/th>CISA KEV (gesamt)<\/th>H\u00f6chster CVSS 2026<\/th>Prim\u00e4res Einsatzgebiet<\/th><\/tr><\/thead>
Veeam Backup & Replication<\/td>10+<\/td>4 (seit 2022)<\/td>9,9<\/td>VMware\/Hyper-V, Mittelstand und Enterprise<\/td><\/tr>
Commvault Complete<\/td>2<\/td>1 (2025)<\/td>9,0<\/td>Gro\u00dfkonzerne, regulierte Branchen<\/td><\/tr>
Veritas NetBackup<\/td>3<\/td>0 (2025\u20132026)<\/td>8,1<\/td>Enterprise, Finanzsektor<\/td><\/tr>
Acronis Cyber Protect<\/td>5<\/td>0 (2025\u20132026)<\/td>9,1<\/td>KMU, Managed Service Provider<\/td><\/tr>
Cohesity DataProtect<\/td>1<\/td>0 (2025\u20132026)<\/td>7,8<\/td>Gro\u00dfunternehmen, Cloud-native Umgebungen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Hinweis: CVE-Zahlen basieren auf \u00f6ffentlich bekannten Advisories der jeweiligen Hersteller. CISA KEV-Eintr\u00e4ge sind \u00f6ffentliche Daten. Stand: Juni 2026.<\/em><\/p>\n\n\n\n

Veeam sticht in diesem Vergleich heraus. Zwei Aspekte sind bei der Einordnung wichtig: Erstens ist die h\u00f6here CVE-Zahl auch Resultat einer aktiveren Sicherheitsforschungsgemeinschaft, die Veeam wegen seiner Verbreitung bevorzugt untersucht. Zweitens ist die KEV-Bilanz objektiv und eindeutig: Vier nachgewiesene Exploitation-Vorf\u00e4lle seit 2022 sind kein statistisches Rauschen, sondern ein klares Muster, das IT-Verantwortliche ernst nehmen m\u00fcssen.<\/p>\n\n\n\n

Sofortma\u00dfnahmen f\u00fcr IT-Abteilungen und CISOs<\/h2>\n\n\n\n

Angesichts der anhaltenden Schwachstellenserie empfehlen Sicherheitsexperten ein strukturiertes Vorgehen. Die prim\u00e4re Ma\u00dfnahme ist eindeutig: Sofortiges Patchen auf die aktuellen Fix-Builds<\/strong> (VBR 12.x auf 12.3.2.4854, VBR 13.x auf 13.0.2.29). Ohne diesen Schritt sind alle anderen Ma\u00dfnahmen lediglich schadensbegrenzend.<\/p>\n\n\n\n

Parallel zum Patchen empfehlen Veeams eigene Security Guidelines und unabh\u00e4ngige Sicherheitsexperten folgende H\u00e4rtungsma\u00dfnahmen: Den Veeam-Backup-Server in einem dedizierten, isolierten Netzwerksegment betreiben. Den Zugriff auf Veeam-spezifische Ports (9392\/TCP, 9401\/TCP, 9502\/TCP) per Firewall-Regel auf bekannte und notwendige Systeme einschr\u00e4nken. Domain-Membership des Backup-Servers vermeiden, wenn die Betriebsumgebung es erlaubt. Falls Domain-Membership erforderlich ist: das Backup-Server-Konto mit minimalen AD-Rechten ausstatten und Privileged Access Workstations (PAW) f\u00fcr Veeam-Administration nutzen.<\/p>\n\n\n\n

Auf Benutzerebene sind Veeam-Rollen auf das absolute Minimum zu beschr\u00e4nken. CVE-2026-21708 zeigt, dass selbst die minimale “Backup Viewer”-Rolle in Kombination mit einer ungepatchten Version zu vollst\u00e4ndiger RCE f\u00fchrt. Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung der vergebenen Rollen ist daher ebenso wichtig wie das Patching selbst. Logging und Monitoring f\u00fcr Veeam-Dienste sollten aktiviert sein, um anomale Datenbankzugriffe oder unerwartete Code-Ausf\u00fchrungen fr\u00fchzeitig zu erkennen.<\/p>\n\n\n\n

F\u00fcr Unternehmen, die die 3-2-1-1-0-Backup-Regel implementiert haben (drei Kopien, zwei Medientypen, eine offsite, eine offline, null Fehler bei Restore-Tests), bieten die Offline-Kopien einen wichtigen Schutzmechanismus. Selbst wenn der Hauptbackup-Server kompromittiert wird, bleiben Air-Gap-Kopien unangreifbar. F\u00fcr Organisationen ohne solche Architektur ist deren Implementierung eine weitere dringliche Empfehlung.<\/p>\n\n\n\n

5 Prognosen: Wie sich die Lage entwickelt<\/h2>\n\n\n\n

1. CVE-2026-44963 wird innerhalb von 90 Tagen auf der CISA KEV erscheinen.<\/strong> Das Muster der letzten vier Veeam-KEV-Eintr\u00e4ge ist konsistent: Kritische Veeam-RCE-L\u00fccken werden binnen Wochen bis Monaten aktiv von Ransomware-Gruppen ausgenutzt. Da kein Workaround existiert und die Schwachstelle Domain-joined Unternehmensserver betrifft, ist die Zielgruppe f\u00fcr Angreifer besonders attraktiv.<\/p>\n\n\n\n

2. WatchTowr wird weitere Veeam-Schwachstellen ver\u00f6ffentlichen.<\/strong> Sina Kheirkhah und das WatchTowr-Team haben demonstriert, dass sie Veeam-Software systematisch analysieren. Die bisherigen Funde deuten darauf hin, dass die Angriffsfl\u00e4che noch nicht vollst\u00e4ndig durchleuchtet ist. Weitere Findings in v13 oder in Cloud-Mobility-Erweiterungen sind realistisch.<\/p>\n\n\n\n

3. Das BSI wird einen expliziten Sicherheitshinweis zu Veeam herausgeben.<\/strong> Angesichts der Kritikalit\u00e4t der Schwachstellenserie und der weiten Verbreitung von Veeam in deutschen Unternehmen ist ein BSI-Sicherheitshinweis wahrscheinlich. Das BSI hat in der Vergangenheit bei \u00e4hnlichen Enterprise-Schwachstellenserien (Exchange Server, Citrix ADC) zeitnah reagiert und konkrete Handlungsempfehlungen publiziert.<\/p>\n\n\n\n

4. Veeam wird seine Secure-Development-Lifecycle-Prozesse grundlegend \u00fcberarbeiten.<\/strong> Eine H\u00e4ufung kritischer RCE-Schwachstellen dieser Magnitude zwingt Hersteller mittelfristig zu grundlegenden Sicherheitsarchitektur-\u00dcberarbeitungen. Mit v13 hat Veeam bereits begonnen, Architektur\u00e4nderungen zur Reduzierung der Angriffsfl\u00e4che einzuf\u00fchren. Dieser Prozess wird sich unter \u00f6ffentlichem und regulatorischen Druck beschleunigen.<\/p>\n\n\n\n

5. Backup-Software wird in NIS-2-Pr\u00fcfkatalogen als kritische Komponente explizit gef\u00fchrt.<\/strong> Regulierungsbeh\u00f6rden in Deutschland und der EU werden Erkenntnisse aus der Veeam-Schwachstellenserie in Audit- und Pr\u00fcfanforderungen einflie\u00dfen lassen. F\u00fcr Unternehmen unter NIS-2 bedeutet das: Patch-Management f\u00fcr Backup-Software wird k\u00fcnftig explizit in Sicherheitsaudits abgefragt und muss dokumentiert werden.<\/p>\n\n\n\n

Weiterf\u00fchrende Berichterstattung<\/h2>\n\n\n\n

\u00c4hnliche Themen auf shattered.io<\/h3>\n\n\n\n