Veeam ONE: Kritische Lücke bedroht Servicekonten
Was bei Veeam ONE konkret passiert ist
Veeam ONE ist die IT-Überwachungs- und Analyseplattform aus dem Hause Veeam. Sie ergänzt die bekannten Backup-Produkte des Herstellers um ein zentrales Cockpit, mit dem Administratoren den Zustand ihrer Backup-Infrastruktur, ihrer virtuellen Maschinen und der zugrunde liegenden Server im Blick behalten. In genau dieser Plattform wurde nun eine kritische Sicherheitslücke bekannt, über die Angreifer Servicekonten übernehmen können. Der Hersteller hat bereits reagiert und eine reparierte Version zum Download bereitgestellt.
Das klingt zunächst nach einem gewöhnlichen Softwarefehler, wie es sie ständig gibt. Der eigentliche Punkt liegt jedoch woanders: Veeam ONE ist kein Randsystem, das man mal eben abschalten oder isolieren könnte, ohne dass es jemand merkt. Es ist tief mit der Backup- und Virtualisierungsumgebung verzahnt, damit es überhaupt seine Aufgabe erfüllen kann, nämlich Zustände zu überwachen und Probleme frühzeitig zu melden. Genau diese Tiefe macht eine Schwachstelle darin so brisant.
Warum ausgerechnet Servicekonten das eigentliche Problem sind
Ein Servicekonto ist ein Benutzerkonto, das nicht von einem Menschen benutzt wird, sondern von einer Anwendung, um mit anderen Systemen zu kommunizieren. Veeam ONE braucht solche Konten, um beispielsweise auf Hypervisoren, Backup-Repositories oder Datenbanken zuzugreifen und dort Informationen abzufragen. Damit die Software zuverlässig funktioniert, bekommen diese Konten in der Praxis häufig recht weitreichende Rechte, oft mehr, als für den eigentlichen Zweck nötig wären. Das ist keine böse Absicht, sondern schlicht der bequemste Weg, damit am Ende nichts an fehlenden Berechtigungen scheitert.
Genau das macht Servicekonten zu einem besonders attraktiven Ziel. Ein menschlicher Nutzer merkt irgendwann, wenn sein Konto sich merkwürdig verhält, meldet sich nicht mehr an oder bekommt eine ungewöhnliche Sicherheitswarnung. Ein Servicekonto dagegen läuft im Hintergrund, wird selten aktiv überwacht und seine Aktivität wird von vielen Systemen als normal eingestuft, weil sie ja auch im Normalbetrieb ständig irgendwo Anfragen stellt. Wer ein solches Konto übernimmt, bewegt sich damit unauffälliger durchs Netzwerk als mit einem gestohlenen Nutzer-Passwort, und er erbt dabei oft genau die Rechte, mit denen sich Backup-Systeme steuern, Snapshots löschen oder Konfigurationen verändern lassen.
Backup-Software ist längst selbst ein Angriffsziel
Vor einigen Jahren war Backup-Software für Angreifer uninteressant, weil sie schlicht keinen direkten Wert für einen Angriff hatte. Das hat sich grundlegend geändert. Backup-Systeme sind heute für Ransomware-Gruppen ein bevorzugtes Ziel, und zwar aus einem einfachen Grund: Wer die Backups eines Unternehmens kontrollieren oder zerstören kann, nimmt dem Opfer die Möglichkeit, sich ohne Lösegeldzahlung aus einer Verschlüsselung zu befreien. Ein Angreifer, der zuerst die Backup-Infrastruktur kompromittiert und erst danach die eigentliche Verschlüsselung startet, hat sein Opfer in eine deutlich schwächere Verhandlungsposition gebracht.
Eine Überwachungsplattform wie Veeam ONE sitzt in dieser Kette an einer besonders empfindlichen Stelle. Sie hat typischerweise Sichtkontakt zu großen Teilen der Backup-Umgebung und häufig auch zu den virtuellen Maschinen, die überwacht werden. Eine Schwachstelle, über die sich Servicekonten übernehmen lassen, ist deshalb nicht nur ein Datenschutzproblem im engeren Sinn, sondern ein potenzielles Sprungbrett in die Systeme, die ein Unternehmen im Ernstfall retten sollen. Fällt dieses Sprungbrett in die falschen Hände, kann aus einem eigentlich gut vorbereiteten Unternehmen im schlimmsten Fall trotzdem ein Totalausfall werden.
Warum solche Lücken im Mittelstand oft länger offen bleiben als nötig
Große Konzerne haben in der Regel dedizierte Teams, die Sicherheitswarnungen von Herstellern täglich sichten und Patches nach einem festen Zeitplan einspielen. Im Mittelstand sieht die Realität häufig anders aus. Die IT wird von wenigen Personen betreut, die neben der Wartung auch den Support für die Kollegen übernehmen, und Monitoring-Software wie Veeam ONE läuft meist zuverlässig im Hintergrund, ohne dass sich jemand aktiv damit beschäftigt, solange keine Fehlermeldung erscheint. Genau diese Kombination aus geringer Sichtbarkeit im Alltag und hoher Bedeutung im Ernstfall führt dazu, dass Patches für solche Systeme oft später eingespielt werden als für die klassische Office-Software oder das Betriebssystem auf den Arbeitsplätzen.
Ein weiterer Punkt kommt hinzu: Updates an Systemen, die mit der Backup- und Virtualisierungsumgebung verbunden sind, machen vielen Verantwortlichen Respekt. Man möchte ungern an einem laufenden System herumschrauben, das im Zweifel die letzte Rettungsleine ist, wenn woanders etwas schiefgeht. Diese Vorsicht ist grundsätzlich nachvollziehbar, wird aber gefährlich, wenn sie dazu führt, dass sicherheitskritische Updates monatelang liegen bleiben. Ein bekannt gewordenes und öffentlich beschriebenes Sicherheitsproblem ist für Angreifer ein klar erkennbares Ziel, unabhängig davon, wie klein oder groß das betroffene Unternehmen ist. Automatisierte Scans suchen im Netz systematisch nach verwundbaren Systemen, ganz gleich, ob dahinter ein Konzern oder ein Handwerksbetrieb mit fünfzig Mitarbeitenden steht.
Was das für den Mittelstand bedeutet
Die Veeam-ONE-Lücke ist ein guter Anlass, die eigene Backup- und Monitoring-Landschaft grundsätzlich zu überprüfen, statt nur den einen betroffenen Patch einzuspielen und danach wieder zur Tagesordnung überzugehen. Folgende Schritte sollten Unternehmen jetzt konkret angehen:
Zunächst gilt es zu prüfen, ob im eigenen Haus überhaupt Veeam ONE oder verwandte Veeam-Produkte im Einsatz sind, auch dann, wenn ein externer Dienstleister die Backup-Umgebung betreut. Gerade bei ausgelagerter IT lohnt sich eine kurze, direkte Nachfrage: Ist die Lücke bekannt, wurde bereits gepatcht, und wenn nicht, bis wann ist das geplant? Wer die eigene IT selbst betreut, sollte die reparierte Version zeitnah einspielen und nicht erst beim nächsten ohnehin geplanten Wartungsfenster.
Danach lohnt ein Blick auf die verwendeten Servicekonten selbst. Viele davon sind über Jahre gewachsen und besitzen inzwischen mehr Rechte, als für ihre eigentliche Aufgabe nötig wären. Eine Bestandsaufnahme, welches Konto wofür welche Berechtigung wirklich braucht, ist zwar Aufwand, zahlt sich aber in genau solchen Situationen aus, weil ein übernommenes Konto mit minimalen Rechten deutlich weniger Schaden anrichten kann als eines mit weitreichenden Zugriffen.
Ebenso wichtig ist ein Blick auf die Passwort- und Zugangsstrategie für Servicekonten. Anders als Nutzerkonten werden diese Passwörter selten regelmäßig geändert, weil eine Änderung oft mehrere Systeme gleichzeitig betrifft und Ausfälle nach sich ziehen kann, wenn man etwas vergisst. Genau dieses Zögern führt dazu, dass Zugangsdaten von Servicekonten teils jahrelang unverändert bleiben. Ein regelmäßiger, dokumentierter Wechsel, gerade nach bekannt gewordenen Sicherheitslücken in betroffener Software, sollte fester Bestandteil der IT-Routine sein.
Unternehmen, die noch keinen strukturierten Überblick über ihre Systemlandschaft und deren Schwachstellen haben, profitieren von einem umfassenden Website-Audit und einer generellen Bestandsaufnahme im Bereich IT-Sicherheit, bei der genau solche Blindflecken wie ungepatchte Monitoring- oder Backup-Software sichtbar werden, bevor sie zum Problem werden. Wer die Backup-Umgebung ohnehin modernisieren möchte, sollte auch prüfen, ob ein professionell betreutes Setup im Rahmen von Managed Hosting nicht die bessere Alternative zur intern gepflegten Lösung ist, gerade weil dort Patches und Berechtigungen von spezialisierten Teams laufend im Blick behalten werden.
Nicht zuletzt zeigt der Fall, wie eng IT-Sicherheit und Backup-Strategie zusammenhängen. Ein Unternehmen, das im Ernstfall auf funktionierende, unversehrte Backups angewiesen ist, sollte regelmäßig testen, ob eine Wiederherstellung tatsächlich funktioniert, und nicht erst im Krisenfall feststellen, dass die letzte saubere Sicherung ebenfalls kompromittiert wurde. Wer dafür noch keinen verlässlichen Partner hat, findet in unserem Leistungsbereich Datenrettung Unterstützung, auch für Situationen, in denen ein Vorfall bereits eingetreten ist und schnell gehandelt werden muss.
Für Unternehmen, die unter die Vorgaben der NIS2-Richtlinie fallen oder sich freiwillig an deren Standards orientieren möchten, ist ein Vorfall wie dieser ein gutes Beispiel dafür, warum Lieferkettensicherheit und Patch-Management dort ausdrücklich Thema sind. Auch Software, die man nicht täglich sieht, gehört in ein systematisches Sicherheitskonzept. Mehr dazu und dazu, wie sich das strukturiert umsetzen lässt, findet sich unter NIS2 & IT-Sicherheit.
Der größere Zusammenhang: Patch-Management darf keine Lücken haben
Was diesen Fall über den konkreten Anlass hinaus lehrreich macht, ist die Erinnerung daran, dass ein Patch-Management, das nur einen Teil der IT-Landschaft abdeckt, in Wahrheit kein vollständiges Patch-Management ist. Wenn Betriebssysteme, Browser und Office-Programme regelmäßig aktualisiert werden, Backup- und Monitoring-Software aber ein Nischendasein außerhalb dieses Prozesses fristet, entsteht genau die Art von blindem Fleck, die Angreifer gezielt suchen. Diese Software läuft in vielen Unternehmen seit Jahren zuverlässig, wurde einmal eingerichtet und danach nur noch am Rande betreut. Genau diese Routine ist der Grund, warum Sicherheitslücken darin überdurchschnittlich lange offen bleiben, verglichen mit Lücken in Software, die im Alltag ständig sichtbar ist.
Ein sinnvoller erster Schritt ist deshalb, eine vollständige Liste aller im Unternehmen eingesetzten Server- und Infrastruktursoftware zu erstellen, inklusive Backup-Lösungen, Monitoring-Tools und ähnlicher Systeme, die selten im Fokus stehen. Für jedes dieser Systeme sollte klar sein, wer für Updates verantwortlich ist und wie regelmäßig Sicherheitswarnungen des jeweiligen Herstellers geprüft werden. Das lässt sich auch dann sauber organisieren, wenn ein Unternehmen keine eigene große IT-Abteilung hat, etwa durch ein externes Fernwartung-Angebot, bei dem genau diese Prüfung Teil des laufenden Betriebs ist, statt dass sie an einzelnen Personen und deren Erinnerungsvermögen hängt.
Was jetzt konkret zu tun ist
Wer Veeam ONE im Einsatz hat, sollte nicht abwarten, bis der nächste reguläre Wartungstermin ansteht, sondern die reparierte Version zeitnah einspielen. Parallel dazu lohnt sich eine ehrliche Bestandsaufnahme der verwendeten Servicekonten: Welche Rechte haben sie wirklich, welche bräuchten sie eigentlich, und wann wurden ihre Zugangsdaten zuletzt geändert? Diese drei Fragen lassen sich in den meisten mittelständischen Umgebungen innerhalb weniger Tage beantworten und liefern selbst dann einen Sicherheitsgewinn, wenn am Ende herauskommt, dass alles schon vorbildlich konfiguriert ist.
Genauso wichtig ist der Blick nach vorn: Ein Vorfall wie dieser sollte zum Anlass werden, Backup- und Monitoring-Software fest in den regulären Patch-Zyklus aufzunehmen, statt sie als Sonderfall zu behandeln. Wer dafür intern keine Kapazitäten hat, sollte diese Aufgabe bewusst an einen Partner übergeben, der genau solche Systeme im Blick behält, damit die nächste vergleichbare Meldung nicht erst Wochen später auf dem Radar auftaucht.
Häufige Fragen
Was macht Veeam ONE eigentlich genau?
Veeam ONE ist eine Überwachungs- und Analyseplattform, die den Zustand von Backup-Infrastruktur, virtuellen Maschinen und verbundenen Servern im Blick behält und Administratoren bei Problemen frühzeitig informiert. Sie ergänzt die eigentlichen Backup-Produkte von Veeam um ein zentrales Kontrollzentrum.
Warum sind Servicekonten so gefährlich, wenn sie übernommen werden?
Servicekonten werden von Anwendungen genutzt, nicht von Menschen, laufen deshalb im Hintergrund und werden selten aktiv überwacht. Sie besitzen häufig weitreichendere Rechte, als für ihre eigentliche Aufgabe nötig wären, was sie zu einem attraktiven und zugleich unauffälligen Ziel für Angreifer macht.
Betrifft die Lücke auch kleinere Unternehmen ohne eigene IT-Abteilung?
Ja. Automatisierte Angriffe suchen systematisch nach verwundbaren Systemen im Internet, unabhängig von der Unternehmensgröße. Auch wenn die IT ausgelagert ist, sollte aktiv nachgefragt werden, ob die reparierte Version bereits eingespielt wurde.
Wie hängen Backup-Sicherheit und Ransomware-Angriffe zusammen?
Angreifer versuchen zunehmend zuerst, Backup-Systeme zu kompromittieren oder unbrauchbar zu machen, bevor sie eigentliche Daten verschlüsseln. Damit nehmen sie Unternehmen die Möglichkeit, sich ohne Lösegeldzahlung aus einem Angriff zu befreien, was Backup-Sicherheit zu einem zentralen Baustein jeder Verteidigungsstrategie macht.
Was sollten Unternehmen jetzt konkret als Erstes tun?
Prüfen, ob Veeam ONE im Einsatz ist, die reparierte Version zeitnah einspielen und die Berechtigungen sowie Passwörter der genutzten Servicekonten überprüfen. Danach lohnt sich eine grundsätzliche Überprüfung, ob Backup- und Monitoring-Software fest im regulären Patch-Management verankert ist.
Reicht es aus, nur das Betriebssystem und die Arbeitsplätze zu patchen?
Nein. Gerade Systeme, die selten sichtbar sind wie Backup- und Monitoring-Software, geraten in der Praxis leicht aus dem Blick, sind aber wegen ihrer weitreichenden Zugriffe besonders sicherheitskritisch. Ein vollständiges Patch-Management muss die gesamte Infrastruktur abdecken, nicht nur die alltäglich genutzten Systeme.