Veeam Backup für KMU: sicher gegen Ransomware

Montagmorgen, auf allen Bildschirmen steht eine Lösegeldforderung. Server, Freigaben, Buchhaltung – alles verschlüsselt. In diesem Moment entscheidet nur noch eine Frage, ob Ihr Betrieb am Dienstag weiterarbeitet: Gibt es ein Backup, das der Angreifer nicht erwischt hat? Hier lesen Sie, was Veeam Backup ist, wie eine Sicherung aufgebaut sein muss, die auch einen Angriff übersteht, und worauf Sie bei einem Veeam-Partner achten sollten.

Was ist Veeam – und warum nutzen so viele IT-Dienstleister es?

Veeam ist ein Hersteller von Software für Datensicherung und Wiederherstellung. Das Kernprodukt heißt Veeam Backup & Replication. Es sichert Server, virtuelle Maschinen und Arbeitsplätze und spielt sie im Notfall zurück – einzelne Dateien genauso wie komplette Systeme.

Für Sie als Betrieb ist weniger die Software entscheidend als das, was damit gebaut wird. Veeam liefert die Werkzeuge: Sicherungsjobs, Kopien an einen zweiten Ort, unveränderliche Speicher, automatische Restore-Tests. Ob Ihr Backup im Ernstfall trägt, hängt davon ab, ob diese Werkzeuge richtig eingerichtet, überwacht und regelmäßig geprüft werden.

Backup bei Ransomware: die letzte Verteidigungslinie

Firewall, Virenschutz und Überwachung sollen einen Angriff verhindern oder früh stoppen. Gelingt das nicht, bleibt nur noch die Sicherung. Deshalb versuchen Angreifer gezielt, Backups zu finden und zu löschen, bevor sie verschlüsseln. Ein Backup-Laufwerk, das dauerhaft am Server hängt, oder ein NAS im selben Netz mit demselben Admin-Passwort ist für sie leichte Beute.

Ein Backup, das Ransomware übersteht, braucht deshalb drei Eigenschaften:

Es liegt nicht nur im Haus. Eine Kopie steht an einem anderen Ort.
Es lässt sich nicht verändern. Auch mit gestohlenen Admin-Zugangsdaten kann es niemand löschen oder verschlüsseln.
Es ist geprüft. Jemand hat ausprobiert, dass sich die Daten wirklich zurückspielen lassen.

Wie Sie Ihren Betrieb vorher schützen, steht im Beitrag Ransomware-Schutz für KMU. Rund um die Uhr auf verdächtiges Verhalten achten kann eine Managed-XDR-Lösung.

Die 3-2-1-1-0-Regel kurz erklärt

Veeam beschreibt die bekannte 3-2-1-Regel und erweitert sie um zwei Stellen:

3 Kopien Ihrer Daten: das Original plus mindestens zwei Sicherungen.
2 verschiedene Speichermedien, zum Beispiel lokale Festplatte und Cloud.
1 Kopie außer Haus, getrennt von Ihrer Umgebung.
1 unveränderliche oder vom Netz getrennte Kopie.
0 Fehler bei der Wiederherstellung – geprüft, nicht vermutet.

Die ausführliche Anleitung zur Regel finden Sie im Beitrag 3-2-1-1-0 Backup-Strategie. An dieser Stelle geht es darum, wie Sie die Regel mit Veeam praktisch umsetzen.

Veeam Cloud Connect: die Kopie außer Haus ins Rechenzentrum

Die Kopie außer Haus ist für viele kleine Betriebe der schwierigste Teil. Eine USB-Platte, die der Chef mit nach Hause nimmt, funktioniert nur, solange jemand daran denkt.

Mit Veeam Cloud Connect schickt Ihr Veeam-Server die Sicherung automatisch an ein Cloud-Repository bei einem Service-Provider. Local-IT-Partner ist Veeam Cloud & Service Provider und betreibt dieses Ziel im KÜS-DATA-Rechenzentrum in Losheim am See (Saarland). Laut Backup-Management-Seite läuft die Übertragung verschlüsselt über eine einzige Verbindung – ohne VPN und ohne zweiten eigenen Standort. Mehr zum Rechenzentrum: Rechenzentrum Saarland.

Ein wichtiger Zusatz heißt Insider Protection. Laut Veeam-Dokumentation werden Sicherungen, die im Cloud-Repository gelöscht werden, nicht sofort entfernt. Sie wandern in einen Papierkorb beim Service-Provider und bleiben dort so viele Tage, wie der Provider festlegt. Für Sie sieht die Sicherung gelöscht aus. Hat ein Angreifer Ihre Backup-Konsole übernommen und alles gelöscht, kann der Provider die Dateien trotzdem wiederherstellen.

Unveränderliches Backup: Was „Immutable“ wirklich heißt

Veeam beschreibt unveränderliche Backups als Kopien, die nach dem Schreiben nicht mehr geändert oder gelöscht werden können – für eine festgelegte Zeit, auch nicht von einem Administrator. Zwei übliche Wege:

Gehärtetes Linux-Repository (Hardened Repository): ein abgeschotteter Speicher, auf den Veeam Dateien mit Unveränderlichkeits-Merkmal schreibt. Veeam empfiehlt dafür unter anderem Einmal-Zugangsdaten und abgeschalteten SSH-Zugang.
Objektspeicher mit Object Lock: Speicher, der Daten für einen festen Zeitraum sperrt, in der Cloud oder im eigenen Haus.

Praktisch heißt das: Selbst wenn jemand die Zugangsdaten Ihres Administrators hat, kann er die Sicherungen der letzten Tage nicht vernichten. Genau das unterscheidet ein Backup, das einen Angriff übersteht, von einem, das nur einen Festplattenschaden abfängt.

Restore-Tests: die „0“ in der Regel

Ein Backup ist erst dann etwas wert, wenn die Rücksicherung klappt. Veeam bietet dafür SureBackup: eine Technik, mit der Sicherungen von Maschinen getestet werden und geprüft wird, ob sich die Daten wiederherstellen lassen. Das läuft in einer abgeschotteten Umgebung, ohne Ihren laufenden Betrieb zu stören.

Zusätzlich lohnt sich ein echter Probelauf: Läuft nach der Rücksicherung auch Ihre Warenwirtschaft? Weiß jemand, in welcher Reihenfolge die Systeme hochfahren müssen? Wie lange dauert es? Laut Backup-Management-Seite gehören regelmäßige Restore-Tests und ein monatlicher Bericht zum Managed Backup von Local-IT-Partner. Warum das Pflicht ist, steht im Beitrag Restore-Tests sind Pflicht, nicht Kür.

Microsoft 365 sichern mit Veeam

Viele Betriebe gehen davon aus, dass Microsoft ihre Mails und Dateien sichert. Microsoft hält Daten zwar redundant in mehreren Rechenzentren vor, gelöschte Elemente aber nur befristet: In Exchange Online bleiben endgültig gelöschte Mails standardmäßig 14 Tage wiederherstellbar, höchstens 30. Im SharePoint-Papierkorb bleiben gelöschte Dateien 93 Tage. Wer einen Fehler erst nach drei Monaten bemerkt, hat ohne eigene Sicherung ein Problem.

Veeam Backup for Microsoft 365 sichert Exchange, SharePoint, OneDrive for Business und Teams. Sie können einzelne Mails, Dateien oder ganze Postfächer zurückholen. Wie Sie Microsoft 365 insgesamt sicher aufsetzen, lesen Sie im Beitrag Microsoft 365 im Betrieb richtig einrichten.

Worauf Sie bei einem Veeam-Partner achten sollten

Wohin geht die Kopie außer Haus? Fragen Sie nach Rechenzentrum und Land. Bei Local-IT-Partner ist das Losheim am See.
Ist eine Kopie unveränderlich? Lassen Sie sich zeigen, wie das umgesetzt ist.
Wer schaut auf die Sicherungsjobs? Ein Job, der seit drei Wochen fehlschlägt, muss jemandem auffallen.
Wann war der letzte Restore-Test? Und gibt es ein Protokoll dazu?
Wer hilft im Ernstfall – und wie schnell? Ein Ansprechpartner, der Ihre Umgebung kennt, ist am Notfallmorgen mehr wert als jede Hotline.

Die Sicherung ist auch ein Kernstück der laufenden Server-Betreuung, siehe Servermanagement für KMU.

Häufige Fragen

Reicht eine externe Festplatte als Backup? Als einzige Sicherung nein. Eine Platte, die dauerhaft angeschlossen ist, verschlüsselt ein Angreifer gleich mit. Eine Platte, die abgezogen wird, hängt davon ab, dass jemand täglich daran denkt. Sinnvoll ist eine automatische Kopie außer Haus plus eine unveränderliche Kopie.

Was ist der Unterschied zwischen Veeam Backup und Veeam Cloud Connect? Veeam Backup & Replication erstellt die Sicherungen. Cloud Connect ist der Weg, auf dem diese Sicherungen automatisch und verschlüsselt an einen Service-Provider außer Haus gehen.

Muss ich mein bestehendes Backup ersetzen? Nicht unbedingt. Zuerst wird geprüft, was es heute gibt, wo die Kopien liegen und ob ein Restore klappt. Laut Backup-Check-Seite kann ein bestehendes Backup auch übernommen werden.

Sichert Microsoft meine 365-Daten nicht sowieso? Microsoft schützt vor Ausfällen im eigenen Rechenzentrum. Gelöschte Elemente bewahrt Microsoft nur befristet auf (Exchange standardmäßig 14 Tage, SharePoint-Papierkorb 93 Tage). Gegen eigene Fehler, Angriffe oder späte Entdeckung brauchen Sie eine eigene Sicherung.

Lassen Sie prüfen, ob Ihr Backup einen Angriff übersteht

Rufen Sie an: 06581 81 99 746, Mo–Fr 7:30–17:30 Uhr. Am Telefon meldet sich ein Mensch, der nachfragt, wie Ihre Sicherung heute aussieht. Im kostenlosen IT-Check prüfen wir, wo Ihre Kopien liegen, ob eine davon unveränderlich ist und ob der letzte Restore wirklich geklappt hat. Lieber erst online starten? Machen Sie den Backup-Check oder schreiben Sie über Kontakt.

Veeam Backup für kleine Betriebe: Wenn alles verschlüsselt ist, zählt nur noch die Sicherung