IT-Wochenrückblick: Veeam patchen, Storage-Warnungen prüfen und Windows-Wartung vorbereiten

Dieser Rückblick umfasst den Zeitraum vom 4. Oktober, 18 Uhr, bis zum 11. Oktober 2026, 18 Uhr, Europe/Berlin. Für den lokalen IT-Betrieb sind drei Entwicklungen relevant: ein Sicherheitsupdate für Veeam-Installationen der Version 12, neue Hinweise zu verweigerten Bucket-Abfragen und die angekündigte Zertifikatsrotation bei Windows Update. Der Backupserver hat unmittelbar Vorrang; Storage-Warnungen und die Updatefähigkeit von Servern brauchen eigene Entscheidungen. Die folgenden Prüfungen sind betriebliche Empfehlungen. Sie übersetzen Herstellerhinweise in Nachweise, die ein verantwortlicher Administrator erheben kann. Ein installierter Patch, ein ruhiges Dashboard oder eine alte Updaterichtlinie belegen allein noch keinen funktionierenden Wiederherstellungs- und Wartungspfad.

Veeam hat am 6. Oktober KB4934 veröffentlicht und Backup & Replication 12.3.2 P4 mit Build 12.3.2.4934 freigegeben. Der Sicherheitshinweis betrifft Builds der Version 12 bis einschließlich 12.3.2.4854; Version 13 ist von diesen konkreten Schwachstellen nicht betroffen. CVE-2025-64393 ermöglicht einem Backup Viewer die Ausführung von Code über den Mount Service und ist mit CVSS 9,4 als kritisch eingestuft. KB4696 beschreibt den Installationsweg: Bestimmte 12.3.2-Builds können den kleineren Patch verwenden, ältere unterstützte Ausgangsversionen benötigen die vollständige ISO. Ein Neustart kann erforderlich sein. Deshalb gehört das Update in ein ausdrücklich geplantes Wartungsfenster, dessen Abschluss tatsächlich geprüft wird.

Zuerst sollten Backupserver, Konsolen und installierte Builds erfasst werden; anschließend die Konten mit Backup-Viewer-Zugriff. Ich empfehle, betroffene Server auch bei eingeschränktem Managementzugang zu priorisieren: Ein Konto mit wenigen Rechten gehört weiterhin ins Bedrohungsmodell. Upgrade-Checkliste lesen, eine wiederherstellbare Konfigurationssicherung bereitstellen und den Installer passend zum Ausgangsbuild wählen. Nach dem Eingriff zählen Zielbuild, Komponentenstatus und eine repräsentative Sicherung mit anschließender isolierter Wiederherstellung. Ergebnis und Verantwortlichen dokumentieren. Eine Migration auf Version 13 bleibt ein eigenes Vorhaben mit Kompatibilitätsprüfung. Ein Wechsel der Hauptversion muss einen gezielten Sicherheitseingriff nicht ersetzen, sondern braucht eine gesonderte betriebliche Abnahme.

Veeam hat KB4935 am 6. Oktober für S3-kompatible Repositories der aufgeführten Produkte in Version 12, 13 und 13.1 veröffentlicht. Abfragen der Bucket-Liste können im Storage-Protokoll Access-Denied-Einträge erzeugen, obwohl der Repository-Bucket ausdrücklich angegeben wurde. Veeam bestätigt unnötige Aufrufe als Produktproblem; das fehlende Listenrecht verhindert normale Sicherungen und Wiederherstellungen nicht. Eine Korrektur ist für eine spätere Version vorgesehen. Ein behobener Build wird noch nicht genannt.

Vor einer Rechteänderung sollten Operation, Repository-Identität, Zeitpunkt und tatsächliches Jobergebnis zusammengeführt werden. Für den dokumentierten Fall würde ich den eingeschränkten Zugriff beibehalten und eine Monitoring-Ausnahme auf den bestätigten Aufruf der Bucket-Liste begrenzen. Warnungen über verweigerte Objektzugriffe, Schreib- oder Löschvorgänge sowie fehlgeschlagene Jobs bleiben erhalten. Muss laut Richtlinie jeder solche Protokolleintrag verschwinden, nennt Veeam das zusätzliche Listenrecht als Alternative. Diese größere Sichtbarkeit samt Freigabe dokumentieren. Danach Sicherung und Wiederherstellung mit derselben Repository-Identität testen. Storage-Protokoll und Backupkonsole zeigen verschiedene Abschnitte des Zugriffswegs; für die Bewertung eines Vorfalls sollten deshalb beide Nachweise verfügbar bleiben.

Microsoft hat am 8. Oktober Hinweise zur Zertifikatsrotation bei Windows Update veröffentlicht. Die Ablaufdaten liegen am 17. Mai und 19. Juni 2027, nicht in dieser Woche. Windows Server 2025 benötigt vor dem 19. Juni das Sicherheitsupdate vom September 2025 oder neuer, Server 2022 das vom Juli 2026 oder neuer. Für Server 2016 und 2019 gilt Juli 2026 oder neuer vor dem 17. Mai. Unterstützte, aktuelle Systeme besitzen die Ersatzzertifikate bereits. Geräte, die Updates über WSUS erhalten, nimmt Microsoft ausdrücklich aus. Betriebssystemversion, Wartungsstand und Updatequelle sind deshalb die maßgeblichen Angaben für die Planung.

Bestehendes Inventar oder eine lesende PowerShell-Erhebung sollte Serverversion, installierten Wartungsstand, wirksame Updatequelle und Verantwortlichen zusammenbringen. Selten gestartete Wiederherstellungssysteme und Administrationsrechner gehören dazu, sofern sie Windows Update direkt nutzen. Als Abnahme empfehle ich eine erfolgreiche Updatesuche über den vorgesehenen Weg sowie den Nachweis des erforderlichen oder eines späteren Sicherheitsupdates. Eine konfigurierte Richtlinie allein reicht nicht. Für Offline-Systeme und nicht mehr unterstützte Versionen braucht es vor der jeweiligen Frist einen Plan mit Zuständigkeit. Aus älteren Images wiederhergestellte Maschinen erneut prüfen. WSUS-Bestände separat dokumentieren, damit die Ausnahme in dieser Meldung ihre regulären Patchpflichten nicht verdeckt.

Für das nächste Wartungsfenster sollten drei kurze Nachweise entstehen: betroffene Veeam-Server mit geprüftem Zielbuild, eine freigegebene Ausnahme für die konkrete S3-Listenwarnung und ein Windows-Wartungsinventar mit der zutreffenden Frist im Jahr 2027. Dazu gehören jeweils Wiederherstellungstest, Rechteentscheidung und erfolgreiche Updatesuche. Die praktische Konsequenz ist, akute Sicherheitskorrekturen, geklärte Diagnosefälle und vorausschauende Wartung getrennt zu bearbeiten. Jeder Punkt erhält einen Verantwortlichen und ein überprüfbares Abschlusskriterium; offene Prüfungen bleiben sichtbar. So liefert der Wochenrückblick dem Betrieb eine überschaubare Zahl konkreter Entscheidungen, die an seine tatsächlich eingesetzten Versionen und Dienste gebunden sind und sich im nächsten Wartungsfenster abnehmen lassen.