Veeam Backup & Replication einfuehren: Praxis-Leitfaden fuer KMU 2026

Inhalt in Kuerze

• Eine saubere Veeam-Einfuehrung dauert in einem 30-100-Mitarbeiter-KMU rund 2-4 Wochen und gliedert sich in 7 Phasen - von der Bestandsaufnahme bis zum ersten automatisierten Restore-Test.
• Drei Komponenten sind Pflicht: Veeam-Backup-Server, primaeres Repository, Offsite- oder Immutable-Kopie. Ohne diese drei ist es kein Backup, sondern eine Datenkopie.
• Restore-Tests sind die “0” in der 3-2-1-1-0-Regel - ohne automatisierten Test ist jedes Backup nur eine Hoffnung. Veeam SureBackup automatisiert das in einer Sandbox.
• Realistische Kosten fuer einen 30-Mitarbeiter-Mittelstaendler in Hamburg: 5.000-12.000 Euro Einmalkosten plus 250-500 Euro pro Monat. In Managed IT Services inklusive.

Wer Veeam Backup & Replication zum ersten Mal einfuehrt, scheitert selten an der Software - sondern an der Architektur drumherum. Falsch dimensionierte Repositories, vergessene Offsite-Kopie, kein einziger Restore-Test seit Inbetriebnahme: Das sind die Klassiker, die wir bei hagel IT in Hamburger Mittelstaendlern jede Woche sehen. Dieser Praxis-Leitfaden zeigt, wie Sie Veeam in 7 Phasen sauber implementieren - von der Bestandsaufnahme bis zum ersten gruenen SureBackup-Report. Wer einen reinen Funktions-Ueberblick sucht, findet ihn im Pillar-Guide zu Veeam Backup & Replication v12.

Was unterscheidet Veeam-Implementierung von “mal eben installieren”?

Die Veeam-Konsole ist in 30 Minuten installiert - und genau das ist das Problem. Eine Backup-Loesung ist erst dann produktiv, wenn drei Bedingungen erfuellt sind:

1. Alle relevanten Workloads sind erfasst (VMs, physische Server, NAS, Microsoft 365, Datenbanken).
2. Die 3-2-1-1-0-Regel ist umgesetzt - drei Kopien, zwei Medien, eine offsite, eine immutable, null Fehler im Restore-Test.
3. Restore-Tests laufen automatisiert - nicht “wenn wir mal Zeit haben”.

Wer nur Punkt 1 abhakt, hat eine schoene Datenkopie - aber kein Backup. Genau hier scheitern die meisten Projekte. Aus der Praxis: Im BSI Datensicherungskonzept CON.3 wird genau diese Trennung zwischen “Backup-Aktion” und “wirksamer Datensicherung” detailliert beschrieben - lesenswert vor jedem Projekt-Kickoff.

Wir sehen es jede Woche: Backups, die seit Monaten nicht geprueft wurden. Alle denken, es laeuft - bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmaessig.

Jens Hagel, Geschaeftsfuehrer hagel IT-Services GmbH

Die 7 Phasen der Veeam-Einfuehrung

Phase 1: Bestandsaufnahme - was muss ueberhaupt gesichert werden?

Vor der ersten Lizenz-Bestellung steht die Inventur. In der Praxis loggen wir uns mit der internen IT in alle Hypervisoren, Server und Cloud-Konsolen ein und erstellen eine Liste mit:

• VMs pro Hypervisor (VMware, Hyper-V): Anzahl, Groesse pro VM, durchschnittliche Datenaenderung pro Tag.
• Physische Server: Windows, Linux, AIX. Welche Daten liegen lokal, welche auf NAS?
• NAS-Shares: SMB/NFS, Datenmenge, Aenderungsrate.
• Microsoft 365: Anzahl Postfaecher, SharePoint-Sites, OneDrive-User, Teams-Channels.
• Datenbanken: SQL, Oracle, SAP HANA, PostgreSQL - mit welcher Methode (Snapshot, Log-Backup)?

Diese Liste ist die Grundlage fuer alles Weitere. Ohne sie wird das Sizing zur Glaskugel-Lekture. Ein typisches 30-Mitarbeiter-KMU in Hamburg hat ueblicherweise: 5-8 VMs (1-3 TB), 1-2 NAS-Shares (500 GB-2 TB), 30-50 M365-Postfaecher, 1-2 SQL-Server.

Phase 2: Sizing - wie gross muss das Repository sein?

Zusaetzlich braucht es Reserve fuer das Wachstum. In unseren Projekten kalkulieren wir mit 20% Wachstum pro Jahr - was bedeutet, dass das Repository fuer 3 Jahre Lebensdauer rund 70% groesser sein muss als die heutige Quelldatenmenge.

Performance-Sizing fuer den Veeam-Server:

Phase 3: Hardware bereitstellen

Fuer ein robustes Setup brauchen Sie drei getrennte Komponenten:

1. Veeam-Backup-Server: Eigene Windows-VM oder physisches Blech. Nicht auf einem Domain-Controller, nicht auf einem Hyper-V-Host. Grund: Wenn der Hypervisor ausfaellt, soll der Backup-Server lebensfaehig bleiben.
2. Primaeres Repository: Schneller Storage fuer taegliche Backups. Lokales NAS (Synology, QNAP, Dell PowerVault) oder ein dedizierter Windows-Server mit Storage Spaces.
3. Hardened Linux Repository (Pflicht!): Ein zweiter Linux-Server (Ubuntu LTS, idealerweise auf separater Hardware) mit aktiviertem Single-Use-Account und Immutability-Flag. Das ist der Schutz gegen Ransomware - selbst Domain-Admin-Rechte koennen Backups dort nicht loeschen.

Phase 4: Installation der Veeam-Konsole

Die eigentliche Software-Installation dauert rund 90 Minuten - inklusive SQL-Server-Express-Setup, Konsole und erstem Login. Wichtig: Die SQL-Datenbank, in der Veeam alle Konfigurationen speichert, muss unbedingt in das Configuration Backup einbezogen werden. Sonst ist nach einem Veeam-Server-Crash zwar die Software wieder da - aber alle Backup-Job-Definitionen weg.

Stolperfallen, die wir regelmaessig sehen:

• Veeam-Server in derselben Domain wie die produktiven Server: Im Ransomware-Fall ist der Backup-Server gleich mitverschluesselt. Loesung: Workgroup-Mode oder separate Domain.
• Default-Passwort fuer den Configuration-Backup: Bitte unbedingt aendern und dokumentieren. Ohne dieses Passwort ist das Configuration Backup wertlos.
• Anti-Virus-Scanner auf dem Repository: Bremst Backups massiv aus. Veeam-Verzeichnisse muessen aus dem Scan ausgeschlossen sein.

Phase 5: Backup-Jobs einrichten

Backup-Jobs sind keine Container fuer “alle VMs”, sondern werden nach Workload-Typ und Wiederherstellungsklasse gruppiert:

• Job 1: Geschaeftskritisch (ERP, Fileserver, AD-DC) - taeglich, 90 Tage Retention, nach Mitternacht.
• Job 2: Standard-Server (Application-Server, Print-Server) - taeglich, 30 Tage Retention.
• Job 3: Test- und Entwicklung - woechentlich, 14 Tage Retention.
• Job 4: NAS-Shares - taeglich, 60 Tage Retention.

Verschluesselung muss aktiviert sein - mindestens AES-256. Ohne Verschluesselung sind die Backups bei Diebstahl der Festplatte sofort lesbar. Auch das Configuration Backup verschluesseln. Synthetic Full Backups einmal pro Woche reduzieren die Last auf das Quellsystem - statt taeglich Voll-Backup laeuft taeglich nur Incremental und Veeam baut den synthetischen Full im Repository selbst zusammen.

Phase 6: Offsite & Immutable - die Ransomware-Versicherung

Lokale Backups allein helfen nicht, wenn der Angreifer Domain-Admin hat - dann sind in 4 Stunden alle erreichbaren Repositories gleich mit verschluesselt. Deshalb braucht es eine immutable Kopie, die selbst Domain-Admins nicht aendern koennen:

• Hardened Linux Repository mit Immutability-Flag: Backups werden mit chattr +i sperrgeschuetzt, ein lokaler Linux-User kann sie fuer X Tage nicht loeschen, selbst Root nicht.
• S3 Object Lock in einem deutschen Cloud-Anbieter: Wasabi, IONOS, iTernity oder ein Veeam Cloud Connect Provider. Aktiviert man Object Lock, sind die Objekte fuer die definierte Retention nicht loeschbar - selbst mit gestohlenen Cloud-Credentials.
• Backup-Copy-Job schreibt taeglich in das Immutable-Ziel.

Phase 7: Restore-Tests automatisieren

Ein Backup, das nie getestet wurde, ist kein Backup. Veeam SureBackup automatisiert Restore-Tests in einer isolierten Sandbox: Veeam startet die VM aus dem Backup, prueft sie gegen ein Healthcheck-Skript (Ping, RDP-Login, Service-Check, Datenbank-Query) und verwirft die VM danach wieder. Das Ergebnis landet als E-Mail-Report bei IT-Leitung und Geschaeftsfuehrung.

Empfohlene Test-Frequenz nach Workload-Klasse:

• Geschaeftskritisch (ERP, Fileserver, M365): monatlich.
• Standard-Server: vierteljaehrlich.
• Test- und Entwicklungs-VMs: halbjaehrlich.

Erst wenn der erste gruene SureBackup-Report im Posteingang liegt, gilt die Veeam-Implementierung als abgeschlossen. Vorher ist es nur ein Software-Setup.

Veeam Backup for Microsoft 365 - die haeufigste Luecke

Microsoft sichert nicht Ihre Daten - Microsoft sichert die Plattform. Versehentliches Loeschen, Insider-Bedrohungen, Phishing-Folgen oder Retention-Luecken sind allein Ihre Verantwortung. Im Service-Vertrag empfiehlt Microsoft selbst, ein Drittanbieter-Backup einzusetzen. Die Veeam Best Practices fuer M365 sind hier die Referenz.

In unseren Microsoft 365 Projekten ist Veeam Backup for Microsoft 365 immer Teil des Pakets. Setup-Aufwand: rund 4-6 Stunden fuer ein 30-User-Tenant. Lizenzkosten: ca. 1,50 Euro pro Postfach und Monat. Damit sichern Sie Exchange Online, SharePoint, OneDrive und Teams in ein eigenes Repository - on-premises, in Azure oder bei einem deutschen Cloud-Anbieter.

Die drei wichtigsten M365-Backup-Szenarien aus unseren Projekten:

1. Postfach versehentlich geloescht - Standard-Microsoft-Retention 30 Tage. Bei laengerer Retention oder rechtssicherer Aufbewahrung braucht es Veeam.
2. Ransomware verschluesselt OneDrive-Daten - Microsoft Versions History rettet teilweise. Mit Veeam holen wir den Stand von vor dem Angriff zuverlaessig zurueck.
3. Compliance-Audit verlangt 7 Jahre Aufbewahrung - mit Veeam in einem deutschen Cloud-Storage rechtssicher abgedeckt.

Praxisbeispiel: Veeam-Einfuehrung bei einem Hamburger Sanitaerbetrieb

Ein typischer Mittelstaendler aus unserem Kundenkreis - 22 Mitarbeiter, ein Buero in Hamburg, 7 Monteure im Aussendienst. Vor zwei Jahren Ransomware-Angriff: drei Monate komplett im Stillstand. Seitdem ist Backup Chefsache.

Ausgangslage: Hyper-V-Cluster mit 6 VMs (3 TB), Synology NAS (1,2 TB), 25 Microsoft-365-Postfaecher, 1 SQL-Server. Altes Backup ueber Windows Server Backup auf USB-Festplatte.

Was wir gemacht haben:

1. Bestandsaufnahme und Sizing in Woche 1.
2. Hardware: Veeam-VM, neuer Synology DS1823xs+ als primaeres Repository, Ubuntu 24.04 auf altem HP MicroServer als Hardened Linux Repository.
3. Veeam Data Platform Foundation Lizenz fuer 7 Workloads, plus Veeam Backup for Microsoft 365 fuer 25 User.
4. Backup-Copy-Job zu IONOS S3 mit Object Lock fuer 60 Tage Retention.
5. SureBackup-Job mit monatlichem Test fuer alle VMs, woechentlicher Test fuer den SQL-Fileserver.

Ergebnis nach 4 Wochen: Erster gruener SureBackup-Report im Posteingang. Backup-Fenster von 11 Stunden auf 2,5 Stunden reduziert. Geschaeftsfuehrer schlaeft wieder.

Veeam-Lizenz-Editionen 2026 - was brauchen Sie wirklich?

Veeam vertreibt seit 2024 unter dem Dach Veeam Data Platform in vier Editionen. Fuer KMU sind in der Regel nur die ersten zwei relevant:

• Foundation: Backup & Replication, Veeam ONE (Monitoring), Veeam Recovery Orchestrator-Light. Reicht fuer 95% aller KMU.
• Advanced: Plus erweiterte Cyber-Recovery-Funktionen (Malware Detection, Suspicious Activity Reporting). Sinnvoll bei NIS-2-Pflicht.
• Premium: Plus Veeam Data Cloud Vault, vollstaendige Recovery Orchestrator. Fuer Konzern-IT.
• Premium with Resiliency Suite: Komplett-Paket mit Coveware Incident Response. Enterprise.

Die Lizenz wird pro Workload (VM, physischer Server, NAS, Cloud-Instanz) abgerechnet - ein Workload entspricht einer Lizenz, egal wie viele Daten. Subscription-Modell, kein Perpetual mehr seit Anfang 2024.

Wo Veeam in den meisten KMU scheitert (und wie es nicht passiert)

Aus rund 40 Veeam-Projekten der letzten drei Jahre - das sind die Top-3-Fehler:

1. Repository auf demselben Hyper-V-Host wie die Quell-VMs. Bei Ausfall des Hypervisors (Stromausfall, Disk-Fehler) sind Backups und Quellen gleichzeitig weg. Loesung: Repository immer auf separater Hardware.
2. Kein Hardened Linux Repository. Domain-Admin-Compromise = alle Windows-Backups weg. Loesung: Mindestens ein Repository ausserhalb der Windows-Domain.
3. Restore-Tests werden “spaeter mal” gemacht. Spoiler: Es passiert nie. Loesung: SureBackup-Job direkt mit dem ersten Backup-Job einrichten, Bericht an Geschaeftsfuehrung.

Veeam in den Kontext einer Gesamt-Strategie einbetten

Veeam ist eine Komponente - keine vollstaendige Antwort auf Datensicherung und Cyber-Resilienz. Wer es richtig machen will, kombiniert Veeam mit:

• Backup & Recovery als Produkt: Hardware, Lizenz und Betreuung als Festpreis-Paket.
• Cybersecurity Hamburg: EDR, MFA und Awareness-Training, damit es gar nicht erst zur Restore-Situation kommt.
• NIS2 & IT-Compliance: Wer von NIS-2 betroffen ist, braucht dokumentierte Backup-Prozesse und regelmaessige Restore-Tests als Pflichtbestandteil.
• Managed Server: 24/7-Monitoring der Quell-Server inklusive Backup-Erfolg-Alerts.
• Microsoft 365 Management: M365-Setup mit integriertem Veeam Backup for Microsoft 365.

Wer den schnellen Selbsttest will: Im NIS2-Betroffenheits-Check sehen Sie in 3 Minuten, ob NIS-2 fuer Sie zur Pflicht wird - und damit auch die strukturierte Backup-Strategie.

Was Veeam NICHT loest

Auch das gehoert zur Ehrlichkeit: Veeam loest nicht alles. Es loest die Datensicherung. Was Veeam nicht macht:

• Ransomware verhindern - dafuer brauchen Sie EDR, MFA und Awareness-Training.
• Datenverluste durch falsche Bedienung verhindern - dafuer braucht es Berechtigungs-Konzept und Schulung.
• Geschaeftsprozesse wiederherstellen - das ist BCM (Business Continuity Management). Veeam stellt VMs wieder her, aber nicht das Wissen, in welcher Reihenfolge welche Anwendung gestartet werden muss.
• Compliance automatisch erfuellen - die Tools sind da, aber Dokumentation und Prozess muessen Sie selbst leben.

In unseren Cyber-Risiko-Analysen schauen wir genau auf diese Schnittstellen - was Veeam abdeckt, und was Sie sonst noch brauchen.

Fazit: Veeam ist nicht das Ziel - getestete Wiederherstellung ist das Ziel

Veeam Backup & Replication ist 2026 der Marktstandard fuer KMU-Backup. Aber die Software ist nur das Werkzeug. Was zaehlt, ist eine Architektur, die einem Ransomware-Angriff standhaelt: drei Kopien, zwei Medien, eine offsite, eine immutable, null Fehler im Restore-Test. Wer diese fuenf Punkte sauber abbildet, schlaeft ruhig. Wer sich auf “wir haben Veeam” verlaesst, ohne die Architektur zu pruefen, wacht im Ernstfall sehr unsanft auf.

Bei hagel IT in Hamburg machen wir das fuer rund 90 KMU - vom 5-Mann-Architekturbuero bis zum 150-Mitarbeiter-Mittelstaendler. Wer pruefen will, wo das eigene Backup-Setup steht: 15 Minuten Erstgespraech, ehrliche Einschaetzung, keine Verkaufsmasche. Versprochen.