Was Veeam Backup & Replication ist

Veeam Backup & Replication sichert virtuelle Maschinen, Server, Arbeitsplätze, Cloud-Ressourcen und Dateifreigaben und stellt sie wieder her. Die Software unterstützt viele Plattformen, darunter VMware vSphere, Microsoft Hyper-V, Nutanix AHV und Proxmox VE. Sicherungen können verschlüsselt und in einem gehärteten Linux-Speicher für eine feste Zeit unveränderbar abgelegt werden.

Veeam wurde 2006 gegründet und gehört seit 2020 mehrheitlich Finanzinvestoren, zuerst Insight Partners, seit 2024 auch TPG und weiteren. Der Hauptsitz liegt in Seattle, Lizenzgeber für Kunden in Europa ist eine Gesellschaft in der Schweiz. Lizenziert wird je Workload, als Abonnement oder unbefristet.

Wofür es eingesetzt wird

Unternehmen und Verwaltungen nutzen Veeam als zentrale Datensicherung für ihr Rechenzentrum, oft auch als Schutz gegen Ransomware durch unveränderbare Sicherungen. Viele Dienstleister bieten Backup als Dienst auf Veeam-Basis an. Seit Oktober 2026 kennzeichnet Veeam Partner, die einen lokalen Betrieb unter regionalem Recht nachweisen.

Die Sicherungen liegen im eigenen Haus, das Backupformat ist aber herstellereigen. Ein späterer Wechsel bedeutet daher meist, ältere Sicherungen mit Veeam-Werkzeugen lesbar zu halten oder neu zu sichern.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz der selbst betriebenen Software im Unternehmen; Fragen zum Rechtsraum sind für eine im eigenen Haus betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Lizenzgeber für Kunden außerhalb der Sonderfälle ist laut EULA die Veeam Software Group GmbH mit Sitz in Baar (Kanton Zug, Schweiz). Die Unternehmensgruppe hat ihren Hauptsitz jedoch in Seattle (USA); seit der Übernahme durch Insight Partners 2020 ist Veeam nach eigener Aussage ein US-Unternehmen mit US-Führung. Insight Partners blieb nach dem Anteilsverkauf von Dezember 2024 (TPG, Temasek u. a.) größter Anteilseigner (Sekundärquelle). Beleg: Veeam End User Software License Agreement (EULA)… · Veeam Software Group GmbH, Baar (Handelsregister… · Veeam Completes Acquisition of Securiti AI · Insight Partners Completes Acquisition of Veeam… · Insight Partners sells $2 billion stake in data… · Veeam Puts Customers in Control of Data Sovereig…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen die Backupdaten beim Kunden, der Hersteller hat darauf keinen Zugriff; eine Herausgabeanordnung gegen Veeam erfasst sie nicht unmittelbar. Die Konzernmutter sitzt aber in den USA, und Daten, die an Veeam fließen (Telemetrie mit Lizenzbezug, Lizenznutzungsmeldungen, Supportfälle), unterliegen damit US-Recht; der DPA stützt Übermittlungen auf das EU-U.S. Data Privacy Framework und Standardvertragsklauseln. Beleg: Veeam End User Software License Agreement (EULA)… · User Guide: Automatic License Usage Reporting · Veeam Data Processing Addendum (Last updated: Se… · Veeam Completes Acquisition of Securiti AI
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb liegen Server, Repositories und Schlüssel beim Kunden. Backups lassen sich auf Job- und Speicherebene verschlüsseln, auch mit Schlüsseln aus einem Key Management System; ein Hardened Repository auf Linux hält Backups für einen festgelegten Zeitraum unveränderbar. Ob Veeam selbst auf Schlüssel zugreifen kann, ist in der geprüften Übersicht nicht ausdrücklich beschrieben; bei Selbstbetrieb ohne Supportzugang besteht dafür kein dokumentierter Weg. Beleg: User Guide: How Backup Data Encryption Works · User Guide: Hardened Repository · Veeam Backup & Replication 13.1 Release Notes
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Insight Partners (USA) übernahm Veeam 2020 vollständig; das liegt vor dem Prüfzeitraum. Im Dezember 2024 verkaufte Insight einen Anteil von 2 Mrd. US-Dollar an Investoren unter Führung von TPG (USA) mit Temasek und Neuberger Berman und blieb laut Reuters größter Anteilseigner; ein Kontrollwechsel ist nicht berichtet. Die genauen Beteiligungsverhältnisse sind nicht veröffentlicht und nur über Sekundärquellen belegt. Beleg: Insight Partners Completes Acquisition of Veeam… · Insight Partners sells $2 billion stake in data…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung Selbstbetrieb: Die Software läuft laut EULA in der vom Kunden gewählten Umgebung; Veeam hat keinen Zugriff auf die damit verwalteten Daten. Backups liegen in Repositories, die der Betreiber selbst einrichtet, darunter S3-kompatibler Objektspeicher im eigenen Haus oder Cloud-Speicher nach Wahl. Telemetrie-, Lizenz- und Supportdaten an Veeam prüfen 2.3 und 4.5. Beleg: Veeam End User Software License Agreement (EULA)… · User Guide: Object Storage Repositories (Veeam B…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Der Backup-Server lässt sich unter Windows installieren oder als Linux-basierte Veeam Software Appliance (ISO, OVA, Hyper-V-Vorlage) betreiben, im eigenen Rechenzentrum oder bei einem Dienstleister. Mit dem Sovereign Service Providers Program (Oktober 2026) kennzeichnet Veeam Dienstleister, die einen lokalen Betrieb nachweisen. Beleg: User Guide: System Requirements (Plattformen und… · Veeam Backup & Replication 13.1 Release Notes · Veeam Puts Customers in Control of Data Sovereig…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Laut EULA ist die Telemetrie (technische, Konfigurations-, Leistungs- und Nutzungsdaten mit Lizenzbezug) standardmäßig eingeschaltet und abschaltbar, für Free/Community-, Test- und Mietlizenzen aber verpflichtend. Einige Produkte erfordern eine Online-Lizenzierung bzw. Nutzungsmeldung, die sich nicht abschalten lässt. Die Lizenznutzungsmeldung an den Veeam License Update Server ist an die automatische Lizenzaktualisierung gekoppelt; die übertragenen Datenfelder sind nur allgemein beschrieben. Beleg: Veeam End User Software License Agreement (EULA)… · User Guide: Automatic License Usage Reporting · Veeam Licensing Policy
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nein	Die EULA (Stand 01.11.2026) erlaubt Veeam, Eingaben und Ausgaben des KI-Assistenten Veeam Intelligence zu speichern und zu prüfen und Ausgaben zur Verbesserung des Assistenten zu nutzen; der Basic Mode ist standardmäßig eingeschaltet und kann vom Kunden abgeschaltet werden. Einen vertraglichen Ausschluss des KI-Trainings enthalten weder EULA noch Auftragsverarbeitungsvertrag. Beleg: Veeam End User Software License Agreement (EULA)… · Veeam Data Processing Addendum (Last updated: Se…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Veeam Backup & Replication ist proprietäre Software, die nach EULA unter einer nicht übertragbaren Lizenz überlassen wird; der Quellcode ist nicht öffentlich. Beleg: Veeam End User Software License Agreement (EULA)…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre Software und einen gültigen Lizenzschlüssel voraus; die Nutzung ist auf die erworbenen Lizenzen bzw. Kapazitäten begrenzt. Beleg: Veeam End User Software License Agreement (EULA)… · Veeam Licensing Policy
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Bei Abonnementlizenzen (VUL) werden nach Ablauf der Kulanzfrist laut Lizenzrichtlinie alle Produktfunktionen deaktiviert; Wiederherstellungen verbrauchen zwar keine Lizenzen, manche Wiederherstellungsszenarien brauchen aber eine gültige Lizenz. Unbefristete VUL-Lizenzen werden weiter verkauft und laufen ohne Updates weiter. Mit dem Extract Utility lassen sich Maschinen ohne Backup-Server aus Backupdateien wiederherstellen (Windows und Linux). Beleg: Veeam Licensing Policy · Veeam End User Software License Agreement (EULA)… · User Guide: Extract Utility

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Veeam nennt ISO 27001, ISO 27701, ISO 27017, SOC 2 und eine HIPAA-Attestierung, ohne den Geltungsbereich anzugeben; in der Doku zu Veeam Data Cloud wird ISO/IEC 27001 genannt. Ein BSI-C5-Testat wurde nicht gefunden. Auslegung: Für selbst betriebene Software belegt ein Anbieterzertifikat vor allem Entwicklung und Support; Zertifikat und Geltungsbereich wurden nicht eingesehen. Beleg: Veeam Releases Annual ESG Report Highlighting Pr… · Veeam Data Cloud User Guide: Security (Microsoft…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Veeam veröffentlicht Schwachstellen in Knowledge-Base-Artikeln mit CVE, CVSS-Bewertung, betroffenen und korrigierten Versionen (z. B. KB4902, August 2026, vier CVEs, gemeldet über HackerOne) und verweist auf eine Seite zur Meldung von Schwachstellen. Für die Vorversion 12.3 wurden Korrekturen nachgeliefert. Feste Fristen für Patches wurden nicht gefunden. Beleg: KB4902: Vulnerability Resolved in Veeam Backup &… · Veeam Backup & Replication 13.1 Release Notes
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Veeam Software Group GmbH in Baar; es gilt Schweizer Recht (Kanton Zug) unter Ausschluss des UN-Kaufrechts mit ausschließlichem Gerichtsstand nach EULA. Eine deutsche Vertriebsgesellschaft (Veeam Software GmbH, München) besteht (Sekundärquelle). Ein Vertrag nach deutschem Recht und der Standort des Supports sind nicht belegt; nach Lizenzrichtlinie gibt es ohne gültige Lizenz keinen Support. Beleg: Veeam End User Software License Agreement (EULA)… · Ausstellerprofil Veeam Software GmbH, München · Veeam Licensing Policy
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Veeam veröffentlicht eine Liste der Unterauftragsverarbeiter mit Verarbeitungsorten (Stand 21.10.2026) und kündigt neue laut Auftragsverarbeitungsvertrag mindestens 30 Tage vorab an. Die Liste gilt nur für die Cloud-Dienste von Veeam; für Daten, die bei der selbst betriebenen Software an Veeam gehen (Telemetrie, Lizenzdaten, Support-Fälle, KI-Assistent), ist keine Unterauftragsverarbeiter-Liste veröffentlicht. Beleg: Veeam Approved Sub-processors (Stand 21.10.2026) · Veeam Data Processing Addendum (Last updated: Se… · Veeam End User Software License Agreement (EULA)…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung Selbstbetrieb: Betrieb und Administration liegen beim Kunden. Laut EULA kann Veeam nicht auf die installierte Software zugreifen und erhält technische Informationen nur, wenn der Kunde sie übermittelt (Logdateien, Telemetrie, Screenshots). Im Supportfall hängt der Kunde Logs selbst an den Fall an, die Techniker werten sie offline aus oder erheben Diagnosedaten in einer kurzen Fernsitzung; eine Beschränkung des Support-Personals auf EU, EWR oder Schweiz ist nicht dokumentiert. Beleg: Veeam End User Software License Agreement (EULA)… · Veeam Support Policy (Last updated: October 9, 2…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Backups lassen sich auf S3-kompatiblen Objektspeicher schreiben, und die Verwaltung ist über eine REST API zugänglich. Das eigene Backupformat ist nicht als offenes Format dokumentiert; Daten werden mit Veeam-Werkzeugen (Konsole, Extract Utility) wiederhergestellt und danach in den Formaten der jeweiligen Plattform weiterverwendet. Beleg: Veeam Backup & Replication 13.1 Release Notes · Veeam Backup & Replication REST API Reference (E… · User Guide: Extract Utility
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Anmeldung unterstützt Single Sign-on über SAML 2.0 (mit eigener Anleitung für Microsoft Entra ID); für Automatisierung gibt es eine dokumentierte REST API (Version 1.3-rev2 für v13). Beleg: User Guide: SAML Authentication · Veeam Backup & Replication REST API Reference (E…
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Im Selbstbetrieb liegen alle Backupdateien beim Kunden, und das Extract Utility stellt Maschinen ohne Backup-Server und ohne Mitwirkung von Veeam wieder her. Lizenzfrage und Umfang (z. B. Anwendungsobjekte, verschlüsselte Backups) des Extract Utility sind in der geprüften Doku nicht beschrieben; ein Export der Backupbestände in ein herstellerunabhängiges Format ist nicht vorgesehen. Beleg: User Guide: Extract Utility · Veeam Licensing Policy

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wohin Supportdaten übermittelt werden. Der Auftragsverarbeitungsvertrag nennt dafür keinen Standort.
Welche Telemetriedaten im Einzelnen übertragen werden und für welche Produkte die Online-Lizenzierung nicht abschaltbar ist.
Geltungsbereich der genannten ISO-Zertifikate. Das Trust Center war nicht abrufbar.
Ob ein Vertrag nach deutschem Recht möglich ist und wo der Support sitzt.
Wie die Eigentumsanteile heute verteilt sind. Belegt ist der Stand von Dezember 2024.
Ob Veeam für Support-Fälle und Telemetriedaten der selbst betriebenen Software eine eigene Liste der Unterauftragsverarbeiter führt, weil die öffentliche Liste nur Cloud-Dienste abdeckt.
Wie sich die Anteile an Veeam nach dem Anteilsverkauf im Dezember 2024 verteilen, weil Veeam keine Beteiligungsverhältnisse veröffentlicht.
Ob Fernsitzungen des Veeam-Supports stets vom Kunden gestartet bzw. freigegeben werden, weil die Support Policy Werkzeug und Ablauf der 'brief remote session' nicht beschreibt.

Fragen vor einer Entscheidung

Welche Daten gehen als Telemetrie, Lizenzmeldung oder Supportfall an Veeam, und ist die Telemetrie im eigenen Vertrag abgeschaltet?
Wie lange müssen Sicherungen lesbar bleiben, und wie würde das nach einem Wechsel des Backupprodukts gelingen?
Was passiert mit Wiederherstellungen, wenn ein Abonnement ausläuft oder nicht verlängert wird?
Sind die Schlüssel für verschlüsselte Sicherungen so verwahrt, dass sie auch nach einem Ausfall des Backup-Servers verfügbar sind?

Veeam Backup & Replication