Veeam Hardened Repository ISO für v13: die Veeam Infrastructure Appliance, Anforderungen und Einrichtung

Was das Hardened-Repository-ISO in Veeam v13 ist

Für Veeam Backup & Replication 13 (v13) ist das Veeam Hardened Repository ISO das ISO der Veeam Infrastructure Appliance: Sie installieren es und wählen in dessen Assistenten Initial Configuration die Rolle Veeam Hardened Repository. Veeams Benutzerhandbuch nennt das „die empfohlene Option“. Veeam beschreibt die Appliance als „eine Linux-Distribution, die Veeam als bootfähiges JeOS (Just Enough Operating System) ausliefert“; Betriebssystem, Veeam-Komponenten und Härtung kommen also als ein Image. Ein so gebautes Hardened Repository muss zertifikatsbasierte Authentifizierung verwenden, und SSH lässt sich nicht nutzen.

Version 13.1 ist seit dem 29. Juli 2026 verfügbar, und ihr neuester Build ist 13.1.1.18 vom 13. August 2026, laut Veeams KB2680 (geändert am 5. Oktober 2026). Den manuellen Aufbau unter Linux und die Anforderungen, die Immutability an die Job-Einstellungen stellt, beschreibt unser Leitfaden zum Einrichten eines Veeam Hardened Repository.

Was die Veeam-JeOS-Appliance enthält und welche Rollen sie übernimmt

Veeams KB4757 (29. Juli 2026) sagt, dass Veeam JeOS „auf Rocky Linux from CIQ (RLC Pro) aufbaut“, das „Langzeit-Support und nach FIPS 140-3 validierte Pakete bietet“. Version 13.1 hat alle Veeam-Appliances auf Veeam Enterprise Linux JeOS 9.6 umgestellt, was laut Veeam die Hardware-Kompatibilität erweitert. Veeam JeOS läuft auch auf der Veeam Software Appliance, dem Linux-basierten Backup-Server, während die Veeam Infrastructure Appliance die übrigen Komponenten der Backup-Infrastruktur trägt.

Seit 13.1 dient ein einziges Bootmenü allen Rollen, und Sie wählen die Rolle später im Assistenten Initial Configuration. Voreingestellt ist Infrastructure Server. Infrastructure Server with iSCSI/FC/NVMe-oF ist die Rolle für einen VMware-Backup-Proxy, der aus Storage-Snapshots liest. Die Rolle Veeam Hardened Repository macht den Server zu einem unveränderlichen Ziel, und in 13.1 kann er zusätzlich als Application Backup Repository dienen. Veeams Seite mit den Hinweisen zur Appliance (considerations) listet die Rollen, die ein aus der Appliance bereitgestellter Server übernehmen kann, darunter VMware-Backup-Proxy, Mount-Server, Gateway-Server, WAN Accelerator, Cache-Repository und Extent eines Scale-out Backup Repository. Die Rolle Hardened Repository übernimmt weniger davon; Veeams What’s New in 13.1 spricht von Rollen, „die auf einem Hardened Repository nicht zulässig sind“.

Das Benutzerhandbuch erlaubt die Rolle VMware-Backup-Proxy auf einem Hardened Repository, aber nur im Network Mode. Es warnt, dass die VMware-VDDK-Komponenten, die ein Proxy braucht, das Risiko von Angriffen auf das Hardened Repository erhöhen, und empfiehlt für die Rolle einen anderen verwalteten Server. Sie konfigurieren die Appliance in der Host Management console, über das Konto des Host-Administrators (veeamadmin) und das Konto des Security Officers (veeamso). Die Multi-Faktor-Authentifizierung für beide wurde in 13.0 bei der Bereitstellung erzwungen; seit 13.1 lässt sich die Appliance installieren, ohne sie zu erzwingen, prüfen Sie also danach, ob beide Konten sie haben. Wie die Sperre funktioniert und was sie nicht aufhält, steht in unserem Leitfaden dazu, wovor ein unveränderliches Backup schützt.

Anforderungen an ein Veeam Hardened Repository: Hardware, Platten, Speicher

Die Tabelle nennt zuerst Veeams Mindestwerte für die Appliance, dann seine Sizing-Vorgaben für die Repository-Rolle.

Veeam Help Center, Benutzerhandbuch zu Backup & Replication 13 (Seiten zu Systemanforderungen, Installation und Neuinstallation) und What’s New in 13.1 (aktualisiert am 15. Oktober 2026); Veeam Best Practice Guide (© 2025); Hardware-Leitfaden im Veeam-Blog (aktualisiert am 25. Februar 2026).

Veeams Seite zu den Systemanforderungen versieht den Wert von 120 GB mit einer Fußnote; lesen Sie diese Seite also, bevor Sie die Laufwerke für das Betriebssystem auswählen. Das Standard (Multi-Disk) Deployment legt aus allen gefundenen Platten „getrennte Volume Groups für System und Daten“ an. Als Fälle für das Single-Disk Deployment nennt Veeam einen Backup-Proxy mit entferntem Speicher und das Application Backup Repository; ein Hardened Repository mit lokalen Datenplatten nutzt daher die Voreinstellung. Geben Sie dem Betriebssystem ein kleines RAID 1 aus SSDs, wie Veeams Hardware-Leitfaden empfiehlt, und den Daten ein größeres Volume in RAID 6 oder 60; dann ist auch die Regel zur Neuinstallation über das kleinste Laufwerk erfüllt.

Veeams Best Practice Guide sagt, dass „virtuelle Hardened Repositories für Produktionsumgebungen NICHT empfohlen werden“ und dass das Repository idealerweise „ein administrativ und physisch isoliertes System“ sein sollte. Seit 13.1 können Veeam-Appliances Fibre-Channel- und iSCSI-Speichersysteme mit Multipathing anbinden. Der Hardware-Leitfaden empfiehlt für ein Hardened Repository dennoch interne Platten, weil sie das Risiko beseitigen, dass ein Angreifer auf der Speicherseite alles löscht. Er rät außerdem, die Hardware-Kompatibilitätsliste der Linux-Distribution zu prüfen. Für Veeam JeOS haben wir keine solche Liste gefunden; prüfen Sie deshalb vor der Bestellung, ob RAID-Controller und Netzwerkadapter unter Veeam JeOS 9.6 laufen.

Appliance oder selbst gebautes Hardened Repository unter Linux

Das Benutzerhandbuch zu 13.1 dokumentiert weiterhin einen Linux-Server, den Sie selbst konfigurieren. Die beiden Varianten unterscheiden sich darin, wer das Betriebssystem pflegt und wie der Backup-Server es erreicht.

Veeam Help Center, Benutzerhandbuch zu 13 (Anforderungen an Hardened Repositories, Installation, Updates, Upgrade vom ISO v2); What’s New in 13.1; Veeam KB4757; Deep Dive eines Veeam TAM zu 13.1 im Community Hub (12. August 2026).

Der Vergleich der Optionen in 13.1, den ein Veeam Technical Account Manager im Community Hub veröffentlicht hat (12. August 2026), sagt, dass bei einem manuell bereitgestellten Hardened Repository „Lebenszyklus des Betriebssystems, Patching, Monitoring und Compliance beim Betreiber bleiben“. Seine Entscheidungsmatrix nennt das Hardened Repository der Appliance im Multi-Disk-Deployment für Fälle, in denen die Resilienz gegen Ransomware an erster Stelle steht, und der Beitrag führt XFS und Fast Clone unter den Gründen dafür auf. Einen Text im Veeam-Benutzerhandbuch, der das vom Installer angelegte Dateisystem nennt, haben wir nicht gefunden. Ein selbst gebauter Server passt weiterhin dort, wo Hardware oder Monitoring-Werkzeuge Software brauchen, die die Appliance nicht enthält.

Ob ein Repository auf die Appliance umziehen sollte, klärt das Assessment von Security und Backup in unserem Cyber-Resilienz-Service, das mit einer Risikokarte und einem priorisierten Maßnahmenplan endet. Beschreiben Sie, wie Ihre Repositories aufgebaut sind und welche Veeam-Version sie nutzen.

Das Appliance-ISO installieren und das Hardened Repository hinzufügen

Die Schritte folgen Veeams Installationsreihenfolge, ergänzt um die Vorbereitung der Hardware und die Härtung.

1. Laden Sie das ISO der Veeam Infrastructure Appliance aus den Product Downloads Ihres Veeam-Kontos herunter.
2. Schreiben Sie es im DD-Image-Modus auf einen USB-Stick oder binden Sie es über die Remote-Medien des BMC ein; Veeams KB4789 führt einen Fehler des Installers auf USB-Sticks zurück, die nicht als direktes Image geschrieben wurden.
3. Lassen Sie nur die SSDs des Betriebssystems und das Datenvolume angeschlossen, booten Sie das ISO und wählen Sie Standard (Multi-Disk) Deployment.
4. Starten Sie die Installation und akzeptieren Sie die Lizenzvereinbarungen.
5. Wählen Sie im Assistenten Initial Configuration die Rolle Veeam Hardened Repository, legen Sie den Hostnamen fest und prüfen Sie die Netzwerkeinstellungen.
6. Fügen Sie im Schritt Time NTP- oder NTS-Server hinzu, die Sie kontrollieren.
7. Richten Sie veeamadmin und veeamso für zwei verschiedene Personen ein, jeweils mit MFA, und schließen Sie die Konfiguration ab.
8. Starten Sie in der Backup-Konsole den Assistenten New Linux Server für Veeam Infrastructure Appliances, geben Sie den DNS-Namen oder die IP-Adresse der Appliance ein und schließen Sie den Assistenten ab.
9. Fügen Sie auf diesem Server das Hardened Repository hinzu, mit dem Pfad in /var/lib/veeamdata/backup oder darunter und dem Immutability-Zeitraum im Schritt Repository.
10. Deaktivieren Sie die Web UI der Host Management console, wie Veeam nachdrücklich empfiehlt, und lassen Sie den Security & Compliance Analyzer laufen.

Auf einem Hardened Repository aus der Appliance schaltet sich die Web UI 24 Stunden nach dem Aktivieren selbst ab. Lassen Sie den BMC danach abgesteckt oder hinter einer Firewall, die keine eingehenden Verbindungen zulässt, wie es unser Leitfaden zur Einrichtung beschreibt.

Updates und Lebenszyklus der Veeam Infrastructure Appliance

Die Appliance wird vom Veeam Updater aktualisiert. Alle 12 Stunden fragt er bei repository.veeam.com nach den neuesten Updates, und er aktualisiert sich selbst und startet neu, wenn es eine neue Version des Updaters gibt. Updates lassen sich manuell oder automatisch installieren, unter einer globalen Update-Konfiguration, die für alle als verwaltete Server hinzugefügten Appliances gilt, oder unter einer eigenen. Veeams Hinweis vor jedem Update lautet, zuerst ein Konfigurations-Backup anzulegen, und seit 13.1 lässt sich dieses Backup unveränderlich auf einem Hardened Repository speichern.

Ein Hardened Repository in einem isolierten Netz braucht einen geplanten Update-Weg. Seit 13.1 kann Enterprise Manager Updates aus dem offiziellen Veeam-Repository zwischenspeichern und an die Appliances verteilen. Veeams KB4879 (14. Juli 2026) beschreibt eine Schwachstelle in der Komponente Updater mit einem CVSS-4.0-Wert von 8,4 (High), behoben ab Updater-Version 12.3.0.65. Die meisten Nutzer mussten nichts tun, da der Updater die Korrektur bei seiner automatischen Update-Prüfung installiert. Appliances, die weder repository.veeam.com noch einen lokalen Mirror erreichen konnten, brauchten den Veeam Support oder vorübergehenden Internetzugang. Die behobenen Schwachstellen des Betriebssystems JeOS führt Veeam in KB4757 auf.

Ein Hardened Repository, das aus dem Veeam Hardened Repository ISO v2 gebaut wurde, wird mit dem Appliance-ISO aktualisiert und hat danach „dieselben Features und Funktionen wie eine Veeam Infrastructure Appliance“. Veeam erhält beim Upgrade die Dateien unter /mnt/veeam-repository01/. Aktualisieren Sie zuerst den Backup-Server auf Version 13: Der tschechische IT-Blog Samuraj weist (Juli 2026) darauf hin, dass sich eine Appliance der Version 13 nur zu Backup & Replication 13 hinzufügen lässt.

Hardened-Repository-Appliances für 500 bis 2.000 VMs bemessen

Die Eingangsgrößen für die Kapazität sind die Quelldaten, die Datenreduktion, die tägliche Änderungsrate, die Aufbewahrung, der Immutability-Zeitraum und die Füllgrenze von 80 Prozent. Unser Beispiel übernimmt das Profil aus unserem Leitfaden zum Veeam Sizing für große VMware-Umgebungen, der Veeams Verhältnisse durchrechnet: 800 VMs und 120 TB Quelldaten. Es nimmt eine Reduktion von 2:1, 3 Prozent tägliche Änderung, 14 tägliche Wiederherstellungspunkte und wöchentliche synthetische Vollsicherungen mit Fast Clone an. Prüfen Sie, ob die erste synthetische Vollsicherung in ihrer Job-Session Fast Clone meldet.

Auf der Platte belegt die Vollsicherung etwa 60 TB und jedes Inkrement etwa 1,8 TB. Ohne Sperre hält die Kette etwa 96 TB. Mit einem Immutability-Zeitraum von 30 Tagen bleiben die älteste Vollsicherung und ihre Inkremente etwa 36 Tage erhalten, sodass die Kette auf etwa 125 TB wächst. Platz für eine aktive Vollsicherung bringt das auf etwa 185 TB, und bei 80 Prozent Füllung braucht die Appliance etwa 231 TB Datenvolume. Die 16 Proxy-Kerne des Beispiels verlangen 6 Repository-Kerne und 24 GB RAM.

Unsere Rechnung mit den Verhältnissen aus Veeams Best Practice Guide und den Annahmen oben, Sperre von 30 Tagen, vor GFS-Punkten; die Proxy-Kerne skalieren von 16 bei 800 VMs.

Bei 2.000 VMs überschreitet das Volume Veeams Empfehlung von 500 TB je Volume; verteilen Sie die Daten deshalb auf zwei Appliances mit je etwa 290 TB, als Extents eines Scale-out Backup Repository oder mit auf beide aufgeteilten Jobs. GFS-Punkte kommen hinzu, und zwei Appliances in einem Raum bleiben ein Standort; die zweite Kopie gehört daher an einen anderen Ort, wie es die 3-2-1-1-0-Backup-Regel beschreibt.

Backup auf Veeam-Basis mit regelmäßigen Testwiederherstellungen gehört zu unserer Leistung Cyber-Resilienz, umgesetzt von unserem Engineering-Partner Vixen.UNO. Schicken Sie uns Ihre VM-Zahl, die Quelldaten, die Aufbewahrung und den Immutability-Zeitraum über das Formular unten.

Was wir tun

Hardened Repositories aus der Appliance gehören zum Backup auf Veeam-Basis, das das Team unseres Engineering-Partners Vixen.UNO im Rahmen unseres Cyber-Resilienz-Service liefert, unter einem Vertrag mit Eurokommerz und mit regelmäßigen Testwiederherstellungen zur Prüfung der Backup-Integrität. Das kostenpflichtige technische Assessment von Security und Backup umfasst auch Umgebungen, die wir nicht gebaut haben, endet mit einer Risikokarte und einem priorisierten Maßnahmenplan, und sein Preis steht vor Beginn fest. Änderungen werden Schritt für Schritt in vereinbarten Wartungsfenstern ausgerollt, mit Rollback-Plan. Für einen Ausweichstandort repliziert unser Service Cloud Disaster Recovery virtuelle Maschinen via Veeam Cloud Connect in Baltnetas Tier-3-Rechenzentren in Litauen, mit RPO und RTO im SLA fixiert.

FAQ