Die Appliance kann mehr, als die Oberfläche zeigt

20. Oktober 2026

TL;DR

1. Die Veeam Software Appliance lässt ab Werk keine fremden Agenten herein. Wer sie an einen Service Provider anbinden will, muss die Datensammlung erst freigeben, für 60 Minuten.
2. Die Web-UI kann noch nicht alles. Service Provider anbinden ging bei uns nur über die Windows-Konsole.
3. Werte nach dem Anlegen nachsehen. Wir haben 14 Tage Immutability eingestellt und 7 angezeigt bekommen.

Ein Systemhaus, das seine Kunden über uns sichert, hatte auf unsere Empfehlung hin umgestellt. Statt eines Windows-Servers mit Veeam Backup & Replication lief beim nächsten Kunden die Veeam Software Appliance: ein gehärtetes Linux, fertig installiert, mit eigener Weboberfläche. Weniger Angriffsfläche, kein Windows, das man patchen muss. So weit, so gut.

Dann sollte die Appliance an unsere Cloud-Connect-Infrastruktur und an die Service Provider Console. Das ist bei einem Windows-Server Routine. Hier brach der Assistent ab.

Die Meldung, die in die falsche Richtung zeigt

Unable to install management agent: remote data collection on the
Veeam Software Appliance is not enabled. Please use the Host Management
interface to enable data collection.

Das liest sich wie ein Rechte- oder Verbindungsproblem. Der Partner suchte zuerst bei sich, dann fragte er bei uns. Dabei steht die Lösung schon in der Meldung: Host Management.

Die Appliance blockiert externe Agenten ab Werk. Das ist kein Fehler, sondern Absicht. Wer Daten von außen einsammeln will, sei es die Service Provider Console oder Veeam ONE, braucht eine ausdrückliche Freigabe:

1. Im Host Management (https://<appliance>:10443) als Host Administrator anmelden.
2. Backup Infrastructure → Data Collection → Submit Request.
3. Ab da ist ein Fenster von 60 Minuten offen. In dieser Zeit den Assistenten auf der Veeam-Seite erneut starten.

Wer nach dem Klick erst noch Rückfragen klärt, fängt von vorn an.

Der Security Officer, den keiner auf dem Zettel hat

Beim Einrichten der Appliance fragt der Assistent nach einem zweiten Konto, dem Security Officer. Wer es anlegt, hat danach ein Vier-Augen-Prinzip: Sicherheitsrelevante Anfragen wie die Data-Collection-Freigabe muss dieses Konto erst genehmigen.

Das ist gut gemeint und im Alltag eine Falle. Ein gemeinsamer Anbindungstermin steht still, wenn die Person mit dem Security-Officer-Konto gerade nicht erreichbar ist. Deshalb fragen wir vor jedem Termin: Gibt es einen Security Officer, und wer bedient ihn?

Die Rolle lässt sich im Setup überspringen. Laut Veeam ist das nachträglich nur durch eine Neuinstallation zu ändern. Die Entscheidung fällt also beim Ausrollen und sollte bewusst fallen.

Was die Web-UI noch nicht kann

Beim ersten Anmelden sagt die Appliance es selbst: Wenn eine Funktion fehlt, ist sie wahrscheinlich noch nicht in der Web-UI angekommen, dafür gibt es weiter die Windows-Konsole.

Genau so war es. Einen Service Provider hinzufügen ging in der Web-UI überhaupt nicht. Der Weg führte über die klassische Windows-Konsole aus dem ISO, verbunden mit der Appliance, und dort über Backup Infrastructure → Service Providers → Add, wie bei jedem Windows-Server. Beim ersten Apply kam die Meldung von oben. Nach der Freigabe im Host Management lief der Assistent durch. In der Service Provider Console tauchte die Appliance danach unter den Backup-Servern auf, zu erkennen am Betriebssystem Rocky Linux.

Seitdem steht in jeder unserer Anleitungen dabei, ob ein Klickpfad in der Web-UI oder in der Windows-Konsole liegt. Die Annahme „Appliance heißt keine Windows-Konsole“ hatten wir selbst schon aufgeschrieben. Sie war falsch.

Root ist kein SSH

Für einen Rechtefehler am Repository-Ordner brauchten wir eine root-Shell. Ein normaler SSH-Login führt dort nicht hin, und su greift auch nicht. Root gibt es nur auf Antrag: im Host Management über Request Root Access oder lokal an der Konsole über Request Shell Access, jeweils befristet.

Das ist dieselbe Bauart wie das 60-Minuten-Fenster. Und es ist ein Hinweis: Die Sicherungen selbst gehören nicht in die Appliance, sondern auf ein eigenes Repository. Die Appliance gibt nichts dauerhaft her. Wer damit arbeitet, plant das ein und hat die Befehle und Pfade vorher bereit, statt sie im Termin zu buchstabieren.

14 Tage eingestellt, 7 angezeigt

Beim Anlegen eines unveränderbaren Speichers zeigte die Oberfläche 7 Tage Immutability an. Eingestellt und besprochen waren 14. Ob das ein Anzeigefehler war oder wirklich 7 Tage galten, haben wir nicht abschließend klären können.

Seitdem gilt bei uns: Den Wert nach dem Anlegen aktiv nachsehen. Dass eine zu lange Sperre ebenso Ärger macht wie eine zu kurze, steht in Wenn die Sperre länger hält als die Aufbewahrung .

Was wir daraus mitnehmen

• Die Appliance ist dicht, bis man sie öffnet. Das ist der Sinn der Sache, will aber in jedem Ablauf eingeplant sein.
• Vor dem Anbindungstermin klären: Gibt es einen Security Officer, und ist er erreichbar?
• Bei jeder Anleitung dazuschreiben, ob es um die Web-UI oder die Windows-Konsole geht.
• Werte, die man eingestellt hat, nach dem Speichern noch einmal lesen.
• Die kleinste Edition, mit der sich Appliances überhaupt nutzen lassen, ist Data Platform Foundation. Einen Enterprise-Schlüssel nimmt sie nicht an. Das gehört vor die Bestellung, nicht danach.

Warum jetzt auf 13.1?

Unser Fall lief auf 13.1. Einiges, worüber wir gestolpert sind, packt Veeam mit 13.1 an. Die Appliance selbst gibt es schon länger, ebenso das Hardened Repository.

• Datensammlung beim automatischen Ausrollen. Für die unbeaufsichtigte Installation gibt es einen Schalter DataCollection, mit dem die Appliance gleich an Service Provider Console und Veeam ONE angebunden wird. Das ist genau die Hürde aus unserem Fall.
• MFA lässt sich später einrichten. veeamadmin und veeamso können ohne erzwungene MFA installiert werden, die MFA wird danach im Host Management eingeschaltet. Wer beim Ausrollen am Telefon mit dem Kunden hängt und keine Authenticator-App zur Hand hat, muss nicht abbrechen.
• Passwörter werden strenger. Ablaufregeln für Passwörter lassen sich im Host Management festlegen. Das Zurücksetzen von Passwörtern lässt sich dort abschalten und bleibt dann nur an der lokalen Textoberfläche möglich.
• Weniger Rechte auf Logs. Die Rechte auf Log-Ordner und -Dateien sind enger gesetzt.
• Mehr Rollen für die Infrastructure Appliance. In der Rolle Hardened Repository kann sie als Application Backup Repository dienen.
• Host Management auf Deutsch. Klingt nebensächlich, hilft aber jedem Kunden, der im Ernstfall selbst nachsehen muss.

Warum also jetzt? Weil die Appliance mit 13.1 weniger Ausnahmen braucht, um sie im Alltag zu betreiben. Und jede Ausnahme, die man nicht mehr braucht, ist eine, die keiner vergisst wieder zu schließen.