Aktive Angriffe auf Acronis Backup: Was IT-Verantwortliche jetzt sofort tun müssen

Veröffentlicht: 16. September 2026 | Kategorie: IT-Sicherheit, Schwachstellenmanagement, NIS2

Einleitung: Laufende Attacken auf weit verbreitete Backup-Software

Wenn Backup-Software selbst zur Sicherheitslücke wird, ist das für Unternehmen ein besonders kritisches Szenario – schließlich sind Backups die letzte Verteidigungslinie gegen Ransomware und Datenverlust. Genau das ist jetzt eingetreten: Wie Heise Security am 16. September 2026 berichtet, werden aktiv Schwachstellen in Acronis Backup Plugin für cPanel/WHM und Plesk ausgenutzt. Angreifer haben es damit auf Webhosting-Infrastrukturen abgesehen, die in deutschen KMUs, Hosting-Anbietern und Managed-Service-Providern (MSPs) weit verbreitet sind.

Die Kombination aus Acronis Backup, cPanel/WHM und Plesk ist in der deutschen Hosting-Landschaft omnipräsent – von kleinen Agenturen über E-Commerce-Betreiber bis hin zu IT-Dienstleistern, die Kundensysteme verwalten. Das macht diese Kampagne zu einem ernsten Warnsignal für einen großen Teil der deutschen IT-Landschaft.

Wer jetzt nicht handelt, riskiert nicht nur Datenverlust – sondern auch Meldepflichten nach NIS2 und empfindliche Bußgelder.

Technischer Hintergrund: Was steckt hinter den Angriffen?

Das betroffene Produkt

Das Acronis Backup Plugin ist eine weit genutzte Lösung, die nahtlos in die Hosting-Kontrollpanels cPanel/WHM (Web Host Manager) und Plesk integriert wird. Es ermöglicht Administratoren, Server-Backups direkt aus dem Kontrollpanel heraus zu verwalten. Genau diese tiefe Systemintegration macht es attraktiv für Angreifer: Ein erfolgreich kompromittiertes Backup-Plugin hat häufig weitreichende Systemrechte.

Art der Schwachstelle (vereinfacht erklärt)

Obwohl Acronis zum Zeitpunkt der Veröffentlichung keine vollständigen technischen Details offengelegt hat, deuten erste Analysen auf klassische Angriffsmuster hin:

• Authentifizierungsumgehung (Authentication Bypass): Angreifer können ohne gültige Zugangsdaten auf administrative Funktionen zugreifen.
• Remote Code Execution (RCE): In schwerwiegenden Fällen ermöglicht die Lücke das Ausführen beliebigen Codes auf dem betroffenen Server – mit den Rechten des Backup-Dienstes.
• Privilege Escalation: Aufgrund der systemnahen Einbindung des Plugins können Angreifer ihre Rechte auf dem System ausweiten.

Vereinfacht erklärt: Das Backup-Plugin hat eine ungesicherte Hintertür. Angreifer finden diese Tür, öffnen sie und können sich dann auf dem Server frei bewegen – Backups stehlen, Daten verschlüsseln oder den Server als Ausgangspunkt für weitere Angriffe nutzen.

Warum ist Backup-Software ein bevorzugtes Ziel?

Angreifer – insbesondere Ransomware-Gruppen – haben gelernt: Wer die Backups kontrolliert, kontrolliert das Lösegeld. Ist die Backup-Software kompromittiert, bevor Ransomware ausgerollt wird, können die Angreifer:

1. Backups löschen oder verschlüsseln
2. Backup-Daten exfiltrieren (Double Extortion)
3. Die Wiederherstellung von Systemen verhindern

Auswirkungen auf Deutschland und NIS2-Relevanz

Welche Unternehmen sind betroffen?

Betroffen sind prinzipiell alle Organisationen, die:

• Acronis Backup in Verbindung mit cPanel/WHM oder Plesk betreiben
• Webhosting-Infrastruktur für eigene oder Kundenzwecke verwalten
• Als Managed Service Provider (MSP) Kundensysteme mit diesen Tools betreuen

Besonders kritisch ist die Lage für MSPs und Hosting-Anbieter, da eine Kompromittierung ihrer Systeme direkt auf Kundensysteme ausstrahlen kann – ein klassisches Supply-Chain-Szenario.

NIS2-Pflichten: Was gilt jetzt?

Seit der Umsetzung der NIS2-Richtlinie in deutsches Recht (NIS2UmsuCG) unterliegen zahlreiche Unternehmen verschärften Anforderungen an Cybersicherheit und Meldepflichten. Für betroffene Organisationen gilt:

Zuständige Behörde: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Meldestelle für sicherheitsrelevante Vorfälle in Deutschland. Meldungen erfolgen über das BSI-Meldeportal.

Ist mein Unternehmen NIS2-pflichtig?

Unternehmen aus den Sektoren Digitale Infrastruktur, Managed Services, Cloud Computing sowie IKT-Dienste fallen in der Regel unter NIS2 – selbst wenn sie als „wichtige" statt „wesentliche" Einrichtung eingestuft sind. Im Zweifel gilt: Lieber einmal zu viel melden als zu wenig. Bußgelder bei Verstößen können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen.

Praktische Schutzmaßnahmen: 6 konkrete Handlungsempfehlungen

1. 🔄 Sofortige Aktualisierung des Acronis Backup Plugins

Das Wichtigste zuerst: Spielen Sie umgehend das von Acronis bereitgestellte Sicherheitsupdate ein. Prüfen Sie dazu:

• Das Acronis Security Advisory Portal für die aktuellen Patch-Informationen
• Die Update-Funktionen in cPanel/WHM und Plesk direkt über das jeweilige Plugin-Management
• Führen Sie Updates zunächst in Testumgebungen durch, bevor Sie auf Produktivsystemen deployen – wenn die Dringlichkeit es erlaubt

Tipp: Abonnieren Sie den Acronis Security Newsletter und die BSI-Warnmeldungen (CERT-Bund), um künftig früher informiert zu sein.

2. 🔍 Systeme auf Kompromittierung prüfen (Indicator of Compromise – IoC)

Bevor Sie patchen, sollten Sie prüfen, ob Ihre Systeme bereits kompromittiert wurden:

• Überprüfen Sie Zugriffslogfiles des Acronis Plugins und der Hosting-Kontrollpanels auf ungewöhnliche Aktivitäten
• Suchen Sie nach unbekannten Prozessen oder Dateien im Plugin-Verzeichnis
• Prüfen Sie Backup-Integrität: Wurden Backups unerwartet gelöscht, verändert oder auf unbekannte Ziele übertragen?
• Nutzen Sie EDR-Lösungen (Endpoint Detection & Response) zur Analyse von Systemaktivitäten

3. 🔐 Netzwerksegmentierung und Zugriffsbeschränkung

Bis der Patch eingespielt ist (oder als dauerhafter Schutz):

• Beschränken Sie den Zugriff auf cPanel/WHM und Plesk auf bekannte IP-Adressen (Allowlisting)
• Isolieren Sie Backup-Server netzwerkseitig vom restlichen Produktionsnetz
• Deaktivieren Sie das Acronis Backup Plugin temporär, wenn es nicht zwingend benötigt wird
• Erzwingen Sie Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugänge

4. 📋 Backup-Strategie nach dem 3-2-1-1-Prinzip überprüfen

Gerade dieser Vorfall zeigt: Backups selbst müssen geschützt werden. Überprüfen Sie Ihre Backup-Strategie:

• 3 Kopien der Daten
• auf 2 verschiedenen Medientypen
• 1 Kopie extern/offline (Air-Gap)
• 1 Kopie unveränderbar (Immutable Backup)

Backups, die über kompromittierte Software erstellt wurden, könnten selbst kompromittiert sein – planen Sie eine Überprüfung der Backup-Integrität ein.

5. 📢 Interne und externe Kommunikation sicherstellen

Als MSP oder Hosting-Anbieter haben Sie auch eine Informationspflicht gegenüber Kunden:

• Informieren Sie betroffene Kunden proaktiv und transparent über mögliche Auswirkungen
• Dokumentieren Sie alle ergriffenen Maßnahmen lückenlos – dies ist sowohl für NIS2-Meldungen als auch für etwaige DSGVO-Meldungen (Art. 33 DSGVO, 72-Stunden-Frist) relevant
• Stellen Sie sicher, dass Ihr Incident-Response-Plan aktiviert und aktuell ist

6. 🛡️ Langfristiges Schwachstellenmanagement etablieren

Dieser Vorfall ist kein Einzelfall – er ist ein Weckruf:

• Implementieren Sie einen strukturierten Patch-Management-Prozess gemäß BSI IT-Grundschutz (OPS.1.1.3)
• Nutzen Sie Vulnerability-Scanner (z. B. OpenVAS, Tenable) für regelmäßige Schwachstellenscans
• Abonnieren Sie den BSI-Newsletter für Sicherheitswarnungen und die ENISA Threat Landscape Reports
• Führen Sie regelmäßige Penetrationstests durch – insbesondere für extern erreichbare Hosting-Infrastruktur

Fazit: Handeln Sie jetzt – bevor Angreifer es tun

Die aktiven Angriffe auf Acronis Backup Plugin für cPanel/WHM und Plesk sind ein deutliches Signal: Backup-Software ist kein Sicherheitsbollwerk, sondern kann selbst zum Einfallstor werden. Für deutsche Unternehmen und insbesondere Managed Service Provider bedeutet das doppelten Handlungsbedarf – technisch durch sofortiges Patching und organisatorisch durch die Einhaltung von NIS2-Meldepflichten.

Die gute Nachricht: Wer einen strukturierten Prozess für Patch-Management, Incident Response und Compliance-Dokumentation hat, meistert solche Krisen deutlich souveräner. Warten Sie nicht auf den nächsten Vorfall – überprüfen Sie heute, ob Ihre Systeme betroffen sind.

💡 Call-to-Action: NIS2-Compliance strukturiert angehen

Vorfälle wie dieser verdeutlichen, warum NIS2-Compliance kein einmaliges Projekt ist, sondern ein kontinuierlicher Prozess. Spezialisierte NIS2-Compliance-Softwarelösungen helfen IT-Verantwortlichen dabei, Sicherheitsvorfälle strukturiert zu dokumentieren, Meldepflichten fristgerecht einzuhalten, Risikobewertungen aktuell zu halten und Maßnahmen nachvollziehbar zu tracken. Informieren Sie sich über geeignete Plattformen, die speziell auf die Anforderungen des BSIG und der NIS2-Richtlinie ausgerichtet sind – der Aufwand für Dokumentation und Meldung sinkt damit erheblich, während Ihre Rechtssicherheit steigt.

Quellen: Heise Security (16.09.2026), BSI IT-Grundschutz, NIS2-Richtlinie (EU) 2022/2555, BSIG-Novelle (NIS2UmsuCG), ENISA Threat Landscape 2025, Acronis Security Advisory Portal