IT-Sicherheit bei Business-kritische Applikationen Automatisierung sorgt für mehr SAP-Sicherheit

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Unternehmen investieren zunehmend mehr in ihre IT-Sicherheit. Allerdings wird das Thema SAP-Sicherheit häufig (noch) ausgeklammert, trotz existierender Sicherheitslücken und folgenschwerer Konsequenzen durch die Vernachlässigung Sicherheit dieser Business-kritischen Applikation.

Cyber-Sicherheit hat heute in Unternehmen höchste Priorität, schließlich lagern auf Servern und Geräten jegliche Arten von sensiblen Daten und Informationen, die entsprechend geschützt werden müssen. Der Großteil der Unternehmensdaten ist häufig schon gut abgesichert – durch Updates seitens der Geräte- und Softwarehersteller sowie durch Sicherheits-Richtlinien und den Einsatz professioneller IT-Sicherheitslösungen. Allerdings wird das Thema SAP-Sicherheit häufig (noch) ausgeklammert, trotz existierender Sicherheitslücken und folgenschwerer Konsequenzen durch die Vernachlässigung der SAP-Sicherheit.

SAP ist wie jedes andere System anfällig

Immer wieder werden Sicherheitslücken innerhalb von SAP bekannt. So wurde im Juli des vergangenen Jahres die Sicherheitslücke RECON öffentlich, von der mehr als 40.000 Unternehmen betroffen waren. Zwar reagierte SAP schnell und stellte einen Patch zur Verfügung, um diese Lücke zu schließen, dennoch bestand für sensible Daten und geschäftskritische Anwendungen eine ernsthafte Bedrohung.

Solche schwerwiegenden Sicherheitslücken sind zwar eher selten, aber sie existieren. Auch zum letzten Patch Day im Dezember 2020 beseitigte SAP erneut drei kritische Lücken aus ‚NetWeaver Application Server for Java‘, der ‚BusinessObjects‘ BI-Plattform und ‚Business Warehouse‘, bei denen es sich um fehlende Authentifizierungsüberprüfungen, XML-Validierungsmechanismen und um die Möglichkeit einer Code-Injektion gehandelt hatte. Angesichts dessen, dass fast eine halbe Millionen Unternehmen SAP-Anwendungen nutzen, wäre die Ausnutzung einer solchen Sicherheitslücke für Hacker durchaus lukrativ gewesen, sie hätten Zugriff auf die Systeme und Daten erhalten können. Dies zeigt deutlich: Die IT-Sicherheit der SAP-Landschaft in Unternehmen ist von entscheidender Bedeutung und benötigt mehr Aufmerksamkeit durch die IT- beziehungsweise die IT-Sicherheitsabteilung.

Hybride Systeme und fehlende Expertise erschweren das Thema SAP-Sicherheit

Dennoch wird das Thema SAP-Sicherheit noch immer wenig beachtet. Dafür gibt es mehrere Gründe. Auf der einen Seite werden sicherheitsrelevante Aspekte in SAP-Anwendungen nicht unbedingt an die IT-Abteilungen weitergegeben und somit nicht als Risikofaktor erfasst. Auf der anderen Seite verfügen die Verantwortliche in den IT-Abteilungen oft nur über unzureichendes SAP-Wissen und deuten damit Warnhinweise von Kontrollsystemen falsch. Hinzu kommt außerdem, dass die meisten Unternehmen eine Mischung aus Private Cloud, Hyper-Scaler, R3 Business Suite und S/4 HANA on premise nutzen. Da viele Unternehmen jedoch intern nicht über die nötige Expertise verfügen – und die Verwaltung mitunter sehr zeitaufwändig ist –, werden oft externe Dienstleister eingesetzt, um die Systeme zu managen, zu scannen und Probleme zu identifizieren. Die identifizierten Schwachstellen und Risiken werden zwar dann an das Unternehmen zurückgespielt, allerdings versteht das dortige Personal diese nicht und kann dementsprechend keine entsprechenden Maßnahmen ergreifen, um sie zu beheben.

Transparenz und ganzheitliche Strategie nötig

Wird zum Beispiel eine Zero-Day-Schwachstelle bei einem Security-Scan identifiziert, ist die einzige Möglichkeit, diese an SAP weiterzuleiten und darauf zu warten, dass diese beim nächsten Patch Day geschlossen wird. Allerdings gefährden Unternehmen, mit nicht-gepatchten Sicherheitslücken in ihren SAP-Systemen, die Aufrechterhaltung von Betrieb, Lieferketten und Umsatz.

Unternehmen und Organisationen benötigen daher ein tiefgreifendes Verständnis für aktuellen SAP-Risiken. Dazu sind jedoch eine tiefgehende Analyse und Bewertung von Code, Berechtigungen und Systemkonfigurationen notwendig. Nur auf Basis eines umfassenden Überblicks über potentielle und existierende Risiken kann eine ganzheitliche SAP-Sicherheitsstrategie entwickelt werden, die relevante Prüfungsbereiche von ABAP-Eigenentwicklungen und Schnittstellen, Sicherheitsupdates, Protokollierungen bis hin zu Systemkonfigurationen und RFC (Remote Function Call)-Verbindungen umfasst. Bei vielen Unternehmen geschieht das nach wie vor manuell, was zeitaufwendig und teuer ist.

Mehr Sicherheit durch regelmäßige automatisierte Patches

Beim Thema SAP-Sicherheit müssen Unternehmen daher weg vom manuellen, periodischen Scannen und Reagieren hin zu einer automatisierten Echtzeit-Erkennung, die Risiken und Probleme identifiziert und entsprechende Maßnahmen ergreift. Hierfür ist eine Automatisierungslösung nötig, die im Idealfall bereits von Anfang an in die SAP-Entwicklungsprozesse einbezogen wird. Durch eine Partnerschaft mit einem Anbieter wie Avantra können Unternehmen grundlegende Sicherheits-Maßnahmen ergreifen, zu denen sie derzeit noch nicht in der Lage sind. Dazu zählen unter anderem regelmäßige, taktische Updates und Patches, die aufgrund der Komplexität der heutigen SAP-Landschaft manuell nicht durchgeführt werden können.

Microsoft hat ein ähnliches Vorgehen mit den „Patch Tuesdays“ eingeführt, bei denen Bewertungen und Aktionen rund um größere Systeme an jeden dritten Dienstag im Monat ausgeliefert werden. Nach diesem Prinzip könnten auch die SAP-Kernel-Updates in Unternehmen automatisiert werden. Denn durch eine planmäßige und fortlaufende Wartung und Überwachung von Tausenden von Systemen sind umfassende Einblicke und damit mehr Sicherheit möglich. Der Anbieter der Automatisierungslösung übernimmt dabei die Aufgabe, Probleme zu erkennen und zu beheben. Unter Zustimmung der Unternehmen könnte der Partner des Weiteren Zugriff auf die Systeme erhalten und automatisiert Patches installieren.

In Anbetracht dessen, dass Cyber-Kriminelle ihre Fähigkeiten immer weiterentwickeln und Datenschutz und -sicherheit immer mehr zu einem Unterscheidungsmerkmal von Unternehmen werden, wird sich der Return-on-Invest (ROI) einer Automatisierungslösung schnell zeigen – während gleichzeitig die Sicherheit des Unternehmens verbessert wird.

Über den Autor: John Appleby ist CEO bei Avantra.

(ID:47401917)