Sicherheitsprioritäten setzen Business-Kriterien zur SAP-Risikobewertung

Die Bewertung von Risiken nach betriebswirtschaftlichen Kriterien stellt bei SAP-Implementierungen eine zentrale Aufgabe dar. Grundvoraussetzung für deren Erfüllung ist das Assessment von Sicherheitslücken sowie das Erkennen und die Abwehr von Gefahren.

Anbieter zum Thema

FTAPI Software GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Onapsis GmbH

Möglichkeiten für Fehlkonfigurationen gibt es viele. Die komplette Analyse einer gesamten SAP-Plattform über alle Systeme, also auch über Qualitätssicherungs- und Entwicklungssysteme hinweg, liefert nicht selten einen großen Katalog an Fehlkonfigurationen auf dem Transaktionslayer – der einem Betriebssystem ähnlichen Basis von SAP-Systemen, auf der Administratoren Zugriffsrechte und Datenverkehr steuern.

Die Menge an Schwachstellen ist angesichts von rund 1.500 Konfigurationsparametern pro Instanz, von denen etwa 15 Prozent sicherheitsrelevant sind, nicht verwunderlich. Jede Sicherheitslücke generiert aber unterschiedlich hohe betriebswirtschaftliche Risiken.

Risiken inventarisieren

Penetrationstests unserer Experten finden zum Beispiel in Produktionsunternehmen im Schnitt rund 480 verschiedene Lücken: Die Tests decken mehrere unsichere Konfigurationen auf, über die Angreifer die vollständige Kontrolle über einen SAP-Anwendungsserver im Fernzugriff erlangen könnten. Im Ernstfall lassen sich Dokumentationen von Herstellungsprozessen und Unterlagen zum Produktdesign stehlen oder Produktionsabläufe stoppen.

Ein nicht minder dramatisches Bild liefert die Pharmaindustrie: Analysen finden hier im Schnitt 130 Sicherheitslücken, darunter mehrere kritische Risiken, die dem Angreifer die komplette Kontrolle über einen SAP-Anwendungsserver im Fernzugriff ermöglichen. Im Ernstfall können Rezepturen für Arzneien eingesehen und kopiert werden.

Auch der Schutz von Informationen spielt eine bedeutende betriebswirtschaftliche Rolle, die mit den Anforderungen an den Datenschutz noch weiter steigen wird. Zur Insolvenz führten etwa die Angriffe auf USIS: USIS war einer der größten kommerziellen Anbieter von Hintergrundrecherchen für die US-Bundesregierung mit dem Ministerium für Heimatschutz (Department of Homeland Security, DHS) und dem Büro für Personalmanagement (Office of Personnel Management, OPM) als wichtigsten Auftraggebern.

Mutmaßlich chinesische Angreifer hatten sich Zugang zu geheimen, auf unsicher konfigurierten SAP-Systemen gespeicherten Informationen verschafft. Sechs Monate lang blieben die Aktivitäten unentdeckt. Öffentlichen Berichten zufolge wurden Datensätze von mindestens 27.000 Mitarbeitern des DHS und von verdeckten Ermittlern kompromittiert: darunter deren Namen und Adressen, Sozialversicherungsnummern, Ausbildungs- und Führungszeugnisse, Geburts- und Familiendaten sowie Informationen über Verwandte und Freunde.

Prioritäten setzen

Die SAP-Sicherheitspolitik in Unternehmen leidet oft unter einer fehlenden Entscheidungsgrundlage, die Fülle von ermittelten Risiken richtig zu gewichten. Das alleine oft schon deshalb, weil ein Assessment aller Sicherheitslücken nicht gegeben ist. Erfolgt es aber doch, ergeben sich dann oft Folgeprobleme.

Kein Unternehmen kommt angesichts des enormen Ressourcen-Mangels in der SAP-Sicherheit daran vorbei, bei der Organisation der Schutzmaßnahmen Prioritäten zu setzen. Und dafür braucht es Kriterien. Das entscheidende Kriterium ist dabei ein betriebswirtschaftliches: Welche Bedrohung beeinträchtigt am meisten und wie die Geschäftsprozesse eines Unternehmens?

(ID:44025960)