Teil 2: Kernaspekte eines SAP-Cybersicherheitsprogramms Cybersicherheit für SAP: Umsetzung in der Praxis

Anbieter zum Thema

Onapsis GmbH

FTAPI Software GmbH

Komplexe SAP-Landschaften bieten Cyberkriminellen viele Einfallstore – von ungepatchten Legacy-Systemen bis zu unsicheren API-Verbindungen. Nur durch genaue Analyse der Architektur, gezielte Schwachstellen­beseitigung, intelligentes Monitoring sowie strategische Notfallplanung gelingt nachhaltiger Schutz für geschäftskritische Daten und Prozesse.

SAP-Systeme sind das Rückgrat vieler Unternehmen und damit ein attraktives Ziel für Cyberangriffe. Während der erste Teil der Serie „Cybersicherheit für SAP“ Grundlagen und allgemeine Best Practices der SAP-Security behandelt hat, widmet sich dieser zweite Beitrag der Frage, wie Unternehmen ein belastbares Sicherheitskonzept für SAP implementieren können.

Ein effektiver Schutz von SAP-Systemen setzt ein tiefgehendes Verständnis der Systemarchitektur voraus. SAP-Landschaften bestehen aus verschiedenen Schichten, die jeweils unterschiedliche Sicherheitsanforderungen mit sich bringen. Die drei Hauptkomponenten sind die Anwendungsebene mit den zentralen SAP-Anwendungen wie SAP ERP, S/4HANA oder SAP BW, die darunterliegende Datenbankebene, die geschäftskritische Informationen speichert, und die Infrastrukturebene mit Servern, Netzwerken und Cloud-Integrationen, auf denen SAP-Systeme betrieben werden.

Neben diesen traditionellen Schichten gibt es auch weitere Domänen, die zunehmend an Bedeutung gewinnen. Dazu gehören beispielsweise mobile Anwendungen, IoT-Integrationen oder externe Webservices, die mit SAP-Systemen verbunden sind. Diese erweitern die Angriffsfläche erheblich und erfordern spezifische Schutzmaßnahmen. Alle Ebenen sollten bei der Planung einer ERP-Sicherheitsstrategie berücksichtigt werden.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

Bestandsaufnahme der SAP-Landschaft

Um effektive Schutzmaßnahmen zu entwickeln, müssen Unternehmen zunächst eine umfassende Bestandsaufnahme ihrer SAP-Systeme durchführen. Im Zuge einer System- und Architektur-Analyse gilt es zu klären, welche Systeme überhaupt im Einsatz sind. Wichtig ist dabei, dass neben Produktivsystemen wirklich alle Anwendungen, Komponenten, Module und Schnittstellen erfasst werden. Dazu gehören auch Legacy-Lösungen, die, gerade weil sie bisher „unter dem Radar“ geflogen sind, nicht regelmäßig gepatcht wurden und somit ein besonderes Sicherheitsrisiko darstellen.

Risikobewertung und Bedrohungsanalyse

Nach der Bestandsaufnahme folgt die Risikobewertung: Welche Bedrohungen sind für die eigene SAP-Landschaft besonders relevant? Neben den bereits in Teil 1 behandelten Angriffsvektoren sind vor allem kritische Prozesse und sensible Daten zu identifizieren. Welche Geschäftsprozesse sind unverzichtbar? Welche Zugriffsrechte bestehen? Wie ist der aktuelle Sicherheitsstatus – sind alle relevanten Patches eingespielt oder bestehen ungepatchte Schwachstellen?

Die Herausforderung: SAP-Systeme wachsen über Jahre, enthalten individuelle Anpassungen und Konfigurationen und erstrecken sich über mehrere Module, was Sicherheitslücken schwer identifizierbar macht. Zusätzlich erhöhen externe Anbindungen über APIs und Webservices das Risiko. Besonders ungeschützte oder falsch konfigurierte RFC-Verbindungen sowie SOAP-/OData-Schnittstellen können Angreifern als Einfallstore dienen.

SAP Patchday Juni 2025

6 SAP-Schwachstellen basieren auf fehlender Berechtigungsprüfung

Schwachstellenmanagement und Patch-Strategien

Schwachstellen in SAP-Systemen sind ein erhebliches Risiko, besonders wenn sie nicht zeitnah behoben werden. SAP veröffentlicht monatlich Sicherheitspatches in Zusammenarbeit mit Security-Experten wie den Onapsis Research Labs, doch viele Unternehmen zögern mit der Umsetzung – oft aus Sorge vor Kompatibilitätsproblemen, personellen Engpässen oder Betriebsunterbrechungen. Dabei sind die Kosten eines Cybervorfalls meist weit höher als der Aufwand für regelmäßiges Patching.

Eine effektive Patch-Strategie basiert auf drei zentralen Prinzipien: Erstens müssen neue Patches zeitnah evaluiert und priorisiert werden, wobei kritische Sicherheitslücken höchste Dringlichkeit haben. Zweitens sollten Updates zunächst in Test- und Staging-Umgebungen geprüft werden, um Kompatibilitätsprobleme und Betriebsstörungen zu vermeiden. Drittens helfen automatisierte Schwachstellen­analysen und spezialisierte SAP-Security-Lösungen wie die von Onapsis, ungepatchte Systeme frühzeitig zu erkennen und die Sicherheitslage durch kontinuierliches Log-Monitoring zu überwachen. Durch den gezielten Einsatz solcher Tools lassen sich Patching-Prozesse effizienter gestalten und Sicherheitslücken wirksam schließen.

Effektives Sicherheitsmonitoring und Threat Detection

Die kontinuierliche Überwachung der SAP-Systeme ist eine zentrale Säule jeder Sicherheitsstrategie. Unternehmen benötigen ein Security Information and Event Management (SIEM), das sicherheitsrelevante Ereignisse in Echtzeit analysiert. SAP bietet eigene Sicherheits-Logs, die wertvolle Informationen über potenzielle Angriffe liefern können. Diese müssen jedoch aktiv genutzt und in übergeordnete Security-Monitoring-Systeme integriert werden.

Ein weiterer wichtiger Aspekt ist die Anomalieerkennung: Angreifer verhalten sich oft anders als reguläre Nutzer. Machine-Learning-gestützte Sicherheitslösungen können verdächtige Aktivitäten frühzeitig erkennen und so einen Sicherheitsvorfall verhindern. Unternehmen sollten zudem regelmäßig Penetrationstests durchführen, um Schwachstellen aktiv zu identifizieren, bevor Angreifer sie ausnutzen können.

Sicherheitslücke ermöglicht Systemkontrolle

Notfallpatch für kritische Zero-Day-Schwachstelle in SAP NetWeaver

Absicherung der SAP-Infrastruktur

Die Infrastruktur ist eine der ersten Verteidigungslinien gegen Cyberangriffe. Ein sicheres SAP-Hosting beginnt mit der Härtung der Server, dem Schutz der Netzwerke und der Überwachung der Systemaktivitäten. Unternehmen sollten sicherstellen, dass ihre SAP-Systeme in einer kontrollierten Umgebung betrieben werden, sei es On-Premise oder in der Cloud. Maßnahmen zur Absicherung der Infrastruktur umfassen:

• Physische Sicherheit: Rechenzentren, in denen geschäftskritische SAP-Systeme gehostet werden, müssen gegen unbefugten Zugriff geschützt sein. Dies erfordert den Einsatz von Zugangskontrollen, Überwachungssystemen und sicheren Authentifizierungsmechanismen, um sicherzustellen, dass nur autorisierte Personen Zutritt zu den Serverräumen erhalten.

• Server-Hardening: Dabei werden nicht benötigte Dienste deaktiviert, um die Angriffsfläche zu reduzieren. Gleichzeitig sollten regelmäßige Sicherheitskonfigurationen durchgeführt werden, um sicherzustellen, dass Betriebssysteme und SAP-Anwendungen nach aktuellen Sicherheitsstandards gehärtet sind. Dies beinhaltet z. B. das Erzwingen sicherer Authentifizierungsrichtlinien, das Absichern administrativer Zugänge und das Entfernen veralteter oder unsicherer Protokolle.

• Backup- und Disaster-Recovery-Strategien: Unternehmen sollten regelmäßige Backups ihrer SAP-Daten durchführen und klare Wiederherstellungspläne für den Notfall definieren. Diese Pläne müssen regelmäßig getestet werden, um sicherzustellen, dass im Falle eines Cyberangriffs, eines Systemausfalls oder eines physischen Schadens eine schnelle und vollständige Wiederherstellung der betroffenen Systeme möglich ist.

Netzwerksicherheit und Zugriffskontrolle

Das Netzwerk ist eine der größten Angriffsflächen für SAP-Systeme. Unternehmen müssen sicherstellen, dass nur berechtigte Nutzer und Systeme auf SAP-Ressourcen zugreifen. Ein zentraler Schutzmechanismus ist das Zero-Trust-Modell, bei dem jeder Zugriff unabhängig von seinem Ursprung überprüft wird. Um Abhören und Manipulationen zu verhindern, sollte die Kommunikation zwischen SAP-Systemen und externen Schnittstellen stets verschlüsselt erfolgen, etwa über TLS und VPNs.

Ebenso entscheidend ist eine gezielte Netzwerksegmentierung: Kritische Systeme sollten isoliert betrieben werden, um „Lateral Movement“, also die unbemerkte Ausbreitung von Angreifern, zu verhindern. Ergänzend überwachen Intrusion-Detection-und-Prevention-Systeme (IDS/IPS) den Netzwerkverkehr in Echtzeit und erkennen verdächtige Aktivitäten. Diese Maßnahmen stärken zusammen den Schutz vor unbefugtem Zugriff und gezielten Angriffen.

Software für das Identity- und Access Management

Management von Usern und Be­rech­ti­gung­en in SAP und darüber hinaus

Incident Response und Notfallmanagement

Selbst mit den besten Schutzmaßnahmen kann es zu Sicherheitsvorfällen kommen. Daher ist ein gut durchdachtes Incident Response Management essenziell. Unternehmen sollten vorab klare Prozesse definieren, um auf Sicherheitsvorfälle schnell und effizient zu reagieren.

• Klare Verantwortlichkeiten: Wer ist für welche Maßnahmen zuständig?

• Eskalationswege: Wann müssen Sicherheitsvorfälle an höhere Instanzen weitergegeben werden?

• Technische Gegenmaßnahmen: Welche Tools und Verfahren kommen zum Einsatz, um eine Attacke zu stoppen?

• Kommunikation: Wie werden betroffene Mitarbeitende, Kunden oder Partner informiert?

• Wiederherstellungsstrategie: Wie kann der Normalbetrieb schnellstmöglich wieder aufgenommen werden?

Regelmäßige Tests und Simulationen sind notwendig, um sicherzustellen, dass das Incident-Response-Team in kritischen Situationen schnell und zielgerichtet handelt.

Sicherheitsbewusstsein schaffen durch Awareness Trainings

Technische Schutzmaßnahmen allein reichen nicht aus, wenn Mitarbeitende nicht ausreichend sensibilisiert sind. Viele Angriffe auf SAP-Systeme erfolgen über Social Engineering oder Phishing, bei denen Angreifer gezielt menschliche Schwächen ausnutzen. Ein umfassendes Schulungsprogramm sollte Administratoren, Entwickler und Endanwender gleichermaßen einbeziehen. Während Administratoren wissen müssen, wie sie Sicherheitsrichtlinien konsequent umsetzen, sollten Entwickler für sichere Programmierung sensibilisiert werden. Endanwender wiederum müssen über die Risiken von Phishing und anderen Angriffstechniken informiert werden.

Fazit

Die Absicherung von SAP-Systemen ist eine kontinuierliche Herausforderung, die technisches Know-how, strategische Planung und organisatorische Maßnahmen erfordert. Unternehmen müssen ihre SAP-Architektur gezielt absichern, kontinuierlich überwachen und Mitarbeitende sensibilisieren. Durch einen strukturierten Ansatz lassen sich Risiken minimieren und Sicherheitsvorfälle vermeiden.

Termine 2025

Wann ist der Patchday von SAP?

Weiterführende Informationen und tiefer greifende Details finden Sie außerdem in dem aktuellen Buch und E-Book „Cybersecurity for SAP“ (ISBN: 978-1-4932-2593-4) von SAP-Press.

Über den Autor: Juan Pablo „JP“ Perez-Etchegoyen ist Chief Technology Officer bei Onapsis.

(ID:50453604)