Der Weg zur passenden SAP-Sicherheitsanwendung Grundzüge der SAP-Security

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

SAP-Security- oder SAP-Cybersecurity-Lösungen sind hochspezialisierte Softwareprodukte, die Cyber-Bedrohungen, sicherheitskritische Aktivitäten, Anwendungskonfiguration und vieles mehr überwachen. Der Markt für Anwendungssicherheit ist unübersichtlich. Worauf es speziell beim Thema SAP-Security ankommt, beschreibt dieser Beitrag.

Anwendungssicherheit ist ein komplexes Thema, speziell bei geschäftskritischen Anwendungen wie denen von SAP dürfen wichtige Aspekte wie die Verwaltung von Sicherheitsupdates sowie -Hinweisen und die Überwachung des Schnittstellenverkehrs nicht übersehen werden. Die Grenze zu SAP Governance, Risk and Compliance (GRC) ist dabei fließend, in der Regel kommen beide miteinander verbunden zum Einsatz.

Abgrenzung zwischen Cybersecurity und SAP GRC

SAP GRC besteht aus mehreren Modulen (Zugriffskontrolle, Prozesskontrolle und Betrugserkennung, Risikomanagement u.a.); Unternehmen können damit Regulierungen, Compliance und Risiken in Geschäftsprozessen überwachen und verwalten. Der Bedarf an Cybersicherheit lässt sich damit allerdings nicht decken, dies hat inzwischen auch SAP selbst erkannt. Dazu gehören vielmehr zusätzlich: Echtzeit-Bedrohungserkennung mit Anomalie-Erkennung, sichere Konfiguration, rechtzeitiges Einspielen von Sicherheitsupdates sowie Schutz vor Datendiebstahl. SAP hat den Themenbereich daher inzwischen erweitert: Laut GRC-Webseite gehören dazu nun folgende Bausteine:

• Unternehmensrisiko und Compliance

• Internationales Handelsmanagement

• Identitäts- und Zugriffsmanagement sowie

• Cybersecurity, Datenschutz und Privatsphäre

Dies erscheint logisch, denn die Cyber-Bedrohungen entwickeln sich weiter, werden intensiver und erreichen immer erfolgreicher kritische Anwendungen wie SAP S/4HANA und dessen sensible Daten - selbst bei scheinbar sicherheitsbewussten Unternehmen. Unternehmen sollten also ihre bestehenden GRC-Prozesse um das Thema Cybersicherheit erweitern, um sich effektiv gegen die veränderte Bedrohungslage schützen zu können. Das um Cybersecurity erweiterte GRC-Portfolio von SAP ist ein Schritt in die richtige Richtung, dennoch empfiehlt sich parallel der Einsatz einer spezialisierten SAP-Sicherheitslösung.

Ganzheitliche Plattform oder Einzellösung?

SAP Cybersecurity-Produkte gibt es entweder als fokussierte Einzellösungen oder als Security-Plattform. Erstere decken in der Regel separate Themenbereiche ab, während Plattformen einen ganzheitlichen Ansatz verfolgen. Aus den Hochglanzbroschüren der Anbieter ist diese Unterscheidung oft nicht sofort ablesbar. Eine Plattform zeichnet sich durch eine zentrale Basiskonfiguration aus, auf der die SAP-Sicherheitsanwendungen aufbauen. Dadurch reduziert sich der Wartungsaufwand (TCO) der SAP-Cybersecurity im Vergleich zu mehreren Einzellösungen signifikant, denn im Vergleich zu diesen wird eine echte Software-Plattform zentral aktualisiert und verwaltet. Sie erhält und verteilt die wichtigen Sicherheitssignaturen und ihre einzelnen Security-Anwendungen tauschen wichtige Informationen untereinander aus. Insbesondere erweitert sich durch den integralen Ansatz die Sicht der Anwender:innen systematisch. Sie können jederzeit auf entscheidende Informationen zugreifen, um einen Sicherheitsvorfall zu bewerten.

Unterschiede in der Architektur

Unter SAP-Sicherheitsanwendungen gibt es nicht nur solche mit unterschiedlichem Funktionsumfang und unterschiedlicher Tiefe, sondern auch verschiedene Architekturansätze. Beim integrierten Ansatz erweitert die gewählte Softwarelösung den Technologie-Stack der SAP-Anwendung um die erforderlichen Sicherheitsfunktionalitäten. Vorteil: Hier sind in der Regel keine Aufwände für zusätzliche Hardware (oder virtuelle Appliances) erforderlich. Diese werden oft bei der Berechnung der Gesamtkosten neben den Lizenzkosten vergessen und führen so im Nachhinein zu unangenehmen Überraschungen.

Das andere Modell wäre eine externe Lösung, die per Schnittstelle auf die SAP-Anwendung zugreift und versucht, die für Sicherheitsanalysen notwendigen Daten auszulesen. Der Ansatz wirbt mit einem geringeren Fußabdruck in der Anwendung – welcher bei genauer Betrachtung aber oft gar nicht so klein ist. Externe Sicherheitsanwendungen kommen vorwiegend für geschlossene Systeme zum Einsatz, in denen Kunden keine Zusatzlösungen installieren können. Dies gilt jedoch nicht für SAP, denn wie bei Betriebssystemen kann man hier Erweiterungen (Add-ons) verwenden.

Zusätzliche Softwarekomponenten und insbesondere externe Appliances führen oft neue Angriffsvektoren ein, die wiederum analysiert werden müssen. Kann ein Angreifer eine Schwachstelle in einer Sicherheitslösung ausnutzen, wird sie zu einem Problem für die Applikationssicherheit von SAP. Wenn man also schon eine externe Lösung verwendet, muss sie zwingend auf Sicherheitslücken und Sicherheitsstandards wie Brute-Force-Schutz (2FA), sicherer Fernzugriff und Update-Architektur gecheckt werden.

Wann sollte man eine SAP-Sicherheitslösung einführen?

Eine SAP-Sicherheitslösung sollte vier funktionale Vektoren abdecken: Patch-Verwaltung, Analyse von unsicherer Systemkonfiguration, Erkennung von Angriffen oder schädlichen Aktivitäten und die Analyse von kundeneigener Programmierung auf Schwachstellen. Wann sollte man sich nun für den Einsatz eines solchen Systems entscheiden? Grundsätzlich gilt: Es ist nie zu früh, könnte aber jederzeit zu spät sein. Diesem Grundsatz folgend, sind proaktive Maßnahmen immer den reaktiven vorziehen. Zum Beispiel, wenn man:

• als Chief Information Security Officer das Gefühl hat, dass die SAP-Systeme nicht regelmäßig und rechtzeitig gepatcht werden,

• als SAP-Basis-Manager:in mit der Überwachung sicherheitsrelevanter Einstellungen nicht mehr Schritt hält,

• als ABAP-Entwickler:in feststellt, dass die etablierten Code-Qualitätsprüfungen Sicherheitsaspekte nicht ausreichend abdecken,

• als Integrationsverantwortlicher nicht mit Sicherheit sagen kann, ob alle SAP-RFC-Verbindungen ausreichend gehärtet sind.

Über den Autor: Christoph Nagy ist Geschäftsführer von SecurityBridge, einem Spezialisten für SAP-Sicherheit mit Hauptsitz in Ingolstadt.

(ID:49317107)