Cyberrisiken treffen SAP-Landschaften besonders hart Wie SAP Access Control dem Mittelstand Struktur gibt

Anbieter zum Thema

msg systems ag

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Cyberangriffe treffen besonders Unternehmen in technologischen Trans­for­ma­ti­ons­prozessen. Während viele Firmen mit der SAP-S/4HANA-Umstellung ringen, rückt SAP Access Control zunehmend in den Fokus. Ab 2027 wird die strukturierte Kontrolle von Benutzerrechten für den Mittelstand essenziell – nicht nur nice to have.

Cyberangriffe gehören längst zur Realität. Die Bitkom Wirtschaftsschutzstudie 2025 zeigt, dass die Zahl der Angriffe auf die deutsche Wirtschaft weiter gestiegen ist. Grundlage der Studie ist eine repräsentative Befragung von Unternehmen sowie die Auswertung sicherheitsrelevanter Erkenntnisse von Behörden und Verbänden. Demnach waren 87 Prozent der Unternehmen in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen. Der dadurch verursachte Schaden beläuft sich inzwischen auf 289,2 Milliarden Euro – ein Plus von rund 8 Prozent. Oftmals werden Sicherheitsmaßnahmen erst dann priorisiert, wenn ein spürbarer Schaden entstanden ist. Dabei ist IT-Security keine punktuelle Investition, sondern eine dauerhafte Verantwortung, die strategisch im Unternehmen verankert sein muss.

Angriffsziel SAP

Strukturelle Schwächen erhöhen das Risiko für SAP-Landschaften

Relevanz: Wer muss sich mit GRC beschäftigen – und wer nicht?

Kleine Unternehmen (KMU) profitieren in vielen Fällen bereits von grundlegenden Sicherheitsmaßnahmen: klare IT-Richtlinien, gutes Passwort- und Identity-Management, Multi-Factor-Authentication (MFA) und effektive Schulungen für Mitarbeitende. Der deutsche Mittelstand sowie größere Unternehmen sehen sich hingegen mit wachsenden regulatorischen Anforderungen konfrontiert – etwa durch die DSGVO und die NIS2-Richtlinie – und operieren oft in hybriden IT-Landschaften. Hier wird strukturiertes Governance-, Risiko- und Compliance-Management zunehmend unverzichtbar.

Status Quo: Transformation dominiert die SAP-Agenda

Viele Unternehmen stehen aktuell vor einem grundlegenden Wandel ihrer IT-System­land­schaf­ten: der Migration von SAP ECC auf S/4HANA. Der Umstieg betrifft nicht nur die Technik, sondern zentrale Kernprozesse wie Finanzen, Logistik und Personalwesen. Studien und Marktanalysen zeigen, dass der Wechsel langsamer verläuft als erwartet: Viele Firmen bleiben noch bei ECC oder sind mitten im Migrationsprozess. Die Transformation ist komplex, kostenintensiv und bindet Ressourcen. Sicherheitsaspekte geraten dabei häufig in den Hintergrund – ein Risiko, da Angreifer gerade Übergangsphasen ausnutzen, in denen Systeme angepasst und Zugriffsrechte verteilt werden.

Technische Härtung, Identity Controls und Detektion für SOC-Betrieb

Initiale Sicherheitskonfiguration von SAP S/4HANA

Access Control als Kern einer wehrfähigen SAP-Sicherheitsarchitektur

SAP Access Control bildet die zentrale Säule einer Compliance-orientierten SAP-Sicherheitsarchitektur. Die Lösung unterstützt Unternehmen dabei, Zugriffe transparent zu steuern, Risiken frühzeitig zu erkennen und regulatorische Anforderungen zuverlässig einzuhalten. Durch die Kombination mehrerer Kernfunktionen entsteht eine integrierte Plattform für effektives Berechtigungsmanagement.

Die Notfallzugriffsverwaltung (EAM) ermöglicht kontrollierte Firefighter-Zugriffe für kritische Situationen, die vollständig protokolliert und audittauglich sind. Die Zugriffsrisikoanalyse (ZRA) prüft automatisch Funktionstrennung und kritische Berechtigungen über SAP- und Non-SAP-Systeme hinweg und erkennt Risiken, bevor sie entstehen. Mit der Benutzerrollenverwaltung (BRM) lassen sich Rollen zentral, konsistent und revisionssicher pflegen, inklusive Dokumentation, Versionierung und Simulationsfunktionen. Die Zertifizierungsprüfung sorgt dafür, dass bestehende Zugriffe regelmäßig überprüft werden, ob sie noch notwendig und compliant sind, inklusive SoD-Checks und Prozess-Audits. Schließlich ermöglicht die Zugriffsanforderungsverwaltung (ARM) eine kontrollierte, workflowbasierte Vergabe Berechtigungen, inklusive integrierter Risikoanalyse und Dokumentation.

Durch das Zusammenspiel dieser Funktionen erhalten Unternehmen nicht nur Transparenz über alle Berechtigungen, sondern reduzieren gleichzeitig Risiken, vereinfachen Audits und schaffen eine langfristig stabile und sichere SAP-Systemlandschaft. SAP Access Control verknüpft so operative Sicherheit mit regulatorischer Compliance und bildet die Basis für eine moderne, widerstandsfähige IT-Architektur.

Vordefinierte Benutzerkonten und Initialkennwörter

SAP-Standardbenutzer als Angriffsvektor

Wechselwirkung: Warum Prävention und Revision zusammengehören

Oftmals werden Zugriffssicherheit entweder präventiv („Risiken vermeiden“) oder reaktiv („wir prüfen später“) gedacht. Wirklich wirksam wird Governance jedoch erst durch das Zusammenspiel beider Ansätze. Genau hier setzt SAP Access Control an – mit zwei sich ergänzenden Kernprozessen:

• 1. Zugriffsrisikoanalyse (ZRA): Prävention
  Die ZRA prüft vor der Vergabe neuer Berechtigungen, ob daraus kritische Risiken oder SoD-Konflikte entstehen könnten – etwa wenn jemand sowohl Bestellungen auslösen als auch freigeben oder Rechnungen erstellen und bezahlen könnte. Sie wirkt wie ein Früh­warn­sys­tem, das Fehler und Audit-Beanstandungen verhindert, bevor Nutzer aktiv werden.

• 2. Zertifizierungsprüfung: Revision
  Parallel dazu stellt die Zertifizierungsprüfung sicher, dass bestehende Berechtigungen weiterhin erforderlich und angemessen sind – besonders wichtig, weil Rollen nach Abteilungswechseln, Projekten oder organisatorischen Änderungen oft bestehen bleiben. So werden veraltete oder ungenutzte Zugriffe regelmäßig bereinigt.

Gemeinsam sorgen ZRA und Zertifizierungen für deutlich weniger SoD-Konflikte, saubere Audit-Trails und langfristig stabile Berechtigungsstrukturen. Sie sind keine Alternativen, sondern zwei Seiten derselben Sicherheitsstrategie.

SAP-Sicherheit und Berechtigungsmanagement

Wie cyberresilient ist SAP GRC wirklich?

Integrationsmöglichkeiten – der Weg zur vollständigen GRC-Landschaft

SAP Access Control ist häufig der Einstieg in eine strukturierte GRC-Umgebung. In Verbindung mit SAP Risk Management und SAP Process Control lassen sich Risiken, Kontrollen und Zugriffe zentral steuern und überwachen. Zugriffsrisiken werden in die übergeordnete Risikolandschaft integriert, während Geschäftsprozesse und Kontrollen automatisiert überwacht und revisionssicher dokumentiert werden. In der Praxis zeigt sich jedoch, dass insbesondere im Mittelstand oft bereits der Einsatz von SAP Access Control ausreicht, um Audit-Anforderungen zu erfüllen. Die Einführung weiterer GRC-Module ist dort in vielen Fällen eine strategische Entscheidung zur Erhöhung von Transparenz und Automatisierung.

Fazit

Während KMU oft bereits mit Basismaßnahmen wie klaren IT-Richtlinien und Awareness-Programmen ein solides Sicherheitsniveau erreichen, stehen mittelständische Unternehmen und Konzerne vor deutlich komplexeren Anforderungen. Mit dem Auslaufen von SAP ECC und der Fokussierung auf S/4HANA werden ab 2027 strukturelle Sicherheitslücken sichtbar. Spätestens dann wird eine auditierbare, systematische Zugriffskontrolle nicht mehr optional, sondern ein fester Bestandteil moderner Security- und Compliance-Architekturen.

SAP Access Control spielt darin eine zentrale Rolle: Es schafft Transparenz über Berechtigungen, unterstützt bei regulatorischen Vorgaben und lässt sich nahtlos in eine integrierte GRC-Landschaft einbetten. Unternehmen, die frühzeitig handeln, erhöhen nicht nur ihr Sicherheitsniveau, sondern vermeiden auch mögliche Strafen bei Prüfungen - während spätere Reaktionen oft teuer und risikoreicher sind.

Über die Autorin: Roxana Rahman ist IT-Security- und SAP-GRC-Spezialist mit Schwerpunkt auf Berechtigungen, Zugriffskontrolle, Compliance und hybriden Systemlandschaften bei der msg group. Sie berät Unternehmen bei der sicheren Gestaltung ihrer SAP-Architekturen und begleitet Transformationsprojekte von der Strategie bis zur Umsetzung.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

(ID:50806313)