SAP-Sicherheit und Berechtigungsmanagement Wie cyberresilient ist SAP GRC wirklich?

Anbieter zum Thema

SAP Deutschland SE & Co. KG

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Das Wartungsende für SAP ECC und ältere SAP-NetWeaver-Versionen setzt viele Security-Teams unter Zeitdruck. Auch SAP Governance, Risk and Compliance steht damit vor Modernisierung, Hardening und klaren Berechtigungsprozessen, bevor Übergangsrisiken eskalieren.

„GRC“ ist es ein unmittelbares SAP-Cybersecurity-Thema, denn es verwaltet Sicherheitsobjekte in den verbundenen SAP-Systemen und wird damit zum lohnenden Angriffsziel. Wie kann SAP GRC also cyberresilient gemacht werden?

SAP GRC ist sowohl ein Produkt (aktuelle Version: 12) als auch eine sich weiterentwickelnde „Markenfamilie“ von Produkten. Als Einzelprodukt wird es auf einem einzigen SAP-System implementiert und fungiert als Managementsystem für Governance, Risk und Compliance anderer SAP-Systeme. Darüber hinaus entwickelt SAP die Marke GRC weiter, um neue Anwendungen einzubeziehen und sie in das SAP-Marktsegment für Cybersicherheit zu integrieren.

Als Produkt besteht SAP GRC aus den Komponenten „SAP Access Control“, „SAP Process Control“ und „SAP Risk Management“. Access Control verwaltet und überwacht den Zugriff auf sensible Daten und Systeme. Es stellt sicher, dass jeder Beschäftigte entsprechend seiner Rolle über die richtigen Zugriffsrechte verfügt. Dies minimiert das Risiko von Betrug, Fehlern und Verstößen gegen gesetzliche Vorschriften. Einzelne Module sind „Access Risk Analysis“ (ARA), „Emergency Access Management“ (EAM), „Business Role Management“ (BRM), „Access Request Management“ (ARM) und „User Access Review“ (UAR).

Gefährdungspotenzial beim Emergency Access Management

Process Control unterstützt bei der Verwaltung und Automatisierung interner Kontrollen, Ri­si­ko­bewertungen und Compliance-Prozessen. In seiner Kernfunktion stellt es sicher, dass die Geschäftsabläufe mit den regulatorischen und organisatorischen Standards übereinstimmen. Risk Management identifiziert, bewertet und mindert verschiedene operative, finanzielle und Compliance-Risiken. Dafür beinhaltet es Tools für die Echt­zeit­über­wa­chung, -analyse und -berichterstattung von Risiken in verschiedenen Geschäftsbereichen und unterstützt eine einheitliche Sicht auf das Risiko­management zusammen mit anderen GRC-Modulen wie Prozesssteuerung, Zugriffskontrolle und Audit-Management. Diese Integration ermöglicht es Unternehmen, ihre Strategien zur Risikominderung an umfassenderen Compliance- und Geschäftszielen auszurichten.

Angriffsziel SAP

Strukturelle Schwächen erhöhen das Risiko für SAP-Landschaften

Blickt man beispielsweise auf die Funktionen von GRC Access Control – Emergency Access Management (EAM), muss die Frage gestellt werden: Ist die IT-Abteilung wirklich mit dem Prozess zur Aktivierung des „Firefighter Access” im S/4HANA-Produktionssystem vertraut? Es handelt sich hier um eine einzigartige Choreografie zwischen zwei SAP-Systemen. S/4HANA und GRC interagieren so, dass ein System dem anderen System voll und ganz vertraut, dass es „zu seiner Rettung kommt”. Eines der beiden schickt Feuerwehrleute: Personen, denen vorübergehend Zugriff gewährt wird, um eine bestimmte Notfallfunktion oder einen bestimmten Geschäftsprozess auszuführen. Kann dieser Zugriff missbraucht werden? Durchaus, wenn man sich zurücklehnt und normale Geschäftsprozesse über eine Feuerwehr-Vereinbarung durchführt, anstatt sich die Zeit zu nehmen, die erforderliche Rollen-/Berechtigungs-/Benutzerarchitektur ordnungsgemäß zu konfigurieren.

EAM/FireFighter-Prozess muss durchkonzipiert sein

Ein gut konzipierter EAM/FireFighter-Prozess ist entscheidend für eine angemessene Governance und das Implementieren und Durchsetzen von Sicher­heits­vor­kehrungen im Falle eines erforderlichen erweiterten Zugriffs. Dazu gehört das Prinzip der begrenzten Nutzung und deren Erweiterung nur unter bestimmten Kriterien. Darüber hinaus sollten Rollen/IDs für erweiterten Zugriff unter Berücksichtigung des Least-Privilege-Prinzips konzipiert werden. Oft gehen Unternehmen indes den „einfachen“ Weg und erstellen Rollen mit viel zu weit­rei­chendem Zugriff auf eine „FireFighter-ID“. Risiko dabei: Personen erhalten Zugriff auf extrem kritische und mächtige Transaktionen, die sie oft gar verstehen. Das führt zu extrem umfangreichen Protokollen, die es den Prüfern erschweren, die während einer FireFighter-Sitzung durchgeführten Aktivitäten angemessen zu überwachen.

Warum SAP GRC schützen? Auch wenn es ein Tool ist, das zur Sicherheit von SAP-Systemen beiträgt, läuft es doch selbst auf einem eigenen SAP („NetWeaver“-Server). Genau darin besteht seine Anfälligkeit. Wie jedes andere NetWeaver-System muss es Schwachstellen beheben, Konfigurationen überprüfen und SAP-Sicherheitshinweise anwenden. Werden diese standardmäßigen Maßnahmen zur Systemhärtung nicht durchgeführt, bleibt der SAP GRC-Server anfällig.

Bei seiner Kompromittierung sind damit folgende Komponenten gefährdet: die SAP-Systeme, die über Schnittstellen mit GRC verbunden sind, die SAP-Sicherheitsobjekte (Benutzer und Rollen), die von ihm verwaltet und administriert werden, sowie wichtige Governance-Prozesse, auf die sich interne Kontrollen stützen, um die Audit-Anforderungen zu erfüllen.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

So kann die SAP-Cybersecurity garantiert werden

In der Diskussion über Umfang und Planung von SAP-Cybersicherheit darf SAP GRC nicht vernachlässigt werden. Komponenten der Lösung wie „AC EAM“ haben Live-Zugriff und Berechtigungen zur Verwaltung von Benutzern in anderen Systemen. GRC sammelt und verwaltet überdies sensible Informationen über die Benutzer und Rollen in anderen SAP-Servern innerhalb der gesamten SAP-Unternehmensarchitektur. Es benötigt daher eine effiziente Verwaltung des monatlichen Aktualisierungszyklus der SAP-Sicherheitshinweise.

Die größten Cyberrisiken für die Lösung bestehen durch sogenannte “Lateral Movements” in andere Systeme über Schnittstellen und darin, dass GRC nun einmal wie ein In­ven­tur­ver­zeich­nis der meisten SAP-Rollen und -Profile im Unternehmen ist. Wie kann man sich vor diesen Risiken schützen? Am besten, indem man den Kern – SAP NetWeaver AS ABAP – mit einer Scan- und Überwachungslösung für Split-Stack-Umgebungen eines auf SAP-Security spezialisierten Herstellers permanent kontrolliert.

Über den Autor: Holger Hügel istProduct Director bei SecurityBridge.

SAP Patchday Juni 2025

6 SAP-Schwachstellen basieren auf fehlender Berechtigungsprüfung

(ID:50690503)