Authentifizierung und Verschlüsselung bieten nicht genügend Sicherheit SAP Netweaver erfordert Antivirus-Schutz beim Datenaustausch

Redakteur: Stephan Augsten

Aufgrund seiner Identity-Management-Funktionen und Datenverschlüsselung ist SAP Netweaver gut von der Außenwelt abgeschottet. Doch innerhalb der Integrations- und Anwendungsplattform mangelt es an weiteren Sicherheitsmechanismen wie einer Antivirus-Lösung. Dieser Artikel beleuchtet die Gefahr von Malware-Infektionen innerhalb eines SAP-Systems.

Firmen zum Thema

Während das Identitätsmanagement von SAP Netweaver alles überstrahlt, muss ein Antiviurs-Schutz nachträglich implementiert werden.
Während das Identitätsmanagement von SAP Netweaver alles überstrahlt, muss ein Antiviurs-Schutz nachträglich implementiert werden.
( Archiv: Vogel Business Media )

Zusammenarbeit und Interaktion über die Unternehmensgrenzen hinweg ist angesichts geschäftlicher Kooperationen und Partnerschaften unverzichtbar geworden. Dabei gilt es, die Reaktions- und Antwortzeiten zwischen den involvierten Firmen zu beschleunigen, um die Entscheidungs- und Entwicklungsprozesse zu optimieren – und gleichzeitig die Sicherheit der ausgetauschten Informationen zu gewährleisten.

Von Cisco über Novell bis hin zu IBM befassen sich mittlerweile zahlreiche IT-Anbieter mit dem Thema Unified Collaboration. Als Spezialist für prozess-, personal- und produktorientierte Datenhaltung sowie -verarbeitung hat auch SAP eine entsprechende Plattform entwickelt, den SAP Netweaver.

Mit SAP Netweaver lassen sich Prozesse, Anwender und Informationsquellen über das Internet miteinander verbinden. Hierfür bietet die Plattform zahlreiche Module und Schnittstellen, die auf bewährten Web-Standards aufsetzen. Bei der Entwicklung der Netweaver-Plattform hat SAP bereits darauf geachtet, dass die Sicherheit nicht zu kurz kommt.

Zugriffsschutz allein reicht nicht aus

Eine übergeordnete Rolle spielt dabei das Identitäts- und Rollen-Management. Erst wenn sich ein Anwender umfassend gegenüber der Plattform authentisiert hat, darf er das System im Rahmen seiner Zugriffsrechte nutzen. Damit ist Netweaver zwar gut von der Außenwelt abgeschottet – innerhalb der eigenen Grenzen wurde jedoch weitestgehend auf zusätzliche Sicherheitsmaßnahmen verzichtet.

Beim Datenaustausch setzt Netweaver zwar auf eine integrierte Verschlüsselung, jedoch prüft das System die eingespielten Informationen nicht auf eventuell enthaltene Schadcodes. SAP Netweaver geht automatisch davon aus, dass die Daten selbst keine Gefahr darstellen. Im Falle eines infizierten Dateianhangs könnte Malware sich über die Netweaver-Module von einer Datenbank aus über das gesamte SAP-System verbreiten.

Als gutes Beispiel hierfür dient das eRecruting-Modul, mit dem Berufsanwärter ihre Bewerbungsunterlagen direkt in das Netweaver-Portal hochladen können. Mitarbeiter der Personalabteilung dürfen die Lebensläufe und Anschreiben ungehindert in die Firmendatenbanken einspielen. Doch wer sagt einem, dass das System des Bewerbers virenfrei ist?

In diesem Fall bietet wenigstens noch der HR-Mitarbeiter als Zwischeninstanz ein gewisses Maß an Sicherheit. Hingegen vertraut das System den Aktionen der bekannten User nahezu blind: Nach der Authentifizierung dürfen mobile Anwender und Partner wichtige Dokumente und Informationen im Rahmen ihrer Zugriffsrechte ohne weitere Überprüfung bearbeiten und ins System überführen. Wiederum geht Netweaver davon aus, dass die Daten sicher sind.

Seite 2: SSL-Verschlüsselung hemmt Sicherheitskontrollen

SSL-Verschlüsselung hemmt Sicherheitskontrollen

Ein Security-Problem besteht darin, dass die Informationen chiffriert sind, um sie vor den unerwünschten Einblicken zu schützen. Denn viele Sicherheitssysteme im Netzwerk können den SSL-Traffic nicht erfassen, geschweige denn analysieren. Somit wäre es einem Schadcode möglich, sich ungehindert über die SAP-Systeme zu verbreiten. Eine Infektion ließe sich nur an den jeweiligen Endpunkten der SSL-Verschlüsselung erkennen und verhindern.

Das Netweaver-System ist somit auf das Sicherheitsbewusstsein des Anwenders und dessen Virenschutz angewiesen – haben beide im Vorfeld versagt, steht dem Schadcode die gesamte SAP-Datenbank offen. An dieser Stelle kommt erschwerend hinzu, dass viele Malware-Programmierer Wert darauf legen, dass ihr Schadcode unentdeckt bleibt. Anwender merken meist nicht, dass ihre Systeme infiziert sind, da sich die Rechner aus ihrer Sicht völlig normal verhalten.

Deshalb gehört ein Virenschutz laut Stefan Schiffert, CTO bei Avira GmbH, heute in allen Unternehmen zum Pflichtprogramm. Sein Unternehmen bietet speziell für SAP Netweaver einen Virenscanner an, der von den SAP-Laboren unter Windows und Sun Solaris getestet und zertifiziert wurde.

Der Scanner beugt Infektionen vor, indem er sämtliche Informationen prüft, die zwischen den Modulen und Appliaktionen von SAP ausgetauscht werden. Davon können laut Schiffert nicht nur Unternehmen und deren Partner profitieren, sondern auch Behörden, die ihre Projekte auf Basis von SAP Netweaver aufgesetzt hätten. Denn im Rahmen des E-Government greifen Anwender auf wichtige Informationen zu – User, die teilweise keine oder veraltete Antivirus-Lösungen installiert haben.

(ID:2040488)