Checkliste Vier zentrale Schritte für ein sichereres SAP-System

Anbieter zum Thema

Onapsis Europe GmbH

Onapsis GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

SAP-Landschaften sind anfällig: Fehlendes Patch-Management, über­privilegierte Konten und mangelnde Kontrolle in Cloud-Umgebungen bergen Risiken. Eine strukturierte Sicherheitsstrategie ist unerlässlich, mit einer sorgfältigen Checkliste aber machbar.

Wer SAP-Lösungen einsetzt, sollte dafür sorgen, dass sie sicher sind. Besonders, da sich Unternehmen mittlerweile in immer komplexeren RISE-, S/4HANA- und BTP-Landschaften bewegen, was die Angriffsfläche erhöht. Aus diesem Grund empfiehlt Onapsis eine strukturierte SAP-Risikobewertung und hat eine ausführliche „SAP Security Checklist“ veröffentlicht. Dabei sind vier Punkte besonders hervorzuheben.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

Kontinuierliche Sicherheitsbewertungen & Patch-Management

Unternehmen sollten Onapsis nach dem Schwachstellen- und Patch-Management besondere Aufmerksamkeit widmen. Dazu würden die zeitnahe Implementierung von SAP Security Notes und HotNews, die Überprüfung sicherheitskritischer Konfigurationen sowie die Absicherung von Komponenten wie SAProuter, Web Dispatcher oder verschlüsselten Kommunikations­ver­bin­dungen gehören. Denn viele Unternehmen würden sich nach wie vor auf manuelle Prozesse verlassen und sich dadurch unnötigen Risiken aussetzen. Eine automatisierte Überprüfung von Sicherheitshinweisen biete jedoch entscheidende Vorteile wie Schnelligkeit, Effizienz und Anreicherung mit Kontext. Für die Automatisierung dieser Prozesse gibt es spezialisierte Lösungen.

Outsourcing oder Inhouse-Lösung beim Patch Management

Lohnt sich Patch Management as a Service (PMaaS)?

Identity Management & Bedrohungserkennung

Ein weiterer Fokus liegt auf dem Management von Identitäten und Berechtigungen. Überprivilegierte Benutzerkonten gehören den Experten nach weiterhin zu den häufigsten Sicherheitsrisiken in Unternehmensanwendungen. Regelmäßige Überprüfungen von Berechtigungskonzepten, Segregation of Duties, privilegierten Konten und Notfallzugängen seien daher ein Muss. Darüber hinaus gelte als Empfehlung, die Multi-Faktor-Authentifizierung für Administratoren und externe Zugriffe konsequent durchzusetzen sowie Identitäts- und Provisionierungsprozesse neu zu bewerten.

Auch die Fähigkeit, Angriffe frühzeitig zu erkennen und angemessen darauf zu reagieren, gewinne aufgrund immer effizienterer KI-gestützter Cyberangriffe weiter an Bedeutung. Onapsis empfiehlt daher die Einführung SAP-spezifischer Bedrohungserkennung sowie die Integration relevanter SAP-Telemetriedaten in bestehende SIEM- und SOAR-Plattformen.

Software für das Identity- und Access Management

Management von Usern und Be­rech­ti­gung­en in SAP und darüber hinaus

Neue Anforderungen durch Cloud- und Hybridlandschaften

Mit Blick auf die zunehmende Verlagerung geschäftskritischer Prozesse in Cloud-Umgebungen steige die Bedeutung des Shared-Responsibility-Modells. Auch wenn bestimmte Infra­struk­turaufgaben durch den Anbieter übernommen würden, verbleibe die Verantwortung für Geschäftsdaten, Benutzerzugriffe, Berechtigungskonzepte, APIs und Eigenentwicklungen weiterhin beim Nutzer.

Neben Sicherheits- und Betriebsaspekten würden auch regulatorische Anforderungen stärker in den Fokus rücken. SAP-Sicherheitskontrollen müssten kontinuierlich an Vorgaben wie ISO 27001, DORA, NIS2 oder NIST ausgerichtet werden. Auch hier biete die Automatisierung Vorteile für die schnellere und effizientere Bereitstellung von Compliance-Nachweisen.

Teil 3: Shared Responsibility

Cybersicherheit für SAP: Tools & Verantwortlichkeiten

Compliance & Resilienz

Neben Sicherheits- und Betriebsaspekten rücken auch regulatorische Anforderungen stärker in den Fokus. SAP-Sicherheitskontrollen müssen kontinuierlich an Vorgaben wie ISO 27001, DORA, NIS2 oder NIST ausgerichtet werden. Auch hier bietet die Automatisierung Vorteile für die schnellere und effizientere Bereitstellung von Compliance-Nachweisen. Regelmäßig getestete Backup- und Disaster-Recovery-Konzepte, Wiederanlaufpläne sowie gezielte Schulungen für SAP-, IT- und SOC-Teams seien zudem entscheidend, um im Ernstfall schnell zu reagieren

Die zentrale Erkenntnis von Onapsis aus der Checkliste: SAP-Sicherheit dürfe nicht als ein­maliges Projekt verstanden werden. Wer grundlegende Sicherheitsmaßnahmen konsequent umsetze und kontinuierliche Sicherheitschecks durchführe, beuge Sicherheitsrisiken vor und schütze seine Systeme bestmöglich. Die vollständige Checkliste kann hier heruntergeladen werden. Insgesamt umfasst die Liste folgende Themenbereiche:

• SAP Platform & Architecture Hardening

• Patch, Vulnerability & Threat Intelligence

• Identity, Access & Privilege Controls

• Monitoring, Detection & Incident Response

• Compliance & Audit Readiness

• Cloud & RISE/BTP Security

• Identity, Access & Privilege Controls

• People, Process & Skills

Teil 2: Kernaspekte eines SAP-Cybersicherheitsprogramms

Cybersicherheit für SAP: Umsetzung in der Praxis

(ID:50885841)