Klassische Pentests enden oft an der SAP-Anwendungsschicht SAP-Systeme als blinder Fleck bei Penetrationstests

Anbieter zum Thema

abat AG

Onapsis Europe GmbH

Unternehmen investieren massiv in Cybersicherheit, doch SAP-Systeme bleiben oft ungeschützt. Klassische Penetrationstests prüfen nur die IT-Infrastruktur und enden an der SAP-Anwendungsschicht. Dabei liegen dort die kritischsten Daten: Finanzen, Personaldaten, Produktionspläne. Zu­stän­dig­keits­lücken zwischen Security- und SAP-Teams verschärfen das Problem.

Die aktuelle Bedrohungslandschaft lässt keinen Zweifel: Cyberangriffe sind eine all­ge­gen­wär­ti­ge Gefahr für Unternehmen jeder Größe. Laut dem BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 ist die Lage angespannt und bietet Angreifern durch immer noch zu schlecht geschützte Angriffsflächen die Möglichkeit, vor allem kleine und mittlere Unternehmen anzugreifen. Dieser allgemeine Trend spiegelt sich auch im SAP-Umfeld wider: Eine Analyse der monatlich veröffentlichten Sicherheitshinweise zeigt 2025 eine deutliche Zunahme an Schwachstellen, was die wachsende Angriffsfläche von SAP-Anwendungen unterstreicht.

In Reaktion auf diese angespannte Cyberlage haben die meisten Organisationen ihre Verteidigungsmaßnahmen verstärkt: Multi-Faktor-Authentifizierung, Endpoint-Detection-Systeme und Infomationssicherheits-Management als Beispiele für moderne Si­cher­heits­maß­nah­men sind bekannt und gehören mittlerweile zum Standardrepertoire.

Angriffsziel SAP

Strukturelle Schwächen erhöhen das Risiko für SAP-Landschaften

Warum SAP-Sicherheit oft vernachlässigt wird

Doch inmitten dieser Bemühungen existiert ein gefährlicher blinder Fleck: die SAP-Systemlandschaft. Während das Netzwerk und die klassische IT-Infrastruktur akribisch geprüft werden, bleibt das System, das Finanz- und Personaldaten, Pro­duk­ti­ons­pläne und Kundeninformationen verwaltet, oft eine Blackbox. Die Gründe für diesen blinden Fleck sind meist organisatorischer Natur. SAP-Sicherheit fällt oft in eine Zuständigkeitslücke: Dem IT-Sicherheitsteam fehlt das Spezialwissen zur proprietären Architektur, während sich das SAP-Team auf Stabilität statt auf Angriffssimulationen fokussiert. Hinzu kommt ein trügerisches Sicherheitsgefühl, das SAP-Systeme als interne, abgeschottete Monolithen betrachtet. Diese Annahme ignoriert jedoch die Realität moderner, über Webservices und Cloud-Anbindungen vernetzter Landschaften. Ein klassischer Netzwerk-Pentest reicht daher nicht aus: Standard-Scanner prüfen nur die Host-Maschine, verstehen aber nicht die komplexe SAP-Anwendungsschicht mit ihren proprietären Protokollen wie Remote Function Call (RFC) oder Dynamic Information and Action Gateway (DIAG). Werden zudem angebundene Entwicklungs-, Test- oder technische Systeme wie Solution Manager, Focused Run, Governance, Risk and Compliance usw. vom Test-Scope ausgenommen, bleibt ein entscheidender Angriffsvektor unberücksichtigt.

Typische Angriffsvektoren

Angriffstypen auf SAP-Systeme lassen sich einerseits in die Serververschlüsselung mit dem Ziel einer Lösegelderpressung, andererseits in Insider-Angriffe aufteilen. Gefährlich sind beide Vorgehensweisen besonders durch ihre Schnelligkeit: Ein gemeinsamer Bericht von Onapsis und SAP zeigt, dass Angriffe auf kritische SAP-Anwendungen zunehmen und oft schon innerhalb von 72 Stunden nach Ver­öf­fent­li­chung eines Sicherheitspatches erfolgen. Angreifer nutzen dabei immer wieder eine Reihe typischer Schwachstellen aus.

Ein besonders häufig ausgenutzter Angriffsvektor sind ungepatchte SAP-Systeme. Obwohl SAP an jedem zweiten Dienstag im Monat im Rahmen des Patch Days sicherheitsrelevante Hinweise veröffentlicht, werden diese Updates in vielen Unternehmen nicht zeitnah eingespielt. Damit bleiben Systeme über Wochen oder Monate für bekannte Exploits offen, was Angreifern einen leichten Einstieg ermöglicht. Ebenfalls kritisch sind unzureichend abgesicherte RFC-Schnittstellen. Wird zunächst ein weniger geschütztes Entwicklungs- oder Testsystem kompromittiert, können Angreifer über diese Verbindungen lateral auf produktive Systeme zugreifen und dort Funktionen ausführen. Hinzu kommen mangelhafte Berechtigungskonzepte: Noch immer existieren Standardbenutzer wie SAP* oder DDIC mit schwachen oder unveränderten Passwörtern ebenso wie überprivilegierte Dialog- oder Systembenutzer. Solche Konten werden gezielt genutzt, um Rechte schrittweise bis zur vollständigen Systemkontrolle auszuweiten. Ein weiteres Einfallstor stellt unsicherer Custom Code dar, der häufig auf veralteten Entwicklungsrichtlinien basiert und typische Schwächen wie fehlende Berechtigungsprüfungen oder Anfälligkeit für Code-Injections aufweist. Schließlich bleiben auch Passwörter ein Dauerproblem, da lange Gültigkeitszeiträume, schwache Hash-Verfahren und Wiederverwendungen es Angreifern erlauben, Benutzerkonten in kürzester Zeit zu übernehmen.

Technische Härtung, Identity Controls und Detektion für SOC-Betrieb

Initiale Sicherheitskonfiguration von SAP S/4HANA

Spezialisierte Prüfung: Was einen SAP-Penetrationstest ausmacht

Um die genannten Risiken proaktiv zu adressieren, reicht ein herkömmlicher Penetrationstest nicht aus. Die SAP Secure Operations Map (siehe Abbildung) bietet ein anschauliches Modell, um die verschiedenen Sicherheitsebenen zu verstehen. Klassische Pentests decken in der Regel nur die unterste IT-Infrastrukturebene ab. Die ent­schei­den­den Schwachstellen und Angriffspunkte liegen jedoch meist in den darüber liegenden system- und applikationsspezifischen Ebenen, die für Außenstehende oft eine Blackbox darstellen.

Ein SAP-Penetrationstest setzt daher gezielt dort an, wo klassische Prüfungen enden, und analysiert SAP-spezifische Dienste und Protokolle wie Gateway, Message Server oder das Internet Communication Framework ebenso wie die Sicherheit der DIAG- und RFC-Kom­mu­ni­ka­ti­on. Darüber hinaus wird die Anwendungssicherheit geprüft, indem Standardtransaktionen, Fiori-Apps und Webservices auf Manipulationsmöglichkeiten und unberechtigte Zugriffe untersucht werden. Ein weiterer Schwerpunkt liegt auf dem Berechtigungskonzept, das systematisch auf kritische Berechtigungen und potenzielle Pfade zur Rechteausweitung hin analysiert wird. Auch kundenindividueller ABAP-Code wird sowohl manuell als auch mit spezialisierten Werkzeugen auf Schwachstellen wie Code-Injection oder fehlende Authority-Checks untersucht. Ergänzend erfolgt eine Überprüfung der Systemkonfiguration, insbesondere sicherheitsrelevanter Profilparameter, auf ihre Konformität mit den Best Practices von SAP und den Empfehlungen der DSAG.

Der weitere, entscheidende Vorteil liegt im tiefen Verständnis der Tester für die SAP-Welt. Denn sie wissen, wo versteckte Konfigurationen liegen, wie Geschäftsprozesse manipuliert werden können und welche Standardeinstellungen ein Risiko darstellen. Dieser fachliche Fokus ermöglicht es, Schwachstellen aufzudecken, die für allgemeine Sicherheitsscanner und -experten unsichtbar bleiben.

Vordefinierte Benutzerkonten und Initialkennwörter

SAP-Standardbenutzer als Angriffsvektor

In vier Schritten zum sicheren SAP-System

Der Einstieg in die proaktive Absicherung der SAP-Landschaft gelingt mit einem strategischen Vorgehen in vier klaren Schritten.

• 1. Scope festlegen: Identifikation der kritischsten Systeme, typischerweise die produktiven ERP- oder S/4HANA-Systeme, sowie technische Zuspieler wie ein produktiver Solution Manager.

• 2. Auswahl des richtigen Partners: SAP-Pentests erfordern Spezialwissen. Daher ist SAP-Know-how erforderlich, welches über das allgemeine Netzwerk-Pentesting hinausgeht.

• 3. Risikobasierte Bewertung der Ergebnisse: Ein aussagekräftiger Bericht muss technische Befunde detailliert darstellen und entsprechend priorisieren. So kann sich auf die Schwachstellen konzentriert werden, die die größte Gefahr für den operativen Betrieb darstellen.

• 4. Maßnahmen nachhaltig umsetzen: Ein Pentest ist eine Momentaufnahme, welcher mit geringerem Aufwand schnell mehr Sicherheit ermöglicht. Nachhaltige Sicherheit entsteht jedoch erst durch die Integration der Ergebnisse in reguläre IT-Prozesse wie Patch-Management und Entwicklungsrichtlinien.

Pentests als Teil einer umfassenden Sicherheitsstrategie

Regulatorische Vorgaben wie die NIS2-Richtlinie oder KRITIS-Vorgaben fordern einen nachweisbaren, ganzheitlichen Sicherheitsansatz, den jedoch der isolierte Penetrationstest allein nicht erfüllt.

Eine ganzheitliche SAP-Sicherheitsstrategie geht darüber hinaus und umfasst unter anderem eine sichere Softwareentwicklung im Rahmen eines Secure Software Development Lifecycles. Ebenso gewinnt die Absicherung der Supply Chain an Bedeutung, insbesondere in kritischen Branchen wie Aerospace & Defence, in denen Abhängigkeiten von externen Partnern erhebliche Risiken bergen. Ergänzt wird dieser Ansatz durch ein kontinuierliches Monitoring, das mithilfe eines zentralen SIEM-Systems sicherheitsrelevante Ereignisse systemübergreifend erfasst und auswertet. Und schlussendlich erfordert der zunehmende Einsatz von Cloud-Lösungen eine gesonderte Betrachtung, da deren Sicherheitsanforderungen und Bedrohungsszenarien sich in vielen Punkten von klassischen On-Premise-Systemen unterscheiden.

Über den Autor: Tobias Stage ist Consultant für Cyber Security bei der abat AG. Er berät Unternehmen zur ganzheitlichen Absicherung ihrer IT-Landschaften, von klassischer Infrastruktur bis hin zu SAP-Systemen. Zu seinen Aufgaben gehören die Entwicklung strategischer Sicherheitskonzepte und die Durchführung technischer Analysen, wie beispielsweise Penetrationstests, zur Identifikation und Minderung von Risiken.

KI-Unterstützung für Penetrationstests mit Kali Linux

KaliGPT automatisiert Pentest in Kali Linux mit natürlicher Sprache

(ID:50794006)