Codeprüfungen bei Fremdentwicklern Sicherheit in der SAP-Anwendungsentwicklung

Wer wie die MEAG die SAP-Anwendungsentwicklung an Dienstleister auslagert, braucht effektive Methoden zur Kontrolle der Codequalität und -sicherheit. Manuell lässt eine solche Codeprüfung kaum umsetzen, helfen kann ein Tool zur automatischen Kontrolle.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Virtual Forge GmbH

Hofmeyer PR Öffenlichkeitsarbeit für IT-Unternehmen

Die MEAG steht für das Vermögensmanagement von Munich Re und ERGO, ist in Europa, Asien und Nordamerika präsent und bietet ihr umfassendes Know-how auch externen institutionellen Anlegern und Privatkunden an. Für die Finanzprodukte vielfach ausgezeichnet, fühlt sich die MEAG einem hohen Qualitätsanspruch verpflichtet und setzt daher alles daran, das Kapitalanlage-Portfolio für die Kunden stetig weiterzuentwickeln und damit zu optimieren. Daher werden Aufgaben und Prozesse der IT, die nicht zur direkten Wertschöpfung beitragen, nach Möglichkeit an Dienstleister ausgelagert.

Betroffen davon ist neben dem IT-Systembetrieb auch die Anwendungsentwicklung. Während die MEAG strategisch auf Standardsoftware setzt, muss diese in begrenztem Maße immer wieder durch Add-ons von Drittanbietern und Eigenentwicklungen erweitert und ergänzt werden. Dies gilt auch für die SAP-Systeme. In diesem Bereich ist es vornehmlich ITERGO, der zentrale Dienstleister der ERGO Group, der mit der Programmierung kundeneigener ABAP-Anwendungen betraut wird. Um die Konformität mit unternehmenseigenen Richtlinien sicherzustellen, hat die MEAG einen Entwicklerleitfaden erstellt, der unter anderem Namenskonventionen, Sicherheitsrichtlinien und Berechtigungsabfragen umfasst.

Bildergalerie

Leitfaden für Fremdentwickler

Doch wie lässt sich wirksam kontrollieren, ob die Fremdentwickler die MEAG-Vorgaben auch tatsächlich einhalten? Dieser Frage musste sich das Unternehmen dringend stellen, um die Qualität und Sicherheit des selbstgeschriebenen ABAP-Codes zu gewährleisten. Außerdem schreibt das Kreditwesengesetz der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ein systematisches Risikocontrolling der Outsourcing-Partner vor. Mit Bordmitteln allein lässt sich dieses Controlling jedoch nicht umsetzen, da die MEAG selbst über kein ausreichendes Entwickler-Know-how verfügt. Hinzu kommt, dass manuelle Codeprüfungen auf Basis des MEAG-Entwicklerleitfadens sehr zeitaufwändig wären. Daher suchten die IT-Verantwortlichen nach einem Werkzeug zur automatischen „Rechtschreibprüfung“ – und wurden im Virtual Forge CodeProfiler fündig.

Einsatz in mehreren Projektphasen

Der CodeProfiler kommt gleich in mehreren Projektstadien zum Einsatz. Bereits während der Entwicklungsphase bei ITERGO und den Drittanbietern dient er dazu, die SAP-Eigenentwicklungen und SAP-Add-ons schnell und einfach auf Fehler zu scannen. Damit können mögliche Risiken im Code frühzeitig erkannt und beseitigt werden. Ein weiteres Mal wird das Werkzeug von der MEAG direkt vor der Produktivsetzung genutzt, um ganz sicher zu gehen, dass nicht doch schadhafter Code in die vorhandenen SAP-Systeme eingespielt wird. Zusätzlich unterzieht die MEAG alle produktiven SAP-Anwendungen einmal pro Quartal einem Komplettscan, um etwaige Schwachstellen zu lokalisieren, die sich in der Zwischenzeit zum Beispiel bei gegebenenfalls unzureichend geprüften Notfällen eingeschlichen haben könnten.

In jeder Projektphase werden durch die detaillierten Scanergebnisse die Korrekturläufe beschleunigt. Direkt nach der Einführung des CodeProfilers konnte die MEAG zudem die Altlasten in den vorhandenen SAP-Eigenentwicklungen und -Add-ons umfassend identifizieren. Zusätzlich wurden durch die Korrektur vorhandener Schwachstellen in den SAP HANA-Systemen deutliche Performance-Steigerungen erzielt.

Kein eigenes Entwickler-Know-how erforderlich

Für die MEAG hat sich die Einführung der automatischen Code-Prüfungen mehr als gelohnt: Ohne eigenes Entwickler-Know-how aufbauen zu müssen, können der zugelieferte ABAP-Code und die Drittanbieter-Add-ons auf mögliche Schwachstellen und Risiken analysiert werden. Mit jedem Prüfbericht erhalten die IT-Verantwortlichen von den Fremdentwicklern eine Art „TÜV-Protokoll“, das die ordnungsgemäße Programmierung bescheinigt. Im Verbund mit den eigenen Scans können sie damit sicher sein, nur fehlerfreien Code in die vorhandenen SAP-Systeme zu transportieren. Gleichzeitig werden die Revisionsanforderungen in Hinblick auf Codesicherheit und Dokumentation erfüllt.

Die MEAG geht davon aus, durch den Einsatz des CodeProfilers ein bis zwei IT-Mitarbeiter zu sparen, die besser für strategische Aufgaben eingesetzt werden können: Den ABAP-Code und die Add-ons manuell zu überprüfen, wäre ein immenser Aufwand, würde zudem deutlich länger dauern und die Fehleranfälligkeit erhöhen.

* Rainer Velten ist Leiter IT Real Estate / Alternative Investment Solutions bei der MEAG AG.

(ID:44303552)