Teil 3: Shared Responsibility Cybersicherheit für SAP: Tools & Verantwortlichkeiten

Anbieter zum Thema

Onapsis GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Sicherheit in SAP-Systemen erfordert klare Rollenverteilung zwischen SAP-Team und IT-Security sowie den Einsatz spezialisierter Tools für Schwach­stellen­management, Schnittstellen-Überwachung und Incident Response. Nur wer Verantwortlichkeiten eindeutig regelt und moderne Sicherheits­lösungen nutzt, minimiert Risiken und schützt geschäftskritische Prozesse.

Nach den Grundlagen und Best Practices (Teil 1) sowie der praktischen Umsetzung (Teil 2) widmet sich der dritte Teil unserer Serie zur SAP-Cybersicherheit den Fragen: Wer trägt welche Verantwortung für die Sicherheit von SAP-Systemen – und welche Tools sind notwendig, um dieser Verantwortung gerecht zu werden? Denn Cybersicherheit ist nicht nur eine Frage der Technik, sondern auch der klaren Zuständigkeiten.

Das Shared Responsibility Model von SAP: Verantwortung klug aufteilen

Wie in der Cloud allgemein üblich, basiert auch das Sicherheitsverständnis bei SAP zunehmend auf dem Prinzip der geteilten Verantwortung. Dieses sogenannte Shared Responsibility Model legt genau fest, welche Aufgaben SAP als Anbieter übernimmt – und wo die Pflichten der Kunden beginnen. Je nach Betriebsmodell (On-Premises, Private oder Public Cloud, RISE with SAP) verschieben sich diese Verantwortungsgrenzen.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

Beispielsweise stellt SAP in der Cloud sicher, dass die zugrunde liegende Infrastruktur – also etwa Rechenzentren, physische Sicherheit der Hardware-Komponenten, grundlegende Systemverfügbarkeit oder Plattform-Updates – abgesichert ist. Was Unternehmen dabei zwingend beachten und auf keinen Fall unterschätzen sollten: Sobald es jedoch um den Betrieb und Schutz der eigentlichen SAP-Applikationen und der darin verarbeiteten Daten geht, liegt die Verantwortung letztlich klar beim Kunden. Dazu gehören unter anderem: die korrekte Konfiguration der SAP-Systeme, die zeitnahe Installation von Patches, das Berechtigungs- und Benutzer-Management, der Schutz sensibler Daten und die kontinuierliche Überwachung auf Bedrohungen oder Fehlkonfigurationen. Dies sind ganz zentrale Sicherheitsaspekte, auf die IT-Verantwortliche ein Augenmerk legen sollten und je nach Cloud-Service-Modell und -Paket zwar zum Teil vom SAP übernommen werden, im Wesentlichen jedoch in der Verantwortung des Kunden liegen.

Für SAP-Anwender ist es daher unerlässlich, die Verantwortlichkeiten im Detail zu kennen und die klare Trennung zwischen Anbieter- und Kundenpflichten zu verstehen – denn Fehl­ein­schät­zung­en in diesem Bereich können zu gravierenden Sicherheitslücken führen. Zur Orientierung bietet SAP dazu sehr detaillierte Informationen. Dies ist besonders im Zusammenhang mit RISE with SAP wichtig, da sich diese Grenzen abhängig von mehreren Variablen verschieben.

Teil 2: Kernaspekte eines SAP-Cybersicherheitsprogramms

Cybersicherheit für SAP: Umsetzung in der Praxis

Klare Verantwortlichkeiten im Unternehmen festlegen

Um dem Shared Responsibility Model gerecht zu werden, müssen Unternehmen auch intern klare Zuständigkeiten definieren. SAP-Security darf kein Niemandsland zwischen SAP-Betriebsteam und IT-Security bleiben – vielmehr bedarf es einer engen Verzahnung dieser beiden Bereiche.

Typischerweise sind die SAP-Teams für den operativen Betrieb, das Customizing und die Weiterentwicklung der Anwendungen zuständig. Sie kennen die Prozesse, die Eigenheiten und die Abhängigkeiten ihrer Systeme im Detail – häufig jedoch ohne dezidierte Sicherheitsbrille.

Auf der anderen Seite stehen die IT-Sicherheits­abteilungen, etwa unter Führung eines CISO, die über das nötige Know-how in Sachen Angriffs­vektoren, Risikoanalyse und Security Policies verfügen – aber oft nicht tief genug in der SAP-Welt verankert sind.

Deshalb ist es entscheidend, übergreifende SAP-Security-Rollen zu etablieren, die als Brücke zwischen beiden Bereichen fungieren. Solche Rollen sind beispielsweise: SAP-Security-Architektinnen und Architekten mit Fokus auf die Gesamtsicherheit der Landschaft, Verantwortliche für SAP-Berechtigungen und Identity Management, technische Rollen für Patch-Management und Schnittstellen-Absicherung, Rollen für Compliance, Audits und Reporting sowie Verantwortliche für die Administration und Auswahl passender Sicherheitslösungen.

Nur wenn diese Rollen klar definiert, zugeordnet, mit entsprechenden Befugnissen ausgestattet sind und sich vor allem untereinander absprechen und miteinander kommunizieren, können Unternehmen ihre SAP-Systeme proaktiv schützen.

SAP Patchday Juni 2025

6 SAP-Schwachstellen basieren auf fehlender Berechtigungsprüfung

Technische Werkzeuge: Was SAP-Landschaften heute brauchen

Neben organisatorischen Maßnahmen sind spezialisierte ERP-Security-Tools unverzichtbar, um die Sicherheit komplexer SAP-Umgebungen sicherzustellen. Dabei geht es nicht um „Nice-to-have“-Technik, sondern um fundamentale Bausteine einer modernen SAP-Cybersicherheitsstrategie.

1. Schwachstellenmanagement und Patch-Analyse
Tools für automatisierte Schwachstellenanalysen und -beseitigung prüfen SAP-Systeme kontinuierlich auf bekannte Sicherheitslücken, liefern Priorisierungs­empfehlungen auf Basis der Kritikalität und schließen die Schwachstellen automatisch. Moderne Lösungen bieten dabei nicht nur technische Auswertungen, sondern integrieren auch weitere Bedrohungs­in­for­ma­ti­onen (Threat Intelligence), wie zum Beispiel über aktiv ausgenutzte Schwachstellen oder neue Angriffsvektoren.

2. Transport- und Change-Management-Analyse
Da SAP-Transporte kritische Konfigurationsänderungen mit sich bringen können, braucht es Kontrollinstanzen, die gefährliche oder ungewollte Änderungen erkennen, noch bevor sie in die Produktivumgebung gelangen. Ganzheitliche Sicherheitslösungen analysieren Transport­scheine in Echtzeit, überprüfen Berechtigungen und zeigen Verstöße gegen Richtlinien auf.

3. Monitoring von Schnittstellen und Verbindungen
SAP-Systeme sind über RFC, SOAP, OData oder REST eng mit anderen Anwendungen vernetzt. Fehlerhafte oder unzureichend geschützte Schnittstellen gehören zu den häufigsten Einfalls­toren für Angriffe. Tools zur Schnittstellenüberwachung können ungewöhnliche Aktivitäten erkennen, nicht autorisierte Verbindungen blockieren und Protokolle analysieren.

4. Code Security für ABAP und kundenspezifische Entwicklungen
Gerade Eigenentwicklungen bergen hohe Risiken: Unsicherer ABAP-Code kann Sicherheits­lücken ins System bringen. Deshalb ist es sinnvoll, Werkzeuge einzusetzen, die Quellcode auf Schwachstellen prüfen – idealerweise integriert in die Entwicklungs- und Testumgebung.

Sicherheitslücke ermöglicht Systemkontrolle

Notfallpatch für kritische Zero-Day-Schwachstelle in SAP NetWeaver

5. Compliance- und Audit-Reporting
Zur Einhaltung gesetzlicher Vorgaben (z. B. DSGVO, SOX) sowie interner Richtlinien sind umfassende Reporting-Funktionen notwendig. Moderne Tools erfassen, korrelieren und visualisieren sicherheitsrelevante Ereignisse in einem zentralen Security Dashboard.

6. Incident Detection & Response für SAP
Im Fall eines Angriffs zählt jede Minute. Lösungen für SAP-spezifisches Threat Detection ermöglichen die Echtzeiterkennung verdächtiger Aktivitäten – etwa unautorisierte Änderungen an kritischen Objekten oder verdächtige Benutzerverhalten – und ermöglichen automatisierte Reaktionen, z. B. durch die Deaktivierung von Benutzerkonten oder das Blockieren von IP-Adressen.

7. Automatisierung zur Entlastung und Beschleunigung
Angesichts zunehmender Bedrohungen, knapper Ressourcen und hoher Komplexität ist Automatisierung ein Schlüsselfaktor für die SAP-Sicherheit. Besonders kleinere IT-Teams profitieren von Tools, die wiederkehrende Prüf- und Schutzmaßnahmen automatisiert übernehmen – etwa Schwachstellen-Scans, Patch-Management oder die Analyse von Transporten. Das reduziert Fehler, beschleunigt Reaktionszeiten und schafft Transparenz. Anbieter wie Onapsis bieten hierfür spezialisierte Lösungen, die Risiken automatisch erkennen, priorisieren und mit konkreten Handlungsempfehlungen verknüpfen. So lassen sich Sicherheit und Effizienz selbst bei begrenzten personellen Ressourcen nachhaltig steigern.

Software für das Identity- und Access Management

Management von Usern und Be­rech­ti­gung­en in SAP und darüber hinaus

Fazit: SAP-Security ist Teamarbeit – mit klar verteilten Rollen und unterstützenden Tools

SAP-Systeme sind das Herzstück vieler Unternehmen – und gerade deshalb ein attraktives Ziel für Cyberkriminelle. Der Schutz dieser Systeme ist keine rein technische Aufgabe, sondern verlangt klare Verantwortlichkeiten, übergreifende Zusammenarbeit und den Einsatz spezialisierter Sicherheitstechnologien.

Das Shared Responsibility Model von SAP macht deutlich: Unternehmen müssen ihre Hausaufgaben machen. Wer SAP-Security systematisch angeht, die internen Rollen definiert und auf bewährte Werkzeuge zurückgreift, kann seine Systeme nicht nur schützen, sondern auch Compliance sicherstellen und im Ernstfall schnell reagieren. Cybersicherheit ist ein Prozess. Doch wer ihn mit der nötigen Klarheit und Struktur angeht, macht SAP zum sicheren Rückgrat der digitalen Transformation.

Termine 2025

Wann ist der Patchday von SAP?

Weiterführende Informationen und tiefer greifende Details finden Sie außerdem in dem aktuellen Buch und E-Book „Cybersecurity for SAP“ (ISBN: 978-1-4932-2593-4) von SAP-Press.

Über den Autor: Juan Pablo „JP“ Perez-Etchegoyen ist Chief Technology Officer bei Onapsis.

(ID:50453606)