Angriffsziel SAP Strukturelle Schwächen erhöhen das Risiko für SAP-Landschaften

Anbieter zum Thema

FTAPI Software GmbH

SAP-Systeme stehen im Zentrum geschäftskritischer Abläufe und geraten zunehmend in den Fokus professioneller Angreifer. Technische Schwach­stellen, komplexe Berechtigungen und organisatorische Versäumnisse machen selbst gut abgesicherte Landschaften verwundbar. Es gibt aber Gegenmaßnahmen.

SAP-Landschaften bilden eine wichtige Basis in vielen Unternehmen. Finanzprozesse, Pro­duk­tions­ketten, Personalverwaltung, Lieferantenbeziehungen und internationale Buch­hal­tungs­standards laufen in zentralen Systemen zusammen. Diese hohe Konzentration geschäfts­kri­tischer Daten macht SAP zur begehrten Angriffsfläche. Die Vorstellung, komplexe SAP-Systeme seien von Natur aus schwer angreifbar, unterschätzt jedoch die Realität. Praktische Angriffe und veröffentlichte Sicherheitslücken belegen seit Jahren, dass SAP-Umgebungen systematisch aus­genutzt werden, oft unbemerkt und mit weitreichenden Folgen.

Bildergalerie

Bildergalerie mit 5 Bildern

Praktische Angriffe zeigen strukturelle Schwächen

Die Ausnutzung der NetWeaver-Schwachstelle CVE-2025-31324 zeigt exemplarisch, wie An­grei­fer vorgehen. Die Schwachstelle erlaubte den Upload beliebiger Dateien ohne Authen­ti­fi­zierung. Über diesen Vektor wurde die Linux-Backdoor Auto-Color eingeschleust, die sich tief in das System einbettete, Bibliotheksaufrufe manipulierte und über „ld.so.preload“ eigenen Code vorlud. Die Schadsoftware tarnte Netzwerkverbindungen, passte ihr Verhalten an die Berech­ti­gungs­stufe des Benutzerkontos an und aktivierte ihre vollständigen Funktionen erst, wenn der Kontakt zum Command-and-Control-Server zustande kam. Dieses adaptive Vorgehen er­schwert die Analyse erheblich und zeigt, wie sehr Angreifer die technischen Eigenschaften moderner SAP-Infrastrukturen verstehen.

Parallel dazu häufen sich kritische Schwachstellen in SAP-Produkten. Im SQL Anywhere Mo­ni­tor waren fest codierte Anmeldedaten hinterlegt, die Code-Ausführung ermöglichten. Im So­lu­tion Manager ließ fehlende Eingabebereinigung Code Injection zu. Auch ältere Sicher­heits­lücken wie unsichere Deserialisierung in NetWeaver AS Java oder fehlerhafte Datei-Uploads in Supplier Relationship Management bleiben relevant, da viele Systeme nicht zeitnah gepatcht werden. Die fortlaufende Warnung vor bereits bekannten Schwachstellen verdeutlicht, dass strukturelle Defizite im Patch-Management noch immer zu den größten Risiken gehören.

SAP Patchday November 2025

Fest kodierte Anmeldedaten im SAP SQL Anywhere Monitor

Organisatorische und menschliche Faktoren als Risikotreiber

Neben technischen Problemen wirken organisatorische Schwächen als Verstärker der Be­drohung. Viele Unternehmen betreiben zwar umfangreiche Perimeter-Sicher­heits­maß­nah­men, vernachlässigen jedoch die interne Absicherung. Fehlende Rezertifizierungen führen zu überprivilegierten Konten, die weitreichende Zugriffe ermöglichen. Gleichzeitig bleiben Pro­to­kollierungen und Auswertungsmechanismen unvollständig, wodurch Anomalien häufig erst bemerkt werden, wenn Prozesse gestört oder Daten verändert wurden. Studien belegen, dass ein Großteil erfolgreicher Angriffe auf mensch­liches Fehlverhalten zurückgeht, etwa über Phishing, unsichere Passwörter oder unbedachte Interaktionen mit unbekannten Dateien.

In komplexen SAP-Landschaften handeln geschäftliche, technische und sicherheitsrelevante Prozesse häufig getrennt voneinander. Dadurch entstehen Sicherheitslücken, die weder ein­deutig verantwortet noch systematisch überwacht werden. Organisationen, die SAP-Sicherheit ausschließlich als IT-Aufgabe betrachten, unterschätzen die Bedeutung von abgestimmten Rollen­modellen, definierten Workflows und unternehmensweiter Awareness.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

Risiken durch vernetzte Architekturen und unsichere Profile

SAP-Infrastrukturen bestehen selten aus isolierten Systemen. Anwendungen kommunizieren über RFC, OData, HTTP(S), SOAP, BW/4HANA-Modelle oder Cloud-Gateways miteinander. Fehlt eine konsequente Härtung dieser Schnittstellen, können Angreifer lateral in weitere Systeme eindringen. Eine einzige kompromittierte Komponente öffnet dann den Weg zu Produktions­umgebungen, Analytics-Systemen oder angebundenen Clouddiensten.

Die SAP-Dokumentationen, insbesondere der Sicherheitsleitfaden für SAP BW/4HANA, weisen darauf hin, dass Standardkonfigurationen für produktive Systeme ungeeignet sind. Debug-Modi bleiben aktiv, ICF-Services sind zu weit geöffnet, Logging-Levels sind unzu­reich­end und technische Benutzer verfügen über mehr Rechte als nötig. Ohne konsequente Anpas­sung an produktive Anforderungen entstehen strukturelle Schwachstellen, die Angriffe er­leichtern.

Termine 2025

Wann ist der Patchday von SAP?

Sicherheitsarchitektur, Prozesse und technische Tiefe verbinden

Unternehmen können sich nur schützen, wenn technische Härtung, organisatorische Struk­turen und betriebliche Abläufe konsistent zusammenwirken. Angreifer scannen SAP-Systeme automatisiert nach veröffentlichten Schwachstellen. Ein funktionierendes Patch-Management erfordert nicht nur das Einspielen von SAP Security Notes, sondern auch die Validierung, ob Patches korrekt implementiert wurden. Werkzeuge wie SAP Lifecycle Management, BW/4HANA-­spe­zifische Parameterprüfungen und manuell kontrollierte Abhängigkeiten sind unverzichtbar. Ein Patch gilt erst als sicher, wenn Abhängigkeiten geklärt, Systemtests erfolgt und Rollback-Szenarien definiert wurden.

Feingranulare Rollen und Analyseberechtigungen schützen Bewegungsdaten und Stammdaten. SAP BW/4HANA bietet hierfür spezielle Werkzeuge zur Protokollierung und Überprüfung von Analyseberechtigungen, damit Zugriffe nachvollziehbar bleiben. Die Überprüfung der Berech­ti­gungs­objekte, insbesondere der kritischen Muster wie „S_RS_AUTH“ oder „0BI_ALL“, verhindert, dass ein einzelnes Konto allumfassende Rechte erhält. Regelmäßige Rezertifizierungen sorgen dafür, dass Berechtigungen der tatsächlichen Nutzung entsprechen.

Kommunikationsverbindungen wie RFC, HTTP(S) oder Web Services müssen verschlüsselt und geprüft werden. Der Einsatz von SNC und SSL, restriktive Firewall-Regeln und die Kontrolle der ICF-Services reduzieren die Angriffsfläche erheblich. ICF-Handler sind so zu konfigurieren, dass nur benötigte Endpunkte aktiv bleiben. SAP empfiehlt ausdrücklich, Debug- und Ent­wick­ler­schnittstellen in produktiven Instanzen zu deaktivieren.

Teil 2: Kernaspekte eines SAP-Cybersicherheitsprogramms

Cybersicherheit für SAP: Umsetzung in der Praxis

Schutz der Linux-Basis und Integritätskontrolle

Da viele SAP-Systeme auf Linux basieren, sind Mechanismen notwendig, um Manipulationen an Bibliotheken oder Startskripten zu erkennen. Die Auto-Color-Backdoor nutzte die Möglichkeit, „ld.so.preload“ umzuschreiben und eigene Bibliotheken einzuschleusen. Integritätsprüfungen, strikte Rechtevergaben auf Systempfade und regelmäßige Validierungen kritischer Dateien wir­ken solchen Angriffen entgegen.

Gefährliche Malware „Auto-Color“

Linux-Backdoor über SAP-Schwachstelle eingeschleust

Monitoring, Logging und forensische Nachvollziehbarkeit

SAP BW/4HANA unterstützt detaillierte Lesezugriffsprotokolle und Protokollmechanismen für Änderungen an Stammdaten, Analyseberechtigungen und Hierarchien. Diese Funktionen müs­sen aktiv konfiguriert und in zentrale SIEM-Systeme integriert werden. Eine Proto­kol­lier­ung ist nur wirksam, wenn sie kontinuierlich ausgewertet wird. Unternehmen profitieren von auto­ma­ti­sierten Korrelationen, die untypische Muster wie Massenexporte, unübliche Stamm­da­ten­änderungen oder überdurchschnittliche RFC-Aufrufe frühzeitig erkennen.

Teil 3: Shared Responsibility

Cybersicherheit für SAP: Tools & Verantwortlichkeiten

Zero-Trust-Prinzipien für SAP-Landschaften

Zugriffe müssen unabhängig vom Ursprung geprüft werden. Zero-Trust bedeutet strenge Au­then­tifizierung, kontextbasierte Autorisierung und transparente Nutzungsprotokolle. Auch interne Benutzer erhalten nur Zugriff, wenn die Kombination aus Identität, Gerät, Standort und Verhalten stimmig ist. Die Integration von IAM- und IGA-Lösungen verbessert die Kontrolle über technische und geschäftliche Benutzer.

Die aktuelle Entwicklung zu souveränen Cloud-Lösungen zeigt, dass SAP-Sicherheit zu­neh­mend von geopolitischen Risiken beeinflusst wird. Kooperationen wie die zwischen Delos Cloud, Bleu und Microsoft ermöglichen den Weiterbetrieb kritischer SAP-Workloads selbst unter geo­politischem Druck oder bei Ausfall externer Cloud-Angebote. Unternehmen sollten Sze­na­rien planen, in denen Cloud-Services beeinträchtigt sind, und resilient ausgelegte Betriebsmodelle aufbauen

Zero Trust als neues Paradigma der IT-Sicherheit

Zero Trust in der Praxis: Chancen, Stolperfallen und NIST-Leitlinien

Schulungen und Sicherheitskultur

Technische Maßnahmen wirken nur, wenn Anwender Risiken erkennen und verant­wor­tungs­voll handeln. Regelmäßige Awarenesstrainings, Phishing-Simulationen und Kommu­ni­ka­tions­stra­te­gien tragen dazu bei, SAP-Sicherheit als kontinuierlichen Prozess zu etablieren. Eine Sicherheitskultur entsteht erst, wenn alle Beteiligten die Bedeutung der Daten verstehen, die sie täglich verarbeiten.

Der richtige Weg zur menschlichen Firewall

So gelingt der Aufbau einer Sicherheitskultur im Unternehmen

Fazit: SAP-Sicherheit erfordert einen integrierten Ansatz

SAP-Systeme sind keine isolierten IT-Komponenten, sondern hochkomplexe Plattformen, die technische, organisatorische und geschäftliche Prozesse verbinden. Angriffe wie die Ein­schleu­sung von Auto-Color, kritische HotNews-Sicherheitslücken oder lateral genutzte System­ver­bin­dungen zeigen, dass strukturelle Schwachstellen nur durch eine umfassende Sicher­heits­stra­tegie behoben werden können. Unternehmen, die Patch-Management, Berechtigungsmodelle, Systemhärtung, Monitoring, Notfallpläne und Schulungen miteinander verknüpfen, steigern ihre Widerstandsfähigkeit erheblich und reduzieren das Risiko schwerwiegender Betriebs­unterbrechungen.

Software für das Identity- und Access Management

Management von Usern und Be­rech­ti­gung­en in SAP und darüber hinaus

(ID:50654172)