Warum jede SAP-Erweiterung eine Sicherheitsentscheidung ist

Maximale Stabilität und hohe Veränderungsfähigkeit ist das, was Unternehmen heute von ihrer SAP-Landschaft erwarten. Der operative Kern soll laufen, Sicherheitslücken schnell geschlossen werden, und trotzdem sollen neue Services, Automatisierung und KI schnell Mehrwert schaffen. Jede SAP-Erweiterung, die dafür nötig ist, verschiebt aber Vertrauensgrenzen. Michael Krammer und Stefan Hinterwälder von FIS erläutern in ihrem Gastbeitrag, wo dabei Sicherheitsrisiken entstehen und wie sich Erweiterungen wirksam absichern lassen.

Vier Vertrauensgrenzen – ein Sicherheitsrahmen

In unseren Projekten hat sich eine einfache Frage bewährt: Wer handelt hier eigentlich und lässt sich das später zweifelsfrei nachvollziehen?

Ein pauschales Richtig oder Falsch gibt es dabei nicht. Als Werkzeug hat sich in unserer Praxis allerdings die Definition von vier Vertrauensgrenzen bewährt.

1. Identität: Wer greift zu? Ist es ein interner oder externer Anwender, eine Anwendung, ein technischer Service, ein Partner oder ein KI-Service? Jede dieser Identitäten muss registriert, verifiziert und einer verantwortlichen Stelle zugeordnet sein. Technische Benutzer brauchen einen Owner, regelmäßig gewechselte Zugangsdaten und einen eindeutig begrenzten Zweck.
2. Berechtigung: Was darf sie? Lesen, anlegen, ändern, genehmigen und Geschäftsvorgänge auslösen erfordern ein granulares Berechtigungsmanagement. So muss beispielsweise ein Mitarbeiter im Wareneingang die Anlieferfenster des Tages zwar sehen, darf sie aber keinesfalls eigenmächtig verschieben, sonst herrscht Chaos an den Toren. Bei KI-Services stellt sich zusätzlich die Frage, ob sie überhaupt buchen dürfen.
3. Schnittstelle: Über welchen Weg? Zugegriffen wird über freigegebene APIs, einen Integration Layer, Events oder definierte Dokumentenkanäle. Direkte Zugriffe auf interne Strukturen und Datenbanken sind tabu, weil sie Berechtigungsprüfungen umgehen und jedes Upgrade zum Risiko machen.
4. Nachweis. Wie wird Kontrolle möglich? Protokolle müssen zeigen, wer was warum geändert hat, und zwar über Systemgrenzen hinweg. Monitoring und Alarm schlagen an, wenn etwa externe Zugriffe überhandnehmen. Und fachlich bleibt nachvollziehbar, warum eine Erweiterung oder eine KI einen Vorgang ausgelöst hat.

Drei Beispiele aus unserer Projektpraxis verdeutlichen dies:

• Intelligente Bestelloptimierung
  Die intelligente Bestelloptimierung führt SAP-Bestellvorschläge mit Frankogrenzen, Staffelpreisen und Kontingenten zusammen. Weil die Kopplung an die SAP-Bestellung besonders hoch ist, wurde sie On-Stack umgesetzt über freigegebene APIs und definierte Erweiterungspunkte, ohne Modifikationen. Aus Sicherheitssicht entstehen damit weder eine zusätzliche Schnittstelle noch neue Identitäten. Das vorhandene Berechtigungskonzept wird weiter genutzt. Side-by-Side hätte dagegen die Angriffs- und Betriebsfläche erhöht, ohne fachlichen Mehrwert zu bieten

• Side-by-Side-Zeitfenstersteuerung
  Bei der digitalen Zeitfenstersteuerung buchen Spediteure und Lieferanten Zeitslots für ihre Anlieferung. Weil externe Benutzergruppen zugreifen, die Anwendung einen eigenen Release-Zyklus braucht und unabhängig skalieren muss, läuft sie Side-by-Side und ist über definierte Services an SAP angebunden. Aus Sicherheitssicht greift damit kein Externer direkt auf das ERP zu. Externe Identitäten werden trotzdem registriert, verifiziert und angemeldet, jede Spedition sieht nur ihre eigenen Buchungen. Jede Eingabe wird protokolliert.

• Dokumentenverarbeitung in der Cloud
  Bei der intelligenten Dokumentenverarbeitung liest ein Cloud-Service Aufträge, Rechnungen oder Lieferavise aus. Warum? KI-Modelle entwickeln sich mit enormer Geschwindigkeit und niemand möchte auf Release-Upgrades warten. Zu klären ist dabei, wo die Originaldokumente liegen, welches Modell genutzt wird und wie Mandantentrennung, Verschlüsselung und Löschung geregelt sind. Ebenfalls wichtig: Ein hoher Konfidenzwert bedeutet noch lange nicht, dass das Ergebnis fachlich korrekt ist. Deshalb gehen die Daten erst nach der Validierung gegen Bestellung, Stammdaten und Toleranzen ans SAP, unklare Fälle landen beim Human in the Loop. Die KI darf erkennen und vorbereiten, die geschäftliche Wirkung bleibt kontrolliert und nachvollziehbar im SAP.

Wie fangen Unternehmen pragmatisch an?

Oft hören wir die Sorge, dass Diskussionen um Sicherheits- und Architekturfragen zu Projektbeginn das gesamte Projekt verzögern könnten. Unsere Erfahrung ist allerdings, dass Projekte dadurch früher konkret werden und fehlende Rollen nicht erst kurz vor dem Go-live auffallen. Wer eine Erweiterung plant, sollte deshalb zu Beginn prüfen, ob sie einen Wettbewerbsvorteil schafft, wie eng sie an SAP-Daten hängt, wie schnell sie sich verändern muss und welche Risiken entstehen. Zusammen mit den vier Vertrauensgrenzen ergibt sich daraus, ob die Erweiterung im Standard, On-Stack, Side-by-Side oder als Cloud-Service am besten aufgehoben ist – und Security ist von Anfang an mitgedacht.

 

Anzeige