SAP-Security: Deutliche Lücke zwischen gefühlter und realer Sicherheit

SAP-Systeme steuern Finanzen, Produktion und Personalwesen und gehören damit zu den wertvollsten Zielen für Cyberkriminelle. Nichtsdestotrotz sind zahlreiche SAP-Landschaften nur unzureichend gegen Hackerangriffe und Malware geschützt: Laut aktuellen Studien schätzen viele Unternehmen ihre eigene Sicherheitslage deutlich zu positiv ein.

SAP-Systeme werden zum bevorzugten Angriffsziel

Die Bedrohung aus dem Cyberspace wächst. 2025 wurden allein in Deutschland rund 334.000 Fälle von Cybercrime registriert, die Dunkelziffer dürfte laut Bundesinnenministeriums noch deutlich höher liegen. Vor allem Ransomware-Angriffe nehmen zu. Laut Bitkom wurden 45 Prozent der deutschen Unternehmen in den vergangenen zwölf Monaten Opfer von Ransomware-Angriffen. Immer häufiger zielen diese auf die empfindlichste Stelle der Unternehmens-IT ab: Die ERP-Software.

SAP-Systeme sind für Cyberkriminelle offenbar besonders interessant. Untersuchungen zufolge ist die Zahl der Ransomware-Vorfälle, bei denen SAP-Systeme und Daten in den betroffenen Unternehmen kompromittiert wurden, seit 2021 um 400 Prozent gestiegen. SAP S/4HANA-Transformationen und der Einsatz von KI verschärfen die Lage: „Ein verändertes Betriebsmodell und die Zunahme von Schnittstellen durch die Einführung von SAP S/4HANA bedeuten, dass sich die Anzahl potenzieller Angriffsflächen für SAP-Systeme erhöht und Angreifenden somit eine günstige Ausgangslage verschafft wird“, warnt die Prüfungsgesellschaft KPMG deshalb in einem aktuellen Whitepaper.

SAP-Security ist nicht nur ein Thema für Konzerne und Großunternehmen. Auch für kleinere Betriebe gibt es in Sachen IT-Security durchaus Luft nach oben. „Der Mittelstand überschätzt seine Cyberresilienz“, konstatiert eine PwC-Studie mit Blick auf die Lücke zwischen gefühlter und realer IT-Sicherheit im Mittelstand. Denn: gerade einmal 11 Prozent der 400 befragten Unternehmen gaben an, dass sie in den letzten 12 Monaten Ziel eines erfolgreichen Cyberangriffs wurden. Wohingegen die Bitkom-Wirtschaftsschutzstudie vermeldet, dass 2025 fast drei Viertel (73 Prozent) der befragten Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen waren. Das weist auf eine erhebliche Dunkelziffer hin.

SAP-Security: Wie groß ist die Reifegrad-Lücke?

Besonders aufschlussreich ist der Abgleich zwischen Selbsteinschätzung und externer Prüfung. PwC vergleicht die Umfrageergebnisse mit eigenen Reifegrad-Assessments bei 340 mittelständischen Unternehmen und stellt in allen sechs NIST-Dimensionen, von Governance bis Recovery, eine Abweichung von ein bis zwei Reifegradstufen fest.

Und laut KPMG kommt für SAP-Landschaften sogar noch eine weitere Komplexitätsebene hinzu: Mit SAP S/4HANA, Fiori und der wachsenden Zahl an Schnittstellen zu Cloud-Diensten wie Ariba oder SuccessFactors steigen die Anforderungen an das Rollen- und Berechtigungsmanagement, während umgekehrt die Zuständigkeiten zwischen SAP-Basisteam, IT-Security und Fachbereichen oft unklar bleiben.

Welche blinden Flecken oft unentdeckt bleiben

Ein Grund für die Lücke liegt in der technischen Eigenheit von SAP-Systemen. Firewall und Endpoint-Schutz erfassen zwar den SAP-Datenverkehr, können SAP-eigene Protokolle wie RFC und DIAG aber nicht interpretieren. Von innen bleiben Berechtigungswildwuchs, Fehlkonfigurationen und ein ungenutztes Security Audit Log häufig über lange Zeit unbemerkt.

„SAP-Systeme steuern die wichtigsten Geschäftsprozesse in den Unternehmen. Firewall und Endpoint sehen den SAP-Traffic, verstehen RFC und DIAG aber nicht“ erklärt Christian Schuller, SAP Security Consultant bei Claranet. „Genau hier beginnt der blinde Fleck, den wir sichtbar machen wollen.“ Beim SAP-Security-Special der 25. IT-OnlineKonferenz spricht der Claranet-Experte zudem darüber, wie sich SAP Logs mit Kontext und Korrelationsregeln ins SIEM integrieren lassen und was NIS2 und Paragraf 38 BSIG für die Haftung der Geschäftsleitung bedeuten.

Was Unternehmen aus der Praxis lernen können

Wie der Weg zu sicheren SAP-Landschaften aussehen kann, zeigen die Erfahrungen der Zapp Gruppe. Der Metallverarbeiter stand nach seiner SAP-S/4HANA-Migration vor einem roten Security-Bericht und hat gemeinsam mit Onapsis Schritt für Schritt aufgeräumt. „Auch nach einer störungsfreien S/4HANA-Migration kann die SAP-Sicherheit noch lückenhaft sein“, sagt Dr. Rainer Schmitz, Corporate Manager Process Management bei Zapp. Entscheidend sei, erst dort aufzuräumen, wo es nötig ist, und dann schrittweise SAP Security als kontinuierlichen Prozess zu integrieren. Tiefere Einblicke ins Projekt gibt es am 21. September bei der IT-OnlineKonferenz.

Sicherheitsanforderungen für KRITIS-Betreiber

Als Betreiber kritischer Infrastruktur sind die Stadtwerke München in Sachen SAP Security besonders gefordert: „Die Herausforderung ist, die eigenen Gestaltungsspielräume zu kennen, um regulatorische Anforderungen, Architektur und Betrieb in Einklang zu bringen und daraus wirtschaftlich eine sichere Ziellandschaft zu entwickeln“, fasst Árpád Kovács, SAP-Security Architekt bei den Münchener Stadtwerken zusammen. Wie man aus regulatorischen Anforderungen sicher und ohne Aktionismus Prioritäten für SAP-Security ableiten und fest im Betrieb verankern kann, zeigt Matthias Nitschke vom Implementierungspartner itesys gemeinsam mit den Stadtwerken München am 23. September.

Anzeige

25. IT-OnlineKonferenz: SAP-Security Special

Vom 21. bis 24. September 2026 widmen wir uns beim Themenspecial der 25. IT-OnlineKonferenz intensiv der Frage, wie sich die Lücke zwischen gefühlter und tatsächlicher Sicherheit schließen lässt. CSOs und Entscheider aus IT- und Fachbereich erhalten wertvolle Impulse aus Strategieberichten, Erfahrungen und Empfehlungen von SAP-Kunden und SAP-Partnern.

Agenda & Anmeldung