SAP-Security-Umfrage: Grundschutz etabliert, Monitoring kritisch unterversorgt

In Sachen SAP-Sicherheit liegen in der SAP-Community laut der Trendumfrage des IT-OnlineMagazins Anspruch und Umsetzung noch weit auseinander. 38 Prozent der Befragten stufen SAP-Security als hohe strategische Priorität, weitere 35 Prozent als integralen Bestandteil des operativen Betriebs ein. Nur vereinzelt (3 Prozent) wird der eigene Ansatz als rein reaktiv beschrieben, geringe Bedeutung misst ihm niemand bei. Aber: Fast jeder fünfte Befragte (17 Prozent) gibt an, dass SAP-Security zwar wichtig sei, aktuell jedoch nicht priorisiert werde. „Auf den ersten Blick erscheint das wie eine recht starke Ausgangslage“, sagt IT-OnlineMagazin-Chefredakteurin Maike Rose. „Bei genauerem Hinschauen fällt jedoch auf, dass strategische Selbsteinschätzung und die operative Realität oft auseinanderfallen.“

Wenn es darum geht, welche Security-Ebenen im Unternehmen abgedeckt sind, dominiert die Infrastruktur: 79 Prozent nennen Betriebssystem, Netzwerk und Datenbank. Benutzer- und Berechtigungsmanagement sowie SAP-Basis-Härtung folgen mit 69 Prozent. Diese drei Bereiche bilden den klassischen Grundschutz und sind offensichtlich mehrheitlich etabliert.
Schwächer sieht es auf den Ebenen aus, die ein reifes Security-Programm kennzeichnen. Der Umfrage zufolge hat nur jedes zweite SAP-Anwenderunternehmen Identity & Access Management, also strukturierte Provisionierung und SSO (50 Prozent) sowie Monitoring & Logging (47 Prozent) auf dem Schirm. Lediglich knapp ein Drittel der Befragten kümmern sich um Security Incident Management und ABAP Code Security von Individualentwicklungen (31 Prozent). Und jeder zehnte (10 Prozent) hat keine oder keine klaren Informationen zur Abdeckung der unterschiedlichen Security-Ebenen im eigenen Unternehmen.

„Aus unserer Erfahrung ist es häufig das Problem, dass dem IT-Security-Team das Verständnis für SAP als Applikation und deren spezifischen Angriffsflächen fehlt, dem SAP-Betriebsteam im Gegenzug tiefgreifendes Security-Know-how und Budgets, um Sicherheitsmaßnahmen umzusetzen“, so Matthias Nitschke, Teamlead SAP Security & Authorizations bei itesys. „Für eine ganzheitliche Security-Strategie ist es daher entscheidend, Brücken zwischen den Bereichen zu bauen.“

Im Bereich Security-Monitoring offenbart die Umfrage weitere Schwachstellen. 36 Prozent der Umfrageteilnehmenden werten SAP-Protokolle manuell aus. Fast ebenso viele (35 Prozent) setzen auf ein zentrales SIEM-System wie Splunk, Sentinel oder Elastic. Eine SAP-spezifische Lösung wie SAP Enterprise Threat Detection nutzt hingegen nur jeder Dritte (33 Prozent), etwa jeder Sechste (18 Prozent) hat das Thema Monitoring zwar auf dem Schirm, aber noch nicht umgesetzt. Sieben Prozent verfügen aktuell über kein Security-Monitoring oder sehen auch keines vor.

Die größten Herausforderungen beim Security-Monitoring: Fehlende interne Ressourcen (58 Prozent), technische Komplexität (48 Prozent), hohe Lizenz- und Betriebskosten (40 Prozent) sowie fehlendes SAP-spezifisches Know-how (38 Prozent). Rund jeder dritte Befragte (34 Prozent) moniert, dass zentrale SIEM-Lösungen SAP nicht ausreichend abdecken. Jeder Vierte (26 Prozent) kritisiert die „mangelnde Zusammenarbeit zwischen SAP-Basis und Security/SOC“ jeder fünfte (20 Prozent) die Anzahl an Fehlalarmen.

Security-Monitoring an SAP-Systemen scheitert offensichtlich nicht nur an Technologie oder Budget. Die organisatorischen Grenzen zwischen Teams, die historisch getrennt voneinander arbeiten, trägt ebenfalls zu einer unzureichenden Überwachung der SAP-Landschaften bei. Das bestätigen auch die Praxiserfahrungen von itesys-Experte Christoph Wolf. „Wir empfehlen deshalb einen strukturierten Aufbau des Monitorings, das Etablieren von Prozessen und klaren Verantwortlichkeiten und den kontinuierlichen Betrieb“, sagt der SAP Security Architect. „Es ist schon mit wenig Aufwand eine gute Transparenz möglich.“

SAP-Security ist in den Unternehmen strategisch angekommen, die operative Umsetzung folgt jedoch nicht im gleichen Tempo. Der klassische Grundschutz ist mehrheitlich vorhanden, aber ein reifes Security-Programm mit aktivem Monitoring, ABAP-Code-Security und strukturiertem Incident Management steht in der Mehrheit der SAP-Anwenderunternehmen noch aus. Fehlende Ressourcen und organisatorische Trennlinien zwischen SAP-Basis und Security-Teams bremsen den Reifegrad ebenfalls. Der nächste Schritt ist kein rein technischer, sondern ein struktureller. „Nun geht es darum, den Shift von der infrastrukturellen Betrachtung zur unternehmensweiten Governance-Aufgabe technologisch wie organisatorisch zu vollziehen“, resümiert Rose.