Sicherheit für die SAP Business Data Cloud

Die Anfang 2025 vorgestellte SAP Business Data Cloud – zusammen mit Databricks entwickelt – zielt darauf ab, alle Daten von SAP und Drittanbietern zu vereinheitlichen und zu verwalten. SAP will dadurch eine vertrauenswürdige Grundlage für wirkungsvolle Entscheidungsfindung und zuverlässige KI schaffen. Daten treiben in Unternehmen heute die Abläufe voran, ihre Sicherung ist deshalb von größter Bedeutung. Welche Strategien zum Schutz der SAP Business Data Cloud, die auf der SAP Business Technology Platform (SAP BTP) fußt und Kernbestandteil von Cloud ERP ist, sollten Anwenderunternehmen verfolgen? Damit beschäftigt sich Holger Hügel (SecurityBridge) in seinem Gastbeitrag.

Drei Strategien für den Datenschutz in SAP BDC

Als SaaS-Angebot und Weiterentwicklung von SAP BW/4HANA und SAP Datasphere kombiniert die Business Data Cloud die Komponenten SAP Datasphere, SAP Analytics Cloud und SAP Joule mit Data-Lake-Funktionen von Databricks. Resultat ist eine einheitliche Plattform für Data Engineering, maschinelles Lernen und KI-Workloads. Die Lösung unterstützt auch ein offenes Daten-Ökosystem, das mit Partnern wie Collibra, Confluent und DataRobot integriert wird.

1. Kontinuierliches Monitoring

Um Anomalien zu erkennen, Warnungen auszulösen und Sicherheitsvorfälle zu verhindern, sollten SAP-Kunden einen Sicherheitsschild um ihre SAP Business Data Cloud errichten. Dieses basiert auf einem Template vorkonfigurierter Regeln, die das integrierte SAP-Sicherheitswissen nutzen. Leistungsfähige SAP-Security-Plattformen haben dafür hunderte von Threat-Detection Regeln vorkonfiguriert und erkennen sofort anhand dieser Wissensbasis bekannte Angriffsvektoren und bösartige Aktivitäten innerhalb ihres SAP Business Warehouse oder ihrer SAP-BTP-basierender Anwendungen.

Zero-Day-Bedrohungen werden über eine Anomalie-Erkennungs-Engine aufgespürt und Patches eingespielt, sobald neue kritische SAP-Schwachstellen entdeckt werden. Im Idealfall nutzen SAP-Kunden ein SIEM für SAP: Es schlägt die Brücke zwischen dem Threat Detection & Response-Prozess auf der SAP-Betriebsebene und dem übergreifenden IT-Sicherheitsprozess auf Unternehmensebene. Die Security-Plattform sendet an das SOC-Team dabei nur vorgefilterte Ereignisse, die mit entscheidungsrelevanten Meldungen korrelieren. Dies hält die SIEM-Betriebskosten niedrig und liefert Know-how dort, wo es benötigt wird.

2. Compliance und Applikationssicherheit 

Die Einhaltung von Branchenvorschriften und Standards wie GDPR, NIST oder NIS2 ist entscheidend für die Wahrung der Datenintegrität und des Vertrauens in die SAP Business Data Cloud. Unternehmen sollten regelmäßig Schwachstellenanalysen und Sicherheitsaudits durchführen, um die Sicherheitslage ihrer Datenumgebung zu bewerten. Jede Vorschrift hat ihre eigenen Anforderungen, was es schwierig macht, umfassende Compliance und Governance für alle Systeme zu gewährleisten.

Ein guter Ausgangspunkt ist die SAP Security Baseline, die von SAP regelmäßig aktualisiert wird. Sie enthält einen Mindeststandard für sichere Einstellungen in SAP-Umgebungen. Die unverzügliche Behebung festgestellter Schwachstellen trägt zur Risikominimierung bei. Sie ist wie gesagt jedoch nur ein Ausgangspunkt, weshalb sich der Einsatz einer Third-Party-Security-Plattform empfiehlt. Eine solche enthält eine darüberhinausgehende Baseline mit Best-Practices-Empfehlungen für die Absicherung von SAP-Systemen und -Umgebungen.

Eine kontinuierlich aktualisierte Security Roadmap für SAP erstellt eine Rangfolge dieser Empfehlungen auf der Grundlage eines ausgewogenen Verhältnisses zwischen Ausnutzungsrisiko und Lösungskomplexität. Die Roadmap beginnt mit den so genannten  “low hanging fruits”, die ein hohes Risiko aufweisen, aber leicht zu entschärfen sind, und enthält alle notwendigen Details für die Entscheidungsfindung sowie die empfohlenen Parameterwerte. Auf diese Weise sind SAP-Betriebsteams auf einem guten Weg, die Business Data Cloud zu sichern und Compliance-Vorschriften einzuhalten.

3. Zugangskontrolle und Identity Management  

Robuste Zugriffskontrollmechanismen verhindern unbefugte Aneignung von Daten. Über rollenbasierte (RBAC) und attributbasierte (ABAC) Berechtigungen werden Richtlinien definiert und durchgesetzt, die den Datenzugriff auf der Grundlage von Benutzerrollen und -attributen beschränken. Identitätsmanagementlösungen wie SAP Identity Authentication Service (IAS) bzw. SAP Cloud Identity Access Governance (IAG) tragen zur weiteren Verbesserung der Sicherheit bei, indem sie zusätzliche Faktoren wie adaptive Authentifizierung, Risikoanalyse und KI-gestützte Entscheidungsfindung kombinieren, um ein dynamisches und kontextsensitives Identitäts- und Zugriffsmanagement bereitzustellen.

Provisionierung bzw. Deprovisionierung, um Änderungen von Beschäftigungsstatus oder Rollen schnell umsetzen zu können, sind für die Sicherheit unerlässlich. Um den Zugriff auf verschiedenen Ebenen innerhalb der SAP BTP  verwalten zu können, bedarf es eines klaren Verständnisses der hierarchischen Struktur und einer angemessenen Delegation von Verwaltungsrechten.

Die SAP Business Data Cloud baut auf der SAP BTP auf und kombiniert viele von deren Diensten. Wenn daher eine Third-Party-Security-Plattform SAP-Admins durch die BTP-Benutzerrollenhierarchien navigiert und die Überprüfung der gewährten Zugriffsrechte und Privilegien unterstützt, wirkt sich dies direkt auf die Sicherheit der SAP BDC aus. Automatisch werden alle kritischen Prüfungen durchgeführt, die SAP für eine starke Authentifizierung und ein robustes User & Identity Management in SAP BTP empfiehlt: aktivierte MFA, deaktiviertes Social Sign-On oder die regelmäßige Überprüfung von Benutzern mit administrativen oder anderen erhöhten Privilegien. Die genaue Überwachung inaktiver (insbesondere externer) User trägt ebenfalls zur Reduzierung der Angriffsfläche bei.

Fazit

Die SAP Business Data Cloud läutet eine neue Ära der Unternehmensdatenverwaltung ein, was Datenschutz immer wichtiger macht. Durch die Implementierung solider Sicherheitsmaßnahmen – kontinuierliche Überwachung, Compliance und robuste Zugriffskontrollen – schützen Unternehmen ihre Daten und schöpfen das Potenzial ihrer KI- und Analysefunktionen voll aus.