Sicherheit im SAP-Umfeld lückenhaft

Quasi fast täglich besteht die Gefahr, dass ein ERP wegen eines Cyber-Angriffs stillsteht. Dann stockt auch das Geschäft, oder es steht sogar still. Wie eine Umfrage unter 177 Mitgliedern der Deutschsprachigen SAP-Anwendergruppe (DSAG) ergab, treffen die Unternehmen besondere Sicherheitsvorkehrungen: Innerhalb der letzten zwölf Monate haben 55 Prozent zusätzlich investiert, um ihre SAP-Systeme besser abzusichern und Risiken zu minimieren.

Vom Hersteller SAP erwarten die Anwenderfirmen, dass er sich ebenfalls besonders um die Sicherheit der geschäftskritischen Systeme kümmert. So halten es 78 Prozent für sinnvoll, wenn in neuen Releases, Services und Updates die Sicherheitsbestandteile bereits standardmässig aktiviert wären (Security by Default). «Es bedarf deutlich mehr Standards und Unterstützung in diesem sensiblen Bereich. Wir wünschen uns hier eine noch engere Zusammenarbeit mit SAP», sagt DSAG-Technologievorstand Ralf Peters, laut einer Medienmitteilung.

Lücken in den Sicherheitsmassnahmen gibt es offenbar nicht nur bei der Software. Auch im Bereich der Netzwerksicherheit haben nur 54 Prozent ihr SAP-Server-Netz von anderen Netzen getrennt und geschützt. «Das heisst im Umkehrschluss, dass noch 46 Prozent keine Sicherheitsvorkehrungen getroffen haben», sagt Alexander Ziesemer, Sprecher der DSAG-Arbeitsgruppe SAP Security Vulnerability Management. Er rät den SAP-Verantwortlichen, den Schutz der Systeme zu erhöhen.

Die Anbindung an die Cloud steigert den Bedarf an Sicherungsmassnahmen noch. Dessen ist sich eine grosse Mehrheit (87 Prozent) bewusst. Und der Bedarf ist vorhanden, denn mehr als die Hälfte (55 Prozent) haben ihre SAP-Systeme mit der Cloud verbunden oder rufen Funktionalitäten direkt über das Internet ab. Für 81 Prozent ist es eine grosse Herausforderung, die Cloud-Produkte in ihre eigenen Sicherheitskonzepte zu integrieren. «Daraus leiten wir die Forderung an SAP ab, dass weiter intensiv an der Sicherheit der Cloud-Produkte gearbeitet werden muss, zum Beispiel durch ein einheitliches, in die Prozesse integriertes Identitäts- und Berechtigungsmanagement», sagt DSAG-Technologievorstand Peters.