SAP-Systemhärtung: Maßnahmen und Tipps

Warum ist SAP-Systemhärtung so wichtig?

Fehlkonfigurationen zählen zu den häufigsten Ursachen für Sicherheitsvorfälle. In SAP-Landschaften wirken sie besonders kritisch, weil die Systeme komplex sind, viele Schnittstellen besitzen und oft von verschiedenen Teams betreut werden. Dadurch entstehen unnötige Risiken für sensible Daten, Geschäftsprozesse und die Verfügbarkeit der gesamten IT-Umgebung.

Eine professionelle Systemhärtung hilft dabei, Datenabfluss, Manipulationen, Spionage und Betriebsunterbrechungen zu vermeiden. Gleichzeitig unterstützt sie Unternehmen dabei, regulatorische und interne Sicherheitsanforderungen besser zu erfüllen.

Das Fundament

Das SAP-System ist wie eine Zwiebel aufgebaut. Die Sicherheit (Härtung) muss auf jeder der drei Schichten greifen, damit das SAP-System umfangreich geschützt ist:

• Präsentationsschicht: Hier findet die Interaktion mit dem Nutzer statt (z. B. via SAP GUI oder Browser). Härtung bedeutet hier primär: Sicherer Login und verschlüsselte Übertragung.
• Applikationsschicht: Das „Gehirn“ des Systems, in dem die Business-Logik verarbeitet wird. Hier müssen Programme, Schnittstellen (RFC) und kritische Systemparameter restriktiv konfiguriert werden.
• Datenbank- & OS-Schicht: Das Fundament, auf dem alles ruht. Ohne ein gehärtetes Betriebssystem und eine abgesicherte Datenbank nützen die besten SAP-Berechtigungen nichts, da Angreifer die Anwendung einfach “untergraben” könnten.

Strategische Tipps – Die richtige Herangehensweise

Bevor Sie tief in die Transaktionscodes eintauchen und technische Parameter verändern, ist die richtige Strategie entscheidend. Systemhärtung ist kein punktuelles Ereignis, sondern eine grundlegende Einstellung zur Systemsicherheit. Mit diesen drei strategischen Leitplanken legen Sie das Fundament für ein sicheres SAP-System.

Tipp 1: „Default is Evil“ – Den Standard hinterfragen

SAP-Systeme sind ab Werk nicht ausreichend auf Sicherheit eingestellt. Standard-Passwörter und offene Schnittstellen sind bekannte Einfallstore. Gehen Sie davon aus, dass jede Standardeinstellung potenziell unsicher ist, und passen Sie diese aktiv an.

Tipp 2: Der Patch Day als Pflichttermin

Härtung ist ein Dauerlauf. Jeden zweiten Dienstag im Monat veröffentlicht SAP Sicherheitsupdates. Die konsequente Installation dieser Patches ist Ihr wichtigstes Werkzeug, um bekannte Schwachstellen zu schließen, bevor sie ausgenutzt werden.

Wir veröffentlichen passend zum Patchday immer einen Artikel zu den wichtigsten News: https://rz10.de/tag/sap-security-patch-day/

Tipp 3: Erst das Labor, dann die Produktion

Sicherheitsmaßnahmen können Geschäftsprozesse stören (z. B. durch blockierte Schnittstellen). Testen Sie jede Änderung zwingend zuerst in einer Sandbox- oder QS-Umgebung. Erst wenn der Betrieb stabil bleibt, erfolgt der Rollout im Produktivsystem.

Webinar: Ihr SAP-System im Sicherheitscheck: Von Security Audits bis Pentests

Im Webinar entdecken Sie, wie regelmäßige Pentests und Security Audits genutzt werden können, um die Sicherheit Ihres SAP-Systems zu überprüfen und kontinuierlich zu verbessern. Erfahren Sie von unseren Experten die besten Methoden und Praxisbeispiele, um Ihr Sicherheitsmanagement effektiv zu gestalten.

Jetzt anmelden

Wichtige Maßnahmen zur SAP-Systemhärtung

Um die theoretischen Sicherheitskonzepte in die Praxis umzusetzen, sollten Sie sich auf die folgenden sieben Kernbereiche konzentrieren, die das größte Risikopotenzial in einer SAP-Landschaft minimieren:

1. Nicht benötigte Mandanten und Standardzugänge deaktivieren
   Ungenutzte oder unsauber konfigurierte Mandanten sollten gesperrt oder entfernt werden, um zusätzliche Angriffsflächen zu vermeiden.
2. RFC-Verbindungen absichern
   RFC-Destinationen sollten nur mit sicheren Protokollen und geschützten Anmeldeverfahren betrieben werden.
3. Überhöhte Berechtigungen vermeiden
   Berechtigungen wie SAP_ALL sollten in Produktivsystemen nicht dauerhaft vergeben sein. Stattdessen gilt das Prinzip der minimalen Rechte.
4. Logging und Auditierung aktivieren
   Sicherheitsrelevante Ereignisse wie fehlgeschlagene Logins oder Tabellenänderungen müssen nachvollziehbar protokolliert werden.
5. Web-Komponenten und Netzwerkzugriffe beschränken
   Web Dispatcher, ICM, SAProuter und andere Schnittstellen sollten nur dort erreichbar sein, wo es wirklich notwendig ist.
6. Passwortregeln verschärfen
   Starke Passwortrichtlinien, Sperrmechanismen und wenn möglich Mehrfaktor-Authentifizierung erhöhen die Sicherheit deutlich.
7. Kritische Transaktionen einschränken
   Zugriffe auf Transaktionen wie SE16 oder SM30 sollten stark begrenzt und überwacht werden.

SAP-Systemhärtung als kontinuierlicher Prozess

SAP-Systemhärtung ist keine einmalige Maßnahme, sondern ein fortlaufender Prozess. Neue Schnittstellen, Transporte, Rollenänderungen oder technische Benutzer können die Sicherheitslage jederzeit verändern. Deshalb sollten gehärtete Systeme regelmäßig überprüft, sicherheitsrelevante Ereignisse aktiv ausgewertet und insbesondere technische Benutzer sowie Hintergrundjobs besonders streng kontrolliert werden.

Verantwortung teilen: Das Shared Responsibility Modell

Gerade beim Umstieg auf SAP-Cloud-Lösungen herrscht oft ein gefährlicher Irrglaube: „SAP kümmert sich schon um alles.” Das stimmt nur zum Teil. In der Cloud teilen sich Anbieter und Kunde die Verantwortung:

• SAP ist verantwortlich für die „Security of the Cloud“ – also die physischen Rechenzentren, die Hardware und die grundlegende Infrastruktur.
• Der Kunde bleibt verantwortlich für die „Security in the Cloud”. Das bedeutet: Sie müssen sich weiterhin um das Identitätsmanagement, die Vergabe von Berechtigungen, den Schutz Ihrer Daten und die korrekte Konfiguration der Geschäftsprozesse kümmern.

Härtung ist also auch in der Cloud eine Pflichtaufgabe des Unternehmens, kein automatisches Feature des Providers.

Checkliste BSI-Grundschutzanforderungen für SAP-Systeme

Mit dieser Checkliste können Sie Schritt für Schritt überprüfen, ob ihr SAP-System den empfohlenen Sicherheitsanforderungen des BSI entspricht.

Jetzt anfordern

Checkliste BSI-Grundschutzanforderungen für SAP-Systeme

×

Fazit

SAP-Systemhärtung ist weit mehr als nur das Einspielen von Patches. Ob On-Premises oder in der Cloud: Erst das Zusammenspiel aus restriktiven Konfigurationen, minimalen Berechtigungen und konsequenter Überwachung schafft echte Resilienz. Wer die Strategie „Default is Evil“ verinnerlicht und Änderungen stets vorab testet, schützt seine Geschäftsprozesse nachhaltig. Sicherheit beginnt beim Hinterfragen des Standards – fangen Sie noch heute bei Ihren Default-Usern an.