Information und Bildungsarbeit von und für die SAP-Community

SAP-Sicherheitslösung

Eine Ransomware-Attacke auf die IT-Infrastruktur war für das international tätige Familienunternehmen der Anlass, eine explizite SAP-Sicherheitslösung anzuschaffen.
E3-Magazin
12. Januar 2024
avatar

1995 wurde SAP bei dem Unternehmen eingeführt. Heute arbeitet ein Großteil der 2000 Mitarbeitenden auf einer SAP-Umgebung schwerpunktmäßig mit den klassischen Modulen FI, CI, MM, SD, PP. Ein S/4-Hana-Transformationsprojekt läuft, derzeit wird aber noch mit einem SAP-ECC-System gearbeitet. 

100 Jahre Expertise: Die Westfalen-Gruppe ist in den Bereichen technische Gase, Kälte und Wärme, Tankstellen und Mobilität sowie respiratorische Heimtherapie aktiv. Mit seinen Produkten und Dienstleistungen bietet das Unternehmen zunehmend Lösungen an, die Kundinnen und Kunden helfen, nachhaltiger zu werden. Gerade der Energieträger Wasserstoff spielt dabei in immer mehr Bereichen eine wichtige Rolle. Das 1923 in Münster gegründete Familienunternehmen ist heute mit zahlreichen Tochter- und Beteiligungsgesellschaften an über 20 Produktionsstandorten in Deutschland, den Niederlanden, Belgien, Frankreich, der Schweiz und Österreich vertreten.

2021 wurde das Unternehmen von einer Ransomware-Attacke getroffen, bei der alle IT-Systeme im eigenen Rechenzentrum verschlüsselt wurden. Das SAP-System war davon nicht betroffen, da es seit Längerem auf den Servern eines Outsourcing-Dienstleisters lief. Als Weckruf jedoch genügte der Angriff: Was würde geschehen, wenn auch die SAP-Daten eines Tages auf diese Weise verschlüsselt würden? 

Man braucht SAP-Wissen, um zu unterscheiden, ob es eine Schwachstelle ist oder eine falsch-positive Meldung.

Andreas Eckey,
Informationssicherheitsbeauftragter, Westfalen-Gruppe

Um dies mit Sicherheit auszuschließen, entschied sich das Unternehmen für die Zusammenarbeit mit der Werth IT und für den Einsatz des WerthAuditors. Der von der Westfalen-Gruppe beauftragte Outsourcing-Dienstleister hatte bereits Standard-Security-Vorkehrungen getroffen, die somit um die SAP-Sicherheitslösung erweitert wurden. „Das besondere Know-how von Thomas Werth im Bereich SAP-Sicherheit war uns von der IT-Security-Firma empfohlen worden, die uns beim Wiederaufbau nach der Ransomware-Attacke half“, erklärt Andreas Eckey, Informationssicherheitsbeauftragter der Westfalen-Gruppe.

Die Zusammenarbeit startete mit einem Penetrationstest auf dem SAP-System.
Aus diesem ließ sich eine Reihe wertvoller Maßnahmen ableiten, die das Team der Westfalen-Gruppe auch sogleich umsetzte. So bestand bei einigen Parametern im System Optimierungsbedarf, um mögliche Schwachstellen auszuschließen. Sie wurden nach dem Pen-Test umgehend umgestellt. Auch die bestehenden Passwortrichtlinien unterzog die IT-Abteilung auf Basis der Testergebnisse einer Härtung. 

Bei dieser einmaligen Maßnahme wollte es die IT-Sicherheit der Westfalen-Gruppe jedoch nicht bewenden lassen. Auch im SAP-Umfeld tauchten regelmäßig neue Schwachstellen auf, um die es sich zu kümmern galt. So fiel Anfang 2022 die Entscheidung für die Anschaffung und eigenständige Nutzung des WerthAuditors. Diesen nutzt das SAP-Basis-Team der IT des Unternehmens seitdem dauerhaft.

Hinweise und Empfehlungen

Der Auditor ist vom Grundsatz her einfach zu bedienen, auch für nicht ausgewiesene Security-Fachleute. Nichtsdestotrotz gibt es Kniffe und Feinheiten, zu deren Verständnis ein regelmäßiger Austausch mit dem Hersteller hilfreich ist. Andreas Eckey: „Der Support durch die Werth IT ist hervorragend. Proaktiv erhalten wir Hinweise auf Updates und Empfehlungen für bestimmte Systemeinstellungen, sodass die Themen für uns gar nicht erst akut werden.“

Im Monatsrhythmus gibt es kurze Abstimmungs-Calls zu den Ergebnissen des WerthAuditors. Dabei hilft das neue Dashboard, in dem die IT-Abteilung der Westfalen-Gruppe die erkannten Schwachstellen und daraus abzuleitenden Maßnahmen übersichtlich und einfach dargestellt bekommt und nachvollziehen kann. Denn das SAP-System im Unternehmen lebt; ständig werden neue Prozesse etabliert oder bestehende verändert.

Übersicht und schnelle Reaktion

In Sachen Transparenz ist das Dashboard eine echte Hilfe. „Natürlich braucht man dafür auch SAP-Wissen, um zu unterscheiden, ob es sich um eine echte Schwachstelle oder um eine falsch-positive Meldung handelt“, so Andreas Eckey. „Was uns das Dashboard in der Praxis bringt, ist eine zeitnahe Übersicht möglicher Schwachstellen. Dies betrifft Parameter, Berechtigungen etc., von der Datenbank bis zum Kern des Systems. Wir können damit also sofort reagieren.“ 

Hierzu hat die Westfalen-Gruppe einen Prozess etabliert, wie Hot Fixes der SAP in das System eingespielt werden. Andreas Eckey hebt hervor: „Es macht die Sache deutlich einfacher, wenn wir nicht, wie bisher, manuell Informationen zusammensuchen. Wir können schneller bewerten, was wirklich relevant ist und wofür wir Hot Fixes einspielen müssen. Der WerthAuditor ermittelt dafür automatisiert Incidents und stellt sie im Dashboard dar, inklusive der daraus abzuleitenden Maßnahmen.“

So können SAP-Anwenderunternehmen wie die Westfalen-Gruppe ihre Schutzwälle permanent verstärken, was gerade in Zeiten von zunehmenden Cyberbedrohungen enorm wichtig ist. Andreas Eckey unterstreicht: „Was in SAP steht, sind unsere Kronjuwelen – damit darf einfach nichts passieren. Mit dem WerthAuditor haben wir eine ausgezeichnete Zukunftsperspektive für unsere SAP-Sicherheit.“

werth-it.de

Schreibe einen Kommentar

Die Arbeit an der SAP-Basis ist entscheidend für die erfolgreiche S/4-Conversion. 

Damit bekommt das sogenannte Competence Center bei den SAP-Bestandskunden strategische Bedeutung. Unhabhängig vom Betriebsmodell eines S/4 Hana sind Themen wie Automatisierung, Monitoring, Security, Application Lifecycle Management und Datenmanagement die Basis für den operativen S/4-Betrieb.

Zum zweiten Mal bereits veranstaltet das E3-Magazin in Salzburg einen Summit für die SAP-Community, um sich über alle Aspekte der S/4-Hana-Basisarbeit umfassend zu informieren.

Veranstaltungsort

Mehr Informationen folgen in Kürze.

Veranstaltungsdatum

Mittwoch, 21. Mai, und
Donnerstag, 22. Mai 2025

Early-Bird-Ticket

Verfügbar bis Freitag, 24. Januar 2025
EUR 390 exkl. USt.

Reguläres Ticket

EUR 590 exkl. USt.

Veranstaltungsort

Hotel Hilton Heidelberg
Kurfürstenanlage 1
D-69115 Heidelberg

Veranstaltungsdatum

Mittwoch, 5. März, und
Donnerstag, 6. März 2025

Tickets

Reguläres Ticket
EUR 590 exkl. USt
Early-Bird-Ticket

Verfügbar bis 20. Dezember 2024

EUR 390 exkl. USt
Veranstalter ist das E3-Magazin des Verlags B4Bmedia.net AG. Die Vorträge werden von einer Ausstellung ausgewählter SAP-Partner begleitet. Der Ticketpreis beinhaltet den Besuch aller Vorträge des Steampunk und BTP Summit 2025, den Besuch des Ausstellungsbereichs, die Teilnahme an der Abendveranstaltung sowie die Verpflegung während des offiziellen Programms. Das Vortragsprogramm und die Liste der Aussteller und Sponsoren (SAP-Partner) wird zeitnah auf dieser Website veröffentlicht.