Überholtes Silodenken und fehlende Budgets

Mit ihrer Hilfe und der Digitalisierung der Unternehmensprozesse versucht man nun Kundenmehrwerte und Wettbewerbsvorteile zu generieren. Dabei stehen vor allem neue Geschäftsmodelle im Vordergrund.

Die Datensicherheit steht hinten an. Sie wird angesichts komplexer IT-Prozesse als „hinderlich“ angesehen, da sie „die Wertschöpfung nicht positiv beeinflusst“.

Die wahre Bedeutung der Datensicherheit für den Unternehmenserfolg erkennen die meisten Entscheider erst dann, wenn der Datenverlust bereits eingetreten ist.

In solchen Fällen verstehen CIOs, dass sie ihre IT neu ausrichten müssen, um mit den rasanten technologischen Veränderungen schritthalten und gleichzeitig die Sicherheit der Daten gewährleisten zu können.

Aber Achtung: Digitalisierte Unternehmensprozesse kennen keine Systemgrenzen und leben von einem regen Datenaustausch zwischen Businessanwendungen unterschiedlicher Hersteller. Trotzdem konzentrieren sich IT-Sicherheitsverantwortliche immer noch weitestgehend auf die punktuelle Absicherung einzelner Datensilos und Applikationen.

Dadurch und aufgrund der enormen Komplexität von Anwenderrollen und -privilegien, sind Identity-Management-Projekte, die eigentlich die Zugriffkontrolle auf Systeme und Anwendungen verbessern sollen, oft schon vor dem Projektstart zum Scheitern verurteilt.

Infolge dieser mangelhaften Kontrollmöglichkeit reagieren IT-Organisationen nicht selten mit dem Beschneiden von Anwenderfreiheiten und fördern damit zwangsläufig den Ausbau einer Schatten-IT im Unternehmen.

Das öffnet Türen für Datenmissbrauch, gefährdet die Wettbewerbsfähigkeit des Unternehmens und sorgt – im Falle des Verlusts personenbezogener Daten – für hohe DSGVO-Strafen.

Fehlende Ressourcen

SAP-Kunden bauen aktuell – insbesondere durch die Migration auf S/4 Hana als neue Entwicklungsplattform – die Stellung der SAP-Anwendung als zentrale Datendrehscheibe innerhalb der IT-Architektur aus.

Damit steigt auch das potenzielle Risiko, dass Daten das sichere SAP-System unkontrolliert verlassen. Das klassische, rollenbasierte SAP-Berechtigungskonzept stößt hier an seine Grenzen und vertrauliche Dateien geraten schnell in die falschen Hände.

Nicht ohne Grund werden SAP-Systeme zunehmend zur Zielscheibe für Cyberkriminelle. Diese neuen Sicherheitsrisiken sind zwar vielen Fachbereichen und SAP-Administratoren bewusst, ihre nachhaltige Behebung scheitert jedoch oft an fehlenden Budgets und Ressourcen:

Die CISOs (Chief Information Security Officers), die für das Thema eigentlich verantwortlich sind, haben meist keine eigenen Mittel und erhalten kaum Unterstützung aus dem operativen IT-Betrieb, denn die Mitarbeiter dort sind bereits mit anderen Projekten ausgelastet.

Während CIOs sich an dieser Stelle trotzdem auf ihre Spezialisten verlassen und dadurch in Sicherheit wiegen, landet das Thema im Falle eines publik gewordenen Datenlecks dann doch auf den Tischen der CEOs, die in einem solchen Fall letztlich haften.

Neuartige Konzepte

Um auch in der digitalisierten Welt SAP-Daten wirksam absichern zu können, bedarf es neuartiger, dynamischer IT-Sicherheitskonzepte, die an das klassische SAP-Berechtigungskonzept anknüpfen und zusätzlich zu Benutzerrollen auch den Schutzbedarf der Daten für eine plattform­übergreifende Datensicherheit nutzen.

SAP-Verantwortliche müssen hierzu über die SAP-Systemgrenzen hinausdenken und alle Exporte kontrollieren und schützen – egal ob sie durch Anwender oder Hintergrunddatentransfers angestoßen wurden.

Die Daten selbst müssen in den Mittelpunkt der Betrachtung rücken – sowohl im Sinne der Datensicherheit als auch im Sinne des Datenschutzes. Nur so besteht die Chance, ein hohes Sicherheitsniveau zu erreichen, ohne die Freiheiten der Anwender einzuschränken.