Ein zum Untergang optimiertes ERP

Ein SAP ERP ist mehr als eine optimale KI-Maschine

Die fundamentalste Gefahr von Agentic AI im geschäftskritischen ERP-Umfeld liegt in der potenziellen Unkontrollierbarkeit autonom agierender Algorithmen. Während traditionelle Software streng deterministisch arbeitet, agieren KI-Agenten probabilistisch. Ein autonomer Joule-Agent, der ohne visuelle Kontrollinstanz eigenständig Lieferketten steuert, Bestellungen auslöst oder Finanzbuchungen vornimmt, erfordert eine fehlerfreie, makellose Stammdatenqualität und eine absolute Systemstabilität. Eine autonome KI könnte sich die fehlenden Daten beschaffen und würde dabei vor keinen Grenzen zurückschrecken, weil es nur eine Vorgabe gibt: Die Optimierung des Ergebnisses basierend auf dem gestellten Prompt.

Da diese Voraussetzungen in den historisch gewachsenen Datenlandschaften der meisten Bestandskunden schlichtweg nicht gegeben sind, droht durch fehlerhafte KI-Entscheidungen im Hintergrund ein astronomischer wirtschaftlicher Schaden. Wenn ein KI-Agent auf Basis fehlerhafter Daten oder einer Halluzination im verknüpften Sprachmodell zu dem Schluss kommt, dass ein Geschäftsprozess ineffizient sei, und im schlimmsten Fall eigenmächtig die ERP-Datenbank manipuliert oder gar löscht, steht die Existenz des gesamten Unternehmens auf dem Spiel.

Human in or above the Loop

Ohne eine rigorose menschliche Kontrollinstanz – den zwingend erforderlichen „Human in the Loop“ bzw. „Human above the Loop“ – ist der unkritische Einsatz solcher Systeme im hochsensiblen ERP-Bereich schlichtweg unverantwortlich, da Maschinen die komplexen Variablen und den betriebswirtschaftlichen Gesamtkontext nicht erfassen können. KI-Maschinen fehlt es an Verständnis, das sie jedoch perfekt durch “Optimierung” der gestellten Aufgabe ersetzen.

Betrachtet man die technische Umsetzung der SAP Business AI Plattform, des Knowledge Graphs und des Assistenten Joule, stößt der skeptische KI-Bestandskunde auf ein hochgradig proprietäres, geschlossenes System. SAP-Anwender erhalten eine Blackbox: Der Zugriff auf den zentralen Knowledge Graph, der den Agenten den semantischen Kontext liefern soll, bleibt exklusiv für SAP gesperrt. Kunden können den Knowledge Graph weder modifizieren noch einsehen, wie das Routing der darauf basierenden Sprachmodelle im Generative AI Hub (SAP BTP) im Detail funktioniert.

SAP BTP und SAP API Policy

Selbst das standardmäßig hinter Joule liegende LLM bleibt für den Kunden im Dunkeln. Indem SAP über die Clean-Core-Vorgaben die Entwicklung eigener Agenten ausschließlich in das Joule-Studio auf der Business Technology Platform (SAP BTP) zwingt, wird die traditionelle, flexible Abap-Entwicklung im Kern blockiert. Flankiert wird dies durch die restriktive neue API-Policy, die SAP im Frühjahr 2026 erlassen hat: SAP errichtet hier eine digitale Zollschranke und schränkt die API-Nutzung für systematische Datenextraktionen und den Einsatz mit externen, generativen KI-Systemen von Drittanbietern drastisch ein.

Bestandskunden werden dadurch künstlich gezwungen, die teuren, hauseigenen Plattformen wie Datasphere oder die Business Data Cloud (SAP BDC) zu nutzen, während alternative, flexiblere KI-Lösungen von Partnern systematisch ausgesperrt werden. Wer zudem versucht, unstrukturierte Drittanbieter-Agenten tief in seine S/4-Landschaft zu integrieren, riskiert, die mühsam aufgebaute Clean-Core-Architektur durch neue technische Schulden und unkoordinierte Datenflüsse vollständig zu destabilisieren.

Security für KI und Agentic AI

Aus der Perspektive der IT-Sicherheit stellt die Integration von künstlicher Intelligenz im S/4-Umfeld eine völlig neue Dimension der Bedrohung dar, auf die herkömmliche Frameworks nicht vorbereitet sind. Cyber-Resilienz ist in einer sich täglich ändernden Bedrohungslandschaft überlebenswichtig, doch die SAP-Sicherheit wird in vielen Unternehmen immer noch als unzugängliche Blackbox und als blinder Fleck behandelt.

Cyberkriminelle agieren heute dank KI hochgradig automatisiert und effizient. Die Angreifer „sprechen inzwischen Abap“ und können Sicherheitslücken in Sekundenschnelle massenhaft analysieren und ausnutzen. Dies trifft insbesondere jene geschäftskritischen Kernsysteme, die aufgrund fehlender Wartungsfenster oft jahrelang nicht gepatcht werden und somit das höchste Risiko aufweisen.

Hinzu kommt, dass klassische Sicherheits-Tools SAP-spezifische Bedrohungen, wie etwa schädliche Code-Injektionen oder manipulierte Datei-Uploads über Standard-Schnittstellen, gar nicht erkennen können. Auf der BTP, dem Dreh- und Angelpunkt der SAP-KI-Strategie, mangelt es laut Expertenberichten zudem eklatant an gelebter Governance, festen Sicherheitsstrukturen und Best Practices.

SAP-Basis (CCoE) versus Security

Die organisatorische Trennung zwischen SAP-Basis-Teams und der übergeordneten IT-Security führt zu gefährlichen Silos, die eine effektive Angriffsabwehr massiv erschweren. Wenn dann noch hybride Landschaften aus On-prem-Systemen, Private Clouds und Hyperscalern kombiniert werden, geht jegliche Transparenz über Datenflüsse, Zugriffsrechte und Sicherheitszustände verloren. Als einzige wirksame Verteidigung bleibt Bestandskunden daher nur die Etablierung einer strikten Zero-Trust-Architektur, bei der nach den Prinzipien der Authentizität und Geheimhaltung keinem Benutzer, keinem Gerät und keinem KI-Agenten blind vertraut wird – selbst wenn der Zugriff aus dem internen Unternehmensnetzwerk erfolgt. Dort, wo KI versuchen wird, das optimale Ergebnis zu erzielen, wird es einen Kampf der IT-Systeme geben.

Für ein S/4-System verschärfen sich diese Sicherheitsrisiken im agentischen Zeitalter dramatisch, da autonome KI-Agenten über Trust-Grenzen hinweg agieren (siehe OpenAI), weitreichende Entscheidungen treffen (finale Optimierung) und sensible Unternehmensdaten verarbeiten (Security). Die Verbindung von SAP-Daten mit externen Large Language Models (LLMs) birgt das massive Risiko von Datenlecks, da personenbezogene Informationen oder geschützte IP-Rechte der Kunden ungewollt in die Trainingsdaten der Hyperscaler einfließen können.

Neue regulatorische Vorgaben wie der EU AI Act schreiben daher eine lückenlose, kontinuierliche Risikobewertung und zwingende menschliche Aufsichtsmechanismen für solche kritischen KI-Workloads vor, was den administrativen Aufwand für Unternehmen massiv erhöht.

Cloud First, KI First – aber Security First

Wie positioniert sich SAP-Chef Christian Klein angesichts dieses krisengeschüttelten Sicherheitsumfelds? Intern hat Klein den strategischen Notstand (Code Red) ausgerufen und die KI-Adoption zur absoluten Chefsache erklärt. Gleichzeitig beschwichtigt er den nervösen Aktienmarkt und die besorgten Kunden gebetsmühlenartig mit der Beharrungsformel, dass KI existierende Standardsoftware nicht ersetzen werde, sondern diese als stabilen Anker für Datenqualität und Prozesslogik dringend benötige.

Zum Thema Sicherheit verweist die SAP-Führung auf das hauseigene Sicherheitsversprechen einer „Responsible AI“ und verweist auf das SAP Trust Center. Es wird zugesichert, dass Kundendaten über technische Filter, Data-Masking und Content-Filtering auf dem SAP AI Core geschützt werden und nicht zum Training externer Drittanbieter-LLMs verwendet werden.

Doch diese scheinbar legitimen Sicherheits- und Stabilitätsargumente nutzt Christian Klein im selben Atemzug, um die Abschottung des SAP-Ökosystems voranzutreiben. Unter dem Deckmantel des Datenschutzes blockiert SAP performante Schnittstellen für Fremdanbieter, um den kaufmännischen Vendor-Lock-in zu zementieren. Wie hohl das Sicherheitsversprechen der Walldorfer in einer geopolitisch instabilen Welt ist, zeigte sich in aller Deutlichkeit, als die US-Regierung den Zugriff auf die Anthropic-Modelle Claude – das kognitive Gehirn von Joule – für europäische Anwender sperrte, wodurch das hochgepriesene SAP Autonomous Enterprise über Nacht einen peinlichen, unkontrollierbaren Kurzschluss erlitt.