Security-Blackbox S/4

Viele Unternehmen betrachten SAP-Security häufig isoliert und binden sie nicht in übergreifende Sicherheitsprozesse wie Patch- und Vulnerability-Management, Threat Detection oder Incident Response ein. Grund dafür ist der hohe Spezialisierungsgrad einer SAP-Umgebung bei gleichzeitiger Kritikalität für die Organisation. Durch diese Berührungsängste entstehen gefährliche Lücken.

Besonders unterschätzt werden Schwachstellen im Berechtigungsmanagement, unzureichende Nutzer-Sensibilisierung sowie eine fehlende durchgängige Sicherheitsarchitektur, die vom Security Design über sichere Konfiguration bis hin zu Code Security und Monitoring reicht. Um SAP-Systeme effektiv abzusichern, braucht es einen ganzheit­lichen, proaktiven Ansatz und ein Umdenken in der Sicherheitsstrategie aller Unternehmen. Denn die Hersteller und Betreiber von Systemen und Applikationen sind nicht für die IT-Sicherheit der Unternehmen verantwortlich.

E3: Herr Villwock, Herr Stricker, SAP-Systeme gelten vielen als Blackbox. Wie könnte man Licht in diese Blackbox bringen?

Oliver Villwock, cbs: Für effektive SAP-­Sicherheit braucht es Transparenz durch spezialisierte Tools, fundiertes SAP-Know-how zur Einordnung von Risiken und daraus abgeleitete wirksame Schutzmaßnahmen.

Robert Stricker, Materna: Es muss geklärt sein, wer für SAP-Security verantwortlich ist. Dann muss das Management SAP als sicherheitskritisch anerkennen, denn kritische Geschäftsprozesse hängen oft direkt von SAP ab, werden sicherheitstechnisch aber unzureichend berücksichtigt.

E3: Wie lässt sich die SAP-Security in bestehende Strukturen integrieren?

Villwock: SAP-Security muss auf Governance-Ebene starten, verankert in der IT-Security-Policy mit klaren Zuständigkeiten und Kommunikationswegen. Operativ braucht es Transparenz, um Altlasten in Konfiguration und Design schrittweise zu beheben. Eine realistische, extern begleitete Roadmap sorgt für Sicherheit ohne Überforderung von Budget und Organisation.

ㅤ

„SAP-Security muss auf Governance-Ebene starten, verankert in der IT-Security-Policy.“ 

Oliver Villwock,
Consulting Director mit Schwerpunkt auf SAP-Security,
cbs Corporate Business Solutions

Stricker: Unternehmen sollten SAP konsequent in bestehende Security-Prozesse integrieren, mit klaren Verantwortlichkeiten, fundierter Risikoanalyse und Einbindung unter anderem in Patch-, Change- und Incident-Management. SAP-Security ist Teil der Gesamtstrategie, kein Sonderfall.

E3: Was sind aus Ihrer Sicht die wichtigsten ersten Schritte für Unternehmen, die SAP-Security ernst nehmen wollen?

Villwock: Ein klares Assessment ist der erste Schritt: Wo stehen wir? Was haben wir? Wer ist wofür verantwortlich? Ohne Bestandsaufnahme fehlt die Grundlage für jede sinnvolle Planung. Durch S/4-Transformation, Cloud-Migration und neue Architekturen entsteht die Chance, Security von Anfang an neu zu denken. Wer jetzt richtig handelt, verhindert den nächsten Security-Stau.

E3: Wie sehen Sie denn die Entwicklung in den nächsten Jahren? Wird SAP-Security jetzt endlich zur Priorität werden?

Stricker: Laut Nis2-Richtlinie müssen kritische Geschäftsprozesse geschützt werden, und da führt kein Weg an SAP vorbei. SAP steuert zentrale Abläufe, teils nicht nur in der IT, sondern auch in OT-Bereichen.

ㅤ

ㅤ

ㅤ

„SAP wird in Sachen Informa­tionssicherheit oft wie eine Blackbox behandelt, die keiner versteht.“ 

Robert Stricker,
Abteilungsleiter Security Consulting,
Materna

Villwock: SAP beinhaltet die Kronjuwelen von Unternehmen. Wer SAP-Security nicht ernst nimmt, gefährdet die eigene Resilienz. Jetzt zu handeln ist unerlässlich, sonst wird es in Zukunft teuer und riskant.

E3: Was ist Ihre Mission in diesem Bereich?

Stricker: Berührungsängste abbauen. SAP wird in Sachen Informationssicherheit oft wie eine Blackbox behandelt, die keiner versteht. Das führt zu Unsicherheit und Stillstand. Unsere Mission ist es, genau hier anzusetzen: SAP darf kein blinder Fleck bleiben, denn die Risiken sind aufgrund der Kritikalität der verarbeiteten Daten hoch. SAP abzusichern und zu überwachen ist jedoch keine Raketenwissenschaft.

Villwock: Unsere Mission ist klar: Kunden helfen, Transparenz zu schaffen und SAP-­Security nachhaltig, effizient, vorausschauend und zukunftssicher umzusetzen. Der Markt ist überladen mit Tools, aber es fehlt fundierte Beratung, die Tools, Prozesse und Menschen sinnvoll verbindet.

Weiter zum Partnereintrag: