Um Schwachstellen in der SAP-Systemkonfiguration aufzudecken, lassen sich zunächst bestimmte technische Einstellungen des Systems kontrollieren. Dazu zählt, ob Kennwörter eine Mindestlänge aufweisen und ob der Zeitraum bis zur Kennwortänderung sowie die Anzahl der Falschanmeldungen gemäß den Unternehmensvorgaben festgelegt wurden. Prüfroutinen untersuchen darüber hinaus, wie das System und einzelne Mandanten verändert werden können. Beispielsweise müssen im SAP-Produktivsystem alle Mandanten gegen Änderungen gesperrt sein.
Um SAP-Systeme zu verändern, wurde das Transportwesen entworfen. Hier muss sichergestellt sein, dass die unterschiedlichen Funktionen und Berechtigungen sorgsam verteilt wurden. Niemand darf in der Lage sein, im Entwicklungssystem Geschäftslogik zu ändern und die Modifikation dann direkt ins Produktivsystem zu überführen. Deshalb sind Test- und Freigabeverfahren vorgesehen, an denen mehrere Personen beteiligt sind.
Firmen haben ferner zu beachten, wie die Protokollierungskomponenten konfiguriert wurden. Dazu zählt der Parameter rec/client.
