SAP-Sicherheit - denn sie wissen nicht, was sie tun

Auch bei SAP-Systemen schwingt ein Gefühl der Unsicherheit mit. Das hat beispielsweise eine Befragung des Larry-Ponenom-Instituts vom Februar 2016 unter rund 600 der 2000 wichtigsten weltweiten Unternehmen der unterschiedlichsten Branchen gezeigt: Dabei stellten 44 Prozent der Befragten fest, ihr Unternehmen würde Sicherheitsvorfälle oder Einbrüche in Datenbestände ihrer unsicheren SAP-Implementierungen wahrscheinlich übersehen. Nur 25 Prozent glaubten, einen Einbruch sofort zu erkennen.

Gerade mal 53 Prozent der Befragten waren zuversichtlich, einen Einbruch innerhalb eines Jahres zu bemerken. Zugleich erklärten 32 Prozent, dass ihre SAP-Plattform innerhalb der letzten 24 Monate ein- bis zweimal angegriffen wurde - 16 Prozent drei- oder viermal und 12 Prozent fünf- oder sechsmal. Den Gesamtschaden einer daraus resultierenden notwendigen Abschaltung ihres SAP-Systems schätzen die Befragten im Schnitt auf rund 4,5 Millionen Dollar. Diese Summe schließt auch sofort erforderliche Bargeldausgaben, direkte und indirekte Lohnkosten für die Wiederherstellung der Systeme, allgemeine Unkosten sowie verlorene Geschäftsmöglichkeiten ein.

Es gibt ein weites Feld für Konfigurationsfehler und Schwachstellen

Diese Unsicherheit kommt nicht von ungefähr. Komplexe, historisch gewachsene, an die Cloud, das Web oder mobile Geräte angebundene SAP-Landschaften bieten ein weites Feld für Konfigurationsfehler und Schwachstellen. Auf dem Transaktionslayer, der in SAP-Systemen Zugriffsrechte und den Datenverkehr regelt, können Angreifer grundsätzlich jeden Angriffsmechanismus ausführen, den man auch aus der Nicht-SAP-IT kennt. Klassische Sicherheitsansätze aus der SAP-Welt, wie die Trennung von Zuständigkeiten und damit von Rechten (Segregation of Duties), hebeln Angreifer durch die Usurpation privilegierter Nutzerrechte auf.

Wie aber kommt es zu dieser Risikolage? Der Softwarehersteller leistet mit seinen regelmäßigen Patches die Hilfestellung, die er bieten kann. Ebenso wenig kann der Stab voreilig und pauschal über die Verantwortlichen im Unternehmen gebrochen werden. Auch wenn einige immer noch fälschlicherweise denken, SAP sei ein in sich geschlossenes System, welches nur SAP-Experten hacken können, lässt sich den meisten Managern nicht vorwerfen, sie seien zu sorglos.

Unklare Zuständigkeiten öffnen Hackern die Einfallstore

Das Problem liegt vielmehr darin, dass in etlichen Unternehmen die Kompetenzen im Bereich SAP-Sicherheit nicht klar definiert sind. So sind sich viele Verantwortliche nicht sicher, wer für den schlechten Zustand der eigenen SAP-Sicherheit zur Verantwortung zu ziehen wäre. 21 Prozent der Befragten der Ponemon-Studie hielten die IT-Infrastruktur-Teams verantwortlich, 19 Prozent das SAP-Sicherheitsteam, 18 Prozent die allgemeine IT-Sicherheit, sechs Prozent wiederum die Audit-Teams. Und zwei Prozent denken, diese Kompetenz falle in den Bereich des Aufsichtsrat.

Die bedenkliche Konsequenz einer solchen Unklarheit bezüglich der Zuständigkeiten ist eine regelrechte Sicherheits-Verantwortungslosigkeit. In jedem vierten Unternehmen wird laut der Ponemon-Studie die SAP-Sicherheit stiefmütterlich behandelt. Laut Ponemon-Umfrage liegt bei etwa einem Viertel der Befragten die Hauptverantwortung für die SAP-Sicherheit am Ende tatsächlich bei niemandem - ein unglaubliches und alarmierendes Kompetenzvakuum.

Solche Umfrageergebnisse zeigen deutlich, wie unklar die Verantwortung der SAP-Sicherheit verteilt ist. Allein das offenbart schon ein weiteres Sicherheitsrisiko. Ein weiteres Ergebnis dieser Unsicherheit ist eine undeutliche, kaum definierte SAP-Sicherheitspolitik.

Unsicherheit hat viele Ursachen

Ein möglicher Grund für diese unklaren Verantwortlichkeiten liegt vielleicht darin, dass viele Verantwortliche sich nicht in der Lage fühlen, Gefahren und Angriffe zu erkennen und abzuwehren. Daher tun sie sich in der Folge schwer, Verantwortungen zu verteilen oder zu übernehmen. Dafür gibt es verschiedene Gründe:

Ressourcenmangel: Viele Verantwortliche kommen gar nicht erst hinterher, die neuen Sicherheitsupdates einzuspielen. Diese erfordern oft aufwändige Neukonfigurationen. In der Folge nutzen Angreifer bereits bekannte und gut dokumentierte Schwachstellen aus.

Unwissenheit: Die Beteiligten kennen die Topologie der eigenen SAP-Infrastruktur mitsamt der Entwicklungs- und Qualitätssicherungssysteme sowie die Wechselwirkungen von Daten und Anwendungen nur ungenau. Ein Überblick über bestehende Sicherheitslücken fehlt.

Unverständnis: Beim rein technischen Beschreiben einer Lücke bleibt deren Auswirkung für das Geschäft unklar. Oft ermöglicht eine unsichere Konfiguration einen Betrug durch Usurpation oder Ausweitung privilegierter Nutzerrechte - zum Beispiel durch das Anlegen eines neuen Zulieferers, für den man die Rechnungen auf das eigene Konto überweist. Oder sie ermöglicht Sabotage, weil sie die Verfügbarkeit von Prozessen und Daten beeinträchtigt. Ebenso unterstützt sie eventuell Spionage, weil Tabellen mit Kunden-, Personal- oder Produktionsdaten ausgelesen werden können. In der Folge fehlt eine Priorisierung der Gefahrenabwehr nach betriebswirtschaftlichen Kriterien.

Resignation bis hin zur "Verantwortungslosigkeit": Durch die unklare Risikolage können Unternehmen Lücken weder schließen, noch zu deren Schließung auffordern oder Gefahren abwehren. Eine faire Verteilung von Verantwortlichkeiten bleibt in der Folge aus. Keiner kann verlangen, was nicht möglich zu sein scheint und keiner übernimmt freiwillig diese Aufgabe.

Grundlagenarbeit sorgt für Abhilfe

Zuallererst verursachen fehlende Technologien zur automatischen, kontinuierlichen Überwachung und Kontrolle von SAP-Implementierungen sowie zur Abwehr von Angriffen diese Unsicherheit. Aussagen der Beteiligten zeigen aber auch, wie viele Ansprechpartner im Unternehmen in den SAP-Sicherheitsprozess involviert sein können und sein müssen. Erst breit aufgestellte Teams, die alle Beteiligten - CISO, den IT-Security-Zuständigen, die Fachabteilungen und das SAP-Basisteam - an einen Tisch bringen, schaffen Sicherheit.

Dafür fehlt es aber oft schon an der Diskussionsgrundlage: den Ergebnissen eines automatischen und kontinuierlichen Verzeichnisses von Sicherheitslücken. Diese zeigen auf, welche Lücke man wie und in welcher Reihenfolge schließen muss. Erst die dadurch geschaffene Diskussionsgrundlage ermöglicht es, alle Beteiligten am runden Tisch zusammenzubringen und Verantwortlichkeiten fair und nachvollziehbar zu verteilen. Damit können sich SAP-Sicherheitsteams den Anforderungen stellen, die Sicherheitslage zu analysieren, zur Abwehr von Angriffen durch Behebung von Fehlkonfigurationen aufrufen und ungewöhnliche Aktivitäten überwachen.