SAP-Sicherheit ist auch Kundensache

Fast die Hälfte der Umfrageteilnehmenden (47 Prozent) ist mitten in ihrer RISE-Journey (SAP Cloud ERP Private), nur 10 Prozent haben sie abgeschlossen, gut ein Drittel hat sie noch vor sich und nur 5 Prozent verweigern die Reise komplett. Der Großteil der Unternehmen steckt also noch im Transformations-Prozess.

Beim damit einhergehenden Shared Responsibility Model scheint die Verwirrung groß: Weniger als die Hälfte der befragten Kunden versteht die Rollen und Verantwortlichkeiten. Von den SAP-Mitarbeitenden ist es rund ein Drittel, von den Beratern sind es knapp 40 Prozent. Jeweils rund ein Drittel der SAP-Mitarbeitenden und Berater sowie knapp 20 Prozent der Kunden wissen nicht, wer wofür zuständig ist.

Security nicht vernachlässigen

Die Shared-Responsibility-Leistungen sind in verschiedene Services unterteilt, die ganz, teilweise oder gar nicht von SAP übernommen werden. Laut Umfrage kennt jeweils rund ein Drittel der Teilnehmenden die entsprechenden Services nicht. Wobei sich fast die Hälfte der befragten Unternehmen bereits auf einer RISE-Journey befindet. Auch wenn eine Transformation viel Zeit beansprucht, sollte das Thema Security keinesfalls vernachlässigt werden. Damit laufen Unternehmen Gefahr, mit unsicheren Systemen zu arbeiten, bzw. damit live zu gehen. „Ein Transformationsprojekt ist sicherlich herausfordernd. Wer zugunsten der Migration seine Security-Aktivitäten ‚parkt‘, setzt das Unternehmen einem hohen Risiko aus. Aber die Lücken vollständig zu schließen, ist meist nahezu unmöglich, ohne das Migrationsprojekt zu gefährden“, erläutert Andreas Kirchebner, Sprecher der DSAG-Arbeitsgruppe Cloud Security.

Bei der Vorbereitung ihrer SAP RISE Journey nutzen die Umfrageteilnehmenden verschiedene Security/Governance-Materialien. Zu den häufigsten gehören die „Roles-and-Responsibilities-Liste“ von SAP, die RISE-Verträge, SAP-Referenzarchitekturen, Whitepapers, die SAP-Community und CIO-Guides. Bis hin zur RISE-Dokumentation eines Hyperscalers. Es kann aber auch die Aufgabe des Implementierungspartners sein.

Interessant vor diesem Hintergrund ist die Tatsache, dass sich laut Umfrage 48 Prozent von SAP zum Thema RISE-Sicherheit nicht ausreichend informiert und abgeholt fühlen. 39 Prozent gaben keine Antwort auf diese Frage und nur 13 Prozent waren mit dem Angebot zufrieden. An der schieren Menge an Informationen kann es nicht liegen. Eher daran, dass unter den vielen Marketing-Unterlagen, Whitepapers und Blogbeiträgen, zentrale Dokumente wie die SAP-Standarddokumente, ein SAP Security Baseline Template oder auch die Cloud Recommendations aus den unendlichen Weiten des SAP-Informationskosmos mühsam und zeitaufwendig zusammengesucht werden müssen. Erschwerend kommt hinzu, dass SAP immer mal wieder die Produktnamen ändert, z. B. von SAP S/4HANA Cloud, Private Edition auf SAP Cloud ERP Private.  

Security-Portal als zentrale Anlaufstelle

Hilfreich wäre aus DSAG-Sicht folglich eine zentrale SAP-Anlaufstelle, sozusagen ein Security-Portal, das alle wichtigen Infos bündelt: von pdf-Dokumenten über Blogbeiträge sowie Informationen aus dem SAP-Help-Portal und dem SAP Trustcenter mit den verschiedensten Vertragsdokumenten für Cloud- und Softwareservices- oder auch dem Support-Portal. Eine Forderung, die bereits vor Jahren bei SAP platziert wurde. „Hier muss SAP nachbessern und die wichtigsten Materialen einfacher zugänglich machen. Aktuell sind noch viele wichtige Security-Informationen über diverse Bereiche verteilt und dadurch nur schwer zu finden“, kommentiert Martin Pankraz, stellvertretender Sprecher der Arbeitsgruppe Cloud Security.

Sicherheitsmaßnahmen berücksichtigen

Die Aufgabe der SAP-Sicherheit im Rahmen der Transformation übernehmen 39 Prozent der Security-Verantwortlichen in den Unternehmen selbst. Bei 38 Prozent kümmert sich ein RISE-Projektteam darum, 18 Prozent kennen die Zuständigkeiten nicht. Bei 3 Prozent übernimmt das der Implementierungspartner und bei knapp 2 Prozent SAP. „Die SAP-Sicherheit sollte in Transformations-Projekten nicht nebenher mitlaufen, sondern einer klar benannten Rolle zugeordnet sein. Diese Rolle muss SAP-Know-How in die Sprache der Informationssicherheit und zurückübersetzen und sicherstellen, dass sicherheitsrelevante Entscheidungen bewusst getroffen werden. Aus Security-Sicht konzentriert sich eine Transformation in der Praxis oft auf Rollen und Berechtigungen, während Themen wie beispielsweise eine sichere Konfiguration und das Security Monitoring nachrangig behandelt werden. Werden diese Pflöcke nicht früh und explizit eingeschlagen, entstehen implizite Entscheidungen, die später mit deutlich höherem Aufwand aufgearbeitet werden müssen und im Zweifel noch lange nachwirken“, fasst Constantin von Hornung, Sprecher der Themengruppe SAP Security Survey, zusammen.

Externe Security-Tools in RISE einbinden

Wenn es darum geht sicherzustellen, dass Drittanbieter-Security-Tools in die RISE-Umgebung eingebunden werden können, verlassen sich 36 Prozent der Befragten auf RISE-zertifizierte Partner-Add-Ons, bei 11 Prozent geschieht das durch Anpassung des RISE-Vertrags. 9 Prozent nutzen keine Drittanbieter und 8 Prozent gehen über die SAP Cloud Application Services (CAS). 36 Prozent der Umfrageteilnehmenden wissen es nicht. „Die Frage ist nicht, wie man SAP isoliert absichert, sondern wie SAP Teil einer unternehmensweiten Cyber-Defense-Strategie wird. Angriffe machen heute weder vor System- noch vor Herstellergrenzen halt. Deshalb müssen SAP-Ereignisse mit Identitäts-, Infrastruktur- und Endpunktsignalen zusammengeführt werden, um Risiken im richtigen Kontext zu bewerten. Gerade im Zeitalter KI-gestützter und agentischer Security Operations Center (SOC) wird der Wert von SAP darin liegen, ein intelligenter Bestandteil des gesamten Sicherheitslagebildes zu sein und nicht ein weiteres isoliertes Monitoring-Silo“, so Martin Pankraz.

Fazit

In Bezug auf die Sicherheit fehlt es auf der Kundenseite oft an den Ressourcen oder dem Bewusstsein, was die Sicherheitsanforderungen betrifft. Das heißt, es existiert noch immer eine große Lücke zwischen Wunsch und Wirklichkeit. SAP muss weiter daran arbeiten, die Lücke zu schließen und kann dabei gerne auf die DSAG als Sparringspartner zurückgreifen. „Für die Unternehmen heißt das, idealerweise ihre Anforderungen zu kennen und mit den Möglichkeiten und Grenzen einer SAP-RISE-Transformation abzugleichen und abzuwägen“, fasst Andreas Kirchebner zusammen. Mit dem Ziel: Zum einen die Unternehmen noch stärker für die SAP-RISE-Security zu sensibilisieren und zum anderen die entsprechenden Services weiter zu verbessern und zu erweitern.

Erhebungsgrundlage

Von Februar 2025 bis Juni 2025 hat der DSAG-Arbeitskreis Security & Vulnerability-Management eine Umfrage zum Thema SAP RISE Security durchgeführt. 267 Personen aus 10 Ländern haben sich an der Erhebung beteiligt. Die Top-3-Branchen sind Produzierendes Gewerbe/Industrie, Informationstechnologie/Telekommunikation sowie Einzel- und Großhandel. Knapp 70 Prozent der Befragten sind SAP-Kunden, Beratungsunternehmen machen rund 22 Prozent aus, SAP-Mitarbeitende rund 3,5 Prozent. Keine Angaben machten 5 Prozent. Bezüglich ihrer Rollen in der SAP Security sind 30 Prozent SAP-Security-Verantwortliche, 26 Prozent Basis-Administratorinnen und -Administratoren 14 Prozent Beraterinnen und Berater, 12 Prozent SAP-Verantwortliche, gefolgt vom C-Level-Management mit knapp 7 Prozent und IT-Sicherheits-Mitarbeitenden mit knapp 6 Prozent. Keine Angaben machten 5 Prozent.