SAP-Sicherheitsanalyse für SAP ERP-Umgebungen

Welche Angriffsflächen gefährden die SAP ERP Security?

SAP-Systeme verarbeiten die sensibelsten Unternehmensdaten – von Finanzbuchhaltung und Controlling bis hin zu Personalwesen und vertraulichen Geschäftsprozessen. Diese Kritikalität macht SAP-Umgebungen zu einem bevorzugten Ziel für Angreifer, die sowohl von außen als auch von innen agieren. Die hohe Komplexität individuell konfigurierter SAP-Landschaften und die enge Verzahnung verschiedener Systemkomponenten schaffen dabei Angriffsflächen, die ohne spezialisierte Prüfmethoden kaum vollständig erfassbar sind.

Was umfasst unsere SAP-Sicherheitsanalyse?

Ein SAP-Pentest von SySS bewertet Ihre ERP-Umgebung ganzheitlich und berücksichtigt dabei die spezifische Komplexität moderner SAP-Landschaften. Unsere Sicherheitsanalyse geht als spezialisierter Pentest über die Prüfung einzelner Systemkomponenten hinaus und erfasst das Zusammenspiel von Berechtigungskonzepten, Systemkonfigurationen und Kommunikationsschnittstellen in ihrer Gesamtheit. Die Prüfszenarien werden individuell auf Ihre SAP-Umgebung abgestimmt und decken alle sicherheitsrelevanten Schichten Ihrer ERP-Infrastruktur ab.

Typische Angriffsflächen in SAP-Umgebungen:

• Unsichere oder fehlkonfigurierte Kommunikationsschnittstellen wie RFC, DIAG oder SOAP, über die unautorisierte Zugriffe auf kritische Systemdienste möglich werden
• Schwachstellen in der Providing Infrastructure, insbesondere in Gateway, Message-Server, Internet Communication Manager (ICM) und Management Console
• Fehlerhafte Berechtigungskonzepte und überprivilegierte SAP-Benutzerrollen, die Rechteeskalationen innerhalb der SAP-Landschaft ermöglichen
• Verwundbare Datenbankanbindungen und unsichere Konfigurationen von Datenbanklösungen wie Oracle, MSSQL oder SAP HANA
• Lateral Movement durch die enge systemische Verzahnung verschiedener SAP-Instanzen, sodass ein kompromittiertes System als Sprungbrett in weitere Umgebungen dienen kann

Schwerpunkte unserer SAP-Sicherheitsanalyse:

• Berechtigungsanalyse auf Rollenbasis über SAP GUI oder WebGUI, einschließlich der Bewertung sicherheitskritischer Systemparameter und der Ableitung konkreter Risiken aus dem Berechtigungskonzept
• Analyse der Providing Infrastructure auf unautorisierte Zugriffsmöglichkeiten, konfigurative Fehler und veraltete Softwarekomponenten in Gateway, Message-Server, ICM und Management Console
• Prüfung der eingesetzten Datenbankanbindung und -konfiguration, einschließlich gängiger Datenbanklösungen wie Oracle, MSSQL, DB2, MaxDB, Sybase und SAP HANA
• Untersuchung der SAP-spezifischen Konfiguration auf Clientsystemen sowie Bewertung des SAP-Routers als Teil der Systemkonfigurationsanalyse
• Test der eingesetzten SAP-Webapplikationen auf typische Angriffsvektoren, Authentifizierungsschwächen und Schnittstellenrisiken

1. Analyse der Providing Infrastructure

Zu Beginn untersuchen wir die Providing Infrastructure Ihrer SAP-Umgebung auf sicherheitsrelevante Schwachstellen und Fehlkonfigurationen. Im Fokus stehen dabei erreichbare Systemdienste wie Gateway, Message-Server, Internet Communication Manager (ICM) und Management Console, die wir auf Aktualität, konfigurative Fehler und unautorisierte Zugriffsmöglichkeiten prüfen. Besonderes Augenmerk gilt den Kommunikationsschnittstellen RFC, DIAG und SOAP, über die sich kritische Angriffspfade in das SAP-System eröffnen können.

3. SAP-Berechtigungsanalyse

Wir prüfen die eingesetzten SAP-Benutzerrollen auf Basis eines rollenzentrierten Berechtigungskonzepts und analysieren, ob Rechtevergaben dem Prinzip der minimalen Rechtevergabe (Least Privilege) entsprechen. Die Prüfung erfolgt in der Regel über die SAP GUI und umfasst die Bewertung sicherheitskritischer Systemparameter sowie die Ableitung konkreter Risiken aus dem Berechtigungsmodell.

5. SAP-spezifische Client-Konfiguration

Clientsysteme sind ein häufig unterschätzter Angriffspunkt in SAP-Umgebungen, da ihre spezifische Konfiguration direkten Einfluss auf die Sicherheit der gesamten SAP-Landschaft hat. Wir untersuchen die SAP-spezifische Konfiguration der eingesetzten Windows-Clients auf sicherheitsrelevante Schwachstellen und bewerten, ob die Clientumgebung als Einstiegspunkt für weiterführende Angriffe missbraucht werden könnte.

2. SAP-Systemkonfiguration und SAP-Router

Im nächsten Schritt analysieren wir die SAP-Systemkonfiguration auf sicherheitskritische Parameter und bewerten deren Auswirkungen auf das Gesamtsystem. Sofern ein SAP-Router im Einsatz ist, wird dieser als zentrales Bindeglied zwischen internen und externen Netzwerkbereichen einer eingehenden Prüfung unterzogen. Fehlkonfigurationen an dieser Stelle können weitreichende Konsequenzen haben, da der SAP-Router den Zugang zu sämtlichen nachgelagerten SAP-Komponenten kontrolliert.

4. Datenbankanbindung und -konfiguration

Die eingesetzte Datenbanklösung bildet das Fundament jeder SAP-Umgebung und ist damit ein besonders schützenswertes Angriffsziel. Wir analysieren die Datenbankanbindung und -konfiguration für gängige Systeme wie Oracle, MSSQL, DB2, MaxDB, SyBase und SAP HANA auf Schwachstellen, unsichere Zugriffsrechte und Fehlkonfigurationen.

6. SAP-Webapplikationen und Lateral Movement

Abschließend prüfen wir eingesetzte SAP-Webapplikationen auf typische Angriffsvektoren wie Authentifizierungsschwächen, unsichere Schnittstellenkonfigurationen und Eingabevalidierungsfehler. Darüber hinaus analysieren wir die Ausbreitungsmöglichkeiten auf weitere SAP-Systeme innerhalb der Landschaft, da die enge Verzahnung verschiedener SAP-Instanzen einem Angreifer ermöglichen kann, von einem kompromittierten System systematisch weitere Zugriffe zu erlangen.

Netzwerk-Penetrationstest

SAP-Umgebungen sind tief in die interne Netzwerkinfrastruktur eingebettet – Schwachstellen im Corporate Network können einem Angreifer als Einstiegspunkt in Ihre SAP-Landschaft dienen. Wir analysieren Ihr internes Netz auf Rechteeskalationswege, protokollbasierte Angriffspfade und Lateral-Movement-Potenziale, die im Zusammenspiel mit SAP-Systemen besonders kritisch werden.

Cloud-Pentest

Hybride SAP-Betriebsmodelle wie SAP on Azure, SAP on AWS oder SAP Business Technology Platform (BTP) verlagern sicherheitsrelevante Konfigurationen zunehmend in die Cloud. Wir untersuchen Ihre Cloud-Umgebung auf Fehlkonfigurationen in Identitätsmodellen, Netzwerksegmentierung und Zugriffssteuerungen, die sich direkt auf die Sicherheit Ihrer SAP-Infrastruktur auswirken können.

IT-Security-Beratung

Eine SAP-Sicherheitsanalyse liefert präzise Befunde – ihre nachhaltige Wirkung entfaltet sie jedoch erst durch eine strukturierte Umsetzung der empfohlenen Maßnahmen. Unsere IT-Security-Berater unterstützen Sie herstellerunabhängig bei der Härtung von Berechtigungskonzepten, der Netzwerksegmentierung und der strategischen Weiterentwicklung Ihrer SAP-Sicherheitsarchitektur.

Red Teaming

SAP-Systeme gehören in realen APT-Szenarien zu den hochwertigsten Angriffszielen, da sie den Zugang zu den sensibelsten Unternehmensdaten ermöglichen. Beim Red Teaming simulieren wir einen solchen zielgerichteten Angriff vollumfänglich und prüfen, ob ein realer Angreifer über verschiedene Vektoren tatsächlich bis in Ihre SAP-Landschaft vordringen könnte.