Obwohl viele Unternehmen umfassende Sicherheitsmaßnahmen ergreifen, bleibt ein wesentlicher Bereich oft unbeachtet: Anwendungssicherheit und der Schutz von ERP-Systemen. Doch warum sind Sicherheitsverantwortliche auf diesem Auge häufig blind und was können Unternehmen tun, um sich zu schützen?

Die Lage der ERP-Sicherheit in Unternehmen ist alarmierend. So fand eine aktuelle Studie von Onapsis und Flashpoint heraus, dass geschäftskritische SAP-Anwendungen zunehmend in den Fokus von Cyberkriminellen rücken und eine deutlich zunehmende Zahl an Bedrohungsakteuren auf SAP-Schwachstellen abzielen [1].

Während sich die Cyberkriminalität zu einem hochprofessionellen Geschäft entwickelt hat und Angreifer gezielt auf bestimmte Unternehmen, Daten und Anwendungen zielen, ist die Sicherheit von ERP-Systemen häufig der weiße Fleck auf der Security-Landkarte [2]. Und obwohl viele Unternehmen ein großes Repertoire an Sicherheitslösungen im Einsatz haben – von der Firewall über End-Point-Protection bis hin zum IAM-System – unterschätzen Entscheider häufig das Risiko oder sehen in der gezielten SAP-Absicherung lediglich einen weiteren Kostenpunkt. Das kann schnell zur »Milchmädchenrechnung« werden, denn wenn das ERP ausfällt, werden Produktion und Geschäftstätigkeit im schlimmsten Fall wochenlang lahmgelegt.

Ein wesentlicher Grund für die Vernachlässigung der ERP-Sicherheit ist oftmals der Mangel an spezifischem Wissen bei CISOs und Sicherheitsverantwortlichen. Diese sind Experten für allgemeine IT-Sicherheit, verfügen jedoch häufig nicht über die notwendigen Kenntnisse im Bereich ERP beziehungsweise SAP. Entsprechend wird die Komplexität von SAP-Umgebungen oft unterschätzt und notwendige Schutzmaßnahmen nicht ergriffen.

Alte Schwachstellen, immer neue Gefahren. Angreifer nutzen vor allem Phishing-Techniken, Zero-Days, aber auch ältere ungepatchte Schwachstellen, um sich Zugang zu geschäftskritischen Anwendungen zu verschaffen. Der Threat Report von Onapsis und Flashpoint ergab, dass Cyberangriffe auf SAP-Anwendungen im letzten Jahr einen neuen Höchststand erreicht haben und das Interesse von Bedrohungsakteuren deutlich zugenommen hat. Auffällig dabei: alle im Bericht beobachteten SAP-Schwachstellen wurden von SAP bereits vor mehreren Jahren gepatcht. Die dennoch hohe Cyberaktivität deutet darauf hin, dass Bedrohungsakteure gezielt Unternehmen mit schwacher SAP-Cybersecurity-Governance ins Visier nehmen. Sie nutzen meist bekannte, jedoch ungepatchte SAP-Schwachstellen und Fehlkonfigurationen aus. Die Problematik verschärft sich weiter, weil immer mehr Kunden SAP-Anwendungen in die Cloud migrieren, wodurch sie der Bedrohung noch stärker ausgesetzt sein können.

Die Gründe für die mangelnde Governance sind vielfältig: Häufig fehlt ein umfassender Überblick über die IT-Infrastruktur. Während bei historisch gewachsenen SAP-Landschaften die produktiven Systeme noch bekannt sind, bleibt oft unklar, welche nachgelagerten oder älteren Systeme noch im Einsatz sind. Sie werden von Auditoren oft übersehen und erhalten seltener oder nie notwendige Patches. Das ermöglicht es Angreifern, »durch die Hintertür« einzudringen. Hinzu kommt, dass häufig das Fachwissen fehlt, um Bedrohungen richtig einzuschätzen und angemessene Schutzmaßnahmen zu ergreifen. Zudem mangelt es an Ressourcen, um Patches zeitnah einzuspielen. Die IT-Teams sind unterbesetzt und mit ihren administrativen Aufgaben ausgelastet.

Mehr Transparenz und automatisiertes Patching. Zur Verbesserung der ERP- beziehungsweise SAP-Sicherheit braucht es daher zunächst eine detaillierte Inventarisierung aller Systeme, einschließlich der Alt- und Nachfolgesysteme. Nur so können potenzielle Sicherheitslücken identifiziert und geschlossen werden. Regelmäßige Audits und 24/7-Log-Monitoring sind ebenfalls essenziell, um verdächtige Aktivitäten frühzeitig zu erkennen und schnell zu reagieren.

Spezielle, automatisierte ERP-Sicherheitslösungen bieten eine wertvolle Unterstützung. Sie ermöglichen regelmäßige Audits und automatisiertes Patching. Durch die Zusammenarbeit mit spezialisierten Security-Anbietern können sich Unternehmen darauf verlassen, dass ihre ERP-Systeme stets auf dem neuesten Stand und bestmöglich geschützt sind. Außerdem unterstützen sie bei der kontinuierlichen Überwachung der Systeme und der Erkennung von Anomalien, um auf potenzielle Sicherheitsvorfälle schnell reagieren zu können.

IT-Sicherheit ist (auch) Chefsache. Digitale Prozesse sind das Rückgrat fast aller Unternehmen und wenn IT-Systeme inklusive des ERP lahmgelegt sind, steht der Betrieb still. Genau deshalb darf IT-Sicherheit nicht länger ausschließlich als Aufgabe der IT-Abteilung betrachtet werden. Zum einen müssen alle Mitarbeitenden durch Schulungen für das Thema sensibilisiert und zur Vorsicht animiert werden. Gleichzeitig muss dieses geschäftskritische Thema ganz oben auf der Agenda der Geschäftsführung stehen. CISOs sollten nicht nur als Stabsstelle eine beratende Funktion übernehmen, sondern über Budget und Entscheidungsmacht verfügen, um notwendige Sicherheitsmaßnahmen durchsetzen zu können. Eine angemessene Repräsentation der IT im C-Level ist entscheidend, um Cybersicherheit holistisch anzugehen, im gesamten Unternehmen zu verankern und den Schutz geschäftskritischer Systeme sicherzustellen.

Holistische Strategien mit Weitblick. Die Kosten für einen ERP-Sicherheitsvorfall können enorm sein und gefährden die Existenz von Unternehmen. Eine langfristige Planung und Investition in die ERP-Sicherheit sind unerlässlich, um Cyberrisiken zu minimieren, die Resilienz zu stärken und geschäftskritischste Daten und Prozesse zu schützen. Nur so können Unternehmen in der heutigen digitalen Landschaft erfolgreich bestehen und wachsen.

Paul Laudanski,
Director Security Research
bei Onapsis

[1] https://onapsis.com/de/press-releases/new-report-reveals-evidence-of-increased-cybercriminal-interest-in-erp-applications/

[2] https://www.bmi.bund.de/DE/themen/sicherheit/kriminalitaetsbekaempfung-und-gefahrenabwehr/cyberkriminalitaet/cyberkriminalitaet-node.html

Illustration: © Scaliger | Dreamstime.com, AI generated

6413 Artikel zu „Sicherheit ERP“

News | Produktmeldung

Integrierte Enterprise-Plattform setzt Mobile-First-Sicherheitsstrategie durch

6. Oktober 2023

Zimperium, Sicherheitsexperte für Echtzeitschutz auf Mobilgeräten, hat eine einheitliche Sicherheitsplattform zur Erkennung und Abwehr von Bedrohungen für Endpunkte and Apps vorgestellt. Die »Zimperium Mobile-First Security Platform« kombiniert Mobile Threat Defense (MTD) und Mobile Device Management (MDM) zum Schutz gegen aktuelle Mobilsystem-, Netzwerk-, Phishing- und App-Attacken. Über eine einheitliche Webkonsole haben Anwender zentrale Zugriffs- und IT-Verwaltungsmöglichkeiten für…

Paul Laudanski, Director Security Research bei Onapsis

[1] https://onapsis.com/de/press-releases/new-report-reveals-evidence-of-increased-cybercriminal-interest-in-erp-applications/

[2] https://www.bmi.bund.de/DE/themen/sicherheit/kriminalitaetsbekaempfung-und-gefahrenabwehr/cyberkriminalitaet/cyberkriminalitaet-node.html

6413 Artikel zu „Sicherheit ERP“

Paul Laudanski,
Director Security Research
bei Onapsis