Kontinuierliche Sicherheit für Ihr Asset Alpha
Eigenentwicklungen innerhalb von SAP®-Landschaften gehören zu den kritischsten und am häufigsten unterschätzten Angriffsvektoren moderner Unternehmen. Durch kontinuierliche Entwickleränderungen, neue Transporte und rasant wachsende Codebases entstehen im ABAP-Quellcode täglich neue, unentdeckte Sicherheitsrisiken. Um diese dynamische Angriffsfläche dauerhaft zu schließen, verbindet unser Managed Service eine hochspezialisierte, automatisierte Analyse-Plattform mit der operativen Stärke erfahrener Security-Experten.
Während die technologische Basis die Infrastruktur kontinuierlich durchleuchtet und präzise technische Befunde liefert, übernehmen wir den vollständigen Betrieb, die strategische Auswertung sowie die zielgerichtete Aufbereitung der Ergebnisse. Der vollumfänglich verwaltete Service umfasst das lückenlose Scanning des gesamten ABAP-Codebestands sowie die automatisierte Überprüfung jedes einzelnen neuen Transports. Alle identifizierten Schwachstellen werden von unseren Experten nach ihrer tatsächlichen Kritikalität und dem realen Ausnutzungspotenzial im Systemkontext bewertet und priorisiert.
Entwicklungsteams und das Management erhalten hierzu regelmäßige, strukturierte Berichte sowie fundierte Trendanalysen, welche die Qualitätsentwicklung der Codesicherheit über die Zeit messbar und nachvollziehbar dokumentieren. Statt abstrakter Theorie bieten wir den internen Entwicklern konkrete Unterstützung bei der Behebung (Remediation) direkt auf Code-Ebene.
Unternehmen profitieren durch diese Symbiose aus Automatisierung und menschlicher SAP®-Security-Expertise von einer lückenlosen Sichtbarkeit aller Risiken im ABAP-Code. Da jeder neue Transport automatisch validiert wird, können kritische Schwachstellen nicht mehr unbemerkt in den Produktivbetrieb einfließen. Das entlastet die internen Entwicklungsabteilungen durch klare, sofort umsetzbare Fix-Empfehlungen nachhaltig und etabliert gleichzeitig eine rechtssichere Code-Security-Governance, die allen Audit- und Compliance-Anforderungen standhält.
Offensiver Check für Ihr digitales Rückgrat
Moderne SAP®-Systemlandschaften sind hochkomplex und verarbeiten die kritischsten Geschäftsprozesse und Daten eines Unternehmens. Genau das macht sie zum primären Ziel gezielter Cyberangriffe. Herkömmliche, rein compliance-getriebene Checklisten und automatisierte Schwachstellenscanner greifen hier zu kurz: Sie übersehen oft logische Verknüpfungen, komplexe Schnittstellenkonfigurationen und proprietären Custom Code.
Unsere SAP® 360° Security Analyse und die darauf aufbauende offensive Sicherheitsüberprüfung setzen genau dort an, wo automatisierte Systeme enden. Ein Team aus hochspezialisierten offensiven SAP®-Security-Experten agiert mit der Denkweise realer Angreifer. Wir prüfen Ihre Systeme aktiv, tiefgehend und manuell, um eine fundamentale Frage präzise zu beantworten: Wie weit kommt ein hochentwickelter Angreifer in Ihrer SAP®-Umgebung und welche geschäftskritischen Schäden können dabei entstehen?
Um die maximale Realitätsnähe für Ihre Organisation zu garantieren, werden die Überprüfungen flexibel in drei methodischen Analysevarianten durchgeführt. Dazu gehört der Black-Box-Ansatz zur Simulation eines externen Angreifers ohne jegliche Vorkenntnisse, die Grey-Box-Variante zur Nachstellung eines kompromittierten Insiders mit definierten Basisrechten sowie die vollumfängliche White-Box-Analyse für eine maximale Untersuchungstiefe unter vollständiger Einsicht in die Systemarchitektur und den Quellcode.
Technischer Umfang
Der technische Umfang dieses Offensiv-Audits deckt alle kritischen Ebenen der SAP®-Infrastruktur systematisch ab. Im Bereich der Aufklärung und der Infrastruktur-Angriffe erfolgt zunächst eine aktive Enumeration aller relevanten SAP®-Dienste wie Message Server, Dispatcher, ICM, RFC-Gateway und Web Dispatcher. Hierbei werden Releases, Patch-Level und installierte Add-ons analysiert, offene HTTP-Endpunkte identifiziert sowie OSINT-basierte Vorabrecherchen zu exponierten Assets durchgeführt.
Neben der Ausnutzung bekannter, systemspezifischer Schwachstellen (CVEs) und SNC/SSL-Downgrade-Angriffen zur Erzwingung unverschlüsselter Kommunikationskanäle liegt ein besonderer Fokus auf dem Missbrauch von Protokollen und Gateways. Dies umfasst die unautorisierte Registrierung von Applikationsservern am Message Server sowie die Ausnutzung fehlkonfigurierter RFC-Gateway-ACLs. Zudem wird die unbefugte Registrierung externer RFC-Server sowie das gezielte Ausnutzen von Tunneling-Möglichkeiten über ungesicherte Routerstrings im SAP® Router detailliert überprüft.
Parallel dazu werden Authentifizierungs-, Session- und Autorisierungsstrukturen gezielt attackiert, um die reale Wirksamkeit logischer Zugriffskontrollen zu bewerten. Unsere Experten simulieren Brute-Force- sowie Credential-Stuffing-Angriffe gegen Anmeldeschnittstellen, extrahieren Passwort-Hashes für das anschließende Offline-Cracking und prüfen Systeme auf Session-Hijacking sowie den Missbrauch von Single-Sign-On-Tickets.
Ein wesentlicher Hebel für reale Angreifer ist zudem die gezielte Rechteeskalation (Privilege Escalation). Hierbei werden Funktionstrennungskonflikte (Segregation of Duties) systematisch ausgenutzt und kritische Berechtigungsobjekte wie S_DEVELOP, S_TCODE, S_RFC oder S_DATASET gezielt manipuliert. Dies beinhaltet auch den Missbrauch von Debug-Berechtigungen zur vollständigen Umgehung von Kontrollen im laufenden Produktivbetrieb.
Da Eigenentwicklungen in der Praxis oft das größte unentdeckte Risiko darstellen, beinhaltet das Audit ein tiefgehendes Code Security & ABAP® Security Review. Mittels statischer und dynamischer Code-Analysen (SAST/DAST) wird der kundeneigene Code unter Laufzeit- und Angriffsbedingungen auf kritische Injektionen wie SQL-Injections, OS-Command-Injections via CALL 'SYSTEM' und Pfadmanipulationen überprüft.
Ergänzend dazu werden unsichere Dateioperationen über OPEN DATASET für unbefugte Zugriffe auf Betriebssystemebene sowie fest codierte Passwörter und kryptografische Schlüssel im Quellcode aufgespürt. Web-Applikationen auf Basis von BSP, Fiori oder UI5 werden intensiv auf XSS und CSRF untersucht, während BAPIs, OData-Services und RFC-fähige Funktionsbausteine auf das Vorhandensein korrekter Berechtigungsprüfungen (AUTHORITY-CHECK) auditiert werden. Abgerundet wird die technische Prüfung durch eine dedizierte Suche nach verdeckten Hintertüren (Backdoors) oder böswilligen Code-Modifikationen innerhalb produktiver Systemkomponenten.
Nach einer erfolgreichen initialen Kompromittierung demonstrieren unsere Spezialisten die potenziellen Folgeschäden durch kontrollierte Post-Exploitation-Szenarien. Hierbei wird praxisnah aufgezeigt, wie sensible Daten, Konfigurationen und kritische Geschäftsdaten aus Systemtabellen extrahiert werden können.
Darüber hinaus wird analysiert, wie sich Angreifer über Trusted-RFC-Verbindungen lateral von bereits kompromittierten Mandanten oder Testsystemen in den produktiven Konzernkern vorarbeiten können. Zuletzt wird die Etablierung dauerhafter, verdeckter Zugriffspfade auf ABAP- und Betriebssystemebene untersucht, um das langfristige Risikopotenzial für die gesamte Organisation transparent zu machen.
Strategisches Risikomanagement
Cyberangriffe sind längst keine reinen IT-Herausforderungen mehr, sondern haben sich zu einem der kritischsten unternehmerischen Risiken der Gegenwart entwickelt. Unser strategisches Awareness-Programm richtet sich gezielt an Vorstände, Geschäftsführer und das Senior Leadership, die fundierte Entscheidungen über Sicherheitsinvestitionen und Governance treffen müssen, ohne dabei tief in technische Details einzutauchen.
Wir übersetzen komplexe Bedrohungslagen in greifbare Geschäftsrisiken – untermauert mit konkreten Zahlen, realen Szenarien und strategischen Handlungsoptionen. Denn wer operative und rechtliche Verantwortung trägt, muss Cybersicherheit in all ihren betriebswirtschaftlichen Konsequenzen verstehen und steuern können.
Für wen das essenziell ist
Die Relevanz von der Informationssicherheit erstreckt sich über alle zentralen Führungsrollen eines modernen Unternehmens. Für den CEO und die Geschäftsführung geht es primär darum, zu verstehen, welche existenziellen Risiken das operative Geschäft bedrohen. Der CFO wiederum muss die finanziellen Auswirkungen von Sicherheitsvorfällen, die Kriterien der Versicherbarkeit sowie elementare Haftungsfragen bewerten können.
Gleichzeitig unterstützt das Programm den CIO und CDO bei der Ausrichtung einer resilienten digitalen Sicherheitsarchitektur, während der CISO eine valide Kommunikationsbrücke erhält, um die technische Realität verständlich in die Führungsebene zu transportieren. Nicht zuletzt werden Aufsichtsräte und Beiräte für ihre Pflichten im Bereich der Corporate Governance, der regulatorischen Anforderungen und der damit verbundenen Haftungsrisiken sensibilisiert.
Bedrohungslage und Business Impact
Im Fokus der Analyse stehen aktuelle Cyberbedrohungen mit direktem Bezug zu Ihrer spezifischen Branche und Unternehmensgröße. Anhand realer Fallbeispiele wird transparent aufgezeigt, welche drastischen Konsequenzen die Kompromittierung zentraler ERP- und SAP®-Systeme nach sich zieht – von langanhaltenden Ausfällen der Produktion über massiven Datenverlust bis hin zu komplexen Erpressungsszenarien.
Dabei betrachten wir die durchschnittlichen Gesamtkosten eines Sicherheitsvorfalls, die sich aus Wiederherstellung, nachhaltigem Reputationsschaden und potenziellen Bußgeldern zusammensetzen. Ein besonderes Augenmerk liegt auf modernen Angriffstrends wie Ransomware, Insider Threats und gezielten Supply-Chain-Angriffen auf die geschäftskritische Infrastruktur.
Regulatorik und persönliche Haftung
Die rechtlichen Rahmenbedingungen für Unternehmensleitungen haben sich drastisch verschärft. Wir beleuchten die verbindlichen Anforderungen aus nationalen und internationalen Vorgaben wie der NIS2-Direktive, der DSGVO sowie den KRITIS-Regularien und deren direkte Auswirkungen auf die Geschäftsführung.
Hierbei werden die persönlichen Haftungsrisiken für Vorstände und Geschäftsführer bei nachgewiesener Fahrlässigkeit im Bereich der IT-Sicherheit klar aufgezeigt. Es gilt, die strikten Sicherheitspflichten gegenüber Aufsichtsbehörden, Cyber-Versicherern und Investoren zu kennen und die regulatorischen Meldepflichten im Ernstfall – inklusive aller Konsequenzen – rechtssicher zu beherrschen.
Strategische Risikoeinschätzung
Um fundierte Entscheidungen treffen zu können, bedarf es einer präzisen Standortbestimmung. Durch ein Branchen-Benchmarking wird ohne technischen Overhead ermittelt, wo Ihr Unternehmen im Vergleich zum Wettbewerb steht. Wir identifizieren gemeinsam, wo die tatsächlichen „Kronjuwelen“ Ihrer Organisation liegen und wie effektiv diese geschützt sind.
Die Ergebnisse werden in einer klassischen Risikomatrix konsolidiert, die Eintrittswahrscheinlichkeiten direkt mit den potenziellen finanziellen Schäden auf Vorstandsebene korreliert. Dies liefert eine verlässliche Entscheidungsgrundlage für die strategische Abwägung zwischen dem Aufbau interner Kapazitäten und dem Einkauf externer Security-Expertise (Make or Buy).
