ERP-Sicherheit für KMU: Warum SAP & Co. ein unterschätztes Angriffsziel sind

Ein aktueller SAP-Patchday hat gleich mehrere kritische Schwachstellen in zentralen Komponenten wie NetWeaver offengelegt. Für viele Geschäftsführer klingt “SAP” nach einem Thema für Konzerne – tatsächlich setzen aber auch etliche mittelständische Betriebe ERP-Lösungen wie SAP Business One, Microsoft Dynamics oder vergleichbare Systeme ein, um Finanzen, Warenwirtschaft und Personalprozesse zu steuern. Genau diese Systeme verwalten die sensibelsten Daten eines Unternehmens – und werden bei der IT-Sicherheit oft übersehen.

Warum ERP-Systeme ein besonders attraktives Ziel sind

Ein ERP-System (Enterprise Resource Planning) ist das digitale Rückgrat eines Unternehmens: Kundendaten, Preiskalkulationen, Gehaltsabrechnungen, Bankverbindungen, Lieferantenverträge und Lagerbestände laufen zentral zusammen. Wer sich Zugriff auf ein ERP-System verschafft, bekommt nicht nur einzelne Dateien, sondern einen vollständigen Überblick über die wirtschaftliche Substanz eines Betriebs.

Für Angreifer ist das doppelt lukrativ: Zum einen lassen sich ERP-Daten für Erpressung nutzen, zum anderen eröffnen kompromittierte Finanzmodule die Möglichkeit, Zahlungsläufe zu manipulieren oder Rechnungsdaten für gezielten Betrug – etwa gefälschte Überweisungsaufträge – zu missbrauchen. Die aktuellen SAP-Schwachstellen in NetWeaver zeigen dabei ein bekanntes Muster: Angreifer, die sich einmal Zugang zu einer zentralen ERP-Komponente verschaffen, können von dort aus tief in angebundene Systeme vordringen.

Warum das gerade für KMU ein blinder Fleck ist

Anders als bei Firewalls oder Antivirus-Software wird die Absicherung von ERP-Systemen in kleineren Unternehmen selten aktiv mitgedacht. Die Einführung eines ERP-Systems ist meist ein großes, oft mehrmonatiges Projekt mit externen Beratern – nach dem Go-Live gilt das Thema häufig als abgeschlossen. Sicherheitsupdates für die ERP-Software selbst werden dann seltener eingespielt als für Betriebssysteme oder Office-Anwendungen, weil ein Update-Fehler direkt die Buchhaltung oder Produktionsplanung lahmlegen kann. Diese berechtigte Vorsicht führt in der Praxis aber oft dazu, dass Patches monate- oder jahrelang aufgeschoben werden.

Die konkreten Risiken im Überblick

• Zentrale Datensammlung: Ein einziger erfolgreicher Zugriff auf das ERP-System liefert Angreifern Finanz-, Personal- und Kundendaten in einem Schritt – deutlich effizienter als das Durchsuchen einzelner Fileserver.
• Veraltete Patch-Stände: ERP-Updates werden oft aus Angst vor Betriebsunterbrechungen aufgeschoben, wodurch bekannte und öffentlich dokumentierte Schwachstellen über Jahre offen bleiben.
• Manipulation von Finanzprozessen: Wer Schreibzugriff auf ERP-Module erlangt, kann Bankdaten in Stammdaten ändern oder Zahlungsläufe manipulieren – mit direktem finanziellen Schaden.
• Schwache Schnittstellenabsicherung: ERP-Systeme sind über Schnittstellen oft mit Webshops, Zeiterfassung oder Business-Intelligence-Tools verbunden – jede dieser Verbindungen ist ein potenzieller zusätzlicher Angriffsweg.
• Fehlende Verantwortlichkeit: Da ERP-Systeme oft von externen Dienstleistern eingerichtet wurden, ist unklar, wer für laufende Sicherheitsupdates zuständig ist – IT-Dienstleister, ERP-Anbieter oder das Unternehmen selbst.

Praxisteil: ERP-Sicherheit systematisch verbessern

1. Patch-Verantwortung eindeutig klären

Legen Sie schriftlich fest, wer für Sicherheitsupdates des ERP-Systems verantwortlich ist – der interne IT-Verantwortliche, ein externer Dienstleister oder der ERP-Anbieter selbst. Ohne klare Zuständigkeit bleiben kritische Patches erfahrungsgemäß liegen.

2. Testumgebung für Updates einrichten

Die Angst vor Betriebsunterbrechungen durch Updates lässt sich entschärfen, indem Patches zunächst in einer Testumgebung eingespielt und geprüft werden, bevor sie ins Produktivsystem gehen. Das reduziert das Risiko eines Ausfalls erheblich und macht regelmäßiges Patchen praktikabel.

3. Zugriffsrechte nach dem Minimalprinzip vergeben

Nicht jeder Mitarbeiter braucht Zugriff auf alle ERP-Module. Rollenbasierte Berechtigungen, die genau auf die jeweilige Tätigkeit zugeschnitten sind, verkleinern die Angriffsfläche erheblich – gerade bei sensiblen Finanz- und Personalmodulen.

4. ERP-Zugänge mit Multi-Faktor-Authentifizierung schützen

Administrative Konten und Zugänge zu Finanzmodulen sollten grundsätzlich per Zwei- oder Multi-Faktor-Authentifizierung abgesichert sein. Ein gestohlenes Passwort allein darf nicht ausreichen, um Zahlungsläufe oder Stammdaten zu verändern.

5. Schnittstellen dokumentieren und regelmäßig prüfen

Erstellen Sie eine Übersicht aller Systeme, die mit dem ERP verbunden sind – Webshop, CRM, Zeiterfassung, BI-Tools. Jede Schnittstelle sollte regelmäßig auf unnötig weite Berechtigungen und veraltete Zugangsdaten überprüft werden.

6. Sicherheitsmitteilungen des ERP-Anbieters aktiv verfolgen

Ob SAP, Microsoft oder ein anderer Anbieter: Sicherheitsmitteilungen sollten nicht erst beim nächsten großen Release-Wechsel gelesen werden. Ein fester Prozess, der Patchday-Meldungen zeitnah bewertet, verhindert, dass kritische Lücken monatelang unbemerkt offen bleiben.

Rexoma unterstützt KMU in Dresden bei der ERP-Sicherheit

Sie setzen ein ERP-System ein und sind unsicher, ob Patch-Stände, Zugriffsrechte und Schnittstellen aktuellen Bedrohungen standhalten? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, ERP-Umgebungen sicherheitstechnisch zu bewerten, Patch-Prozesse aufzubauen und Zugriffe sauber zu strukturieren. Sprechen Sie uns an, wenn Sie Ihre ERP-Sicherheit überprüfen lassen möchten.

FAQ

Betrifft das Thema ERP-Sicherheit auch kleinere Unternehmen ohne SAP? Ja. Das Grundproblem – zentrale Datensammlung, seltene Updates, weitreichende Berechtigungen – gilt für jedes ERP-System, ob SAP Business One, Microsoft Dynamics oder branchenspezifische Warenwirtschaftslösungen.

Wie oft sollten ERP-Sicherheitsupdates eingespielt werden? Kritische Sicherheitspatches sollten innerhalb weniger Wochen nach Veröffentlichung getestet und eingespielt werden, nicht erst beim nächsten großen Versionswechsel. Eine Testumgebung macht dies risikoarm möglich.

Wer ist für die Sicherheit unseres ERP-Systems verantwortlich, wenn es ein externer Dienstleister eingerichtet hat? Das muss vertraglich klar geregelt sein. Ohne ausdrückliche Vereinbarung zur laufenden Wartung endet die Verantwortung eines Dienstleisters oft mit dem Projektabschluss – die Update-Pflicht liegt dann faktisch beim Unternehmen selbst.

Reicht eine Firewall, um unser ERP-System zu schützen? Nein. Eine Firewall schützt vor Zugriffen von außen, aber die größten Risiken bei ERP-Systemen entstehen durch veraltete Patch-Stände, zu weite interne Berechtigungen und unsicher abgesicherte Schnittstellen – Punkte, die eine Firewall nicht adressiert.

Was ist der erste sinnvolle Schritt, um die ERP-Sicherheit zu verbessern? Eine Bestandsaufnahme: Welche Version läuft, wer hat welche Zugriffsrechte, welche Schnittstellen existieren, und wer ist für Updates zuständig. Erst danach lässt sich priorisieren, wo der größte Handlungsbedarf besteht.