Rückblick auf die DSAG Security Thementage
Die Diskussion auf den DSAG Security Thementagen zeigt: Die Bedrohung ist real – und wird oft unterschätzt. Warum konsequente Security-Maßnahmen, klare Verantwortlichkeiten und ein durchdachtes Berechtigungskonzept entscheidend sind, zeigt dieser Rückblick.
19.06.2026Steht das SAP ERP im Fokus von Ransomware-Angreifern? Diese Frage wurde auf den DSAG Security Thementagen intensiv diskutiert. Die Meinungen gehen auseinander: Während einige die Absicherung als zwingend notwendig sehen, betrachten andere sie eher als aufwändige Nebenaufgabe. Ein fataler Fehler.
Cyberkriminalität ist in Deutschland Alltag: 2025 wurden rund 334.000 Fälle registriert, tatsächlich dürfte die Zahl deutlich höher liegen. Besonders relevant ist Ransomware mit 1.041 gemeldeten Angriffen (+10 % zum Vorjahr), vor allem auf Unternehmen und Behörden. Gleichzeitig bleibt Phishing ein zentraler Angriffsvektor – über 382.000 gemeldete Mails allein in Nordrhein-Westfalen.*
Der wirtschaftliche Schaden ist enorm. Das Bundesinnenministerium beziffert das durch Cyberattacken verursachte Schadensvolumen für die deutsche Wirtschaft auf 202,4 Milliarden Euro – rund 4,5 Prozent des Bruttoinlandsprodukts. **
Für Unternehmen heißt das: Cybersicherheit darf nicht erst beim Angriff beginnen. Schutz entsteht durch klare Zuständigkeiten, konsequentes Patch- und Schwachstellenmanagement, Multi-Faktor-Authentifizierung, saubere Rechtekonzepte, regelmäßige Mitarbeitersensibilisierung, getestete Backups und einen geübten Notfallplan. Gerade bei Ransomware empfiehlt das BSI neben Sensibilisierung ausdrücklich technische und organisatorische Schutzmaßnahmen sowie eine Vorbereitung auf den Ernstfall.
In der Podiumsdiskussion zur Bedrohungslage von SAP-Systemen brachte Johannes Jahn von Rohde & Schwarz die Diskussion auf den Punkt:
„Gibt es eine Lücke, gehört sie geschlossen. Punkt.“
Für ihn ist klar: Regelmäßige Sicherheitsupdates und Patches sind unabhängig von ihrer Kritikalität unverzichtbar.
Denn im SAP ERP liegen die sensibelsten und geschäftskritischsten Daten eines Unternehmens – und genau diese müssen bestmöglich geschützt werden.
Auch wenn Ransomware-Angriffe häufig primär auf Lösegelderpressung abzielen und Systeme „nur“ verschlüsseln, bleibt ein zentrales Risiko bestehen: Niemand kann sicher sagen, was mit den Daten tatsächlich passiert oder wie sie weiterverwendet werden.
Die DSAG unterstützt diese Haltung eindeutig:
„Jede Security Note – auch die unkritischste – ist wichtig.“
1. Berechtigungen – unterschätzter Risikofaktor
Berechtigungskonzepte zählen zu den größten Hebeln für mehr SAP-Security. Laut BKA ist der Mensch in rund 80 % der Fälle das Einfallstor für Cyberangriffe. Ein überdimensioniertes Berechtigungskonzept – etwa durch weitreichende Zugriffe wie SAP_ALL – erhöht das Risiko erheblich.
Kernaussage: Minimale Berechtigungen statt maximaler Freiheiten.
2. Shared Responsibility – klare Verantwortlichkeiten schaffen
Gerade in Cloud-Umgebungen ist das Verständnis der geteilten Verantwortlichkeiten entscheidend.
Jessica Wolf (DSAG) betont: „SAP ist für den technischen Betrieb verantwortlich – der Rest liegt beim Kunden.“
Das bedeutet:
Kernaussage: Security bleibt immer auch Kundensache – unabhängig vom Betriebsmodell.
3. KI – neue Chancen, neue Risiken
Der Einsatz von KI im Unternehmen eröffnet neue Möglichkeiten, bringt aber zusätzliche Sicherheitsanforderungen mit sich.
Eine zentrale Herausforderung ist die Bewertung von Worst-Case-Szenarien – beispielsweise:
• Kann ein Chatbot unbeabsichtigt kritische SAP-Funktionen auslösen?
• Welche Daten werden verarbeitet – und wie sind sie geschützt?
Kernaussage: KI-Use-Cases müssen von Anfang an „secure by design“ gedacht werden.
Eine Aussage aus der Keynote von Dominik Mauer (BKA) bringt es treffend auf den Punkt:
„Security ist wie Rasenmähen – man muss dranbleiben.“
Absolute Sicherheit gibt es nicht. Bedrohungen entwickeln sich ständig weiter – und genau deshalb darf auch SAP Security kein einmaliges Projekt sein. SAP Security ist ein kontinuierlicher Prozess, der konsequentes Handeln und klare Verantwortlichkeiten erfordert.
