{"id":36593,"date":"2018-02-14T10:33:58","date_gmt":"2018-02-14T09:33:58","guid":{"rendered":"https:\/\/e326.greatsolution.dev\/?p=33031"},"modified":"2022-05-01T08:27:10","modified_gmt":"2022-05-01T06:27:10","slug":"die-krux-mit-den-sap-schnittstellen","status":"publish","type":"post","link":"https:\/\/e326.greatsolution.dev\/de\/die-krux-mit-den-sap-schnittstellen\/","title":{"rendered":"Die Krux mit den SAP-Schnittstellen"},"content":{"rendered":"

SAP-Systemumgebungen wachsen und ver\u00e4ndern sich st\u00e4ndig. Dies liegt an allgemeinen Marktentwicklungen, wie der Globalisierung, die zu immer komplexeren Gesch\u00e4ftsprozessen f\u00fchrt. Unternehmen expandieren, fusionieren und kaufen andere Gesellschaften zu. Hinzu kommen neue Digitalisierungstrends, zum Beispiel Cloud Computing und Industrie 4.0, die eine zunehmend starke IT-Vernetzung erfordern.<\/p>\n

Im Laufe der Jahre sind dadurch vielerorts heterogene Systemlandschaften mit bis zu mehreren Tausend Datenschnittstellen entstanden, die die SAP-Anwendungen miteinander, aber auch mit Non-SAP-Systemen verbinden.<\/p>\n

Neben den bekannten Schnittstellen gibt es etliche, die den Systemverantwortlichen gar nicht als solche bewusst sind, etwa unbefugte Downloads von Listen \u00fcber den SAP GUI, direkte Zugriffe auf die Datenbank oder die Kommunikation mit externen Systemen.<\/p>\n

Schlupfloch f\u00fcr Datendiebe<\/h3>\n

Sind diese Schnittstellen veraltet, falsch konfiguriert oder unzureichend gesch\u00fctzt, bieten sie Hackern attraktive Einfallstore, um an Informationen zu gelangen. Datendiebe, Wirtschaftsspione und Saboteure sind dann in der Lage, ganze Datenbest\u00e4nde zu kopieren, zu \u00e4ndern oder zu l\u00f6schen und damit das Bilanzergebnis zu verf\u00e4lschen oder das SAP-System komplett abzuschalten.<\/p>\n

Dies kann f\u00fcr ein Unternehmen betr\u00e4chtliche finanzielle und rechtliche Folgen haben, zudem leidet seine Reputation. Versch\u00e4rft wird der Druck durch immer striktere gesetzliche Datenschutzgesetze, wie die neue EU-Datenschutz-\u00adGrundverordnung (DSGVO), die ab 25. Mai 2018 verbindlich anzuwenden ist.<\/p>\n

Mit der EU-DSGVO werden die Regeln f\u00fcr die Verarbeitung von personenbezogenen Daten durch Unternehmen und \u00f6ffentliche Einrichtungen EU-weit vereinheitlicht. Diese werden zu angemessenen technischen und organisatorischen Ma\u00dfnahmen verpflichtet, um personenbezogene Daten zum Beispiel gegen die Verarbeitung durch Unbefugte und gegen unbeabsichtigten Verlust zu sch\u00fctzen.<\/p>\n

Dar\u00fcber hinaus werden die Dokumentationspflichten gegen\u00fcber den bisher g\u00fcltigen Datenschutz-Bestimmungen versch\u00e4rft: So sollte der f\u00fcr die Datenverarbeitung Verantwortliche die Konformit\u00e4t mit den EU-DSGVO-Richtlinien nachweisen k\u00f6nnen. Verst\u00f6\u00dfe werden mit hohen Strafgeldern von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweit erzielten Jahresumsatzes eines Unternehmens bewehrt.<\/p>\n

Obwohl die Risiken ungesicherter SAP-Schnittstellen l\u00e4ngst bekannt sind, haben die meisten Unternehmen das Problem nicht im Griff \u2013 vor allem, weil es keine umfassende Transparenz \u00fcber die vorhandenen Schnittstellen gibt.<\/p>\n

\"Oleksandr<\/a><\/p>\n

Keine zentrale Dokumentation<\/h3>\n

In der Regel existiert keine zentrale Stelle, die \u00fcber eine l\u00fcckenlose Dokumentation s\u00e4mtlicher Schnittstellen und dar\u00fcber ausgetauschter Daten verf\u00fcgt. Oft handeln die Fachbereiche die Schnittstellen ihrer SAP-Systeme direkt mit den Kunden, Zulieferern oder Systemherstellern aus, ohne dass dies in eine firmen\u00fcbergreifende Bestandsaufnahme einflie\u00dfen w\u00fcrde.<\/p>\n

So ist es f\u00fcr Unternehmen kaum m\u00f6glich, die aktuellen SAP-Schnittstellen laufend auszuwerten und zu \u00fcberwachen, um sie vor m\u00f6glichen Angriffen zu sch\u00fctzen. Ebenso wenig sind sie in der Lage, den Bestimmungen der EU-DSGVO nachzukommen, da sie nicht einmal genau wissen, \u00fcber welche SAP-Schnittstellen personenbezogene Informationen \u00fcberhaupt ausgetauscht werden oder werden k\u00f6nnen.<\/p>\n

Ohne diese Kenntnis jedoch k\u00f6nnen sie auch nicht nachweisen, dass sie die entsprechenden Schnittstellen nach dem Stand der Technik abgesichert haben, um die personenbezogenen Daten vor unberechtigten Zugriffen oder versehentlichem Abfluss zu sch\u00fctzen.<\/p>\n

Viel Aufwand f\u00fcr manuelle Analysen<\/h3>\n

Um solche Probleme zu vermeiden und Transparenz \u00fcber ihre Schnittstellenlandschaft zu gewinnen, setzen manche Betriebe bereits auf manuelle Analysen der sicherheitskritischen Parameter der Schnittstellen und Laufzeitstatistiken.<\/p>\n

Diese Auswertungen sind in der Regel jedoch nur stichprobenartig durchf\u00fchrbar, da sie enorm aufw\u00e4ndig sind. \u00c4hnliche Beschr\u00e4nkungen gibt es beim Einsatz verschiedener im Markt angebotener Analysewerkzeuge.<\/p>\n

Dies hat im Wesentlichen drei Gr\u00fcnde. Zum einen fokussieren sich die vorhandenen L\u00f6sungen auf die Auswertung einzelner Schnittstellen-Technologien, wie sie in einer gewachsenen SAP-Systemumgebung nebenei\u00adnander in gro\u00dfer Zahl zu finden sind: zum Beispiel Remote Function Call (RFC), HTTP, FTP, Java Connector (JCo) und viele andere.<\/p>\n

Wer einen m\u00f6glichst vollst\u00e4ndigen \u00dcberblick \u00fcber die aktuell vorhandenen Schnittstellen gewinnen will, muss also jede Technologie einzeln analysieren und die Ergebnisse manuell konsolidieren: Auch dieser Zeit- und Kostenaufwand ist betr\u00e4chtlich.<\/p>\n

Verf\u00fcgbare L\u00f6sungen reichen nicht aus<\/h3>\n

Ein weiterer Nachteil der verf\u00fcgbaren L\u00f6sungen ist, dass sie die Schnittstellen und Datenfl\u00fcsse nur lokal, das hei\u00dft aus einem einzigen System heraus analysieren. Um ein m\u00f6glichst vollst\u00e4ndiges Bild der Kommunikationsbeziehungen innerhalb einer SAP-Systemlandschaft zu erhalten, muss jedoch jede Schnittstelle auf beiden Seiten ausgewertet werden.<\/p>\n

Viele herk\u00f6mmliche Analyse-Werkzeuge konzentrieren sich auf nur eine Problemstellung, etwa auf die Frage, welche Daten \u00fcber den SAP GUI heruntergeladen werden. In jedem Fall wird nur punktuell Klarheit \u00fcber die vorhandene Schnittstellenlandschaft erzielt.<\/p>\n

Einen vollst\u00e4ndigen \u00dcberblick k\u00f6nnen Unternehmen mit L\u00f6sungen wie dem Virtual Forge InterfaceProfiler gewinnen. Sie k\u00f6nnen ein Modell oder Regelwerk f\u00fcr die gew\u00fcnschte SAP-System- und -Schnittstellenlandschaft erstellen und mit den laufend gesammelten Informationen vergleichen (Soll-Ist-\u00adAnalyse).<\/p>\n

Dabei werden die Abweichungen gemeldet und dokumentiert. Ausgehend von einem zentralen SAP-System analysiert der InterfaceProfiler die Kommunikationsbeziehungen der gesamten Systemumgebung.<\/p>\n

Die Ergebnisse werden grafisch dargestellt und Protokolle der gefundenen Schwachstellen einschlie\u00dflich ihrer Kritikalit\u00e4t erzeugt. Zudem werden Vorschl\u00e4ge zur m\u00f6glichen Verbesserung der Sicherheit und technischen Ausgestaltung der Schnittstellen gemacht.<\/p>\n

Mit speziellen Sicherheitsfunktionen ist es auf Knopfdruck m\u00f6glich, zahlreichen Risiken im t\u00e4glichen Systembetrieb zu begegnen, etwa Berechtigungen zum Download von Ergebnislisten im SAP GUI zu blockieren.<\/p>\n

Ebenso lassen sich Copy-and-Paste-Operationen von ALV-Listen vermeiden. Die Berechtigungen k\u00f6nnen im Cockpit des InterfaceProfiler \u00fcbersichtlich und feingranular dargestellt werden \u2013 eine wichtige Voraussetzung, um die DSGVO zu erf\u00fcllen.<\/p>\n

Eine Monitoring-Komponente gibt Auskunft \u00fcber Schnittstellen, die zwar technisch noch funktionsf\u00e4hig sind, aber seit l\u00e4ngerer Zeit nicht mehr genutzt werden. Zudem k\u00f6nnen die Nutzungsintervalle noch genutzter Schnittstellen ermittelt und damit unbefugte, au\u00dferplanm\u00e4\u00dfige Schnittstellenaktivit\u00e4ten identifiziert werden. Alle Events werden umfangreich protokolliert und k\u00f6nnen aktiv gemeldet werden.<\/p>\n

 <\/p>\n

\"https:\/\/e326.greatsolution.dev\/partners\/virtual-forge-gmbh\/\"<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Ungesch\u00fctzte SAP-Schnittstellen \u00f6ffnen Hackern T\u00fcr und Tor. Das wissen viele Unternehmen \u2013 verf\u00fcgen aber bis heute \u00fcber keine ausreichenden Sicherheitsma\u00dfnahmen. Erforderlich sind L\u00f6sungen, mit denen die Schnittstellen fl\u00e4chendeckend analysiert und \u00fcberwacht werden k\u00f6nnen.<\/p>\n","protected":false},"author":1377,"featured_media":36785,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"pmpro_default_level":"","footnotes":""},"categories":[5,20361],"tags":[621,11281,5519,637,367,4192],"coauthors":[21854],"class_list":["post-36593","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-management","category-mag-1802","tag-cloud-computing","tag-dsgvo","tag-globalisierung","tag-hacker","tag-industrie-4-0","tag-sap-gui","pmpro-has-access"],"acf":[],"featured_image_urls_v2":{"full":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"thumbnail":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-150x150.jpg",150,150,true],"medium":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",400,181,false],"medium_large":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-768x348.jpg",768,348,true],"large":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"image-100":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-100x45.jpg",100,45,true],"image-480":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-480x217.jpg",480,217,true],"image-640":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-640x290.jpg",640,290,true],"image-720":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-720x326.jpg",720,326,true],"image-960":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-960x435.jpg",960,435,true],"image-1168":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"image-1440":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"image-1920":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"1536x1536":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"2048x2048":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"trp-custom-language-flag":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",18,8,false],"bricks_large_16x9":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"bricks_large":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"bricks_large_square":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",1000,453,false],"bricks_medium":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",600,272,false],"bricks_medium_square":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817.jpg",600,272,false],"profile_24":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-24x24.jpg",24,24,true],"profile_48":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-48x48.jpg",48,48,true],"profile_96":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-96x96.jpg",96,96,true],"profile_150":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-150x150.jpg",150,150,true],"profile_300":["https:\/\/e326.greatsolution.dev\/wp-content\/uploads\/2018\/04\/shutterstock_619960817-300x300.jpg",300,300,true]},"post_excerpt_stackable_v2":"

Ungesch\u00fctzte SAP-Schnittstellen \u00f6ffnen Hackern T\u00fcr und Tor. Das wissen viele Unternehmen \u2013 verf\u00fcgen aber bis heute \u00fcber keine ausreichenden Sicherheitsma\u00dfnahmen. Erforderlich sind L\u00f6sungen, mit denen die Schnittstellen fl\u00e4chendeckend analysiert und \u00fcberwacht werden k\u00f6nnen.<\/p>\n","category_list_v2":"IT-Management<\/a>, MAG 18-02<\/a>","author_info_v2":{"name":"Oleksandr Panchenko, Virtual Forge","url":"https:\/\/e326.greatsolution.dev\/de\/author\/oleksandr-panchenko\/"},"comments_num_v2":"0 comments","_links":{"self":[{"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/posts\/36593","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/users\/1377"}],"replies":[{"embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/comments?post=36593"}],"version-history":[{"count":0,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/posts\/36593\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/media\/36785"}],"wp:attachment":[{"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/media?parent=36593"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/categories?post=36593"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/tags?post=36593"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/e326.greatsolution.dev\/de\/wp-json\/wp\/v2\/coauthors?post=36593"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}