Deutsch | English | Español

Sicherheitslücken Spectre und Meltdown: Was SAP® Kunden jetzt wissen müssen

18. Januar 2018 | Von Virtual Forge GmbH

Conceptual image of micro circuit. Security concept-1.jpegDie Bombe hat direkt zum Beginn des Jahres eingeschlagen: Beinahe alle Computerchips weltweit sind von den „Spectre“ und „Meltdown“ getauften Angriffsszenarien betroffen. Diese greifen zudem auf Hardware-Level, sind also nicht auf ein Betriebssystem beschränkt. Und zu allem Überfluss werden die benötigten Patches die betroffenen Geräte langsamer machen. Viel mehr Wellen kann eine Sicherheitslücke eigentlich kaum schlagen. Aus Sicht von SAP® Kunden stellt sich natürlich die Frage: wie steht es um die Sicherheit meiner SAP-Systeme? Sind diese überhaupt gefährdet und wenn ja, wie hoch ist das Risiko? Wir beantworten alle wichtigen Fragen.

  1. Spectre und Meltdown? Worum geht es eigentlich genau?

    Die Details zu den Sicherheitslücken sind in den letzten Tagen durch viele Medien gegangen, aber vielfach nur oberflächlich behandelt worden. Die Kollegen von heise.de haben aber eine gute Zusammenfassung geliefert. 

  2. Sind SAP-Systeme betroffen?

    Da es sich bei den gefundenen Sicherheitslücken um Schwachstellen in der Hardwarearchitektur von gängigen Prozessoren handelt, sind grundsätzlich auch SAP-System davon betroffen. Natürlich nur, wenn die Prozessoren dieser Systeme verwundbar sind – das sind aber sehr, sehr viele. Es ist also davon auszugehen, dass die Schwachstellen für einen Großteil der SAP-Systeme relevant sind.

  3. Können Hacker SAP-Systeme jetzt einfacher angreifen?

    Nicht unbedingt. Da es sich, wie gesagt, um Hardwareprobleme handelt sind hauptsächlich die Daten betroffen, die auch im Speicher des Prozessors abgelegt werden. Das können auf Systemen natürlich auch SAP-Daten sein. Wahrscheinlicher ist aber, dass SAP-Systeme, die oft nur unzureichend geschützt sind, als Einfallstor für Angriffe auf die Prozessoren dienen werden und von dort aus Schadcode verbreitet wird.

  4. Was können SAP-Kunden jetzt unternehmen

    Die meisten Betriebssystemhersteller haben schnell reagiert und erste Patches bereitgestellt und auch von den Prozessorherstellern werden entsprechende Fixes in den nächsten Tagen und Wochen bereitgestellt werden. Gerade die Patches der Prozessorenhersteller haben natürlich aus Sicht von SAP-Kunden einen erheblichen Nachteil: Sie erfordern ein Neustart des Systems. Das dies schon bei den Sicherheitshinweisen der SAP nicht immer „eben so“ erledigt ist, hatten wir ja schon beschrieben.
  1. Wie hoch ist das Risiko in der SAP Cloud?

    Kunden, die in der SAP-Cloud sind, haben einen Vorteil:: Die Cloud-Systeme gehörten zu den ersten, die gepatcht worden sind und es muss immer nur ein System aktualisiert werden. Wer On-Premise die komplette SAP-Systemlandschaft updaten will, steht dahingegen vor einer Herkules-Aufgabe. Und diese sollte so schnell wie möglich angegangen werden. Experten befürchten, dass Angreifer Spectre und Meltdown in ihr Angriffsarsenal übernehmen werden, um auf diese Weise an sensible Firmendaten zu kommen. So schnell wie möglich Patchen lautet daher unsere Empfehlung. 

  2. Wie kann ich mich schützen?

    SAP-System absichern! Sicherheitsrisiken entstehen in SAP-Landschaften vor allem über drei Wege: 

    - unsichere Konfigurationen
    - fehlerhaften kundeneigenen Code
    - risikobehaftete Transporte

    Wer diese Einfallstore so weit wie möglich abgesichert hat, kann schon einen Großteil der Risiken ausschließ Wenn Sie sich noch keine Gedanken über eine Sicherheitsstrategie gemacht haben, empfehlen wir unser Schwachstellenanalyse, um ein Gefühl für den Sicherheitsstatus Ihrer SAP-Systeme zu bekommen.


@Virtual_Forge auf Social Media:

social_twitter_active.png social_xing_active.png social_linkedin_active.png social_google_active.png