Laut Onapsis und Recorded Future sank die Zeit bis zum ersten Exploit von 489 Tagen 2021 auf ein bis drei Tage. 26 Ransomware-Gruppen haben SAP im Blick.
Risikobasiert patchen
SAP-Lücken: Exploits folgen nach ein bis drei Tagen
Die Zeit zwischen der Veröffentlichung eines SAP-Sicherheitsupdates und dem ersten nachgewiesenen Exploit oder einem öffentlichen Proof of Concept ist drastisch geschrumpft. Bei Schwachstellen, die SAP 2021 geschlossen hat, lag der Median noch bei 489 Tagen. Bei den in den Jahren 2025 und 2026 gepatchten Lücken waren es nur noch ein bis drei Tage. Das zeigt der Bericht „Days to Zero” des auf SAP-Sicherheit spezialisierten Unternehmens Onapsis und des Threat-Intelligence-Anbieters Recorded Future. Ausgewertet wurden mehr als 1,2 Millionen Ereignisse aus dem offenen Internet, dem Deep Web und dem Darknet aus dem Zeitraum von 2023 bis Mitte 2026.
Mehr Aktivität im Untergrund
Die Zahl der sicherheitsrelevanten Dokumente mit eindeutigem SAP-Bezug stieg laut dem Bericht von 791 im Jahr 2023 auf 2.458 im Jahr 2025, ein Plus von 211 Prozent. In Kanälen, die von Angreifern betrieben werden, wuchs die Zahl solcher Dokumente von 419 auf 933. In SAP-relevanten Quellen tauchten 2025 26 verschiedene Ransomware- und Erpressergruppen auf, 2023 waren es acht.
Zugänge für bis zu 30.000 Dollar
Ransomware-Gruppen beziehen SAP-Systeme laut dem Bericht gezielt in ihre Angriffe ein. Die Ransomware der Gruppe Qilin kann etwa SAP-Dienste beenden, bevor sie Systeme verschlüsselt. Zudem hat sich ein Markt für kompromittierte SAP-Zugänge entwickelt. In den untersuchten Untergrundquellen wurden solche Zugänge für 500 bis 30.000 US-Dollar angeboten.
Wie schnell Angreifer reagieren, zeigte sich zuletzt im August. Eine Lücke mit höchstem Schweregrad in SAP Commerce Cloud wurde laut dem Sicherheitsunternehmen Defused wenige Tage nach dem Patch aktiv ausgenutzt. Im Oktober schloss SAP eine kritische Lücke im SAP Cloud SDK for Python, über die sich Zugangsdaten abgreifen ließen.
Risikobasiert patchen
Herkömmliche Patch-Zyklen reichen laut den Autoren vor allem für aus dem Internet erreichbare SAP-Systeme nicht mehr aus. Da sich Updates in geschäftskritischen Umgebungen nicht immer kurzfristig einspielen lassen, empfehlen sie ein risikobasiertes Patch-Management. Schwachstellen sollen nach Kritikalität, Wahrscheinlichkeit einer Ausnutzung und möglichen Folgen für den Betrieb priorisiert werden. Zudem sollten Unternehmen ihre SAP-Anwendungen laufend auf Angriffsversuche überwachen und auch Entwicklungs- und Testumgebungen in ihre Sicherheitsmaßnahmen einbeziehen.
(red/Onapsis)
