„Never touch a running system“?

Die Plattform des Walldorfer SAP-Konzerns ist der Treibstoff vieler Unternehmen. Die Software ist so zentral in den Prozessen verankert, dass sie nahezu in jedem Schritt genutzt wird. Und wenn sie einmal läuft, wird sie meist nur noch marginal angepasst. In vielen Unternehmen herrscht darüber hinaus die Meinung vor, dass Datenschutz und Datensicherheit zwei Punkte sind, die nur von einer internen Abteilung richtig gehandhabt werden kann.

Warum genau das in der Praxis richtig teuer werden kann, erläutert Jörg Zitzen-Dickschat vom Unternehmen GoToSec im Gespräch mit „Die Wirtschaft Köln“.

Die Wirtschaft: SAP-Systeme laufen oft jahrelang stabil im Hintergrund – ganz nach dem bewährten Motto ‚Never touch a running system‘. Warum ist genau diese IT-Gemütlichkeit heute fatal und ein offenes Tor für Angreifer?

Jörg Zitzen-Dickschat: Weil Stabilität in der IT heute oft mit Sicherheit verwechselt wird. Ein SAP-System kann technisch perfekt laufen und im selben Moment sperrangelweit offenstehen. Die größte Gefahr im Jahr 2026 ist nicht die Software an sich, sondern das, was wir in der Praxis täglich sehen: ein akuter Mangel an Ressourcen und starre Silos.

Ein klassisches Beispiel: Das HR-System weiß längst, dass ein Mitarbeiter das Unternehmen verlassen hat. Aber weil dieses System komplett abgekapselt von der SAP-Landschaft läuft und sich die Systeme nicht automatisch unterhalten, bleibt der Account im SAP aktiv. Da sind Mitarbeiter noch monatelang akkreditiert, die schon längst bei der Konkurrenz arbeiten. Cyberkriminelle, die heute hochprofessionell und KI-gestützt agieren, suchen gezielt nach genau solchen verwaisten Zugängen.

Hinzu kommt, dass moderne SAP-Landschaften heute tief mit Cloud-Diensten und externen Partner-Schnittstellen vernetzt sind. Wenn da das Berechtigungsmanagement über Jahre organisch vor sich hin wuchert, verliert man völlig die Transparenz. Spätestens, wenn der Wirtschaftsprüfer für das nächste Audit vor der Tür steht, fliegt einem diese Gemütlichkeit um die Ohren. Der Prüfer kennt die Normen ganz genau und findet die Lücken sofort. Und dann wird es richtig teuer – weil unter immensem Zeitdruck hektisch Dinge ‚gestöpselt‘ werden müssen, die man jahrelang vernachlässigt hat.

Bildquelle Patrick Kaut Fotografie

Jörg Zitzen-Dickschat: „Moderne SAP-Systeme verwalten auch Maschinen. Wenn im Mittelstand automatisierte Prozesse laufen, muss Maschine A in der Werkshalle eigenständig ins SAP-Feld schreiben dürfen: ‚Ich habe nur noch 1.000 Schrauben, besorg mal über den Einkauf neue.‘ Wenn diese Schnittstellen und maschinellen Berechtigungen nicht permanent überwacht werden, entstehen dort die gefährlichsten und am Ende teuersten Sicherheitslücken.“

Die Wirtschaft: Viele Mittelständler schwören darauf, dass SAP-Sicherheit und Datenschutz nur im eigenen Haus von der internen IT-Abteilung gelöst werden können. Warum ist dieser Glaube oft ein teurer Trugschluss, und wo stoßen interne Teams heute schlichtweg an ihre Grenzen?

Jörg Zitzen-Dickschat: Ich erlebe in Gesprächen mit Geschäftsführern oft eine ehrliche Überraschung, wenn wir das Thema Berechtigungen ansprechen. Viele denken tatsächlich, das sei eine Sache, die sich im System irgendwie von selbst reguliert. Frei nach dem Motto: Mitarbeiter A sitzt in Abteilung A – das muss doch schon reichen. Das Gegenteil ist der Fall.
Wer schon mal versucht hat, in einem kleinen SAP-System Rechte zu vergeben, weiß, wie ultra-granular und komplex das ist. Bei den großen Konzern-Installationen ist das ein Lexikon mit sieben Bänden. SAP ist kein normales Programm, es ist eine eigene Welt. Um überhaupt zu verstehen, was Berechtigung ‚ABC‘ im tiefsten Untermenü anrichtet, braucht man jahrelange Spezialisierung.
Was passiert also im stressigen Praxisalltag der internen IT? Die Teams müssen den Betrieb am Laufen halten, die Digitalisierung anstoßen und nebenbei den Laden absichern. Aus purem Selbstschutz wird da oft mit sehr groben Standard-Rollen gearbeitet. Motto: ‚Ich gebe dem Mitarbeiter lieber drei Rechte zu viel, bevor morgen die Produktion steht und mein Telefon nicht mehr stillsteht.‘
Das ist absolut menschlich, führt aber dazu, dass Berechtigungsstrukturen über Jahre wild wuchern. Der teure Trugschluss der Chefs ist zu glauben: ‚Weil meine IT im Haus sitzt, habe ich die Kontrolle.‘ In Wahrheit haben die internen Teams durch den Fachkräftemangel und das Tagesgeschäft gar nicht mehr die Kapazität, diese Komplexität von SAP permanent zu überwachen. Echte Kontrolle entsteht erst, wenn man sich für diese Spezialaufgabe das nötige Expertenwissen von außen dazuholt. Und das SAP so komplex sein „darf“, ist wiederum absolut richtig, wenn man sich anschaut, was diese Software-Welt eigentlich tun soll.

Der Jojo-Effekt

Die Wirtschaft: Wenn das Berechtigungsmanagement über Jahre hinweg organisch wächst und kaum angepasst wird – wo verstecken sich da die wahren, unentdeckten Kostentreiber? Und wie bricht Ihr neuer Ansatz ‚SAP Security as a Service‘ dieses Problem im Abo-Modell auf, um es effizienter zu lösen als das Team vor Ort?

Jörg Zitzen-Dickschat: Die wahren Kosten lauern im klassischen ‚Jojo-Effekt‘ einmaliger IT-Projekte. Viele Unternehmen leisten sich alle paar Jahre für teures Geld ein punktuelles Berechtigungs-Audit. Dann wird einmal aufgeräumt, viel Geld überwiesen – und drei Monate später ist alles wieder beim Alten. Warum? Weil ein ERP-System niemals stillsteht. Neue Mitarbeiter kommen an Bord, Abteilungen strukturieren um, eine neue Produktionslinie wird aufgelegt…

Und wir sprechen hier längst nicht mehr nur von Menschen. Moderne SAP-Systeme verwalten auch Maschinen. Wenn im Mittelstand automatisierte Prozesse laufen, muss Maschine A in der Werkshalle eigenständig ins SAP-Feld schreiben dürfen: ‚Ich habe nur noch 1.000 Schrauben, besorg mal über den Einkauf neue.‘ Wenn diese Schnittstellen und maschinellen Berechtigungen nicht permanent überwacht werden, entstehen dort die gefährlichsten und am Ende teuersten Sicherheitslücken.

Genau hier bricht unser ‚As a Service‘-Modell die alten Denkmuster auf. Statt der reaktiven Feuerwehr bei akuten Problemen sind wir der kontinuierliche Begleiter. Was wir am Ende des Tages eigentlich verkaufen, steht auf keiner Rechnung, ist aber der wichtigste Faktor: wieder nachts schlafen können, Sicherheit in der Daten-Welt. Der Kunde weiß, dass er einen verlässlichen Partner an Bord hat, der dieses dynamische, siebenbändige SAP-Lexikon Tag für Tag im Blick behält. Sicherheit wird so von einem stressigen, unkalkulierbaren Projekt zu einer planbaren, dauerhaft verfügbaren Serviceleistung, die der internen IT den Rücken freihält.

„Der größte Fallstrick ist die Prokrastination“

Die Wirtschaft: SAP erhöht ohnehin den Druck und treibt die Unternehmen zur Migration auf S/4HANA in die Cloud. Sie haben diesen Weg bereits mit Kunden bestritten: Welche sicherheitsrelevanten Fallstricke lauern bei diesem Transformationsprozess, die Sie Ihren Kunden ersparen können?

Jörg Zitzen-Dickschat: Der größte Fallstrick ist die Prokrastination – aber die Zeit des Aufschiebens ist vorbei. SAP zieht den alten SAP R/3-Installationen unerbittlich den Stecker, das Support-Ende steht fest vor der Tür. Gleichzeitig lockt Walldorf ganz bewusst mit dem großen KI-Versprechen: Die echten Zukunftstechnologien und Innovationen sollen künftig nur noch in der Cloud laufen. Für den Mittelstand ist diese Migration also keine Kür, sondern eine unausweichliche Pflichtaufgabe.

Genau hier erleben wir aber ein gefährliches Phänomen: Viele Unternehmen wollen das Projekt unter dem enormen Zeitdruck einfach nur schnell hinter sich bringen. Ihr Plan: ‚Wir kopieren die alten Berechtigungen erst einmal eins zu eins rüber in die neue S/4HANA-Umgebung und räumen später auf.‘

Das ist ein fataler Fehler. Damit schleppt man den organisch gewachsenen Wildwuchs und die Sicherheitslücken der letzten 20 Jahre direkt mit in die moderne Cloud-Infrastruktur. Die Migration ist die absolute Stunde Null für ein Unternehmen. Genau jetzt ist der einzig richtige Zeitpunkt, um die Berechtigungen nachvollziehbar und klar strukturiert aufzubauen. Wichtig sind dabei auch klare Verantwortlichkeiten der jeweiligen Fachbereiche.

Wer Sicherheit nicht von Tag eins an als strategisches Fundament der Transformation begreift, zahlt später doppelt drauf. Am Ende ist S/4HANA eben kein reines IT-Projekt, sondern eine existenzielle Weichenstellung für die gesamte Unternehmenssicherheit. Und die Frage ist nie, ob man in diese Sicherheit investiert – sondern nur, ob man es vor oder nach dem ersten großen Vorfall tut.