Vergleich der automatisierten Überwachung mit der herkömmlichen SAP-Überwachungssoftware
Der Kernunterschied: Herkömmliche SAP Überwachung ist reaktiv und beantwortet die Frage "Läuft das System?". Sie prüft Verfügbarkeit und Leistung, meldet erst bei einem festen Schwellenwert, und Auswertung und Reaktion bleiben beim Menschen. Automatisierte SAP Überwachung ist kontinuierlich und beantwortet zusätzlich die Frage "Ist das System sicher?". Sie sammelt Sicherheits und Betriebsdaten laufend, korreliert sie nach Regeln oder Mustern und löst Alarme, Tickets oder Gegenmaßnahmen selbst aus. Für Unternehmen mit mehreren SAP Systemen und Prüfpflichten wie NIS2 ist die Automatisierung der praktikablere Weg. Klassische Werkzeuge bleiben für den Systembetrieb sinnvoll.
Was ist der Unterschied zwischen automatisierter und herkömmlicher SAP Überwachung?
Der Unterschied liegt in drei Punkten: was überwacht wird, wer auswertet und wer reagiert.
- Was wird überwacht? Herkömmlich geht es um den Betrieb: Verfügbarkeit, Leistung, Fehler. Automatisiert kommt die Sicherheit dazu, in drei Bereichen: Systemeinstellungen und Berechtigungen werden präventiv gegen eine Sicherheitsbaseline geprüft, verdächtige Aktivitäten in den Protokollen werden detektiv erkannt. Mehr dazu unter SAP Security Monitoring.
- Wer wertet aus? Herkömmlich ein Administrator, der in Transaktionen wie SM20 (Security Audit Log), ST22 (Laufzeitfehler) oder SM37 (Jobs) nachsieht oder bei einem gerissenen Schwellenwert eine Mail bekommt. Automatisiert bewertet das System die Daten selbst, nach festen Regeln und über mehrere Quellen hinweg.
- Wer reagiert? Herkömmlich der, der zufällig hinsieht. Automatisiert wird ohne manuellen Aufruf an die zuständige Stelle weitergeleitet, etwa an das SIEM, das Ticketsystem oder das Security Operations Center.
Kurz gesagt: Herkömmliche Überwachung wartet darauf, dass jemand nachsieht. Automatisierte Überwachung sieht selbst nach und meldet sich, wenn etwas auffällt.
| Kriterium | Herkömmliche Überwachung | Automatisierte Überwachung |
|---|---|---|
| Grundprinzip | Reaktiv: Mensch schaut nach oder wartet auf Schwellenwert | Kontinuierlich: System wertet laufend aus und meldet selbst |
| Fokus | Verfügbarkeit, Leistung, Fehler | Zusätzlich Sicherheit: Systemeinstellungen und Berechtigungen (präventiv), Protokolle auf Angriffe (detektiv) |
| Auslöser | Manueller Blick oder einfacher Schwellenwert | Regeln, Korrelation über mehrere Quellen, teils Anomalieerkennung |
| Reaktionszeit | Stunden bis Tage, abhängig von Personal | Minuten, rund um die Uhr |
| Systemabdeckung | Meist pro System einzeln | Zentral über die ganze Landschaft |
| Nachweis für Audits | Manuell zusammengestellt | Lückenlose Protokolle und Berichte |
| Aufwand | Gering in der Einführung, hoch im Betrieb | Höher in der Einführung, gering im Betrieb |
Welche Schwächen hat herkömmliche SAP Überwachungssoftware?
Die größte Schwäche ist die fehlende Sicherheitssicht. Klassische Systemmonitore erkennen, dass ein Job abbricht. Sie erkennen nicht, dass ein Benutzer kurz vor Feierabend SAP_ALL erhält, eine kritische Transaktion ausführt und die Rolle danach wieder entzogen wird. Weitere Schwächen:
- Logs werden nur gelesen, wenn jemand aktiv nachsieht.
- Jedes System wird einzeln betrachtet. Angriffe über mehrere Systeme fallen nicht auf.
- Das Security Audit Log überschreibt alte Einträge, wenn es nicht archiviert oder weitergeleitet wird.
- Nachweise für Prüfer entstehen erst kurz vor dem Audit, meist unter Zeitdruck.
Wie schwer das wiegt, zeigt der Bitkom Studienbericht Wirtschaftsschutz 2026. Unter den Unternehmen, die einen Schaden durch Cyberangriffe erlitten haben (n=580), nennen 59 Prozent die unzureichende Erkennung von Sicherheitsvorfällen als Grund dafür. Das ist der häufigste genannte Faktor, noch vor Fehlkonfigurationen (57 Prozent) und unzureichendem Identitäts und Zugriffsmanagement (55 Prozent). Bitkom empfiehlt deshalb, Protokolldaten und Sicherheitssysteme kontinuierlich zu überwachen, damit verdächtige Aktivitäten früh auffallen. Die Studie betrachtet die gesamte Unternehmens-IT und nicht speziell SAP, die Aussage gilt für SAP Landschaften aber ebenso.
Welche Vorteile bringt die automatisierte SAP Überwachung?
- Schnellere Erkennung: Verdächtige Aktivitäten fallen sofort auf, nicht erst bei der nächsten Stichprobe. Wie das im Detail aussieht, zeigt die Bedrohungserkennung in Echtzeit für SAP.
- Weniger Fehlalarme: Gute Regeln bewerten den Kontext, also Benutzer, System, Uhrzeit und Mandant, statt jedes einzelne Ereignis zu melden.
- Revisionssichere Nachweise: Alarme, Bearbeitung und Abschluss sind dokumentiert. Das hilft bei NIS2, ISO 27001 und der Jahresabschlussprüfung.
- Entlastung der Basis: Routineprüfungen wie kritische Profile, Standardbenutzer oder offene RFC Verbindungen laufen automatisch. Das gilt auch für das SAP Schwachstellenmanagement: Fehlende SAP Security Notes und unsichere Einstellungen werden laufend gefunden und nach Risiko sortiert, statt einmal im Jahr bei der Prüfung.
Gibt es Nachteile für die automatisierte SAP Überwachung?
Ja. Automatisierung kostet zunächst Aufwand: Logquellen konfigurieren, Regeln an das eigene System anpassen, Zuständigkeiten klären. Ohne Feinjustierung entstehen zu viele Alarme, und das Team ignoriert sie. Außerdem ersetzt kein Werkzeug die fachliche Bewertung. Jemand muss entscheiden, ob ein Alarm ein Vorfall ist.
Wann lohnt sich der Umstieg auf die automatisierte SAP Überwachung?
Der Umstieg lohnt sich, wenn mindestens einer dieser Punkte zutrifft:
- Ihr Unternehmen fällt unter NIS2 oder vergleichbare Vorgaben und muss Vorfälle melden.
- Sie betreiben mehr als zwei produktive SAP Systeme oder eine hybride Landschaft.
- Prüfer haben fehlende Protokollauswertungen bemängelt.
- Ein SOC oder SIEM existiert bereits, SAP ist aber noch nicht angebunden.
Ein sinnvoller Einstieg ist eine Bestandsaufnahme: Welche Logs sind aktiv, welche Ereignisse sind wirklich kritisch, wer reagiert? Danach wird automatisiert, was häufig vorkommt und klar bewertbar ist. Bei dieser Konzeption und beim SAP Security Monitoring unterstützt Nextado. Wer kein eigenes Team für die Bearbeitung der Alarme hat, kann den Betrieb als Managed Service für SAP Sicherheit auslagern.
Häufige Fragen
Ersetzt automatisierte Überwachung die SAP Basis?
Nein. Sie nimmt der Basis Routinearbeit ab. Bewertung, Freigaben und Korrekturen bleiben menschliche Aufgaben.
Reicht es, wenn ein Administrator die Logs regelmäßig prüft?
Meist nicht. Manuelle Stichproben erfassen nur einen Bruchteil der Ereignisse und kommen oft zu spät. Laut Bitkom ist unzureichende Erkennung der häufigste genannte Faktor bei erfolgreichen Cyberangriffen.
Fazit
Herkömmliche Überwachung beantwortet die Frage "Läuft das System?" und wartet, bis jemand nachsieht. Automatisierte Überwachung beantwortet zusätzlich "Ist das System sicher, und wer reagiert, wenn nicht?" und meldet sich selbst. Für SAP Landschaften mit Prüfpflichten ist die zweite Frage heute die entscheidende.
