SAP Security Monitoring ist die kontinuierliche Überwachung sicherheitsrelevanter Ereignisse, Einstellungen und Berechtigungen in SAP Systemen. Es wertet Protokolle wie das Security Audit Log aus, erkennt verdächtige Aktivitäten wie Missbrauch von Administratorrechten oder Datenabflüsse und alarmiert die zuständigen Personen, damit sie rechtzeitig reagieren können.

Ein SAP Security Monitoring versteht SAP Protokolle und erkennt SAP spezifische Angriffsmuster. Ein SIEM sammelt Ereignisse aus der gesamten IT und korreliert sie über Systemgrenzen hinweg, versteht SAP Protokolle ohne Aufbereitung aber kaum. In der Praxis ergänzen sich beide: Das SAP Monitoring erkennt und bewertet, das SIEM führt alle Ereignisse im SOC zusammen.

Nein. Das Security Audit Log ist die wichtigste Datenquelle, zeichnet Ereignisse aber nur auf. Es korreliert keine Ereignisse über mehrere Systeme, alarmiert nicht automatisch und wird ohne feste Routine selten ausgewertet. Erst mit regelmäßiger Auswertung oder einer Angriffserkennung wird daraus ein Monitoring.

Die wichtigsten Quellen sind das Security Audit Log, Änderungsbelege für Benutzer und Rollen, das System Log, Gateway und RFC Protokolle, der HANA Audit Trail sowie Protokolle zu Transporten und Mandantenänderungen. Welche davon für Sie relevant sind, hängt von Systemart, Release und Risiko ab.

Typisch sind Anmeldungen mit Standard und Notfallbenutzern, Brute Force Versuche, die Vergabe von SAP_ALL, Debugging mit Wertänderung im Produktivsystem, das Abschalten des Security Audit Log, Betriebssystemkommandos aus SAP heraus, Massendownloads sowie RFC Zugriffe von unbekannten Systemen.

Es gibt drei Kategorien: SAP Standardwerkzeuge wie Security Audit Log, Solution Manager und Cloud ALM; eigenständige Lösungen wie SAP Enterprise Threat Detection; und Erweiterungen, die direkt im SAP System laufen, etwa Xiting SIEM Cockpit, SecurityBridge oder Onapsis. Ergänzend leitet ein zentrales SIEM die Ereignisse an das SOC weiter.

SAP Enterprise Threat Detection (SAP ETD) ist die Lösung von SAP zur Echtzeit Erkennung von Angriffen, verfügbar On Premise und als Cloud Edition. Sie ist eine gute Wahl für große Landschaften mit eigenem Security Team. Für viele mittelständische Landschaften reicht ein schlankerer Einstieg über das Security Audit Log und eine Erweiterung im SAP System.

Die technische Grundeinrichtung ist je nach Anzahl der Systeme oft in wenigen Tagen möglich. Hinzu kommen die Abstimmung der Alarmierung vorab und eine Phase der Feinjustierung in den ersten Betriebswochen, in der Fehlalarme reduziert werden.

Bei sauberer Konfiguration kaum spürbar. Entscheidend ist ein durchdachtes Filterkonzept für das Security Audit Log, damit nur relevante Ereignisse protokolliert werden, und ausreichend Speicherplatz für die Protokolle. Beides legen wir im Logging Konzept fest.

Ja. S/4HANA, SAP ECC, Fiori und HANA Datenbanken lassen sich überwachen. Auch bei RISE with SAP bleibt die Verantwortung für Benutzer, Berechtigungen und die Auswertung sicherheitsrelevanter Ereignisse auf Anwendungsebene beim Kunden. Die Konfiguration unterscheidet sich im Detail, etwa beim Security Audit Log über RSAU_CONFIG.

Nicht zwingend. Die Alarme können Ihr SAP Basis Team, Ihre Informationssicherheit, ein vorhandenes SOC oder ein externer Dienstleister bearbeiten. Wichtig ist, dass Zuständigkeit und Reaktionszeit vorab festgelegt sind. Nextado übernimmt auf Wunsch die Bewertung der Meldungen als Managed Service.

Die Kosten hängen von der Anzahl der Systeme, dem gewünschten Echtzeitgrad, den eingesetzten Werkzeugen und dem Betriebsmodell ab. Den größten Anteil verursacht oft nicht die Software, sondern die laufende Alarmbearbeitung. Ein Einstieg über Analyse und korrekt eingerichtetes Security Audit Log ist mit überschaubarem Aufwand möglich. Nach dem Erstgespräch erhalten Sie eine konkrete Einschätzung.

NIS2 schreibt kein bestimmtes SAP Werkzeug vor. Betroffene Unternehmen müssen aber Sicherheitsvorfälle erkennen, bewerten und innerhalb von 24 Stunden erstmals melden. Betreiber kritischer Anlagen müssen nach § 31 BSIG ausdrücklich Systeme zur Angriffserkennung einsetzen. Für SAP Systeme mit zentralen Geschäftsprozessen ist ein Monitoring deshalb in der Praxis erforderlich.

Kritische Ereignisse wie die Nutzung von Notfallbenutzern sollten automatisch und zeitnah gemeldet werden. Für die übrigen Ereignisse hat sich eine feste Routine bewährt, mindestens wöchentlich und nicht erst vor dem Audit. Der DSAG Prüfleitfaden erwartet eine regelmäßige Auswertung.

Ja. Häufig ist ein Monitoring vorhanden, erzeugt aber zu viele Fehlalarme oder übersieht wichtige Ereignisse. Wir prüfen Konfiguration, Regeln und Zuständigkeiten, schließen Lücken und reduzieren Fehlalarme, unabhängig davon, welches Werkzeug im Einsatz ist.