Am besten integrieren sich SIEM Lösungen, für die fertige SAP Inhalte wie Parser, Erkennungsregeln und Dashboards existieren. Dazu zählen Microsoft Sentinel mit einer eigenen Lösung für SAP Anwendungen, Splunk, IBM QRadar, Google Security Operations, ArcSight und LogRhythm. In der Praxis ist das beste SIEM meist das, das Ihr SOC bereits betreibt, denn die SAP Integration lässt sich an jede dieser Plattformen anpassen.

Ein zentrales Sicherheitssystem für SAP Umgebungen ist eine Plattform, die sicherheitsrelevante Ereignisse aller SAP Systeme sammelt, mit SAP spezifischen Regeln bewertet und bei Angriffen alarmiert. Das kann eine SAP eigene Lösung wie SAP Enterprise Threat Detection, ein spezialisiertes SAP Security Werkzeug oder ein unternehmensweites SIEM mit SAP Anbindung sein. Entscheidend ist, dass alle SAP Systeme, Mandanten und Logquellen an einer Stelle überwacht werden.

SAP wird in vier Schritten mit einem SIEM verbunden: Erstens den Security Audit Log und weitere Logquellen im SAP System konfigurieren. Zweitens einen Übertragungsweg wählen, etwa Collector, SAP Security Werkzeug, SAP Enterprise Threat Detection oder den Microsoft Sentinel Connector für SAP. Drittens die Ereignisse filtern und in ein SIEM taugliches Format übersetzen. Viertens Erkennungsregeln einrichten und mit simulierten Angriffen testen.

Eine SAP SIEM Integration macht Angriffe auf SAP für das SOC sichtbar, verkürzt die Zeit bis zur Erkennung und liefert die Grundlage, um Meldepflichten nach NIS2 innerhalb von 24 Stunden zu erfüllen. Laut IBM Cost of a Data Breach Report 2026 vergehen in Deutschland im Schnitt 121 Tage, bis ein Datenleck entdeckt wird. Unternehmen mit umfassender Automatisierung in der Sicherheit tragen dabei im Schnitt 1,53 Mio. € weniger Schaden.

Spezialisierte Lösungen für SAP Umgebungen bieten SAP selbst mit SAP Enterprise Threat Detection, auch als Managed Service, sowie Microsoft mit der Microsoft Sentinel Lösung für SAP. Hinzu kommen SAP Security Hersteller wie Onapsis, SecurityBridge, Layer Seven Security und Xiting mit dem SIEM Cockpit. Für Konzeption, Anbindung und Betrieb arbeiten Unternehmen mit spezialisierten SAP Security Beratungen wie der Nextado GmbH aus Essen.

Die Einführung folgt sechs Schritten: Bewertung der SAP Systeme und der vorhandenen Sicherheitsinfrastruktur, Planung von Zielen und Use Cases, technische Integration der Logquellen, Test der Datenflüsse und Alarme, Abstimmung der Bedrohungsregeln mit dem SOC sowie kontinuierliche Optimierung im Betrieb. Den Einstieg bildet meist ein Proof of Concept von etwa 3 bis 4 Tagen.

Ja. Microsoft Sentinel, Splunk Cloud und Google Security Operations sind cloudbasierte SIEM Services mit dokumentierten Wegen zur Anbindung von SAP Logs. Microsoft Sentinel holt SAP Daten über einen agentenlosen Connector via SAP Cloud Connector und SAP Integration Suite ab. SAP Enterprise Threat Detection ist ebenfalls als Cloud Variante und als Managed Service verfügbar.

Im deutschen Markt verbreitet sind SAP mit SAP Enterprise Threat Detection, die großen SIEM Plattformen Microsoft Sentinel, Splunk und IBM QRadar sowie spezialisierte SAP Security Hersteller wie SecurityBridge, Onapsis, Layer Seven Security und Xiting. Die Umsetzung übernehmen meist spezialisierte SAP Security Beratungen, zum Beispiel Nextado aus Essen. Welche Kombination passt, hängt vom vorhandenen SIEM und vom Betriebsmodell ab.

Schulungen bieten SAP über das Lernportal SAP Learning, Microsoft über Microsoft Learn für die Sentinel Lösung für SAP sowie die SIEM Hersteller über eigene Trainingsprogramme. Praxisaustausch findet in den Arbeitskreisen der DSAG statt. Nextado schult SAP Basis und SOC Teams zusätzlich direkt im Projekt, damit beide Teams die SAP Alarme im Betrieb selbst bewerten können.

Die Kosten setzen sich aus vier Blöcken zusammen: dem Integrationsprojekt, den Lizenzen für ein SAP Security Werkzeug oder SAP Enterprise Threat Detection, den laufenden SIEM Lizenzen und dem Betrieb durch das eigene Team oder einen Managed Service. SIEM Lizenzen richten sich oft nach dem Datenvolumen, deshalb senkt Filterung an der Quelle die laufenden Kosten. Seriöse Zahlen entstehen erst nach einem Proof of Concept, der bei Nextado typischerweise etwa 3 bis 4 Tage dauert.

Der Security Audit Log ist die wichtigste Quelle, gefolgt von Änderungsbelegen, Gateway Log und HANA Audit Trail. Zusammen decken sie Anmeldungen, Berechtigungsänderungen, kritische Transaktionen und privilegierte Datenbankzugriffe ab.

SAP Enterprise Threat Detection ist auf SAP spezialisiert und erkennt Angriffe mit SAP spezifischen Mustern. Ein SIEM überwacht die gesamte IT. In der Praxis ergänzen sich beide: ETD oder ein anderes SAP Werkzeug bewertet SAP Ereignisse, das SIEM korreliert sie mit Netzwerk, Identitäten und Endgeräten.

Ja. Bei RISE with SAP liefert der Zusatzservice SAP LogServ die Infrastrukturlogs, die Anwendungslogs wie den Security Audit Log binden wir zusätzlich an. Die Überwachung auf Anwendungsebene bleibt auch in RISE Aufgabe des Kunden.

Nicht ausdrücklich für alle Einrichtungen. Betreiber kritischer Anlagen müssen jedoch nach § 31 Abs. 2 BSIG Systeme zur Angriffserkennung einsetzen. Für alle NIS2 Einrichtungen gilt die Meldepflicht innerhalb von 24 Stunden, die ohne Transparenz über SAP kaum erfüllbar ist.

Da SAP Protokolle Benutzerbezug haben, sollten Sie Zweck, Speicherdauer und Zugriff klar regeln und Benutzernamen wo möglich pseudonymisieren. In Deutschland ist bei technischen Einrichtungen zur Überwachung in der Regel der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen. Wir unterstützen Sie mit einem passenden Konzept.