SAP-Penetrationstest: Wo Berechtigungen zu Geld werden.
SAP-Risiko ist selten ein fehlender Patch. Es ist ein Fachanwender mit einer Berechtigung zu viel, ein offen registriertes RFC-Programm oder ein OData-Service ohne Autorisierungsprüfung. Wir prüfen beides - Technik und Prozess - und belegen, welcher Weg tatsächlich zu einer Buchung, einer Auszahlung oder einem Datenabfluss führt.
Sechs Prüffelder, klar abgegrenzt.
Berechtigungen & Rollen
Kritische Profile, weite Objektberechtigungen, Debug- und Änderungsrechte, technische Benutzer, Funktionstrennung dort, wo sie technisch umgangen werden kann.
SAProuter & RFC-Gateway
Routing-Tabellen, Gateway- und Message-Server-Härtung, Registrierung externer Programme, RFC-Trust zwischen Systemen und der Weg von QA nach Produktion.
Web- & OData-Exposition
Fiori-Launchpad, ICF-Services, OData-Endpunkte, Authentifizierung und Session-Handling, Autorisierungsprüfung auf Service-Ebene.
Kundeneigener ABAP-Code
Fehlende AUTHORITY-CHECKs, dynamische Aufrufe, Datei- und Verzeichniszugriffe, unsichere RFC-Wrapper - geprüft, wo Code oder Zugriff bereitgestellt wird.
Geschäftsprozess-Missbrauch
Zahlungs-, Beschaffungs- und Stammdatenprozesse: Welche Kette lässt sich mit legitimen Rechten so verketten, dass ein wirtschaftlicher Schaden entsteht?
BTP & Integration
Subaccount- und Rollenmodell, Destinations, Cloud Connector, Principal Propagation, veröffentlichte APIs und deren Authentifizierung.
Wir behaupten nicht, jede SAP-Komponente abzudecken. Was wir prüfen, benennen wir vor dem Angebot; was wir nicht prüfen, ebenfalls.
Prüfen, ohne den Betrieb zu riskieren.
- →Kick-off mit SAP-Basis, Security und Fachbereich: Systemgrenzen, Mandanten, Fenster, Ansprechpartner, Eskalationsweg.
- →Lesende Analysen und Erreichbarkeitsprüfungen können in Produktion laufen; alles Verändernde im produktionsnahen QA-System.
- →Dokumentierte Stop-Bedingungen, Freigabepflicht für potenziell störende Techniken, telefonischer Abbruchweg während der Testfenster.
- →Bericht mit reproduzierbaren Ketten, betroffenen Objekten und Transaktionen, priorisierten Maßnahmen und Aufwandsschätzung.
- →Retest der behobenen Findings, Nachweise verschlüsselt gespeichert und nach vereinbarter Frist bestätigt gelöscht.
Häufige Fragen zum SAP-Pentest
+Was umfasst ein SAP-Penetrationstest?
Die technische Angriffsfläche Ihrer SAP-Landschaft und den Missbrauch von Geschäftslogik: Berechtigungs- und Rollendesign, RFC-Gateway und SAProuter, exponierte Web- und OData-Schnittstellen, Integrationswege sowie kundeneigener ABAP-Code, soweit im Scope. Bewertet wird, was ein Angreifer mit einem gültigen Fachanwender-Konto oder von außen tatsächlich erreichen kann.
+Testen Sie in Produktion oder im Testsystem?
Bevorzugt in einem produktionsnahen QA-System für alles, was Datenänderungen oder Lastspitzen verursachen kann, und in Produktion nur für lesende Prüfungen und Erreichbarkeitsanalysen - jeweils in abgestimmten Fenstern mit dokumentierten Stop-Bedingungen und einem benannten SAP-Basis-Ansprechpartner.
+Welche Berechtigungsthemen prüfen Sie konkret?
Kritische Profile und weite Objektberechtigungen, Funktionstrennung an den Stellen, die sich technisch ausnutzen lassen, Debugging- und Änderungsrechte, Transportwege, RFC-Trust-Beziehungen zwischen Systemen sowie Dienst- und Kommunikationsbenutzer mit mehr Rechten als nötig.
+Ist BTP und Cloud-Integration im Scope?
Auf Wunsch ja: BTP-Subaccount- und Rollenmodell, Destinations und Cloud Connector, Principal Propagation, API-Exposition und Authentifizierung der veröffentlichten Services. Wir grenzen im Scoping klar ab, was geprüft wird und was Verantwortung des Betreibers bleibt.
+Prüfen Sie kundeneigenen ABAP-Code?
Wir prüfen kundeneigene Entwicklungen dort, wo Quellcode oder Zugriff bereitgestellt wird - typische Muster sind fehlende Berechtigungsprüfungen, Injection über dynamische Aufrufe, Directory Traversal in Dateischnittstellen und unsichere RFC-Wrapper. Ohne Codezugang bleibt die Prüfung verhaltensbasiert.
+Was brauchen Sie für ein Angebot?
Systemliste mit Rollen (PRD/QA/DEV), eingesetzte Komponenten (ECC oder S/4HANA, Fiori, Gateway, PI/PO oder Integration Suite, BTP), Anzahl exponierter Schnittstellen, ob Berechtigungsanalyse gewünscht ist, und ob ein Fachanwender-Konto für Assumed-Breach-Tests gestellt wird.
Scoping vertraulich anfragen.
Beschreiben Sie in wenigen Sätzen, was geprüft werden soll. Wir melden uns mit konkreten Fragen, dem passenden Prüfformat und einem Aufwandsrahmen - bevor Sie sich zu etwas verpflichten.
Noch nicht bereit für ein Gespräch? Der Scope-Check liefert in zwei Minuten Prüfform, Tester-Tage und Budgetspanne - ohne E-Mail-Zwang.
Spezialisierte Prüfungen - welche Seite passt zu Ihrem Scope
Einstieg: Testarten, Ablauf, Reporting, Preisrahmen.
Seite öffnenGemanagtes Pentest-Programm: Kalender, Retests, Findings-Management, Audit-Nachweise.
Seite öffnenTier-0-Prüfung: Angriffspfade zu Domain Admin, ADCS, Hybrid-Joins.
Seite öffnenKombination aus technischem Test und ISMS-/Compliance-Nachweis.
Seite öffnenGemeinsame Detection-Arbeit mit Ihrem SOC statt verdeckter Operation.
Seite öffnenZielgerichtete, verdeckte Angriffssimulation gegen Menschen, Technik und Prozesse.
Seite öffnen