Wichtige Erkenntnisse aus dem Onapsis × Recorded Future-Bedrohungsbericht 2026
Wichtige Erkenntnisse für Führungskräfte in Unternehmen
- •Die Zeit bis zur Ausnutzung ist auf 1–3 Tage gesunken: Der Medianwert für den Zeitraum zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und der aktiven öffentlichen Ausnutzung oder einem Proof-of-Concept ist von 489 Tagen im Jahr 2021 auf 24–72 Stunden im Zeitraum 2025–2026 gesunken, wodurch herkömmliche vierteljährliche Patches überflüssig geworden sind.
- Die SAP-Aktivitäten im Untergrund haben sich verdoppelt (+123 % Anstieg): Von Akteuren betriebene Kanäle – Untergrundforen, Messaging-Dienste und Leak-Seiten – verzeichneten einen Anstieg von 419 SAP-relevanten Dokumenten im Jahr 2023 auf 933 im Jahr 2025.
- Ransomware-Syndikate nehmen den ERP-Kern direkt ins Visier: Das Interesse an Ransomware weitete sich von 8 verschiedenen Gruppen im Jahr 2023 auf 26 im Jahr 2025 aus, wobei zwischen 2023 und dem ersten Halbjahr 2026 insgesamt 30 verschiedene Gruppen in SAP-relevanten Inhalten auftraten (darunter Qilin, Scattered Spider, LAPSUS$ und ShinyHunters), wobei die Gruppen maßgeschneiderte Skripte entwickelten, um SAP-Dienste vor der Verschlüsselung zu beenden.
- Gestohlene SAP-Zugangsdaten erzielen das 23-Fache ihres Wertes (bis zu 30.000 US-Dollar): Angebote im Untergrund zeigen, dass SAP-Zugangsdaten mit hohen Berechtigungen zwischen 500 und 30.000 US-Dollar gehandelt werden, wobei hochwertige Unternehmenszugänge in Dark-Web-Foren am oberen Ende dieser Spanne liegen – sie erreichen etwa das 23-Fache des Wertes eines standardmäßigen Zugangs zum Unternehmensnetzwerk (~1.300 US-Dollar).
- KI beschleunigt sowohl Verteidigungs- als auch Angriffszyklen: KI-Tools beschleunigen die Recherche nach Patches von Anbietern (prognostiziert werden rund 220 Meldungen im Jahr 2026) und versetzen Angreifer gleichzeitig in die Lage, Binärdateien sofort zurückzuentwickeln und die CI/CD-Lieferketten von Entwicklern anzugreifen (z. B. der „Mini Shai-Hulud“-Wurm / CVE-2026-45321).
1. Überblick für Führungskräfte: Die Zunahme von SAP-Bedrohungen
SAP fungiert als digitales Rückgrat der Weltwirtschaft, wobei seine Kunden für rund 84 % des weltweiten Handels verantwortlich sind. Diese zentrale Rolle macht geschäftskritische Anwendungsplattformen zu einem Hauptziel sowohl für finanziell motivierte Erpresser als auch für raffinierte staatlich gestützte Angreifer. Laut dem gemeinsamen „Days to Zero: 2026 SAP Threat Report“ von „ Onapsis Research Labs “ und „Recorded Future“ haben sich die tatsächlichen SAP-relevanten Bedrohungsaktivitäten zwischen 2023 und 2025 mehr als verdreifacht – ein Anstieg um 211 % von 791 auf 2.458 einzelne, von Menschen verursachte Bedrohungsdokumente.
2. Der Einbruch der Zeit bis zur Ausnutzung: von 489 Tagen auf 24–72 Stunden
In der Vergangenheit verließen sich Sicherheitsverantwortliche in Unternehmen auf eine vorhersehbare Verzögerung zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und dem Zeitpunkt, zu dem Angreifer den Patch rückentwickeln konnten, um einen funktionierenden Exploit zu erstellen. Im Jahr 2021 betrug die Medianzeit zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und einer bestätigten öffentlichen Ausnutzung oder einem Proof-of-Concept (PoC) 489 Tage. Bis 2025–2026 schrumpfte dieses Medianfenster auf 1 bis 3 Tage (24 bis 72 Stunden). Bei allen SAP-CVEs mit nachgewiesenen ersten Ausnutzungsfällen seit April 2025 erfolgte die Ausnutzung zwischen 0,3 und 24 Tagen nach der Offenlegung.
Diese Beschleunigung wird durch den doppelten Nutzen generativer KI und automatisierter Tools zur Binäranalyse vorangetrieben. „ Onapsis Research Labs “ nutzt KI-gestützte Techniken, um Schwachstellen schneller aufzudecken – was zu einer Rekordprognose von rund 220 SAP-Sicherheitshinweisen im Jahr 2026 beiträgt. Allerdings nutzen Angreifer genau dieselben KI-Tools, um Patch-Binärdateien zu analysieren, automatisierte Exploits zu schreiben und innerhalb weniger Stunden nach der Veröffentlichung Massen-Scan-Kampagnen gegen ERP-Instanzen mit Internetanbindung durchzuführen.
3. Ransomware-Gruppen greifen den ERP-Kern direkt an
Im Jahr 2023 konzentrierten sich die SAP-relevanten Ransomware-Aktivitäten auf acht Gruppen. Von 2023 bis zum ersten Halbjahr 2026 tauchten 30 verschiedene Ransomware- und Erpressergruppen in SAP-bezogenen Inhalten auf, wobei ihre Zahl von 8 im Jahr 2023 auf 26 im Jahr 2025 anstieg – darunter Qilin, Scattered Spider, LAPSUS$, ShinyHunters, BianLian, RansomEXX und Akira. Cyberkriminelle wissen, dass die Verschlüsselung oder Lahmlegung eines ERP-Systems den größtmöglichen finanziellen Druck erzeugt, da Ausfallzeiten den Order-to-Cash-Prozess, die Fertigung und die Lieferkette zum Erliegen bringen.
So hat beispielsweise die Ransomware-Gruppe „Qilin“ ihren Verschlüsseler so aktualisiert, dass er SAP-Hintergrunddienste ausdrücklich beendet, bevor die Dateiverschlüsselung beginnt. Innerhalb eines Zeitraums von 40 Tagen Anfang 2026 wurden bei elf verschiedenen Opfern der Qilin-Leak-Site Dateien exfiltriert, die ausdrücklich mit „SAP“ gekennzeichnet waren.
4. Gestohlene SAP-Zugangsdaten erzielen im Dark Web das 23-Fache ihres Wertes
Die Preisgestaltung von Vermittlern im Bereich der Cyberkriminalität im Untergrund spiegelt den strategischen Vorteil wider, der durch die Kompromittierung von Kerngeschäftssystemen erzielt wird. Während der Standardzugang auf Administratorebene zu allgemeinen Unternehmensnetzwerken im Durchschnitt bei etwa 1.300 US-Dollar liegt, reichen die Preise für SAP-Zugänge von 500 bis 30.000 US-Dollar, wobei der Zugang auf Führungsebene zu namentlich genannten Unternehmen auf den Dark-Web-Märkten am oberen Ende dieser Spanne liegt:
- US-Bundeslogistikbehörde: Ein Zugang mit weitreichenden Berechtigungen, der SAP-Daten zu Lieferkette, Verträgen und Beschaffung bündelt, wurde auf Telegram für 12.000 US-Dollar angeboten.
- Israelisches Bankinstitut: In Untergrundforen wurde direkter Administratorzugriff auf SAP-Kernsysteme für 30.000 US-Dollar angeboten.
- Egyptian Infrastructure Holding: Der Zugriff auf das SAP-BusinessObjects-Verwaltungsportal eines Unternehmens mit einem Umsatz von 1 bis 2 Milliarden US-Dollar wurde für 1.000 US-Dollar versteigert.
5. Aktionsplan: 3 Schritte zur Absicherung Ihrer SAP-Landschaft
1. Übergang vom Patch-Management zum Exposure-Management: Vierteljährliche Patch-Zyklen sind überholt, wenn die Zeit bis zur Ausnutzung einer Sicherheitslücke nur noch Tage beträgt. Führen Sie eine auf Bedrohungsinformationen basierende Risikopriorisierung ein – behandeln Sie „HotNews“ und „High-Priority Notes“ mit der Dringlichkeit eines Notfalls und wenden Sie gleichzeitig virtuelle Ausgleichskontrollen auf Systeme mit niedrigerer Priorität an.
2. Einsatz einer kontinuierlichen Erkennung von Bedrohungen auf Anwendungsebene: Wenn ein sofortiges Patchen aufgrund von Anforderungen an die Geschäftskontinuität nicht möglich ist, dient die Echtzeit-Anwendungsüberwachung als unverzichtbare Ausgleichs control , um Zero-Day-Angriffe und unbefugte ABAP-Transporte in Echtzeit zu erkennen.
3. Sicherung der SAP-Entwicklungs-Lieferkette: Erweiterung von DevSecOps auf benutzerdefinierten ABAP-Code, SAP-Joule-AI-Prompts und „ cloud “-Build-Pipelines. Durchsetzung von Integritätsprüfungen für Abhängigkeiten und Anwendung derselben Sicherheitskontrollen auf Build-Umgebungen wie auf die Produktionsumgebung.
