Geschäftskritische Anwendungen im Visier: Die Zunahme von Sicherheitsverletzungen bei SAP, Salesforce und Oracle

Im vergangenen Jahr haben raffinierte Angreifer ihren Fokus deutlich verlagert und eine Welle von Cyberangriffen auf geschäftskritische Anwendungen gestartet. Dieser Trend hat Hunderte großer Unternehmen weltweit geschädigt, indem er gezielt auf die Kernsysteme von SAP, Oracle und Salesforce abzielte, die die globale Wirtschaft antreiben. Zu den bemerkenswerten Vorfällen zählen die massenhafte Ausnutzung von SAP-Systemen, der Diebstahl von rund einer Milliarde Salesforce-Datensätzen sowie Angriffe von Ransomware-Gruppen auf die Oracle E-Business Suite. Die Folgen erwiesen sich als existenziell, mit Auswirkungen, die von Datendiebstahl bis hin zu kostspieligen Betriebsausfällen reichten, was deutlich macht, dass die Sicherung dieser Anwendungen ein vorrangiges geschäftliches, finanzielles und betriebliches Risiko darstellt.

Die unsichtbare Infrastruktur im Visier

Die meisten Menschen haben noch nie von SAP, der Oracle E-Business Suite oder den Backend-Systemen von Salesforce gehört. Dabei bilden diese Plattformen die unsichtbare Infrastruktur des modernen Handels. Sie sind die Software, die in den größten Unternehmen der Welt alles verwaltet – von der Lohnabrechnung über die Lagerbestände bis hin zu Kundendaten und Finanztransaktionen.

Diese geschäftskritischen Anwendungen sind die Systeme, die die durchgängigen Kernprozesse eines Unternehmens steuern:

• Record-to-Report (Finanzen)
• Procure-to-Pay (Beschaffung)
• Order-to-Cash (Vertrieb, Logistik)
• Von der Einstellung bis zur Pensionierung (HR)
• Kundenlebenszyklus (Marketing, Vertrieb, Service)

Sie zentralisieren Stammdaten, koordinieren Transaktionen und verbinden sich mit umfangreichen B2B-Netzwerken. Wenn diese Anwendungen kompromittiert werden, kommen Produktion, Gehaltsabrechnung, Finanzabschluss und Kundensupport zum Erliegen, was sich unmittelbar auf den Cashflow und die Compliance auswirkt. Der Markt für Unternehmensanwendungen befindet sich auf einem mehrjährigen Wachstumskurs, was deutlich macht, wie zentral diese Systeme für moderne Unternehmen sind.

Diese Systeme wurden nicht für die heutigen Bedrohungen konzipiert. Sie wurden vor Jahrzehnten für den internen Gebrauch hinter Firewalls entwickelt. Doch mit der zunehmenden Verbreitung von cloud und Remote-Arbeit in Unternehmen wurden diese Anwendungen immer stärker dem Internet ausgesetzt – und raffinierten kriminellen Gruppen, die gelernt haben, sie auszunutzen.

Warum die Absicherung dieser Anwendungen unabdingbar ist

Die Konzentration von Daten und Rechenleistung in diesen Anwendungen macht sie zu einem besonders attraktiven Ziel für Angreifer. Die wirtschaftlichen Gründe für ihre Absicherung liegen auf der Hand:

• Globaler Handel und Netzwerke: 77 % des weltweiten Transaktionsumsatzes laufen über ein SAP-System. Das SAP Business Network wickelt jährlich Handelsgeschäfte im Wert von rund 6,1 Billionen US-Dollar ab ~761 Millionen B2B-Transaktionen. Eine Sicherheitslücke hier hat Auswirkungen auf die gesamten Lieferketten.
• Enorme Kundenbasis: SAP hat weltweit mehr als 400.000 Kunden weltweit, während Salesforce von mehr als 150.000 Unternehmen genutzt wird und seit mehr als 12 Jahren den CRM-Markt anführt. Diese Konzentration bedeutet, dass ein einziger Sicherheitsverstoß einen riesigen Kundenstamm betreffen kann.
• Kosten durch schwerwiegende Sicherheitsverletzungen und Ausfallzeiten: Der IBM-Bericht für 2025 schätzt die weltweiten durchschnittlichen Kosten für Sicherheitsverletzungen auf 4,44 Millionen US-Dollar. Selbst kurze Ausfallzeiten von ERP- oder CRM-Systemen können schnell zu einem Problem in siebenstelliger Höhe werden.
• Zunehmender regulatorischer Druck: Neue Vorschriften wie die NIS2-Richtlinie der EU und neue SEC-Regeln in den USA schreiben nun strenge Kontrollen und eine rasche Offenlegung von Vorfällen vor, die diese kritischen Systeme betreffen, wodurch Sicherheitslücken zu erheblichen rechtlichen und finanziellen Risiken werden.

Die „Kronjuwelen“ in Gefahr

Verschiedene Anwendungen werden aus unterschiedlichen, gewichtigen Gründen ins Visier genommen:

• SAP: Bildet die Grundlage für die Kernbereiche Finanzen, Lieferkette, Beschaffung und Personalwesen. Es ist das zentrale System für Finanzdaten und die Lieferkette und damit ein bevorzugtes Ziel für Rechnungsbetrug, den Diebstahl personenbezogener Daten oder von Geschäftsgeheimnissen sowie für Betriebsstörungen.
• Oracle E-Business Suite (EBS): Diese integrierte Suite ist nach wie vor in regulierten und komplexen Branchen weit verbreitet. EBS bildet in der Regel das Herzstück der Prozesse „Procure-to-Pay“ und „Order-to-Cash“ und ist daher ein ideales Ziel für Erpressung, Lieferantenbetrug und Datendiebstahl.
• Salesforce: Als marktführende platform können kompromittierte Identitäten oder falsch konfigurierte Integrationen dazu führen, dass Kundendaten in großem Umfang offengelegt werden und die Umsatzabläufe beeinträchtigt werden.

Die digitale Control für kritische Infrastrukturen und Behörden

Geschäftskritische Anwendungen bilden die digitalen control sowohl für Betreiber kritischer Infrastrukturen als auch für Behörden. Sie verwalten die Finanzbücher, aus denen Projekte finanziert werden, planen Wartungsarbeiten an Anlagen, verwalten Lieferantennetzwerke und ermöglichen bürgerorientierte Dienstleistungen. In den Bereichen Energieversorgung, Verkehr, Gesundheitswesen und der Verteidigungsindustrie bündeln diese Plattformen sensible Daten und koordinieren Prozesse von hoher Tragweite. Aus diesem Grund können selbst kurze Ausfälle oder geringfügige Sicherheitsverletzungen konkrete betriebliche Auswirkungen haben.

Angreifer nehmen Geschäftsanwendungen ins Visier

Das Risiko für geschäftskritische Anwendungen ist längst keine theoretische Angelegenheit mehr, und die Daten belegen dies. Einer der deutlichsten Indikatoren ist der Katalog „Known Exploited Vulnerabilities“ (KEV) , der von der CISA gepflegt wird. Seit September 2024 ist die Zahl der aktiv ausgenutzten SAP-Sicherheitslücken auf der Liste deutlich gestiegen, während bei Oracle ein ähnlicher Anstieg zu verzeichnen ist.

Dieser Trend wird durch eigene Erkenntnisse der Onapsis Research Labs. Unser Team verzeichnete von 2024 bis 2025 einen Anstieg der aktiven Ausnutzung von SAP-Schwachstellen um 210 % (selbst ohne die Daten des vierten Quartals). Parallel dazu haben wir beobachtet, dass sich der Preis für einen Exploit zur Remote-Befehlsausführung (RCE) für SAP in der Cyberkriminalitätsszene in den letzten fünf Jahren verfünffacht hat.

Dieser Anstieg sowohl der Aktivitäten als auch der Preise spiegelt die wachsende Nachfrage von versierten Angreifern wider, denen mittlerweile klar ist, wie wertvoll es ist, diese Kernsysteme zu kompromittieren.

In den letzten 12 Monaten kam es zu einer Reihe von Vorfällen im Zusammenhang mit geschäftskritischen Anwendungen, die erhebliche Auswirkungen auf die betroffenen Unternehmen hatten:

Der perfekte Sturm: März 2025

Im März 2025 erreichte die Krise ihren Höhepunkt. Mehrere Hackergruppen, darunter die staatlich unterstützten Akteure UNC5221 und UNC5174, nahmen SAP-Anwendungen ins Visier. Sie nutzten eine Kombination aus der massenhaften Ausnutzung einer Zero-Day-Sicherheitslücke (CVE-2025-31324) und dem Missbrauch von bereits in zuvor anfälligen Systemen installierten Webshells. Innerhalb weniger Wochen stellten Hunderte großer Unternehmen weltweit fest, dass ihre SAP-Umgebungen kompromittiert waren.

Dieser SAP-Zero-Day-Angriff löste eine Kettenreaktion aus. Im August veröffentlichte die kriminelle Gruppe ShinyHunters den Exploit. Anschließend bekannte sie sich zu dem Angriff auf einen großen Automobilhersteller in Großbritannien, wodurch der Betrieb des Automobilherstellers gestört wurde und geschätzte Verluste in Höhe von 1 bis 2 Milliarden Pfund entstanden. Der Vorfall führte zu Produktionsstillständen und zeigte, wie sich ein Angriff auf eine Unternehmensanwendung vom digitalen Bereich auf den physischen Fertigungsbetrieb ausweiten kann.

Eine Milliarde Datensätze gestohlen: Die Salesforce-Kampagnen

Während SAP-Systeme unter Beschuss standen, wurde Salesforce zu einem weiteren Hauptziel. Als weltweit führende platform für das Kundenbeziehungsmanagement ist das Unternehmen von unschätzbarem Wert. Zwischen Oktober 2024 und August 2025 führten Angreifer zwei groß angelegte Kampagnen durch, durch die insgesamt Hunderte von Unternehmen kompromittiert wurden.

Die Vishing-Kampagne 

Der dreisteste Angriff erfolgte mittels „Vishing“ (Voice Phishing) durch Gruppen, die dem berüchtigten Kollektiv „Scattered Spider“ angehören. Durch Social-Engineering-Anrufe, bei denen sie sich als IT-Support ausgaben, überzeugten die Angreifer Mitarbeiter davon, ihnen Zugriff auf Salesforce-Umgebungen zu gewähren. Das Ergebnis: rund eine Milliarde Kundendatensätze aus den Salesforce-Instanzen von rund 40 Organisationen.

Die OAuth-Token-Sicherheitslücke 

Eine separate Kampagne nutzte Schwachstellen bei OAuth-Tokens in der Drift-Salesloft-Integration mit Salesforce aus, wodurch Angreifer unbemerkt Daten von Hunderten von Unternehmen extrahieren konnten. Während mindestens 24 Unternehmen unbefugten Zugriff bestätigten, ist die tatsächliche Zahl der Opfer wahrscheinlich weit über diejenigen hinausgeht, die den Vorfall entdeckt haben.

Oracle-Anwendungen unter Beschuss

Auch die Oracle E-Business Suite (EBS) war ein Hauptziel, was eine Veränderung in der Strategie der Angreifer signalisiert. Während Schwachstellen in der EBS in der Vergangenheit häufig von Angreifern zum Schürfen von Kryptowährungen genutzt, konzentrierten sich die Kampagnen der letzten 12 Monate jedoch auf den Einsatz von Ransomware und Datendiebstahl.

Ab September 2024 nutzte die Ransomware-Gruppe „Hunters International“ eine WebLogic-Sicherheitslücke (CVE-2020-14644), um Ransomware in mehreren Organisationen zu verbreiten. Die Kampagne dauerte mehrere Monate an, wobei die genaue Zahl der Opfer weiterhin unklar ist.

Noch bedeutender ist, dass die Ransomware-Gruppen FIN11 und CL0P zwischen August und Oktober 2025 eine massiven Angriff auf Oracle-EBS-Systeme. Dieser Angriff kombinierte mehrere kürzlich gepatchte Schwachstellen mit einem Zero-Day (CVE-2025-61882).

Diese Kampagne markiert eine strategische Weiterentwicklung. Anstatt sich lediglich auf die Verschlüsselung von Daten zu beschränken, konzentrierten sich diese Gruppen auf Datendiebstahl und Erpressung und drohten damit, gestohlene Informationen zu veröffentlichen, sofern die Opfer nicht zahlten. Unternehmen können sich von einer Verschlüsselung erholen, indem sie Backups wiederherstellen, doch gestohlene Kundendaten und Geschäftsgeheimnisse lassen sich nicht „zurückholen“. Der Erpressungsdruck ist nahezu dauerhaft. Dies belegt, dass die Angreifer über fundierte Kenntnisse der Zielanwendung verfügen und wissen, wie sie diese nutzen müssen, um wertvolle Daten zu entwenden.

Die menschlichen Kosten: Von der Datenpanne bis zur Insolvenz

Der vielleicht ernüchterndste Vorfall schaffte es nicht in die internationalen Schlagzeilen. Ein Getränkehersteller, der im Dezember 2024 Insolvenz anmeldete, führte ausdrücklich einen zweimonatigen Cyberangriff an, der zu einem Vorfall, der seine SAP-Systeme betraf , als einen wesentlichen Auslöser.

Dieser Fall verdeutlicht, wie Angriffe auf geschäftskritische Anwendungen über reine IT-Sicherheitsprobleme hinausgehen und zu existenziellen Geschäftsrisiken werden. Wenn die Systeme, die den Lagerbestand verwalten, Bestellungen bearbeiten, die Gehaltsabrechnung durchführen und Kundenbeziehungen pflegen, kompromittiert werden, droht Unternehmen ein operativer Stillstand.

Der Insolvenzfall lässt vermuten, dass sich manche Unternehmen von solchen Angriffen nie ganz erholen. Die Gesamtkosten für die Reaktion auf den Vorfall, Betriebsunterbrechungen, Bußgelder von Aufsichtsbehörden und den Verlust des Kundenvertrauens können sich als unüberwindbar erweisen.

Eine neue Ära des Unternehmensrisikos

Was diese Angriffswelle besonders beunruhigend macht, ist das Zusammenwirken verschiedener Arten von Angreifern. Staatlich unterstützte Gruppen, Ransomware-Betreiber und Spezialisten für Datendiebstahl konzentrieren sich alle auf dieselben hochkarätigen Ziele. Die Grenzen zwischen Cyberkriminalität, Cyberspionage und Cyberkrieg verschwimmen zunehmend.

Das FBI bestätigte diesen Trend in einer Warnmeldung vom September 2025 und wies Unternehmen darauf hin, dass Voice-Phishing-Angriffe auf cloud Geschäftsanwendungen immer raffinierter werden. Die Bundesbehörden stellten fest, dass herkömmliche Sicherheitsmaßnahmen, die für lokale Infrastrukturen konzipiert sind, cloud oft nicht ausreichend schützen.

Sicherheitsexperten betonen, dass es sich hierbei nicht um theoretische Risiken oder geringfügige Vorfälle handelt. „Wir sprechen hier von Hunderten von Fortune-500-Unternehmen, die betroffen sind“, bemerkt ein Incident Responder, der an mehreren Fällen gearbeitet hat. „Auswirkungen in Milliardenhöhe. Kritische Infrastrukturen sind gefährdet. Das geschieht gerade jetzt, und die meisten Organisationen sind darauf nicht ausreichend vorbereitet.“

Diese Häufung von Angriffen deutet auf eine systemische Schwachstelle im Sicherheitsansatz von Unternehmen hin. Unternehmensanwendungen wie SAP, Oracle und Salesforce wurden für eine Zeit entwickelt, in der Unternehmensnetzwerke noch klar abgegrenzte Perimeter hatten. Die heutigen, cloud und stark integrierten Umgebungen erfordern grundlegend andere Sicherheitsarchitekturen, die viele Unternehmen noch nicht implementiert haben.

So Defend Sie Defend geschäftskritischen Anwendungen

Die Bedrohungen sind offensichtlich, ausgeklügelt und entwickeln sich ständig weiter. Eine passive Verteidigung, die sich ausschließlich auf den Perimeter beschränkt, reicht nicht mehr aus, um die Anwendungen zu schützen, die das Herzstück Ihres Unternehmens bilden. Eine moderne Verteidigungsstrategie erfordert einen gezielten, proaktiven Ansatz, der sich auf die Anwendungsebene selbst konzentriert.

Die Onapsis Platform wurde entwickelt, um Ihre wichtigsten SAP-, Oracle- und Salesforce-Anwendungen zu schützen, wobei der Schwerpunkt auf drei zentralen Grundsätzen liegt:

• Assess: Was man nicht sieht, kann man nicht schützen. Sie müssen assess Anwendungen kontinuierlich auf Schwachstellen, Fehlkonfigurationen und Fehler im benutzerdefinierten Code assess . So erhalten Sie einen vollständigen Überblick über Ihre Angriffsfläche und können die Behebung von Problemen entsprechend dem Geschäftsrisiko priorisieren.
• Defend: Sie müssen Ihre Anwendungen rund um die Uhr auf aktive Bedrohungen überwachen. Durch die Integration SAP Threat Detection und den Kontext auf Anwendungsebene direkt in Ihr SOC integrieren, können Sie verdächtige Aktivitäten, Indikatoren für Kompromittierung und Exploits in Echtzeit erkennen und darauf reagieren.
• Control: Sie müssen Sicherheit in Ihre Kernprozesse integrieren. Das bedeutet, benutzerdefinierten Code automatisch zu scannen, bevor er live geschaltet wird, und sicherzustellen, dass Änderungen an Ihren Systemen keine neuen Schwachstellen oder Compliance-Probleme verursachen – dies ist ein wesentlicher Bestandteil von DevSecOps.

Der Weg in die Zukunft

Die Angriffe des vergangenen Jahres haben gezeigt, dass Unternehmensanwendungen nicht mehr nur eine Angelegenheit des Backoffice sind. Sie sind vielmehr primäre Angriffsziele in einer zunehmend aggressiven Cyberlandschaft. Für die Hunderte von Organisationen, die bereits angegriffen wurden, und die Tausenden weiteren, die gefährdet sind, ist die Botschaft klar: Die Zeiten, in denen die Sicherheit von Unternehmensanwendungen nur als Nebensache betrachtet wurde, sind vorbei.

Wenn Ihr Unternehmen auf SAP, Salesforce oder Oracle setzt, stellt sich nicht mehr die Frage, ob Sie ins Visier genommen werden, sondern wann. Jetzt ist der richtige Zeitpunkt, um eine widerstandsfähige, anwendungsorientierte Verteidigung aufzubauen – noch bevor die nächste Angriffswelle hereinbricht.

Häufig gestellte Fragen (FAQ)

Warum wehren meine herkömmlichen Sicherheitslösungen (Firewalls, WAFs, EDR) diese Angriffe nicht ab? 

Dies ist die entscheidende Lücke, mit der die meisten Unternehmen konfrontiert sind. Herkömmliche Sicherheitstools sind darauf ausgelegt, den Netzwerkperimeter und Standard-Endpunkte zu schützen. Sie sind nicht dafür konzipiert, die einzigartige, proprietäre Sprache geschäftskritischer Anwendungen zu verstehen. Sie können keine böswilligen Aktivitäten innerhalb einer vertrauenswürdigen, authentifizierten SAP-Sitzung erkennen, keinen Zero-Day-Exploit in Oracle EBS identifizieren oder einen legitimen Benutzer von einem Angreifer unterscheiden, der Salesforce-Anmeldedaten per Vishing gestohlen hat. Diese Angriffe umgehen herkömmliche Abwehrmaßnahmen, indem sie direkt auf die Anwendungsebene abzielen – ein blinder Fleck für die meisten SOCs.

Mein Team führt Updates an unseren SAP-Systemen durch. Warum reicht das nicht aus, um diese Angriffe zu verhindern?

 Das Patchen ist eine entscheidende, grundlegende Maßnahme, doch es ist ein Wettlauf gegen die Zeit, den die Verteidiger oft verlieren. Wie der Artikel hervorhebt, haben wir erlebt, dass Angreifer eine neue Schwachstelle innerhalb von 72 Stunden ausnutzen, während Unternehmen durchschnittlich 97 Tage benötigen, um einen Patch zu testen und zu installieren. Diese „Verteidigungslücke“ macht Sie angreifbar. Zudem behebt das Patchen nicht jedes Risiko. Es stoppt keine Social-Engineering-Angriffe (wie die Salesforce-Vishing-Kampagne), behebt keinen unsicheren benutzerdefinierten Code und verhindert nicht, dass Angreifer Systemfehlkonfigurationen ausnutzen, die nicht durch einen bestimmten Patch abgedeckt sind.

Was ist der wichtigste erste Schritt, den unser Unternehmen unternehmen sollte, um unser tatsächliches Risiko zu erfassen? 

Der wichtigste erste Schritt besteht darin, Transparenz zu schaffen. defend man nicht sieht, kann man auch nicht defend . Die in diesem Artikel beschriebenen Vorfälle zeigen, dass die meisten Unternehmen unzureichend vorbereitet waren, weil sie einen entscheidenden blinden Fleck hatten: die Anwendungsebene. Der erste Schritt besteht darin, eine umfassende Bestandsaufnahme Ihrer geschäftskritischen Anwendungen durchzuführen – nicht nur Ihres Netzwerks. Das bedeutet:

1. Überprüfung Ihrer Systeme auf Schwachstellen, kritische Fehlkonfigurationen und Fehler im benutzerdefinierten Code.
2. Verteidigung dieser Anwendungen durch die Integration spezialisierter Bedrohungserkennung in Ihr SOC.
3. Kontrolle Ihren Anwendungslebenszyklus, um sicherzustellen, dass alle neuen Codes und Transporte standardmäßig sicher sind. Eine speziell für diesen Zweck platform wie die Onapsis Platform, ist der effektivste Weg, diese Sichtbarkeitslücke zu schließen und eine widerstandsfähige Verteidigung aufzubauen.