„Days to Zero“: Wie Ransomware und beschleunigte Ausnutzung die SAP-Sicherheit neu gestalten

Ein Forschungsbericht, präsentiert von Onapsis & Recorded Future

Onapsis
123 % Anstieg bei Diskussionen über SAP-Bedrohungen in Untergrundforen: Die Zahl der sicherheitsrelevanten Diskussionen über SAP-Bedrohungen und -Schwachstellen in Untergrundforen hat sich zwischen 2023 und 2025 mehr als verdoppelt.
Explosiver Anstieg der Anzahl von Angreifern, die SAP mit Ransomware ins Visier nehmen: Die Zahl der aktiven Ransomware- und Erpressergruppen, die es auf SAP-Umgebungen abgesehen haben, stieg dramatisch von einem einzigen Akteur im Jahr 2022 auf über 20 Gruppen im Jahr 2026 an. 
Verkürzte Zeit bis zur Ausnutzung von SAP-Anwendungen: Der Zeitraum zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und einer bestätigten öffentlichen Ausnutzung oder einem Proof-of-Concept ist auf nur noch 1–3 Tage gesunken.

BEDROHUNGSBERICHT

Tage bis Null: Wie Ransomware und beschleunigte Ausnutzung die SAP-Sicherheit verändern

Onapsis und Recorded Future haben sich zu einer Kooperation zusammengeschlossen, um SAP-Anwendungen zu beleuchten. Dieser Bericht behandelt folgende Themen:

  • +123 % Zuwachs bei SAP-relevanten Aktivitäten auf von Akteuren betriebenen Untergrundkanälen (2023→2025), von 419 auf 933 einzelne Dokumente.
  • Im Jahr 2025 tauchten 26 verschiedene Ransomware- und Erpressergruppen in SAP-bezogenen Inhalten auf, gegenüber 8 im Jahr 2023. Im gesamten Zeitraum von 2023 bis zum ersten Halbjahr 2026 tauchten 30 verschiedene Gruppen mindestens einmal auf.
  • Die mediane Zeitspanne zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und der ersten nachgewiesenen öffentlichen Ausnutzung oder dem ersten Proof-of-Concept für Sicherheitslücken, die zwischen 2025 und 2026 behoben wurden, beträgt 1 bis 3 Tage – ein Rückgang gegenüber 489 Tagen bei den im Jahr 2021 behobenen Sicherheitslücken.

Häufig gestellte Fragen

Die Medianzeit zwischen der Veröffentlichung eines SAP-Sicherheitshinweises und einer nachgewiesenen öffentlichen Ausnutzung oder einem Proof-of-Concept sank von 489 Tagen bei Schwachstellen, die im Jahr 2021 behoben wurden, auf nur noch 1 bis 3 Tage bei denen, die im Zeitraum 2025–2026 behoben wurden. Bei allen SAP-CVEs, bei denen seit April 2025 eine erste Ausnutzung nachweislich beobachtet wurde, erfolgte die Ausnutzung zwischen 0,3 und 24 Tagen nach der Offenlegung.

Gestohlene SAP-Zugangsdaten erzielen im Dark Web bis zu das 23-Fache ihres Wertes. Während der Preis für einen standardmäßigen Administratorzugang zu allgemeinen Unternehmensnetzwerken im Durchschnitt bei etwa 1.300 US-Dollar liegt, reichen die Preise für SAP-Zugangsdaten von 500 bis zu 30.000 US-Dollar.

Angreifer nehmen Entwicklerpakete und vertrauenswürdige Veröffentlichungspipelines ins Visier, um Anmeldedaten, „ cloud “-Schlüssel und Geheimnisse von KI-Codierungstools zu erbeuten, ohne dabei eine herkömmliche SAP-Sicherheitslücke ausnutzen zu müssen. Im Rahmen der „Mini Shai-Hulud“-Kampagne im April und Mai 2026 setzten die Angreifer einen sich selbst replizierenden Wurm ein, der offizielle SAP-npm-Pakete kompromittierte, indem er die vertrauenswürdige CI/CD-Veröffentlichung missbrauchte.

KI beschleunigt sowohl die Abwehr- als auch die Angriffszyklen drastisch. Verteidiger nutzen KI-gestützte Techniken, um mehr Schwachstellen aufzudecken, wodurch die Zahl der SAP-Sicherheitshinweise im Jahr 2026 voraussichtlich einen neuen Rekordwert erreichen wird. Gleichzeitig nutzen Angreifer genau dieselben KI-Tools, um Patch-Binärdateien zu analysieren, automatisierte Exploits zu entwickeln und innerhalb weniger Stunden nach der Offenlegung einer Schwachstelle groß angelegte Scan-Kampagnen durchzuführen.

Unternehmen sollten auf der SAP-Anwendungsebene Maßnahmen zur kontinuierlichen Erkennung von Bedrohungen und zur Untersuchung von Vorfällen einsetzen. Dies dient als Ausgleichs control , das Ausnutzungsversuche bekannter, nicht gepatchter Schwachstellen in Echtzeit abfängt, wenn eine sofortige Behebung nicht möglich ist.

Der Bericht bestätigt zwar, dass die Sicherung von benutzerdefiniertem Code für einen „Clean Core“ für RISE with SAP, S/4HANA und Hybridlandschaften gilt, doch die Migration zum „ cloud “ beseitigt die Risiken auf Anwendungsebene nicht. Da Angreifer direkt auf die SAP-Anwendungsebene, benutzerdefinierten Code und CI/CD-Pipelines abzielen, sind Unternehmen weiterhin für das kontinuierliche Risikomanagement und die Erkennung von Bedrohungen verantwortlich – unabhängig davon, ob das System vor Ort oder in der „ cloud “ gehostet wird.

Zwei Männer, die gemeinsam am Computer programmieren

Mit Onapsis den immer schneller werdenden SAP-Exploits einen Schritt voraus sein

Der Bericht „Days to Zero“ belegt, dass Angreifer SAP schneller denn je ins Visier nehmen. Setzen Sie Ihre geschäftskritischen Anwendungen nicht der Gefahr durch Ransomware-Syndikate und Zero-Day-Angriffe aus. Wenden Sie sich noch heute an unsere Experten, um auf ein kontinuierliches SAP-Risikomanagement umzustellen und Ihre Infrastruktur abzusichern, bevor der nächste Exploit auftaucht.

Kontaktieren Sie uns