Retrospektive 2025 — Frankfurt am Main

Im Verlauf von vier Stunden führte die erste CDRT-Veranstaltung eine Gruppe von CISOs und leitenden Sicherheitsverantwortlichen auf eine geführte Reise durch einen der am wenigsten verstandenen Bereiche der Cybersicherheit in Unternehmen: die SAP-Landschaft. Anstatt sich auf einzelne CVEs oder Patching-Themen zu konzentrieren, drehte sich die Diskussion um die enorme Komplexität von SAP in Verbindung mit riskanten Designentscheidungen und blinden Flecken in den Sicherheitsprozessen, die Unternehmen trotz jahrelanger Investitionen in die Cyberabwehr weiterhin gefährden.

So manche Annahme im Publikum über die Sicherheit von SAP überlebte den Nachmittag nicht.

Viele Unternehmen betrachten SAP nach wie vor eher als Geschäftsplattform denn als Cyber-Asset. Infolgedessen bleiben kundenspezifische Entwicklungen, Add-ons von Drittanbietern, geschäftskritische Integrationen und architektonische Entscheidungen oft außerhalb etablierter Sicherheitsprozesse. In dem Workshop wurde untersucht, wie Risiken in der Lieferkette weit über Software-Abhängigkeiten hinausreichen, warum automatisierte Code-Scans oft eine trügerische Sicherheit vermitteln und wie Angreifer architektonische Schwachstellen ausnutzen können, die herkömmliche Sicherheitstools einfach nicht erkennen können.

Als sich das Bild langsam zusammenfügte, unterbrach ein CISO die Präsentation mit einer unverblümten Reaktion: „Ich glaube, mir wird schlecht.“ Die Anwesenden nickten. Und es herrschte für einige Sekunden Stille. Den Teilnehmern war gerade bewusst geworden: Das Kernproblem bei SAP Sicherheit ist der Mangel an Transparenz darüber, wo die kritischsten Risiken tatsächlich liegen.

Das war die zentrale Erkenntnis. Beim Schutz von SAP geht es nicht darum, typische IT Schwachstellen abzusichern. Es geht vielmehr darum, die strategischen blinden Flecken zu erkennen, die Angreifern bereits bekannt sind – und sicherzustellen, dass menschliche Expertise und nicht ein paar Security Tools die wichtigsten Sicherheitsentscheidungen bestimmt.

Der Tag endete mit einem ausgiebigen Networking Dinner, bei dem alle Teilnehmer die Gelegenheit hatten, sich in angenehmer Atmosphäre mit Branchenkollegen auszutauschen.