IT-Security-Kolumne

Sensible Unternehmensdaten, auch in SAP-Systemen, sind ein attraktives Angriffsziel für Hacker.  Wie können sich Unternehmen am wirksamsten vor den neuesten Methoden der Cyberkriminellen schützen?

It Security

Bei Industrie 4.0 kommt die Sicherheit schnell unter die Räder

Vor einigen Jahren prüfte ich das Berechtigungskonzept eines Anlagenbauers mit mehreren Tausend Mitarbeitern – und was musste ich da feststellen: Die Einkäufer eines Werks konnten in den jeweils anderen Werken des Unternehmens Zahlungsläufe auslösen.

Im Falle des Anlagenbauers kam diese Kombination an Berechtigungen durch ein historisch gewachsenes Berechtigungskonzept zustande, in dem Rollen immer weitervererbt und mit zusätzlichen Transaktionen angereichert wurden. Leider ist diese Vorgehensweise bei vielen Unternehmen auch heute noch gängige Praxis und macht es Mitarbeitern einfach, sich auf Kosten der eigenen Firma zu bereichern. Dem wirkt ein gutes SAP-Berechtigungsmanagement entgegen. Es reduziert die Gefahr, dass es zu unberechtigten Zugriffen auf kritische Daten in SAP-Systemen kommen kann. Wesentlich für den Datenschutz in Unternehmen und Organisationen ist ein auf dem neuesten Stand befindliches Berechtigungskonzept. Es belegt, wer in der Firma auf welche Daten Zugriff hat. Ein ausgefeiltes Berechtigungskonzept berücksichtigt auch Mitarbeiter-Vertretungen bei Krankheit und Urlaub. Es berücksichtigt den Wechsel von Mitarbeitern in andere Abteilungen – […]

Lesen Sie weiter!

(Ältere Beiträge können Sie ohne Abo-Beschränkung lesen)

Informieren Sie sich HIER über unsere Abos

Sie sind schon Abonnent?

Passwort vergessen?
It Security

Löschen und Sperren personenbezogener Daten im SAP HCM

Wer dem Informationsfluss zur aktuellen Rechtslage bezüglich Löschen und Sperren von personenbezogenen Daten folgt, wird unweigerlich zur Business Function SAP ILM und der Frage der Realisierbarkeit von Datenschutzaspekten in SAP Systemen geführt.

Geht man den aktuellen Entwicklungen zum Thema näher auf den Grund, so steht man der am 25. Mai 2018 anzuwendenden EU-Datenschutzgrundverordnung (DS-GVO) und dessen empfindliche Sanktionen bei Verstößen gegen den Datenschutz gegenüber. Grundsätzlich sieht die DS-GVO, wie das Bundesdatenschutzgesetz (BDSG) auch, die Berichtigung und Löschung von personenbezogenen Daten vor. Eine zeitlich unbegrenzte Aufbewahrung solcher Daten ist nicht zulässig. Solange weitere gesetzliche, tarifvertragliche oder innerbetriebliche Vorgaben zur Aufbewahrung von personenbezogenen Daten und Unterlagen vorliegen, sind die Daten jedoch noch nicht zu löschen sondern lediglich zu sperren. Mit den erprobten Möglichkeiten des Retention Managements lassen sich personalwirtschaftliche Sachverhalte über das SAP ILM abbilden und unter in der Praxis auch gesetzeskonform umsetzen. Überblick beschaffen Vorerst gilt es jedoch sich einen strukturierten Überblick aller […]

Lesen Sie weiter!

(Ältere Beiträge können Sie ohne Abo-Beschränkung lesen)

Informieren Sie sich HIER über unsere Abos

Sie sind schon Abonnent?

Passwort vergessen?
It Security

Sicherheitsrelevante Neuerungen im NetWeaver

SAP erweitert den Funktionsumfang ihrer Produkte regelmäßig auch hinsichtlich der Security-Komponenten. Hierbei „up to date“ zu bleiben ist wesentlich, ist davon doch die grundlegende Sicherheit der SAP-Systeme abhängig.

Mit dem NetWeaver 7.50, SP3, wurde ein neues Security Audit Log (SAL) ausgeliefert. Der SAP-Hinweis 2191612 beschreibt die neuen Funktionen des Audit Logs. Das bisherige Audit Log hat viele Schwachpunkte, wie z. B. die eingeschränkte Anzahl an Filtern, die fehlende Manipulationserkennung, die fehlende Archivierungsmöglichkeit und die unzureichenden Möglichkeiten zur Angabe zu überwachender Benutzer. Das neue Security Audit Log (Transaktionen RSAU_*) bietet nun verschiedene neue Funktionalitäten: Die Protokolle können teilweise oder vollständig in der Datenbank gespeichert und verwaltet werden. Die maximale Anzahl der Filter je Profil wurde von 10 auf 90 erhöht. Es können auch Benutzergruppen zur Protokollierung angegeben oder explizit ausgeschlossen werden. Zur Erkennung von Manipulationen an den Protokolldateien kann ein Integritätsschutz implementiert werden. Audit-Log-Konfigurationen können exportiert und importiert werden, […]

It Security

Datenschutz nur mit Datensicherheit

free

Mit der neuen EU-DSGVO ist Datenschutz zur Chefsache geworden. Verstöße gegen diese Verordnung werden ab Mai 2018 nicht mehr mit maximal 300.000 Euro, sondern mit bis zu 20 Millionen Euro oder vier Prozent des weltweiten Umsatzes geahndet, je nachdem welcher Betrag höher liegt. Das lässt die CFOs und CIOs aufhorchen.

Nicht zuletzt wegen der neuen EU-Regeln waren die Vorträge zum Thema Datenschutz bei den diesjährigen DSAG-Technologietagen stark besucht – speziell diejenigen zu Funktionen in SAP, die den Datenschutz gewährleisten können. Fazit: SAP ist für den Datenschutz gut aufgestellt, selbst wenn man für einige Funktionen SAP GRC einsetzen müsste. Allerdings ist Datenschutz wenig wert, wenn die Datensicherheit nicht gewährleistet wird. Hier gilt es, einige offene Hintertüren zu schließen. Im SAP-System selbst sind die Daten durch das Berechtigungskonzept gut geschützt. Durch Datenexporte, Druckaufträge und E-Mails aus SAP verlassen SAP-Daten jedoch den „schützenden Hafen“. Denn in SAP kann man entweder alles herunterladen, auf das man Zugriff hat, oder gar keine Daten exportieren, wenn diese Berechtigung fehlt. Im Zeitalter der „Open Economy“, in der […]

it security Header

Hana Sicherheit – Neue Dimensionen

free

Mit der Datenbank Hana hat SAP eine neue Dimension geschaffen hinsichtlich der Sicherheit von SAP-Systemen.

Bisher waren die Datenhaltungs- und die Anwendungsebene klar voneinander getrennt. In der Datenbank selbst waren lediglich die Datenbankadministratoren als Benutzer angelegt. Die Entwickler und Endanwender befanden sich im Abap-Stack, in dem auch die gesamte Berechtigungsvergabe erfolgte. Neue Nutzerverteilung Auch wenn im ERP-Nachfolger S/4 Hana ein Großteil der Anwendungen noch über den Abap-Stack abgebildet ist, so finden doch viele Entwicklungen bereits in der Hana-Datenbank selbst statt. Das BW/4 Hana, offiziell nicht als Nachfolger von SAP BW deklariert, sondern als neues Produkt, ist bereits vollständig in der Hana-Datenbank abgebildet. Daher sind als Benutzer in der Hana-Datenbank nun nicht nur Datenbankadministratoren tätig, sondern auch Entwickler und zukünftig vermehrt auch Endanwender. Security Die Sicherheitsebenen beim Betrieb einer Hana-DB sind vielfältig, da sie DB- und […]

it security Header

Licht auf die dunkle Seite des Internets

free

Cyber-Kriminelle nutzen zunehmend das Darknet, um im Verborgenen ihre kriminellen Geschäfte zu betreiben – oft auf Kosten von etablierten Marken.

Dass Markenpiraten im Internet zunehmend zur Gefahr für Umsatz, Reputation, Marketingeffizienz und Kundenbindung werden, haben mittlerweile viele Unternehmen erkannt. Das genaue Ausmaß dagegen bleibt weiterhin oft im Dunkeln. Denn statt nur im sichtbaren Teil des Netzes zu agieren, nutzen Cyber-Kriminelle längst auch versteckte Bereiche wie Deep Web und Darknet, um im Verborgenen ihren kriminellen Geschäften nachzugehen. Markeninhaber sollten daher mithilfe spezieller Monitoring-Technologien diese Gefahrenzonen in ihre Security-Strategie mit einbeziehen. Über 600 Millionen Passwörter von Linkedin-, Fling-, Tumblr- und Myspace-Accounts boten Cyber-Kriminelle im Sommer 2016 im sogenannten Darknet an. Zwar waren die Zugangsdaten mindestens drei Jahre alt, trotzdem ist der Imageschaden enorm. Zugleich offenbart so ein Verbrechen, welche Gefahren von diesem Teil des Netzes ausgehen. Immer häufiger erfolgen die Angriffe aus […]

it security Header

Schutzgelderpressung de luxe

free

Beim Blick auf das vergangene Jahr drängt sich im Sicherheitsumfeld ein Begriff in den Vordergrund: Krypto-Ransomware.

Eines zeigt sich für die Cyberkriminellen allzu deutlich: Damit lässt sich Geld verdienen. So weit nichts Neues…doch leider sehe ich nur allzu häufig eine Reaktion, die man sehr gut mit „Schockstarre“ – oder besser mit „Schockbequemlichkeit“, wenn es das Wort denn gäbe – bezeichnen könnte. Damit meine ich, dass man sich selbst mit der Aussage herausredet, das sei „ja nur ein Pro­blem für Privatanwender“ oder schon „der GAU“ gewesen, der größte anzunehmende Unfall. Doch schlimmer geht immer! Bevor ich auf die konkreten Hintergründe eingehe, möchte ich Sie zu einem Gedankenexperiment einladen: Stellen Sie sich vor, Sie sind Geschäftsführer einer mittelständischen Firma. Die von Ihnen angebotene Dienstleistung wird Ihnen von Privatkunden förmlich aus der Hand gerissen, die Firma wächst und gedeiht. […]

it security Header

Digitaler Röntgenblick

free

Kennen Sie das auch? Sie stolpern über ein Thema, halten es für Science-Fiction – und merken eines Tages, dass die Zukunft längst Realität ist...

Heutige EWLAN-Infrastrukturen arbeiten bei 2,4 und 5 GHz – einem Frequenzbereich, in dem Wasser mit elektromagnetischen Wellen interagiert. Jeder mit einer alten Mikrowelle, die nach dem Einschalten den WLAN-Empfang stört, kann davon ein Lied singen. Aber wie wird so etwas zum Sicherheitsproblem? Durch die geschickte, aber kaum vorstellbare Nutzung von Anwendungen. Aber der Reihe nach… Der menschliche Körper besteht zu mehr als 50 Prozent aus Wasser. Auch wir Menschen interagieren mit dem WLAN. Diese „Störungen“ sind längst nicht so massiv wie bei alten Mikrowellen, aber messbar! Kombiniert man die Informationen mehrerer Antennen, lassen sich menschliche Bewegungsmuster im Raum nachverfolgen, auch durch Wände hindurch. Die „Railgun“ im Schwarzenegger-Film „Eraser“ ist also gar nicht so abwegig. Neuere Forschungen erlauben es sogar, Gesten […]

2016 xxx

Zukunft? Lief doch gestern schon!

free

Kennen Sie das auch? Sie stolpern über ein Thema, halten es für Science-Fiction – und merken eines Tages, dass die Zukunft längst Realität ist...

Heutige EWLAN-Infrastrukturen arbeiten bei 2,4 und 5 GHz – einem Frequenzbereich, in dem Wasser mit elektromagnetischen Wellen interagiert. Jeder mit einer alten Mikrowelle, die nach dem Einschalten den WLAN-Empfang stört, kann davon ein Lied singen. Aber wie wird so etwas zum Sicherheitsproblem? Durch die geschickte, aber kaum vorstellbare Nutzung von Anwendungen. Aber der Reihe nach… Der menschliche Körper besteht zu mehr als 50 Prozent aus Wasser. Auch wir Menschen interagieren mit dem WLAN. Diese „Störungen“ sind längst nicht so massiv wie bei alten Mikrowellen, aber messbar! Kombiniert man die Informationen mehrerer Antennen, lassen sich menschliche Bewegungsmuster im Raum nachverfolgen, auch durch Wände hindurch. Die „Railgun“ im Schwarzenegger-Film „Eraser“ ist also gar nicht so abwegig. Neuere Forschungen erlauben es sogar, Gesten […]