SAP BTP Security gewinnt zunehmend an Bedeutung, weil die Verlagerung geschäftskritischer Prozesse auf die SAP Business Technology Platform neue Angriffsflächen schafft. Klassische On-Premise-Konzepte reichen hier nicht aus.
Unter SAP BTP Security verstehen wir alle Maßnahmen, die den sicheren Betrieb, die geschützte Entwicklung und den kontrollierten Zugriff in Cloud-basierten SAP-Landschaften gewährleisten.
Dieser Artikel zeigt, wie Sie die Plattform richtig absichern, welche Rollen und Verantwortlichkeiten im Cloud-Modell gelten und welche Architekturprinzipien Sie für stabile und skalierbare SAP-Umgebungen benötigen.
SAP BTP Security beschreibt alle technischen und organisatorischen Maßnahmen, die den sicheren Betrieb, die sichere Entwicklung und die kontrollierte Nutzung der SAP Business Technology Platform gewährleisten.
Die SAP BTP wird häufig als Platform-as-a-Service genutzt, umfasst aber darüber hinaus auch Software-as-a-Service-Komponenten, etwa SAP Build Work Zone oder die SAP Integration Suite als Managed Service.
Platform Security liegt in der Verantwortung von SAP und umfasst Infrastruktur, Netzwerk, Mandantenisolation und grundlegende Sicherheitsmechanismen.
Customer Security beschreibt alle Aufgaben, die Kunden selbst übernehmen – etwa die Konfiguration von Identity Services, das Berechtigungsdesign oder das Monitoring.
Application Security betrifft insbesondere kundeneigene Erweiterungen und Side-by-Side-Applikationen und ist bei Custom Development eine geteilte Verantwortung zwischen SAP und Kunde.
Ein dediziertes Sicherheitskonzept für die SAP BTP ist notwendig, weil sich Cloud-Sicherheit grundlegend von klassischer SAP-On Premise-Security unterscheidet.
Sicherheitsgrenzen verlaufen nicht mehr entlang einzelner Systeme, sondern entlang von Identitäten, Rollen, Vertrauensbeziehungen und Architekturentscheidungen. Gerade in hybriden Landschaften entsteht Sicherheit
nicht durch Einzelmaßnahmen, sondern durch ein konsistentes, plattformübergreifendes Design.
Die SAP Business Technology Platform folgt einem klar definierten Shared-Responsibility-Modell.
Es beschreibt die Aufteilung der Sicherheitsverantwortung zwischen SAP als Plattformanbieter und dem Kunden als Betreiber der jeweiligen BTP-Landschaft. Dieses Modell ist die Grundlage jeder sicheren Cloud-Architektur – wird in der Praxis jedoch häufig unterschätzt.
SAP verantwortet den sicheren Betrieb der Infrastruktur und der Rechenzentren inklusive relevanter Zertifizierungen.
Dazu gehören Netzwerksicherheit, Mandantenisolation sowie die Verschlüsselung von Daten im Ruhezustand und während der Übertragung. Zusätzlich stellt SAP zentrale Security Services bereit, die als Basis für den sicheren Plattformbetrieb dienen.
Unternehmen steuern Identitäten, Rollen und Berechtigungen, konfigurieren die Security-Services und setzen das Least-Privilege-Prinzip um. Auch die Absicherung von Custom Code, Monitoring, Incident Response und Compliance-Anforderungen liegt in der Verantwortung der Kunden.
| Sicherheitsbereich | SAP verantwortet | Kunde verantwortet |
|---|---|---|
| Infrastruktur & Netzwerk | Bereitstellung | Konfiguration, VPN, Cloud Connector |
| Identity & Access | Bereitstellung der Services | MFA, Least Privilege |
| Application & Data | Verschlüsselung, Plattform-Tools | Custom Code, Datenschutz |
| Monitoring & Response | Audit Logs | SIEM, Incident Response |
| Compliance & Audit | Zertifizierungen | DSGVO, NIS-2 |
Cloud Foundry Runtime
Anwendungen werden voneinander getrennt betrieben. Sicherheitsrelevant sind die saubere Service-Anbindung, der kontrollierte Umgang mit Zugangsdaten und klar definierte Kommunikationswege.
Kyma Runtime
Kyma bietet größere technische Flexibilität, erfordert aber ein sauberes Governance-Design. Fehlkonfigurationen können hier schneller sicherheitsrelevant werden.
ABAP Environment
Das ABAP Environment wird vollständig von SAP betrieben. Infrastrukturbedingte Risiken sind reduziert, gleichzeitig bleiben saubere Berechtigungs- und
Erweiterungskonzepte entscheidend.
Anwendungen und Mandanten werden logisch voneinander getrennt betrieben. Eine Anwendung kann nicht ohne Weiteres auf andere Anwendungen oder Subaccounts zugreifen.
Diese Trennung ist besonders in hybriden Szenarien mit On-Premise-Anbindungen sicherheitskritisch.
Daten werden auf der SAP BTP standardmäßig sowohl im Ruhezustand als auch bei der Übertragung verschlüsselt.
Für die meisten Szenarien bietet diese Standardverschlüsselung eine verlässliche Grundlage zur Einhaltung von
Sicherheits- und Datenschutzanforderungen.
Die SAP BTP stellt Services bereit, die wesentliche Sicherheitsfunktionen abdecken.
Entscheidend ist ihr Zusammenspiel innerhalb einer konsistenten Architektur.
Ergänzende Services unterstützen Logging, Credential-Handling und Sicherheitsprüfungen, ersetzen jedoch kein ganzheitliches Architektur- und Governance-Konzept.
Mit zunehmender Nutzung der SAP BTP verändern sich auch die Sicherheitsrisiken.
Die meisten Vorfälle entstehen nicht durch Plattformschwächen, sondern durch Fehlkonfigurationen und inkonsistente Konzepte.
Für die Sicherheit Ihrer SAP-BTP-Architektur sollten Sie diese 4 Aspekte unbedingt beachten:
1. Identity & Access konsequent umsetzen
Federation, MFA, saubere Rollenmodelle und regelmäßige Reviews
2. Sichere Entwicklung etablieren
Secure Coding, Code-Reviews und klare Richtlinien
3. Monitoring und Incident Response vorbereiten
Logs auswerten, Prozesse definieren
4. Patch- und Update-Management betreiben
Hybrid-Komponenten aktuell halten und Sicherheitsinformationen verfolgen
Xiting unterstützt Unternehmen beim Aufbau konsistenter und nachvollziehbarer SAP-BTP-Sicherheitsarchitekturen.
Unser Fokus liegt dabei auf Architektur- und IAM-Design, klaren Rollen- und Governance-Konzepten sowie der systemübergreifenden Betrachtung von Risiken. Ergänzend unterstützen Schulungen und Enablement-Formate dabei, die erarbeiteten Konzepte nachhaltig im Betrieb zu verankern.
Kontaktieren Sie uns noch heute kostenlos und unverbindlich und gestalten Sie mit Xiting Ihre BTP-Landschaft sicher.
Die SAP BTP bietet einige Security Services nativ an, u. a. Identity-Services, Zugriffskontrollen, sichere Integrations-Services sowie Logging- und Prüfmechanismen.
Das Shared-Responsibility-Modell beschreibt die Aufteilung der Sicherheitsverantwortung zwischen SAP und dem Kunden. SAP sichert die Plattforminfrastruktur, während der Kunde für die Konfiguration, das Berechtigungsmanagement, die Absicherung eigener Applikationen und das Monitoring verantwortlich ist.
In der On-Premise-Welt kontrolliert der Kunde die gesamte Infrastruktur. Bei der BTP verschiebt sich der Fokus von der Systemkontrolle hin zu Identitäten, Architektur und Governance.
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen